Apple hat im Herbst 2020 Sicherheitsänderungen an ausgewählten Chips vorgenommen

Designänderungen in der Mitte der Produktion sind für die meisten Unternehmen nicht üblich, insbesondere nicht für Apple. Aber es sieht so aus, als hätte das Unternehmen Ende letzten Jahres einige wichtige Änderungen für eine ausgewählte Anzahl von Chips vorgenommen.

Das geht aus einer Support-Seite hervor, die Apple kürzlich veröffentlicht hat. Es wurde vom Twitter-Nutzer Andrew Pantyuhkin (via MacRumors) entdeckt. Auf der Support-Seite heißt es, dass die Prozessoren der A-Serie, A12, A13, und die Prozessoren der S-Serie, S4 und S5, alle eine Sicherheitsänderung erhalten haben, insbesondere am Hardwaredesign, in Bezug auf die Secure Storage-Komponente.

Laut Apple sind diese neu gestalteten Prozessoren größtenteils gleich, verfügen jedoch über eine „Sichere Speicherkomponente der zweiten Generation“, während frühere Produkte ein Design der ersten Generation haben.

Aus dem Support-Dokument:

Hinweis: A12-, A13-, S4- und S5-Produkte, die erstmals im Herbst 2020 veröffentlicht wurden, verfügen über eine sichere Speicherkomponente der 2. Generation; während frühere Produkte, die auf diesen SoCs basieren, über eine Secure Storage-Komponente der 1. Generation verfügen.

Apples Secure Enclave ist ein Koprozessor, der für sicherheitsorientierte Funktionen in Apples Geräten verwendet wird, einschließlich der Authentifizierung für Touch ID und Face ID sowie für den Datenschutz. Es wurde entwickelt, um diese Daten und Informationen sicher zu halten, insbesondere wenn sie für den eigentlichen Anwendungsprozessor zu sensibel sind. Apple hat die Secure Storage-Komponente geändert, die sich in der Secure Enclave befindet.

Der Bericht weist darauf hin, dass zumindest das iPad der 8. Generation, die Apple Watch SE und der HomePod mini die andere Secure Enclave haben als andere Modelle.

Der ursprüngliche Bericht stellt jedoch fest:

Es gibt jedoch eine Reihe von Unstimmigkeiten im Support-Dokument von Apple. Obwohl Apple erklärte, dass A13-Produkte, die „erstmals im Herbst 2020 veröffentlicht wurden, eine sichere Speicherkomponente der 2. Generation haben“, gab es kein Gerät mit einem A13-Chip, das „erstmals im Herbst 2020 veröffentlicht wurde“. Das letzte Gerät, das mit einem A13-Chip veröffentlicht wurde, war das iPhone SE im Februar 2020.

Um die Sache noch verwirrender zu machen, lässt die Tabelle, in der die mehreren Versionen der Speicherkomponente der Secure Enclave in der Funktionsübersicht aufgeführt sind, den S4-Chip mit einer Secure Storage-Komponente der zweiten Generation weg, obwohl die Rubrik behauptet, dass ein solcher Chip existiert. Die Apple Watch Series 4 war das einzige Gerät, das einen S4-Chip enthielt, und dieses Gerät wurde im September 2019 eingestellt, lange bevor die Secure Storage-Komponente der zweiten Generation im Herbst 2020 implementiert wurde. Es ist möglich, dass ein Teil dieses Mangels an Klarheit bezieht sich auf die Tatsache, dass die A12- und S4-Chips die Secure Storage-Komponente der ersten Generation eingeführt haben.

Die aktualisierte Secure Enclave- und Secure Storage-Komponente ist bereits in der iPhone 12-Serie, der Apple Watch Series 6 und dem neuen iPad Air verfügbar. Damit sind die A14- und S6-Prozessoren abgedeckt.

Die Secure Storage-Komponente der 2. Generation fügt Schalterschließfächer hinzu. Jede Zähler-Lockbox speichert ein 128-Bit-Salt, einen 128-Bit-Passcode-Verifizierer, einen 8-Bit-Zähler und einen 8-Bit-Maximalversuchswert. Der Zugriff auf die Schalterschließfächer erfolgt über ein verschlüsseltes und authentifiziertes Protokoll.

Zähler-Lockboxen enthalten die Entropie, die zum Entsperren passwortgeschützter Benutzerdaten erforderlich ist. Um auf die Benutzerdaten zuzugreifen, muss die gepaarte Secure Enclave den korrekten Passcode-Entropiewert aus dem Passcode des Benutzers und der UID der Secure Enclave ableiten. Der Passcode des Benutzers kann nicht mithilfe von Entsperrversuchen erlernt werden, die von einer anderen Quelle als der gekoppelten Secure Enclave gesendet werden. Wenn das Limit für Passcode-Versuche überschritten wird (z. B. 10 Versuche auf dem iPhone), werden die passcodegeschützten Daten vollständig von der Secure Storage-Komponente gelöscht.

Wie im ursprünglichen Bericht erwähnt, scheint diese Änderung als Gegenmaßnahme gegen Geräte zum Knacken von Passwörtern wie GrayKey gedacht zu sein.