Hvis du bruger en iPhone, iPad eller Mac hver dag, tager du det sandsynligvis for givet, at de er ret sikre enheder. Men selvom Apples økosystem er et af de mest beskyttede på markedet, Dit privatliv og dine data afhænger af, at du ved, hvordan denne sikkerhed fungerer Og at du bruger en smule sund fornuft. Det er ikke nok blot at stole på, at "Apple tager sig af alting".
Gennem hele denne guide vil du trin for trin se, Sådan beskytter Apple sine enheder fra chippen til skyenDette forklarer rollen af Face ID og Touch ID, hvordan datakryptering fungerer, hvilke kontroller der anvendes på apps, hvilke muligheder du har med iCloud, hvilke netværksprotokoller det bruger, og hvilke værktøjer det tilbyder udviklere. Målet er, at når du er færdig med at læse, har du en klar forståelse af hele sikkerhedssystemet og ved, hvordan du kan drage fordel af det.
Hardwarearkitektur, Secure Enclave og biometri
Sikkerhed hos Apple starter ikke med operativsystemet, men meget længere nede: Det første lag er i selve hardwaren og i designet af chipsene.Apple har end-to-end-kontrol over sin System on Chip (SoC), hvilket giver dem mulighed for at integrere specifikke funktioner til at beskytte opstart, lagring og følsomme data.
Forestil dig en enhed uden Wi-Fi, USB-porte eller udvidelsesslots: angrebsfladen ville være minimal. Uden at gå til den ekstreme grad, Apple designer sine enheder til at minimere de måder, hvorpå skadelig kode kan injiceres eller information udvindes., og supplerer den fysiske tilgang med logiske mekanismer i processoren.
En af grundpillerne i denne strategi er Secure Enclave, et sikkerhedsundersystem uafhængigt af hovedprocessorenDen fungerer som en slags "sikker" integreret i chippen: den har sin egen boot-ROM, der etablerer hardware-roden af tillid, en dedikeret AES-krypteringsmotor og beskyttet hukommelse, isoleret fra resten af systemet, så selv hvis hovedprocessoren blev kompromitteret, ville de mest følsomme data forblive sikre.
Mange funktioner, som du bruger dagligt uden at tænke over, er afhængige af dette kerneelement. især alt relateret til biometrisk autentificeringApple bruger to hovedsystemer: Face ID og Touch ID, som erstatter adgangskoder i mange operationer uden at sænke beskyttelsesniveauet.
Face ID bruger et TrueDepth-kamera, der er i stand til at Generer et tredimensionelt kort over dit ansigt og sammenlign det med en sikkert gemt modelDet er ikke begrænset til et simpelt foto: det bruger neurale netværk til at tilpasse sig ændringer i udseende (skæg, briller, hatte osv.) og gør det ekstremt vanskeligt for nogen at udgive sig for at være dig med et billede eller en video. Den biometriske model gemmes krypteret i Secure Enclave og synkroniseres aldrig i almindelig tekst.
I mellemtiden fortsætter mange enheder (især ældre iPhone-modeller, nogle iPads og visse Magic Keyboards til Mac) med at bruge Touch ID, som identificerer brugeren ved hjælp af deres fingeraftrykSensoren gemmer ikke et billede af din finger, men et matematisk mønster, der opdateres ved hver brug, hvilket registrerer nye detaljer i fingeraftrykket og forstærker pålideligheden af genkendelsen over tid.
Det, der er interessant for dig som bruger (og, hvis relevant, som udvikler), er, at Apple afslører sikre API'er, så apps kan udnytte Face ID og Touch ID uden nogensinde at have direkte adgang til biometriske data. Appen modtager kun et svar fra systemet (godkendelse succes eller fiasko), mens al følsom logik udføres i Secure Enclave.
