![](https://help.apple.com/assets/6537FB06A074DBB5E802EA07/6537FB31280588A5490B6E1D/zh_HK/52d714626638d3391623c853be0c593b.png)
替用開機模式保護密鑰的機制
「資料保護」的用途是限定只在成功驗證後,才會提供用户資料存取權限給經授權的用户。「資料保護」類別的設計目的是支援各種使用案例,例如即使裝置被鎖定(但需在初次解鎖後)仍可讀取和寫入某些資料的能力。處於替用開機模式期間,系統會執行其他步驟來保護用户資料的存取,例如用於裝置韌體升級(DFU)模式、「還原」模式、「Apple 診斷」或軟件更新期間使用的模式。這些功能的基礎是硬件和軟件功能的組合,並隨着 Apple 設計的晶片發展而擴展。
功能 | A10 | A11–A17 S3–S9 M1、M2、M3 |
還原:所有「資料保護」類別都受保護 | ||
DFU 模式、「還原」和軟件更新的替用開機:類別 A、B 和 C 資料受保護 |
「安全隔離區 AES 引擎」配備可鎖定的軟件種子位元。從 UID 建立密鑰時,這些種子位元會包含在密鑰衍生函數中以建立其他密鑰階層。種子位元的使用方式因單晶片系統而異:
自 Apple A10 和 S3 SoC 起,種子位元專門用於區分受用户密碼保護的密鑰。種子位元是為了需要用户密碼的密鑰而設(包含「資料保護類別 A」、「類別 B」和「類別 C」密鑰),而無需用户密碼的密鑰(包含檔案系統後設資料密鑰和「類別 D」密鑰)則會清除種子位元。
此外,在系統為 iOS 13 或較新版本和 iPadOS 13.1 或較新版本,且配備 A10 或較新版本的裝置上,當裝置開機進入「診斷模式」時,所有用户資料都會因加密編譯而無法存取。方法為引入額外的種子位元,其設定管控着媒體密鑰的存取權,需使用此媒體密鑰才能存取以「資料保護」加密的資料卷宗上的後設資料(亦因此包括所有檔案的內容)。此保護涵蓋所有類別(A、B、C、D)所保護的檔案,而不只需要用户密碼的檔案。
在 A12 SoC 上,如果「應用程式處理器」已進入裝置韌體升級(DFU)模式或還原模式,「安全隔離區 Boot ROM」會鎖定密碼種子位元。當密碼種子位元鎖定時,系統不會允許任何更改作業。其設計用意是防止存取受用户密碼保護的資料。
在裝置進入 DFU 模式後進行還原,可讓裝置回到已知的正常狀態,該狀態可確保只會有未經修改且由 Apple 簽署的程式碼。DFU 模式可透過手動方式進入。
請參閲以下關於如何令裝置進入 DFU 模式的 Apple 支援文章:
裝置 | Apple 支援文章 |
---|---|
iPhone、iPad | |
Apple TV | |
配備 Apple 晶片的 Mac |