۸ لایه امنیتی اپل که محافظ داده‌های کاربران هستند

اپل غول تکنولوژی آمریکایی که سال‌هاست به خاطر تولید دستگاه‌هایی با کیفیت تجربه کاربری بالا و سازگاری بی‌نظیر میان آن‌ها در اکوسیستم اختصاصی، شهرت یافته است. با این حال، بخش قابل‌توجهی از این شهرت اپل، مرتبط با رعایت امنیت داده‌های کاربران با استفاده از استراتژی‌های مختلف است. عدم امکان نصب برنامه از استورهای دیگر، تنها ابتدایی‌ترین اقدام اپل برای حفظ حریم خصوصی کاربران و البته امنیت شبکه داخلی آن است.

در واقع اپل به اولویت دادن به حریم خصوصی مشتریان خود شهرت دارد و این تعهد دقیقا از سطح طراحی تراشه شروع می‌شود. در ادامه نگاهی خواهیم داشت به 8 لایه امنیتی اپل که از داده‌های ذخیره شده در دستگاه‌های کاربران، آی‌کلاود و دیگر پلتفرم‌های این شرکت حفاظت می‌کنند.

امنیت سخت‌افزاری

اقدامات امنیتی سخت‌افزاری اپل از ابتدایی‌ترین سطح، با Boot ROM که در تمام تراشه‌های آن یافت می‌شود، آغاز شده و این کدی است که نمی‌تواند توسط هیچ کس، حتی اپل، رونویسی شود. این شرکت می‌گوید که این چیزی است که «ریشه اعتماد سخت‌افزاری» را تشکیل می‌دهد.

ویژگی Boot ROM مسئول تایید این است که فقط نرم‌افزارهای سیستم‌عامل معتبر تایید شده توسط اپل مجاز به لود شدن در هنگام راه‌اندازی دستگاه هستند.

علاوه‌بر این، Secure Enclave (SE) شاید شناخته‌شده‌ترین سخت‌افزار امنیتی اپل باشد. این تراشه‌ای است که برای ذخیره رمز عبور یا پسورد دستگاه شما و همچنین داده‌های بیومتریک مورد استفاده برای فیس‌آیدی و تاچ‌آیدی استفاده می‌شود. نکته مهم این است که حتی سیستم‌عامل‌های خود اپل نیز نمی‌توانند به داده‌های ذخیره شده در SE دسترسی داشته باشند.

به عنوان مثال، وقتی از فیس‌آیدی برای باز کردن قفل آیفون استفاده می‌کنید، iOS از تراشه SE می‌خواهد هویت شما را تایید کند. این تراشه فقط با نوعی پاسخ «بله» یا «خیر» جواب می‌دهد و هرگز هیچ یک از داده‌هایی که را که برای رسیدن به این نتیجه استفاده می‌شود را فاش نمی‌کند. تراشه SE دارای Boot ROM امن خود با دقیقا همان محافظت‌های پردازنده اصلی است.

درنهایت داده‌های کاربر با استفاده از رویکردی بسیار مشابه SE، رمزگذاری و رمزگشایی می‌شوند. فرض کنید از تاچ‌آیدی در مک خود برای باز کردن یک Note قفل شده استفاده می‌کنید. macOS از تراشه SE می‌پرسد که آیا تاچ‌آیدی هویت شما را تایید کرده است یا خیر و تراشه پاسخ می‌دهد. با این حال ماجرا فقط به اینجا ختم نمی‌شود؛ macOS هنوز نمی‌تواند به محتوای یادداشت رمزگذاری شده شما دسترسی پیدا کند، بلکه از یک موتور سخت‌افزار AES اختصاصی برای رمزگشایی آن درخواست می‌کند.

بنابراین حتی در داخل یک تراشه سری A یا سری M، چندین ریزپردازنده وجود دارد که به اطمینان حاصل کردن از این که حتی سیستم‌عامل هم نمی‌تواند مستقیما به حساس‌ترین داده‌های شما دسترسی پیدا کند، اختصاص داده شده‌اند.

امنیت سیستم‌عامل

اگر به دنیای امنیت اطلاعات علاقه داشته باشید، احتمالا قبلا برخی از روش‌هایی را که لایه سخت‌افزار از یکپارچگی سیستم‌عامل محافظت می‌کند را دیده‌اید. این امر توسط ویژگی‌های سیستم‌عامل پشتیبانی می‌شود که برای اطمینان از این که فقط کد قابل اعتماد اجازه اجرا دارد، طراحی شده‌اند و هر بار که بخش‌های خاصی از کد اجرا می‌شوند، تعداد بررسی صورت می‌گیرد.

