- Hướng dẫn bảo mật nền tảng Apple mô tả kiến trúc bảo mật tích hợp giữa phần cứng, phần mềm và dịch vụ trên mọi thiết bị như iPhone, iPad, Mac, Apple Watch
- Apple silicon (SoC) và Secure Enclave là nền tảng cốt lõi, hình thành chuỗi tin cậy cho toàn bộ quy trình từ khởi động, mã hóa dữ liệu đến xác thực sinh trắc học
- Bảo mật phần cứng gồm Boot ROM, AES engine, bộ đồng xử lý bảo mật... nhằm bảo đảm bảo vệ khóa mã hóa và khởi động an toàn
- Các phương thức xác thực sinh trắc học như Face ID, Touch ID, Optic ID được xử lý trong Secure Enclave nên dữ liệu cá nhân không bị lộ ra bên ngoài
- Apple liên tục tăng cường ứng phó lỗ hổng và bảo mật nền tảng thông qua chương trình thưởng nghiên cứu bảo mật và đội ngũ bảo mật chuyên trách
Tổng quan về bảo mật nền tảng Apple
- Apple tích hợp bảo mật như một yếu tố thiết kế cốt lõi trên mọi nền tảng
- Phần cứng, phần mềm và dịch vụ phối hợp hoạt động để đặt quyền riêng tư cá nhân lên hàng đầu
- Apple silicon và phần cứng bảo mật hỗ trợ các tính năng bảo vệ cho hệ điều hành và ứng dụng bên thứ ba
- Cung cấp hạ tầng dịch vụ cho cập nhật bảo mật, bảo vệ hệ sinh thái ứng dụng, truyền thông an toàn và thanh toán an toàn
- Không chỉ bảo vệ thiết bị mà còn bảo vệ cả mạng và các dịch vụ internet chủ chốt
- Các lĩnh vực bảo mật chính gồm 8 nhóm sau
- Phần cứng và xác thực sinh trắc học, bảo mật hệ thống, mã hóa và bảo vệ dữ liệu, bảo mật ứng dụng, bảo mật dịch vụ, bảo mật mạng, bảo mật bộ công cụ dành cho nhà phát triển, bảo mật quản lý thiết bị
Triết lý và vận hành bảo mật của Apple
- Apple coi quyền riêng tư là một quyền con người, đồng thời cung cấp nhiều thiết lập để người dùng trực tiếp kiểm soát việc ứng dụng truy cập thông tin
- Thông qua chương trình Apple Security Bounty, Apple trao thưởng cho các nhà nghiên cứu phát hiện lỗ hổng
- Có thể xem chi tiết tại security.apple.com/bounty
- Đội ngũ bảo mật chuyên trách thực hiện kiểm toán bảo mật và giám sát mối đe dọa cả trong quá trình phát triển sản phẩm lẫn sau khi phát hành
- Apple hoạt động với tư cách thành viên của FIRST(Forum of Incident Response and Security Teams)
- Apple silicon đóng vai trò nền tảng cho khởi động an toàn, xác thực sinh trắc học và bảo vệ dữ liệu
- Các tính năng như Kernel Integrity Protection, Pointer Authentication Codes, Fast Permission Restrictions giúp giảm thiểu thiệt hại do tấn công
- Doanh nghiệp cần rà soát chính sách CNTT để tận dụng tối đa các công nghệ bảo mật nhiều lớp của nền tảng Apple
Bảo mật phần cứng và xác thực sinh trắc học
- Bảo mật bắt đầu từ cấp độ phần cứng, và các thiết bị Apple được trang bị silicon có tích hợp sẵn các tính năng bảo mật
- Ngoài CPU còn có silicon chuyên dụng cho bảo mật nhằm giảm thiểu bề mặt tấn công
- Các thành phần chính
- Boot ROM: gốc rễ của độ tin cậy phần cứng, là điểm khởi đầu của khởi động an toàn
- AES engine: thực hiện mã hóa và giải mã theo thời gian thực khi đọc/ghi tệp, còn thông tin khóa được truyền qua Secure Enclave
- Secure Enclave: đảm nhiệm việc tạo và lưu trữ khóa mã hóa cũng như bảo vệ dữ liệu sinh trắc học
- Secure Boot chỉ cho phép khởi động các hệ điều hành mà Apple tin cậy
- Boot ROM được nhúng vào phần cứng khi SoC được sản xuất nên không thể thay đổi
- Trên Mac, chip T2 đóng vai trò nền tảng tin cậy cho khởi động an toàn
Cấu trúc bảo mật của Apple SoC
- Apple thiết kế SoC với kiến trúc chung áp dụng cho toàn bộ dòng sản phẩm
- Cùng một nền tảng bảo mật được sử dụng trên iPhone, iPad, Mac, Apple Watch, Apple TV, Vision Pro, HomePod...