Operativsystemsikkerhed og sikker opstart
Udnytter hardwarens særlige funktioner, Apples operativsystemer integrerer en sikkerhedsmodel, der styrer, hvem der kan få adgang til CPU, hukommelse, disk og andre ressourcer. uden at gå på kompromis med brugeroplevelsen. Ideen er, at beskyttelsen er der, men at du bemærker den så lidt som muligt i din hverdag.
Den første store blok er sikker opstartsprocesHver gang du tænder din iPhone, iPad eller Mac, Apple WatchUanset om det er et Apple TV, en Apple Vision Pro eller en HomePod med en Apple-chip, følger systemet en verifikationskæde: den laveste kode, der er indgraveret i chippen, kontrollerer integriteten af den næste komponent og så videre, indtil operativsystemet er oppe at køre. Hvis noget går galt på et hvilket som helst tidspunkt i den kæde, stopper opstartsprocessen enten eller går i gendannelsestilstand.
Denne model beskytter ikke kun den normale opstart; Dette gælder også for gendannelsestilstande og softwareopdateringerOperativsystemrevisioner er kryptografisk signeret, og opdateringsmekanismen er designet til at forhindre nogen i at gennemtvinge installation af ældre versioner med kendte sikkerhedsfejl, en almindelig teknik, der bruges af angribere til at udnytte opdaterede sårbarheder.
Udover starten, Apple introducerer runtime-beskyttelse for at opretholde systemintegriteten, mens enheden køreriPhones, iPads, Apple Watches, Apple TV'er, Apple Vision Pros og HomePods med Apples egne chips deler en meget lignende sikkerhedsarkitektur, og Macs med Apple-chips tilføjer til den samme tilgang med nogle ekstra funktioner designet til den mere fleksible brug, der er typisk for en stationær eller bærbar computer.
I macOS, især siden macOS 11, kommer et andet nøgleelement i spil: kryptering og beskyttelse af systemvolumenOperativsystemets kode er gemt på et kryptografisk forseglet volumen, så ethvert forsøg på at ændre den blokeres automatisk. Denne beskyttelse er et supplement til traditionelle sikkerhedsforanstaltninger (såsom filtilladelser og udførelseskontroller) for yderligere at styrke systemkernen.
Kryptering og beskyttelse af brugeroplysninger
Ud over det faktum, at systemet starter korrekt op, og ingen kan snige kode ind i kernen, Det, der virkelig betyder noget for dig, er, at dine personlige data er krypterede og utilgængelige for nysgerrige øjne.Det er her, Apples måde at beskytte de oplysninger, der er gemt på deres enheder, kommer i spil.
På iPhone og iPad er den centrale komponent det, Apple kalder "Databeskyttelse"FileVault er et hardwareintegreret krypteringssystem, der forbinder din krypteringsnøgle med din adgangskode og, hvor det er relevant, dine biometriske data. På Macs med Intel-processorer blev FileVault brugt til fuld diskkryptering; med Apples chips er denne kryptering endnu mere dybt integreret med selve SoC'en.
Mobiltelefoner og tablets bruger typisk en en fire- eller sekscifret numerisk kode eller endda en lang alfanumerisk kodeFordi de er designet til hyppige oplåsninger under korte sessioner. På en Mac, hvor du typisk arbejder i lange perioder, er det mindre besværligt at indtaste en mere kompleks adgangskode og anbefales derfor kraftigt til at styrke sikkerheden.
Jo mere kompleks og længere din adgangskode er, Det bliver vanskeligere for en angriber at forsøge et brute-force-angreb mod krypteringenApple supplerer denne beskyttelse ved at tilføje automatiske forsinkelser, når du indtaster forkerte koder: i iOS og iPadOS tilføjes ventetider efter flere mislykkede forsøg (for eksempel 1 minut efter det femte forsøg, 5 minutter efter det sjette, 15 minutter efter det syvende og ottende og 1 time fra det niende og fremefter), hvilket gør det upraktisk at prøve millioner af kombinationer.
