Apple hat beschrieben, wie seine Secure-Exclaves-Architektur Kamera- und Mikrofondaten, die für Hintergrunderfassung genutzt werden, vom Hauptbetriebssystem isoliert. Wie SecurityWeek berichtet, erklärt Apple, dass das Design einschränkt, welche Sensorinformationen Software erreichen, und dass die Sensoranzeigen unabhängig vom Hauptbetriebssystem funktionieren.
Der Schutz gilt für bestimmte Funktionen und Geräte. Apple zufolge schützen Secure Exclaves auf dem kürzlich vorgestellten Smart Display HomeView die Personenerkennung, Siri Recap und Live Rewind. Außerdem schützen sie die Kamera- und Mikrofonanzeigen auf dem Bildschirm des iPhone 18 Pro, des iPhone 18 Pro Max und des iPhone Duo sowie die Kameraanzeigen auf dem MacBook Neo und dem HomeView.
Welche Daten das Betriebssystem erreichen
Ambient Sensing ermöglicht es einem Gerät, auf einen Auslöser wie „Hey Siri“ zu achten oder auf dem HomeView Gesichter und Stimmen zu erkennen. Secure Exclaves sind isolierte Softwareumgebungen, die Kamera- und Mikrofondaten getrennt vom übrigen Gerät verarbeiten.
Apple zufolge greifen die Isolationsfunktionen in seinen Chips ineinander, um zu verhindern, dass das Hauptbetriebssystem, Apps und Apple selbst auf Daten zugreifen, die innerhalb eines Exclaves verarbeitet und analysiert werden.
Die Architektur stellt drei Anforderungen: Das Hauptbetriebssystem darf Daten innerhalb eines Exclaves weder auslesen noch verändern können. Nur ein eng definierter Satz von Informationen darf es verlassen. Und Nutzer müssen erkennen können, wann eine Sensorsitzung aktiv ist, ohne dass das Hauptbetriebssystem eingreift.
HomeView liefert ein konkretes Beispiel. Bei der Personenerkennung im Hintergrund erhält das Hauptbetriebssystem laut Apple eine Personenkennung, die Position und das Konfidenzniveau, also die Einschätzung des Systems, wie sicher die Erkennung ist. Die zugrunde liegenden Audio- oder Videodaten erhält es nicht.
Prüfung der Sichtbarkeit von Sensoranzeigen
Wenn eine App vollen Sensorzugriff anfordert, kontrolliert ein eigenes Exclave die Freigabe der Sensordaten. Zuerst prüft es, ob die Aktivitätsanzeige eingeschaltet ist und ausreichend lange angezeigt wurde.
Auf Geräten wie dem iPhone, bei denen ein Punkt auf dem Bildschirm die Sensornutzung signalisiert, prüft ein weiteres Exclave, welche Pixel tatsächlich auf dem Display gezeichnet wurden. Diese Prüfung soll die sichtbare Anzeige unabhängig davon machen, was das Hauptbetriebssystem angeblich angezeigt hat.
Die Exclaves laufen auf einem minimalen, fähigkeitsbasierten Mikrokernel, also einem kleinen Betriebssystemkern, der explizite Berechtigungen zur Steuerung des Ressourcenzugriffs nutzt. Apple zufolge wendet das Unternehmen auf diesen Kern formale Verifikation an, also mathematische Prüfungen von Softwareeigenschaften.
Diese Arbeit deckte Apple zufolge schwer auffindbare, aber kritische Schwachstellen in mehreren Kernel-Subsystemen auf, die eine vollständige Kompromittierung des Kernels hätten ermöglichen können. Viele davon wurden früh in der Entwicklung entdeckt. Da sich der Mikrokernel noch häufig ändert, bleibt die Verifikation laut Apple inkrementell: Sie wird nach und nach auf verschiedene Teile ausgeweitet, statt jeden Aspekt des Kernels vollständig abzudecken.