- Các tính năng bảo mật theo từng thế hệ SoC
- Kernel Integrity Protection, Pointer Authentication Codes, Page Protection Layer, Secure Page Table Monitor...
- Trên SoC từ A15 trở lên và M2 trở lên, SPTM thay thế PPL
- Tính năng Data Protection được tăng cường trên SoC từ A12 trở lên và M1 trở lên
- Sealed Key Protection(SKP) và duy trì bảo vệ dữ liệu cả trong chế độ khôi phục lẫn chế độ chẩn đoán
Secure Enclave
- Secure Enclave là một hệ thống con bảo mật độc lập được tích hợp trong Apple SoC
- Tách biệt với bộ xử lý chính nên vẫn bảo vệ dữ liệu nhạy cảm ngay cả khi kernel bị xâm phạm
- Có Boot ROM, AES engine và cấu trúc bộ nhớ được bảo vệ
- Dù không có kho lưu trữ riêng, nó vẫn có thể lưu dữ liệu an toàn dưới dạng được mã hóa trên bộ nhớ ngoài
- Dữ liệu sinh trắc học của Optic ID, Face ID, Touch ID chỉ được xử lý bên trong Secure Enclave
- Trong quá trình xác thực, thông tin sinh trắc học cá nhân không bị lộ cho hệ thống hay ứng dụng
- Mang lại trải nghiệm xác thực nhanh trong khi vẫn duy trì mật mã phức tạp
1 bình luận
Ý kiến trên Hacker News
Điều đáng ngạc nhiên là phần nói rằng họ đã làm cho C an toàn bộ nhớ chỉ được nhắc đến trong đúng một đoạn
Có vẻ từ sau iOS 14, Apple đã chỉnh sửa toolchain trình biên dịch C dùng để build bootloader iBoot nhằm tăng cường bảo mật
Cấu trúc này được cho là gắn thông tin ranh giới và thông tin kiểu vào con trỏ để ngăn các lỗ hổng như buffer overflow, khai thác heap, type confusion và use-after-free
Tài liệu liên quan: Clang Bounds Safety Overview
Có vẻ nó cùng hệ với Fil-C
Link tham khảo: iBoot Firebloom
Tính năng gắn thẻ bộ nhớ của bộ xử lý mới cũng giúp ngăn chặn tấn công tràn bộ đệm
Điều gây ấn tượng là Apple thực sự nghiêm túc với quyền riêng tư và bảo mật
Google hay Meta khó có thể hứa hẹn về quyền riêng tư do mô hình doanh thu quảng cáo, còn với Apple thì đây có vẻ là một lựa chọn chiến lược khả thi vì họ là công ty thiên về phần cứng
thì Google về cơ bản áp dụng mã hóa đầu cuối cho cả sao lưu lẫn truyền tin nhắn,
còn Apple chỉ E2EE trong lúc truyền tin, còn sao lưu thì mặc định vẫn theo cấu trúc mà Apple có thể truy cập
Có thể ngăn điều này nếu bật ADP (Advanced Data Protection), nhưng vì đa số người dùng không thiết lập nên trên thực tế có thể coi là Apple có thể truy cập mọi tin nhắn
Cả hai công ty đều giữ khóa mã hóa, và nếu không bật ADP thì Apple cũng có thể truy cập
Pixel có các tính năng như chặn 2G hay cảnh báo theo dõi IMEI, cho phép kiểm soát bảo mật chi tiết hơn
Trong đó giải thích rất chi tiết các cơ chế bảo vệ thực tế như HSM, rate limit, v.v.