Hvis du har muligheden aktiveret "Slet data" på iPhone eller iPad sletter indhold og indstillinger fra enheden efter ti mislykkede forsøg.På macOS følger ventetiderne et lignende mønster, men hvis grænsen for antal forsøg overskrides, låser computeren, og gendannelsesprocesser er nødvendige. Alt dette gør det drastisk vanskeligere for nogen at udtrække dine data ved tilfældigt at prøve forskellige koder.
Som et sidste lag implementerer Apple en "sikker lagring" (datasandkasse), der adskiller personlige oplysninger fra hver app og systemdataAdgang til Kalender, Kontakter, Noter, Påmindelser, Kamera eller Fotos styres af eksplicitte tilladelser, så en applikation kan ikke læse eller ændre disse data uden din klare tilladelse og uden at gå gennem de API'er, der er oprettet af selve platformen.
Applikationskontrol og sikkerhed
Apps er porten til næsten alt, hvad du gør med din enhed, men de repræsenterer også den største risiko: Hver applikation er potentielt tredjepartskode, der kører på dit systemDerfor har Apple bygget flere lag for at begrænse, hvad apps kan gøre, og hvordan de når dine enheder.
På iOS og iPadOS, Alle apps, der ankommer til App Store, skal signeres med certifikater udstedt i Apple Developer Program.Denne signatur garanterer, at koden ikke er blevet ændret, siden udvikleren indsendte den til gennemgang, og giver Apple mulighed for at blokere eller tilbagekalde problematiske apps. Selv interne virksomhedsapps, der distribueres uden for den offentlige kanal, skal følge en lignende signerings- og certifikatadministrationsproces.
På macOS er situationen noget mere åben, men siden version 10.15 Apps, der er downloadet fra steder uden for Mac App Store, skal også være korrekt certificeret og "notariseret" af Apple. at køre uden sikkerhedsadvarsler. Hvis signaturen er ugyldig, eller appen ikke har gennemgået denne proces, advarer systemet brugeren og kan forhindre udførelse som standard.
Underliggende for alt dette, macOS integrerer sit eget system til malwarebeskyttelseDen omfatter analyse af eksekverbare filer, tilbagekaldelseslister og anti-exploit-teknologier. Det er ikke et traditionelt antivirusprogram, men det tjener et lignende formål: at forhindre udførelse af mistænkelig eller kendt skadelig kode.
Ud over installationskontroller tilføjer Apple flere lag til runtime-miljøet. Det første er applikationssandboxingHver tredjepartsapp kører i sit eget isolerede miljø med meget begrænset adgang til filsystemet og systemressourcerne. For at læse eller ændre data uden for den angivne mappe skal appen gennemgå systemgodkendte mekanismer og anmode om tilladelser fra brugeren.
Det andet stykke er Rettigheder, der definerer, hvilke særlige funktioner en app kan brugeDisse er digitalt signerede nøgle-værdi-par, så udvikleren kan ikke narre systemet ved selv at tilføje tilladelser. Hvis en app f.eks. har brug for adgang til iCloud eller kameraet, skal den deklarere disse tilladelser, og Apple validerer dem under signerings- og udgivelsesprocessen.
Det tredje element er adresseområderandomisering (ASLR)Denne teknik blander uforudsigeligt hukommelsesplaceringen af en process kode og data. Dette komplicerer i høj grad angreb, der udnytter hukommelseskorruption, fordi angriberen ikke på forhånd kan vide, hvor den kode eller de data, de ønsker at udføre eller manipulere, befinder sig.
Apple-tjenester: Apple ID, iCloud og Apple Pay
Ud over selve enheden drejer en stor del af dit digitale liv sig om Apple-tjenester: Dit Apple ID er nøglen til at få adgang til App Store, iCloud, Apple Music, Apple Pay og meget mere.Hvis den konto falder i de forkerte hænder, er problemet alvorligt, så virksomheden har strammet sine krav; du kan tjekke Guide til at styrke sikkerheden på din Apple-konto.
