企業(yè)網(wǎng)D1Net訊 3月12日（上海）

近日，蘋果發(fā)布了iOS安全白皮書，前所未有的深入介紹iOS以及iPhone，iPad的安全架構(gòu)及特性。安全公司以及IT顧問都大贊蘋果的透明度以及保護(hù)iOS設(shè)備，用戶數(shù)據(jù)以及網(wǎng)絡(luò)安全的方式。

2013年2月的新版iOS安全白皮書共有33頁，可在網(wǎng)上閱讀下載。

上一版本的iOS安全白皮書于2012年秋季發(fā)布，從這時開始蘋果采取一個iOS安全性較為開放的姿態(tài)。新的文件詳細(xì)介紹了蘋果過去兩年的一些安全功能，尤其是iOS7:Touch ID指紋識別傳感器；和企業(yè)應(yīng)用及服務(wù)集成的單點(diǎn)登錄功能；Airdrop點(diǎn)對點(diǎn)連接的安全性能；用于創(chuàng)建及管理復(fù)雜密碼的iCloud Keychain；集成在蘋果64位A7協(xié)處理器Secure Enclave。

安全人士以及IT人士紛紛沉浸于這些詳細(xì)的技術(shù)細(xì)節(jié)里。

洛杉磯解決方案咨詢，一家專注企業(yè)蘋果設(shè)備部署的經(jīng)理本杰明列維說：“最近，我一直在閱讀這個文件。對于我來講，這份文件詳細(xì)描述了蘋果設(shè)備的安全理念以及細(xì)節(jié)。這不是馬后炮。它從處理器到系統(tǒng)詳細(xì)解析了設(shè)計以及運(yùn)行的方方面面。”

他還舉了iPhone 5s的Touch ID指紋識別傳感器為例，“我很喜歡談到指紋傳感器設(shè)計和運(yùn)行的那一部分。它讓我意識到指紋識別器的意義，并鼓勵了更長更復(fù)雜密碼的使用。”

一次大規(guī)模的更新

安全顧問及作家里奇莫古爾在名為“如何保護(hù)你的iCloudKeychain”里評論道：“這份白皮書是一次大規(guī)模的更新。它的內(nèi)容比蘋果以往的任何一次共享都要多，這可以讓我消化幾個月時間了。”

WatchGuard科技安全策略部總經(jīng)理科里納什雷內(nèi)說，“在某些角度上看，在安全領(lǐng)域現(xiàn)在的蘋果就跟10年前的微軟一樣。從歷史上看，這兩個公司都幾乎不分享這些消息。但當(dāng)我閱讀這份文檔，我發(fā)現(xiàn)他們的安全措施相當(dāng)完備。”例如，可以給不同數(shù)據(jù)類不同程度的保護(hù)；分段的安全功能；使用不同類型的加密方式；不同設(shè)備，唯一的標(biāo)識符。

納什雷內(nèi)補(bǔ)充道，蘋果的安全體系架構(gòu)通過了FIPS 140-2認(rèn)證，這也給iOS產(chǎn)品進(jìn)入政府部門以及企業(yè)鋪好了道路。

他說：“人們認(rèn)為蘋果的產(chǎn)品沒達(dá)到政府或者企業(yè)那種安全級別。這些都是偏見，蘋果很可能會成為移動安全的標(biāo)準(zhǔn)。蘋果的設(shè)備可能會比任何其他設(shè)備更安全。”

當(dāng)然，近期的RSA安全會議以及漏洞披露顯示，蘋果的產(chǎn)品還是有很多改進(jìn)的空間。RSA會議上，一家公司提到，黑客可以通過iOS 設(shè)備的“個人配置文件”來改變移動設(shè)備管理設(shè)置。另一個漏洞：非越獄情況下，可以使用一個應(yīng)用在后臺記錄觸摸屏以及按鍵。另外，去年11月份，惠普報告，2000份針對企業(yè)用戶的iOS設(shè)備調(diào)查中，有90%的企業(yè)至少發(fā)現(xiàn)了一個安全漏洞。

