AppleがMac用SoC「Apple T2」によるSecure bootやMacBook搭載のTouch ID、マイクの取扱について説明したセキュリティドキュメント「Apple T2 Security Chip」を公開しています。詳細は以下から。
Appleは現地時間2018年10月30日、Intelの第8世代Coreプロセスを搭載した「Mac mini (2018)」とRetinaディスプレイを搭載した「MacBook Air (Retina, 13-インチ, 2018)」を発表しましたが、それに合わせて公開されたAppleの第2世代Mac用SoC「Apple T2」についてのホワイトペーパー「Apple T2 Security Chip(15ページ)」がAppleの公式サイトで公開されています。
Introduction
The Apple T2 Security Chip, our second-generation custom Mac silicon, brings industry-leading security to Mac. It features a Secure Enclave coprocessor, which provides the foundation for APFS encrypted storage, secure boot, and Touch ID on Mac. In addition to the security components, the T2 chip integrates several controllers found in other Mac systems—like the system management controller, image signal processor, audio controller, and SSD controller.Apple T2 Security Chip より
AppleはこれまでMac用SoC「Apple T1/T2」をiOSのホワイトペーパー「iOS Security Guide(約80ページ)」と一緒に掲載してきましたが、Apple T2か独立したホワイトペーパーにその機能を記載するようになったようで、T2の主な機能として以下のような事が記載されています。
Secure機能
Apple T2のセキュリティ機能はAppleがT2をiMac Pro (2017)に採用したときから大きくPRされていましたが、その機能は「Secure Enclave」と「Storage Encryption」、「Secure boot」の3つに分けられ、それぞれ以下のような役割を果たしているそうです。
- Secure Enclave
▶Apple T1から採用されていたユーザーの指紋(Touch ID)情報をシステムと分けて保存する機能。Touch ID搭載のiOSデバイスに同様のセキュリティ機能が採用されています。 - Storage Encryption
▶MacのUIDを利用してストレージをAES(256)暗号化する機能。これによりT2以降を搭載したMacではデータ復旧が困難となっています。 - Secure boot
▶Macの起動時にOSとMacの整合性を検証する機能。この機能はmacOSだけでなくローレベルなUEFIファームウェアやブートローダー、カーネルもチェックされ、更に面白いことにMicrosoftのWindowsOS(Boot Camp)の検証も行うそうです。
Touch ID
また、Appleは10月30日に開催したスペシャルイベントでMacBook Airにも指紋認証センサー「Touch ID」を搭載しましたが、このTouch IDについてもApple T2のホワイトペーパーに記載があり、以下のような場合はTouch IDを利用する前にパスワード認証が必要になっているそうです。
この記載は現在公開されている仕様と一部違うところもあるため、BridgeOSのアップデートで反映されるのかもしれません。
Touch IDを利用する前にパスワードが必要になる場合
- Macを起動した直後または再起動した場合。
- Macが48時間以上ロック解除されなかった場合。
- 156時間(6日半)以上パスワードによるMacのロック解除がされていない、または4時間以内にバイオメトリックでロックが解除されていない場合。
- Touch IDの指紋認証が5回続けて失敗した場合。
- Macがリモートロックコマンドを受信した場合。
マイク
2017年07月、アメリカ・ラスベガスで開催祭されたカンファレンス「Black Hat」で、元NSAなどで脆弱性の解析を担当し現在はSynack社でMacのマルウェアや脆弱性を研究しているPatrick Wardleさんが、米Malwarebytesが01月に発見しAppleがMRTで削除を開始した「Fruitfly」というマルウェアが少なくとも400台近くのMacが5年間以上感染し続け、MacBookに接続されているマイクとカメラから個人情報が流出していたという事件がありましたが、
Apple T2のホワイトペーパーによると、AppleはT2をSSDやFaceTimeカメラ、マイクなどのデバイス用コントローラーとして利用すると共に、Fruitflyのようなマルウェアの対策として、ユーザーがMacのlid(ディスプレイ)を閉じると、ハードウェア的にマイクを切断するセキュリティ機能を導入しており、rootやkernel権限を持ったソフトウェアでさえディスプレイが閉じられた状態ではマイクにアクセスすることができないようになっているそうです。
All Mac portables with the Apple T2 Security Chip feature a hardware disconnect that ensures that the microphone is disabled whenever the lid is closed. This disconnect is implemented in hardware alone, and therefore prevents any software, even with root or kernel privileges in macOS, and even the software on the T2 chip, from engaging the microphone when the lid is closed. (The camera is not disconnected in hardware because its field of view is completely obstructed with the lid closed.)
Apple T2 Security Chip より
この機能は全てのMacで動作するそうですが、lidがあるMacはMacBookに限られ、カメラはlidを閉じても接続されたままになっているそうですが、lidを閉じるとカメラの視界は遮られるため、こちらはハードウェア的に切断されることはないそうです。
コメント