Apple ID-adgangskoden skal opfylde visse minimumskriterier: mindst otte tegn i en kombination af bogstaver og tal, uden at identiske eller fortløbende tegn gentages mere end tre gange Og undgå alt for åbenlyse eller almindelige adgangskoder. Okay, det kan være lidt besværligt, men det er den første forsvarslinje mod uautoriseret adgang.
Som standard aktiverer Apple tofaktorgodkendelse (2FA) til Apple IDHver gang nogen forsøger at logge ind fra en ny enhed, sendes en bekræftelseskode til en betroet computer. På den måde kan nogen ikke få adgang til din konto uden den anden faktor, selvom de opdager din adgangskode. Og hvis du har brug for at nulstille din adgangskode, udføres processen også via en betroet enhed eller via velkontrollerede gendannelsestrin.
Et andet vigtigt element er iCloud, den tjeneste hvor mange af dine oplysninger gemmes: fotos, kontakter, e-mails, sikkerhedskopier, sundhedsdata og mereHer tilbyder Apple to niveauer af databeskyttelse, begge med kryptering, men med vigtige forskelle i, hvem der kan hjælpe dig med at gendanne oplysninger.
Med Standard iCloud-beskyttelse: data krypteres, og nøgler gemmes i Apples datacentreVirksomheden gemmer kun det, der er nødvendigt for at hjælpe dig med gendannelse, men den kan ikke bare læse dine data. I denne tilstand bruger 14 datakategorier end-to-end-kryptering, hvilket allerede giver et godt niveau af privatliv.
Hvis du vil gå et skridt videre, kan du aktivere Avanceret iCloud-databeskyttelseI dette tilfælde er krypteringsnøglerne kun tilgængelige fra dine betroede enheder og er også beskyttet af end-to-end-kryptering. Antallet af kategorier, der er dækket af denne beskyttelse, stiger til 23, så stort set alt, der betyder noget, er utilgængeligt, selv for Apple, hvis de ikke har dine enheder eller dine nøgler.
Inden for betalinger er Apple Pay blevet meget almindeligt, men bagved ligger en masse teknologi, der giver dig mulighed for sikkert at bringe din mobiltelefon tæt på POS-terminalen. Apple Pay-sikkerhed er afhængig af Secure Element og enhedens NFC-controllerSecure Element er vært for små applets, der er certificeret af betalingsnetværk og kortudstedere; kun de kender de nøgler, der er nødvendige for at dekryptere dataene i disse applets.
NFC-controlleren fungerer som Gateway mellem Secure Element og den kontaktløse betalingsterminalDen tillader kun dataoverførsel, når brugeren har godkendt transaktionen ved hjælp af Face ID, Touch ID eller en kode. Forhandleren ser aldrig dit faktiske kortnummer: der bruges et krypteret konto-id (token), hvilket reducerer virkningen betydeligt, hvis et eksternt system kompromitteres.
Kommunikationssikkerhed og VPN-brug
Alt ovenstående ville være ufuldstændigt, hvis netværkskommunikationen var fuld af fejl. Derfor, iOS, iPadOS og macOS understøtter førende krypteringsprotokoller i branchens standarder....for både webforbindelser og andre netværkstjenester; hvis du normalt bruger offentlige netværk, bedes du se vores Sikkerhedsguide til Wi-Fi-netværk til iPhone.
Specifikt understøtter Apple-systemer TLS 1.0, 1.1, 1.2 og 1.3, udover DTLS (Datagram Transport Layer Security)TLS er standarden, der krypterer forbindelsen mellem din enhed og serverne (for eksempel når du ser hængelåsen i browseren), mens DTLS gør noget lignende, men til datagrambaseret kommunikation, såsom visse multimedieforbindelser.
Disse implementeringer er kompatible med stærke krypteringsalgoritmer som f.eks. AES-128 og AES-256Disse biblioteker anses i øjeblikket for at være sikre, da de beskytter trafik mod aflytning og manipulation. Apple overvåger og opdaterer regelmæssigt disse biblioteker for at håndtere eventuelle nye sårbarheder, der måtte opstå i kryptoøkosystemet.
