Apple ha explicado cómo su arquitectura Secure Exclaves aísla del sistema operativo principal los datos de cámara y micrófono que se usan para la detección en segundo plano. Como informa SecurityWeek, Apple afirma que el diseño limita qué información de los sensores llega al software y hace que los indicadores de sensores funcionen de forma independiente del sistema operativo principal.
Las protecciones abarcan funciones y dispositivos concretos. Apple afirma que los Secure Exclaves protegen el reconocimiento de personas, Siri Recap y Live Rewind en HomeView, la pantalla inteligente presentada recientemente. También protegen los indicadores de cámara y micrófono en pantalla de iPhone 18 Pro, iPhone 18 Pro Max y iPhone Duo, además de los indicadores de cámara de MacBook Neo y HomeView.
Qué llega al sistema operativo
La detección ambiental permite a un dispositivo vigilar un disparador, como «Hey Siri», o reconocer rostros y voces en HomeView. Los Secure Exclaves son entornos de software aislados que procesan los datos de cámara y micrófono por separado del resto del dispositivo.
Apple afirma que las funciones de aislamiento de su silicio trabajan juntas para impedir que el sistema operativo principal, las apps e incluso la propia Apple accedan a los datos procesados y analizados dentro de un exclave.
La arquitectura tiene tres requisitos: el sistema operativo principal no debe poder extraer ni alterar los datos gestionados dentro de un exclave; solo un conjunto de información muy acotado puede salir de él; y los usuarios deben poder saber cuándo está activa una sesión del sensor sin que el sistema operativo principal interfiera.
HomeView ofrece un ejemplo concreto. Durante el reconocimiento de personas en segundo plano, Apple afirma que el sistema operativo principal recibe un identificador de persona, su posición y un nivel de confianza, es decir, la estimación del sistema sobre lo seguro que es el reconocimiento. No recibe el audio ni el vídeo subyacentes.
Comprobar que los indicadores de sensores son visibles
Cuando una app solicita acceso completo a los sensores, un exclave dedicado controla la liberación de los datos. Primero comprueba que el indicador de actividad esté encendido y que haya estado visible durante un tiempo suficiente.
En dispositivos como el iPhone, donde un punto en pantalla indica el uso del sensor, otro exclave comprueba qué píxeles se dibujaron realmente en la pantalla. Esa comprobación pretende que el indicador visible sea independiente de lo que el sistema operativo principal afirme haber mostrado.
Los exclaves se ejecutan sobre un microkernel mínimo basado en capacidades, es decir, un núcleo pequeño del sistema operativo que usa permisos explícitos para controlar el acceso a los recursos. Apple afirma que ha estado aplicando a este núcleo la verificación formal, es decir, comprobaciones matemáticas de las propiedades del software.
Ese trabajo detectó fallos difíciles de encontrar, pero críticos, en varios subsistemas del kernel que podrían haber permitido el compromiso total del kernel, según Apple. Muchos se detectaron pronto, durante el desarrollo. Como el microkernel sigue cambiando con frecuencia, Apple afirma que la verificación sigue siendo incremental: se amplía a distintas partes con el tiempo, en lugar de ofrecer una cobertura completa de todos los aspectos del kernel.