MobileIron（一家移動安全管理軟件公司）的產(chǎn)品部副經(jīng)理雷杰表示，這份白皮書安全功能及細(xì)節(jié)披露可以促使IT部門重新思考移動安全。他說：“大多數(shù)IT部門的安全觀念都是在傳統(tǒng)的Windows架構(gòu)中形成的，因此他們自然而然的會用這些方法來管理iOS設(shè)備。當(dāng)然，這通常不可行，因為iOS底層安全架構(gòu)和Windows有很大的不同。這份白皮書第一次讓IT部門了解了iOS的體系架構(gòu)。”

蘋果 Touch ID:安全保護(hù)新技術(shù)

我們可以從iPhone 5s的Touch ID指紋識別的設(shè)計看出蘋果的安全管理方式。用戶按下Home鍵的時候，Touch ID會進(jìn)行一次 88 x 88 像素，500 ppi 的光柵掃描，數(shù)據(jù)暫時存儲在Secure Enclave協(xié)處理器的加密的內(nèi)存里，等待矢量化分析。Touch ID會從各種角度不斷學(xué)習(xí)用戶的指紋，在已有的指紋圖譜上添加新的節(jié)點(diǎn)。iPhone 5s完成指紋數(shù)據(jù)處理和分析以后，就會刪除這些數(shù)據(jù)，不會發(fā)送到iCloud，iTunes，或者蘋果公司。這些數(shù)據(jù)只有A7的Secure Enclave協(xié)處理器可以讀取。

指紋傳感器和Secure Enclave協(xié)處理器內(nèi)建一個共享的秘鑰A，然后系統(tǒng)再由這個共享秘鑰A隨機(jī)生成一個唯一的秘鑰B，來加密保護(hù)Touch ID數(shù)據(jù)。如果使用中要調(diào)用指紋數(shù)據(jù)，整個過程都會有AES秘鑰隨機(jī)加密保護(hù)。

白皮書里提到，“通過Touch ID子系統(tǒng)解鎖設(shè)備可以給設(shè)備提供額外的安全保護(hù)。”
Enclave協(xié)處理器還提供了加密操作的數(shù)據(jù)保護(hù)密鑰管理以及數(shù)據(jù)保護(hù)。蘋果白皮書里寫道：“每一個Secure Enclave都擁有唯一一個ID，當(dāng)設(shè)備啟動時，就會創(chuàng)建一個臨時密鑰以及UID，并用來對設(shè)備的存儲空間進(jìn)行加密。”

Enclave是為數(shù)據(jù)保護(hù)所設(shè)計的。它擁有自己的安全啟動過程以及軟件更新，獨(dú)立于A7處理器。

當(dāng)Enclave存儲數(shù)據(jù)到文件系統(tǒng)時，它會自動用UID加密數(shù)據(jù)。白皮書寫道：“Secure Enclave和應(yīng)用處理器之間的通信被隔離到一個一個中斷驅(qū)動的郵箱和共享內(nèi)存數(shù)據(jù)緩沖區(qū)里進(jìn)行。”

蘋果深層次的安全防護(hù)

這些邏輯慎密的Enclave以及Touch ID安全保護(hù)設(shè)計正是iOS安全架構(gòu)的一個縮影。
納什雷內(nèi)說：“蘋果的安全防護(hù)并不是依靠私人密碼，而是設(shè)備的唯一ID。另外，你還可以給應(yīng)用添加特殊的密碼，比如說，iMessage。這些獨(dú)特的密碼越多，設(shè)備就越難破解。”