Hvis du har brug for at oprette forbindelse til virksomhedsnetværk eller ønsker at styrke dit privatliv på offentlige forbindelser, Apple-enheder giver dig også mulighed for at oprette virtuelle private netværk (VPN'er) med forskellige protokoller. Du er ikke bundet til en enkelt løsning; i stedet er der understøttelse af flere udbredte teknologier.
Blandt de understøttede VPN-protokoller finder vi IKEv2/IPsec, med godkendelse via delt hemmelighed eller RSA- og ECDSA-certifikaterUd over EAP-baserede metoder som EAP-MSCHAPv2 eller EAP-TLS kan SSL VPN'er også bruges via klientapplikationer, der er tilgængelige i App Store, og som integreres med systemet.
Hvad angår mere klassiske konfigurationer, Apple-enheder understøtter L2TP/IPsec med MS-CHAPv2-godkendelse For brugere er der en delt hemmelighed for maskinen på iOS, iPadOS og macOS. Macs understøtter også Cisco IPsec-varianter med brugergodkendelse ved hjælp af adgangskoder, RSA SecurID-tokens eller CRYPTOCard samt maskingodkendelse med delte hemmeligheder og certifikater. Dette giver betydelig fleksibilitet til at tilpasse sig din virksomheds eller organisations eksisterende opsætning.
Udviklingssæt og privatliv i Apples økosystem
Hvis du arbejder med udvikling eller styrer digitale projekter, vil du være interesseret i at vide, at Apple tilbyder adskillige udviklingssæt (frameworks) for at udvide funktionaliteten af sine enheder uden at gå på kompromis med sikkerheden.De er designet til at gøre livet lettere for programmøren, men også til at indføre en klar ramme, der beskytter slutbrugeren.
Disse sæt inkluderer HomeKit, CloudKit, SiriKit, DriverKit, ReplayKit og ARKitHver af dem dækker et forskelligt område: henholdsvis styring af tilsluttet hjem, cloud-lagring, Siri-integration, controllerudvikling, skærmoptagelse og -streaming eller augmented reality-oplevelser.
Den, der normalt genererer mest følsomhed med hensyn til privatliv, er HomeKit, da det administrerer hjemmeenheder såsom videoovervågningskameraer, højttalere med mikrofoner eller smarte låseHer har Apple lagt særlig vægt på godkendelse og kryptering mellem tilbehør og enheder.
HomeKit er baseret på Ed25519 kryptografiske nøglepar, bestående af en offentlig nøgle og en privat nøgleDisse nøgler muliggør robust godkendelse af hver enhed og kryptering af kommunikationen mellem dem, så en tredjepart ikke kan udgive sig for at være et kamera, en smartpære eller en hjemmehub.
For at lette synkroniseringen mellem dine enheder, Nøglerne og loginoplysningerne, der er knyttet til HomeKit, gemmes i iCloud-nøgleringen.Denne nøglering synkroniserer følsomme oplysninger, såsom adgangskoder og certifikater, mellem dine betroede enheder ved hjælp af end-to-end-kryptering, så kun du har adgang til materialet, selvom det bevæger sig gennem Apples servere.
Med alt dette netværk af specialbygget hardware, lagdelt kryptering, sikker opstart, streng app-kontrol, beskyttede cloud-tjenester, krypteret kommunikation og udviklingsværktøjer designet til at respektere privatlivets fred, Apple-enheder tilbyder et meget solidt økosystem, som du kan bygge din digitale sikkerhed påAlligevel er den vigtigste brik stadig dig: at vælge stærke koder, aktivere totrinsbekræftelse, gennemgå apptilladelser og holde dine enheder opdaterede gør hele forskellen på, om du virkelig udnytter hele denne beskyttelsesarkitektur eller ubevidst lader døre stå åbne.
