Apple рассказала, как Secure Exclaves прячут данные камеры и микрофона даже от самой системы

Apple 12 ноября опубликовала в своём блоге об исследованиях безопасности описание Secure Exclaves — архитектуры в чипах компании, которая защищает данные камеры и микрофона, пока устройство обрабатывает их в фоне. По словам Apple, к данным, обработанным в изолированной среде, не имеют доступа ни основная операционная система, ни приложения, ни сама компания.

Где это используется

Архитектура создана для так называемого фонового восприятия: устройство с помощью камеры и микрофона воспринимает обстановку и узнаёт голос и лицо зарегистрированного пользователя. Apple применяет её в умном домашнем экране HomeView, который различает до шести человек, а также в функциях Siri Recap и Live Rewind. Она же защищает распознавание «Hey Siri» и экранные индикаторы камеры и микрофона на iPhone 18 Pro, iPhone 18 Pro Max и iPhone Duo, а также индикаторы камеры на MacBook Neo и HomeView.

Поток с датчиков сводится к простым сигналам: прозвучал ли определённый звук, узнан ли зарегистрированный пользователь. Необработанные аудио и видео остаются в изолированной среде и после обработки удаляются.

Индикатор, который нельзя обойти

У системы два режима. В фоновом за пределы изолированной среды могут выходить только определённые метаданные. В активном полные данные с датчиков можно передать операционной системе, но только при включённом защищённом индикаторе. Отдельный контроллер проверяет, что индикатор горит и виден достаточно долго: в HomeView он напрямую управляет светодиодом и его яркостью, а в iPhone проверяет, что пиксели индикатора достаточно яркие и не перекрыты соседними.

«Чтобы построить новую защищённую среду выполнения, нужна очень надёжная основа ОС. Поэтому мы взяли доработанную Apple версию микроядра L4, которую изначально создали для самых чувствительных с точки зрения безопасности решений, включая процессор Secure Enclave», — пишет Apple.

Изолированные среды работают в отдельном контексте выполнения процессора со своей операционной системой, а разделение памяти обеспечивает монитор с более высокими привилегиями, чем у ядра основной системы. Каждый интерфейс с основной системой Apple проверяет, чтобы наружу уходили только метаданные, нужные для фонового восприятия.