جزئیات فنی آن بسیار پیچیده هستند، اما می‌توانیم هسته را به عنوان مثال در نظر بگیریم. این نامی است که به بخش اصلی سیستم‌عامل داده شده که همه چیز دیگر را مدیریت می‌کند. به محض این که هسته بوت شد، حفاظت از یکپارچگی هسته (KIP) فعال می‌شود. این ویژگی تضمین می‌کند که هیچ چیزی نمی‌تواند در ناحیه حافظه‌ای که هسته در آن ذخیره شده، نوشته شود و سخت‌افزاری که برای فعال کردن KIP استفاده می‌شود هم به محض بوت شدن قفل خواهد شد تا این اطمینان حاصل شود که نمی‌توان آن را دوباره پیکربندی کرد.

البته باید اشاره کرد که این تنها یکی از شش محافظت سطح سیستم‌عامل است که توسط اپل استفاده می‌شود.

رمزگذاری فایل‌ها

دستگاه‌های اپل داده‌های کاربر را با استفاده از فناوری «حفاظت از داده‌ها» رمزگذاری می‌کنند. این فناوری حالا برای همه دستگاه‌های اپل به جز مک‌های اینتلی که از تکنولوژی قدیمی‌تری به نام FileVault استفاده می‌کنند، پیاده‌سازی می‌شود.

هر بار که شما (یا یکی از برنامه‌هایتان) یک فایل جدید ایجاد می‌کنید، حفاظت از داده‌ها یک کلید 256 بیتی جدید ایجاد کرده و آن را به موتور سخت‌افزاری AES می‌دهد. سپس تراشه AES از آن کلید برای رمزگذاری داده‌های شما هنگام نوشتن در فایل استفاده می‌کند. برای محافظت کامل در مک، باید FileVault را فعال کنید (البته اپل همچنان از این اصطلاح در مک‌های مجهز به تراشه‌های سری M صرفا برای آشنایی استفاده می‌کند).

امنیت برنامه‌ها

اپل چندین لایه امنیتی برای برنامه‌ها دارد که با الزامی مبنی بر تایید رسمی همه برنامه‌ها توسط اپل شروع شده و تایید می‌کند که از نظر بدافزار بررسی شده‌اند و هنگام اجرا هم تحت بررسی آنتی‌ویروس داخلی قرار می‌گیرند.

علاوه‌بر این، ویژگی امنیت برنامه‌ها از فرآیندی به نام "sandboxing" استفاده می‌کند، به این معنی که به طور پیش‌فرض یک برنامه فقط می‌تواند به داده‌های متعلق به همان برنامه دسترسی داشته باشد و نمی‌توانند تغییراتی در دستگاه ایجاد کند. جایی که یک برنامه می‌خواهد به داده‌های برنامه‌های دیگر (مثلا یک برنامه تقویم شخص ثالث) دسترسی پیدا کند، فقط با اجازه استفاده از سرویس‌های خاص ارائه شده توسط اپل می‌تواند این کار را انجام دهد.

همچنین تمام برنامه‌های شخص ثالث و اکثر برنامه‌های اپل به عنوان یک مصرف‌کننده عادی اجرا شده و باید از APIهای نوشته شده توسط اپل برای دسترسی به سیستم‌عامل استفاده کنند. این بدان معناست که هیچ راهی برای یک برنامه وجود ندارد که کاری برخلاف قوانین اپل را انجام دهد و در همین راستا، هیچ راهی برای آن‌ها وجود ندارد که بتوانند در سیستم‌عامل تغییراتی ایجاد کنند، برنامه‌های دیگر را تغییر دهند و یا روندهای غیرمرسوم اپل را به کار بگیرند.

امنیت سرویس‌ها

اپل از اقدامات امنیتی گسترده‌ و مشخصی برای هر یک از سرویس‌های خود استفاده می‌کند که بیان خلاصه همه این موارد غیرممکن است، بنابراین از آی‌مسیج به عنوان یک مثال واضح استفاده می‌کنیم.

تمام آی‌مسیج‌ها از رمزگذاری سرتاسری استفاده می‌کنند، به این معنی که حتی اپل هم نمی‌تواند آن‌ها را بخواند. وقتی به شخص جدیدی پیام می‌دهید، اپل ابتدا آن‌ها را در پایگاه داده سرویس هویت اپل (IDS) جست‌وجو می‌کند. از این طریق، کلید عمومی آن‌ها و شناسه‌های منحصربه‌فرد برای هر یک از دستگاه‌های ثبت شده آن‌ها را بازیابی می‌کند.

