Apple a décrit comment son architecture Secure Exclaves isole les données de caméra et de micro utilisées pour la détection en arrière-plan, en les séparant du système d'exploitation principal. Comme le rapporte SecurityWeek, Apple affirme que cette conception limite les informations de capteurs qui atteignent les logiciels et permet aux indicateurs de capteurs de fonctionner indépendamment du système d'exploitation principal.
Les protections couvrent des fonctionnalités et des appareils précis. Apple affirme que les Secure Exclaves protègent la reconnaissance des personnes, Siri Recap et Live Rewind sur son écran intelligent HomeView, récemment présenté. Elles protègent aussi les indicateurs de caméra et de micro affichés à l'écran de l'iPhone 18 Pro, de l'iPhone 18 Pro Max et de l'iPhone Duo, ainsi que l'indicateur de caméra du MacBook Neo et celui de HomeView.
Ce qui parvient au système d'exploitation
La détection ambiante permet à un appareil de surveiller un déclencheur, comme « Hey Siri », ou de reconnaître les visages et les voix sur HomeView. Les Secure Exclaves sont des environnements logiciels isolés qui traitent les données de caméra et de micro séparément du reste de l'appareil.
Apple affirme que les fonctions d'isolation de ses puces fonctionnent ensemble pour empêcher le système d'exploitation principal, les apps et Apple elle-même d'accéder aux données traitées et analysées à l'intérieur d'une exclave.
L'architecture repose sur trois exigences : le système d'exploitation principal ne doit pouvoir ni extraire ni modifier les données traitées dans une exclave ; seul un ensemble d'informations strictement défini peut en sortir ; et les utilisateurs doivent pouvoir savoir qu'une session de capteur est active, sans interférence du système d'exploitation principal.
HomeView en donne un exemple concret. Pendant la reconnaissance de personnes en arrière-plan, Apple affirme que le système d'exploitation principal reçoit un identifiant de personne, une position et un niveau de confiance, c'est-à-dire l'estimation par le système du degré de certitude de la reconnaissance. Il ne reçoit ni l'audio ni la vidéo sous-jacents.
Vérifier que les indicateurs de capteurs sont visibles
Lorsqu'une app demande un accès complet aux capteurs, une exclave dédiée contrôle la libération des données de capteurs. Elle vérifie d'abord que l'indicateur d'activité est allumé et qu'il a été affiché pendant une durée suffisante.
Sur des appareils comme l'iPhone, où un point à l'écran signale l'utilisation des capteurs, une autre exclave vérifie quels pixels ont réellement été dessinés à l'écran. Cette vérification vise à rendre l'indicateur visible indépendant de ce que le système d'exploitation principal affirme avoir affiché.
Les exclaves fonctionnent sur un micronoyau minimal à base de capacités, c'est-à-dire un petit cœur de système d'exploitation qui utilise des permissions explicites pour contrôler l'accès aux ressources. Apple affirme avoir appliqué à ce cœur une vérification formelle, c'est-à-dire des contrôles mathématiques de certaines propriétés du logiciel.
Ces travaux ont mis au jour des failles difficiles à repérer mais critiques, réparties dans plusieurs sous-systèmes du noyau, qui auraient pu permettre une compromission complète du noyau, a affirmé Apple. Beaucoup ont été détectées tôt dans le développement. Le micronoyau continuant d'évoluer fréquemment, Apple indique que la vérification reste progressive : elle s'étend peu à peu à différentes parties, plutôt que de couvrir l'ensemble des aspects du noyau.