莫古爾在他分析iCloudKeychain的博客里寫道，蘋果對數(shù)據(jù)的分割也讓黑客無法一次性破解所有的數(shù)據(jù)。

iCloudKeychain可以讓你在Safari上給不同的網(wǎng)頁創(chuàng)建不同的密碼。Keychain上的密碼可以在不同的設(shè)備上進(jìn)行同步，并存儲在蘋果的服務(wù)器上。但是這也引來了一個潛在的問題：鑒于政府監(jiān)控的案例，信任蘋果的Keychain可能會帶來很嚴(yán)重的后果。
莫古爾寫道：“蘋果用一種‘不同但相似的安全手段來保護(hù)Keychain同步，暫存以及備份的安全問題’。”

蘋果Keychain同步過程并不會同步設(shè)備的獨(dú)有ID，蘋果服務(wù)器也不會存儲Keychain的數(shù)據(jù)。莫古爾寫道：“當(dāng)密碼添加或者改變時，蘋果只會對需要同步的設(shè)備進(jìn)行改變項目的同步,每次只能操作一臺設(shè)備。換句話說，每個Keychain項目只會發(fā)送到需要的設(shè)備里，而Keychain項目只有設(shè)備才能識別。另外，iCloud每次只能同步一個項目。”

這種同步方式也給黑客提升了難度。莫古爾說：“要想得到數(shù)據(jù)，黑客必需破解設(shè)備以及iCloud的密碼?；蛘咴谟脩舨恢榈那闆r下重構(gòu)整個過程，這并不是一件簡單的事情。”

iCloud Keychain恢復(fù)過程通過安全代管服務(wù)恢復(fù)icloud的整個Keychain。莫古爾補(bǔ)充道，Keychain本身是用一個復(fù)雜的密鑰存儲在iCloud中。而這個復(fù)雜的密鑰本身是用iCloud安全碼以及防篡改的硬件加密，又稱為硬件安全模塊（HSM）技術(shù)加密。

根據(jù)設(shè)計方案，HSM并不能完全解密keychain。莫古爾說，“由于HSM并不存儲用于加密iCloud密鑰的加密代碼，它并不能讀取用于保護(hù)keychain的實際密碼。”

事實上，蘋果做的不僅僅這些。他說，“為保證安全性，蘋果刪除了HSM的管理員連接卡。同時，一旦檢測到未經(jīng)授權(quán)的訪問，系統(tǒng)就會自動刪除密碼并給用戶發(fā)送重新設(shè)置密碼的通知。”

莫古爾補(bǔ)充道，“正如我所說，我的日常工作是為大型企業(yè)以及安全廠商提供建議。我很少看到這種級別的安全保護(hù)措施，特別是刪除連接HSM的管理智能卡。”
他解釋道，蘋果為用戶考慮了很多。用戶可以通過設(shè)置打開iCloud Keychain，并按照一系列步驟產(chǎn)生一個加密，安全，不可猜測的iCloud安全碼來保護(hù)keychain。
莫古爾說，“這樣的隨機(jī)iCloud 安全碼不會發(fā)送給蘋果也不會給截獲。如果不用這個隨機(jī)iCloud 安全碼（而是將密碼存放在如1Password或者LatPass這種密碼管理工具），黑客也無法解密iCloud上的keychain。另外，即便是NSA，也無權(quán)知道這些。”

另外，蘋果其他互聯(lián)網(wǎng)服務(wù)（如iMassage,Facetime以及Siri）的安全問題也很引人注意。WatchGuard的納什雷內(nèi)說：“蘋果試圖保護(hù)通過蘋果云上的數(shù)據(jù)來確保這些互聯(lián)網(wǎng)服務(wù)的安全。”

IT顧問本杰明列維說：“我認(rèn)為那些不擅長安全管理的IT人員都應(yīng)該讀讀這份安全白皮書。它詳細(xì)描述了蘋果如何打造完美的安全性能。閱讀這份白皮書之后，我立即開始對MAC OS以及其他的Mac 硬件的相似進(jìn)步感到興趣。我猜，我們很快就看到一些非常大的變化。”