30 июля 2012 г.
Apple впервые официально присутствовала на конференции Black Hat в Лас-Вегасе, и старший менеджер по защите продуктов Уиндоу Снайдер и другие члены его команды наблюдали за ходом этого исторического события со своих мест в первом ряду.Придерживаясь содержания документа о защите iOS, опубликованного в мае, Даллас Де Атли, менеджер по защите платформы, очертил главные технологии безопасности в этой ОС, включая Secure Boot Chain и System Software Personalization. Также он объяснил, как реализована философия безопасности Apple в подписывании кода, использовании «песочницы» и функциях защиты данных в iOS.
«Безопасность выстраивается - необходимо встраивать ее с самого начала. Нельзя впрыснуть ее потом, когда всё уже сделано», - заявил Де Атли аудитории примерно из 400 человек в тесно заполненном зале.
Secure Boot Chain использует аппаратный загрузчик, встроенный в процессор A5, запуская ряд криптографически защищенных компонентов, которые в конечном счете ведут к проверке подлинности и запуску ядра iOS. В случае невыполнения какого-либо из этих шагов процесс начальной загрузки останавливается, и пользователь отправляется на страницу восстановления системы на iTunes.
Технология System Software Personalization защищает от так называемых downgrade-атак, когда при запуске используется более ранняя версия ПО ПЗУ, позволяя атакующим получить контроль над устройством с iOS.
Вот как это работает: когда пользователь устанавливает или обновляет iOS, устройство подключается к серверам Apple и посылает список криптографических параметров для компонентов, включенных в обновление. Если проверка проходит успешно, то Apple добавляет уникальный идентификатор, известный как ECID, и подписывает его, персонализируя обновление для устройства и позволяя продолжать процесс установки.
«Это дает нам гибкость, - сказал Де Атли. - Это означает, что если мы обнаруживаем нарушение в загрузчике ОС или ядре, то можем эффективно блокировать эти нарушения, не затрагивая всей массы пользователей».
Около 80% пользователей Apple имеют последнюю версию iOS, и столь высокий процент достигнут благодаря упрощению процесса ее обновления, сказал Де Атли. «Мы хотели сделать это насколько можно проще, чтобы владельцы устройств могли использовать преимущества обновлений ПО, которые выпускает Apple, включающих исправления и устранение проблем безопасности», - сказал он.
Подписывание кода применяется для всех приложений iOS, включая Mail, Safari и сторонние приложения в App Store. Это, сказал Де Атли, позволяет гарантировать, что всё ПО, которое выполняется на устройстве, пришло от известного источника.
«Это представляет собой по сути первую линию обороны от вредоносного ПО на устройстве. Это означает, что мы можем не подпускать целый класс вредоносного ПО», - сказал он.
Что касается «песочницы», то цель состоит в том, чтобы физически разделить процессы друг от друга, так чтобы уязвимость в одной части системы не могла разрушить работу всей ОС. В мире iOS все сторонние приложения живут каждое в своем собственном защищенном «контейнере», который сам произвольно назначается во время каждой установки, и в произвольном месте, сказал Де Атли.
«Это означает, что приложения не запрограммированы жестко, где они находятся в устройстве, - сказал он. - Это создает уровень абстракции между данными пользователя и другими приложениями в системе».
Сегодня так много личной и конфиденциальной корпоративной информации находится на устройствах с iOS, и Apple приложила очень много усилий, продумывая способы защиты этих данных, сказал Де Атли. Технология NAND Flash затрудняет удаление данных, поэтому Apple разработала технологию, получившую название «стираемое хранение» (effaceable storage), которая позволяет надежно стирать данные, будь то локально или дистанционно, сказал он.
«Эти устройства знают невероятно много о всей нашей жизни», - сказал он.
После презентации не было обычных ответов на вопросы, и Де Атли и остальная команда Apple торопливо покинули зал через боковую дверь, пока другие участники продвигались к сцене.
Apple наконец разбила лед молчания, представив свою презентацию на Black Hat в этом году, но будет ли она продолжать движение в этом направлении и тесно сотрудничать со всем сообществом ИБ, предстоит еще посмотреть.
Источник: Кевин Маклохлин, CRN/США