Điều này ngày càng có tác động lớn hơn cả ở khía cạnh quyền công dân
Thật đáng tiếc khi Apple không cho người dùng tự do cài phần mềm họ muốn
Họ viện lý do bảo mật, nhưng trên thực tế đây là cấu trúc hạn chế quyền kiểm soát của người dùng
Cuối cùng lựa chọn chỉ là (A) OS dựa trên theo dõi hay (B) OS kiếm tiền từ chính hành vi cài đặt, mà cả hai đều không thỏa đáng
Trên App Store cũng có rất nhiều ứng dụng lừa đảo, nên lập luận “store = an toàn, bên ngoài = nguy hiểm” là một ngụy biện nhị nguyên sai lầm
Lý do thật sự Apple ngăn cản là để duy trì cấu trúc phí hoa hồng 30%
Dù vậy thì nỗ lực tăng cường bảo mật của họ vẫn đáng ghi nhận
Ở https://privacy.apple.com, bạn có thể yêu cầu bản sao dữ liệu mà Apple đang giữ về mình
Ảnh iCloud cũng có thể tải xuống theo các mức dung lượng chỉ định, nên hiệu quả hơn nhiều so với việc tải chậm từng 1000 ảnh qua giao diện web
Vì toàn bộ phần mềm của Apple đều đóng, gần như không có cách nào để kiểm chứng các tuyên bố bảo mật của họ
Khóa mã hóa cũng không nằm trong tay người dùng, nên trên thực tế không có quyền kiểm soát dữ liệu
Một ví dụ về bảo mật được triển khai tốt là GrapheneOS
Trên các bản build chính thức, nếu ứng dụng không cho phép thì không thể trích xuất dữ liệu
Tính năng sao lưu cũng bị hạn chế hơn Apple
Ngoài ra họ còn cho phép nhà phát triển để ứng dụng kiểm tra mức độ tin cậy của thiết bị của người dùng, đi theo hướng hạn chế tự do người dùng
Tài liệu liên quan: Attestation Compatibility Guide
Dù vậy, vẫn mừng khi còn có công ty công nghệ quan tâm đến bảo mật cá nhân và opsec
Có thể xem bản web của hướng dẫn bảo mật Apple tại đây
Câu Apple tuyên bố rằng “Mac có bảo vệ DMA mạnh nhất trong số các PC” khá thú vị
Giờ thấy Apple tự gọi Mac là PC cũng hơi buồn cười
Tôi tò mò tính năng MIE (EMTE) trên bộ xử lý A19 + M5 mới được đưa vào thực tế đến mức nào
Không rõ nó có hiệu quả ngay bây giờ hay phải vài năm nữa mới cảm nhận được
và cách Apple triển khai MTE có phạm vi áp dụng hạn chế hơn GrapheneOS hay Android
Lý do là vì mức suy giảm hiệu năng quá lớn
Sẽ tốt hơn nếu khi bật Lockdown Mode thì MTE được ép trên toàn hệ thống
Tôi cũng tò mò các tính năng bảo mật này tạo ra bao nhiêu overhead hiệu năng
Muốn xem benchmark giữa trạng thái bật và tắt các tính năng bảo mật
Đặc biệt FileVault đời cũ chậm hơn nhiều vì dựa trên disk image