در ادامه پیام‌ها به صورت جداگانه برای هر یک از دستگاه‌های گیرنده، با استفاده از کلیدی که فقط آن دستگاه می‌داند، رمزگذاری می‌شوند. در مورد داده‌هایی مانند عکس‌ها، باید اشاره کنیم که این پیوست‌ها با یک کلید 256 بیتی تصادفی رمزگذاری شده و سپس در آی‌کلود آپلود می‌شود. سپس لینک و کلید در همان آی‌مسیج رمزگذاری شده و به دستگاه گیرنده ارسال می‌شوند که به طور مخفیانه از آن داده‌ها برای دانلود و رمزگشایی داده‌ها استفاده می‌کند.

امنیت شبکه

همانند سرویس‌ها، اپل برای هر عنصر از سرویس شبکه خود محافظت گسترده‌ای دارد که جزئیات آن‌ها هم بسیار زیاد هستند.

اما فقط برای این که کمی با موضوع آشنا شوید، می‌توانیم نگاهی به آدرس‌های MAC داشته باشیم. هر دستگاهی که قادر به برقراری ارتباط با یک شبکه بی‌سیم باشد، یک آدرس سخت‌افزاری منحصربه‌فرد دارد که به عنوان آدرس MAC (کنترل دسترسی به رسانه‌) شناخته می‌شود. این آدرس می‌تواند توسط شبکه‌ها برای شناسایی دستگاه‌های خاص و به طور بالقوه توسط هکرها برای هدف قرار دادن آن‌ها استفاده شود.

برای اطمینان از حریم خصوصی کاربران، اپل آدرس‌های MAC واقعی شما را پنهان کرده و در عوض از یک آدرس تصادفی استفاده می‌کند. تکنیکی وجود دارد که می‌تواند برای شناسایی آدرس‌های MAC واقعی استفاده شود، بنابراین اپل یک نوع محافظت اضافی را برای غلبه بر این مشکل پیاده‌سازی می‌کند.

کیت‌های توسعه‌دهندگان

به طور مشابه، امنیت و حریم خصوصی در قلب هر یک از چارچوب‌های کیت اپل مانند HomeKit قرار دارند. به عنوان مثال، تمام ارتباطات بین دستگاه‌های اپل و محصولات HomeKit از رمزگذاری سرتاسر استفاده می‌کنند. وقتی از آیفون خود برای اضافه کردن یک محصول HomeKit به شبکه استفاده می‌کنید، برنامه Home از شما می‌خواهد که ثابت کند دارای گواهینامه HomeKit یا Matter است. پس از تایید، دو طرف کدها را انتقال می‌دهند تا یک کلید رمزگذاری سرتاسری منحصر به فرد ایجاد کنند که فقط برای ارتباط با آن دستگاه خاص استفاده می‌شود.

رمزگذاری سرتاسری تنها دستورات را محافظت نمی‌کند، بلکه بررسی وضعیت دستگاه‌ها را نیز در بر می‌گیرد؛ برای مثال، حتی یک لامپ هوشمند هم بدون رمزگذاری پیام خود با کلیدی که فقط در اختیار خانه است، به اپلیکیشن Home اطلاع نمی‌دهد که روشن است یا خاموش.

مدیریت امن دستگاه‌ها

در نهایت، اپل به شرکت‌ها این امکان را می‌دهد که سیاست‌های امنیتی دلخواه خود را روی دستگاه‌های تحت مدیریت اعمال کنند.

یک شرکت می‌تواند از راه دور تنظیمات دستگاه‌های سازمانی را پیکربندی یا به‌روزرسانی کرده و قوانینی را تعیین کند که سیستم‌عامل موظف به اجرای آن‌هاست. برای مثال، اگر یک آیفون از سوی شرکت در اختیار کارمندی قرار گیرد، شرکت می‌تواند او را مجبور به استفاده از رمز عبور پیچیده به جای رمز عددی شش‌رقمی کند و در این صورت آیفون هر رمز عبوری که با استانداردهای شرکت مطابقت نداشته باشد را رد خواهد کرد. همچنین شرکت می‌تواند نصب برخی اپ‌ها را مسدود کرده و در صورت نیاز، دستگاه‌های تحت مدیریت را از راه دور پاک‌سازی کند.