شرکت اپل جزئیات فنی معماری Secure Exclaves را منتشر کرده است؛ یک ساختار امنیتی در سطح سخت‌افزار (Silicon) که هدف آن جداسازی داده‌های دوربین و میکروفون مورد استفاده در حسگری محیطی (Ambient Sensing) از سیستم‌عامل اصلی است.
عملکرد حسگری محیطی و نیاز به ایزوله‌سازی
قابلیت حسگری محیطی به دستگاه اجازه می‌دهد تا برای دستوراتی مانند «Hey Siri» گوش به زنگ باشد. در نمایشگرهای هوشمند جدید مانند HomeView، این فناوری شناسایی چهره و صدای کاربران را ممکن می‌سازد. برای تضمین حریم خصوصی، اپل از Secure Exclaves به عنوان محیط‌های اجرای ایزوله (Isolated Runtimes) استفاده می‌کند تا پردازش داده‌های حساس دوربین و میکروفون را کاملاً از سایر بخش‌های دستگاه جدا کند.
این تحلیل تأکید دارد که ویژگی‌های ایزوله‌سازی در اجزای اصلی سیلیکون به صورت هماهنگ عمل می‌کنند تا دسترسی سیستم‌عامل اصلی، اپلیکیشن‌ها و حتی خود شرکت اپل به داده‌های پردازش شده در Secure Exclave غیرممکن باشد.
اصول طراحی و الزامات امنیتی
طراحی این معماری بر سه محور اصلی استوار است:
- عدم دسترسی سیستم‌عامل: OS اصلی نباید قادر به استخراج یا تغییر داده‌های موجود در Exclave باشد و تنها مجموعه‌ای بسیار محدود از اطلاعات مجاز به خروج هستند.
- شفافیت برای کاربر: کاربران باید بتوانند فعال بودن حسگرها را تشخیص دهند، بدون اینکه سیستم‌عامل اصلی بتواند در این فرآیند مداخله کند.
- کنترل جریان داده: در حالت حسگری پس‌زمینه، تنها متادیتای (Metadata) خاصی به سیستم منتقل می‌شود. برای مثال در HomeView، تنها شناسه شخص، موقعیت و سطح اطمینان (Confidence Level) ارسال می‌شود و هیچ داده صوتی یا تصویری به اشتراک گذاشته نمی‌شود.
نقش دروازه‌بان و نظارت بر نمایشگر
هنگامی که یک اپلیکیشن درخواست دسترسی کامل به حسگرها را می‌دهد، یک Exclave اختصاصی به عنوان دروازه‌بان (Gatekeeper) عمل می‌کند. داده‌های حسگر تنها زمانی آزاد می‌شوند که Exclave تأیید کند نشانگر فعال بودن حسگر (Indicator) روشن شده و برای مدت زمان کافی نمایش داده شده است.
در دستگاه‌هایی مانند iPhone، جایی که این نشانگر به صورت یک نقطه روی صفحه است، یک Exclave دیگر بررسی می‌کند که آیا پیکسل‌های مربوط به این نشانگر واقعاً روی نمایشگر رسم شده‌اند یا خیر تا از جعل نمایشگر توسط بدافزارها جلوگیری شود.
تأیید رسمی و امنیت میکروکِرنل
این محیط‌های ایزوله بر روی یک میکروکِرنل (Microkernel) مینیمال و مبتنی بر قابلیت (Capability-based) اجرا می‌شوند. اپل از روش تأیید رسمی (Formal Verification) برای بررسی این هسته استفاده کرده است. این فرآیند منجر به شناسایی نقص‌های بحرانی و سخت‌یافت در زیرسیستم‌های کرنل شده است که می‌توانست منجر به به خطر افتادن کامل کرنل (Full Kernel Compromise) شود. بسیاری از این آسیب‌پذیری‌ها در مراحل اولیه توسعه شناسایی و رفع شده‌اند.
با توجه به توسعه فعال و تغییرات مداوم در این میکروکِرنل، فرآیند تأیید رسمی به صورت تدریجی و گام‌به‌گام بر روی بخش‌های مختلف اعمال می‌شود تا پوشش امنیتی بهینه‌سازی گردد.
