Apple ha descritto come la sua architettura Secure Exclaves isoli dal sistema operativo principale i dati di fotocamera e microfono usati per il rilevamento in background. Come riferisce SecurityWeek, Apple afferma che il progetto limita le informazioni dei sensori che arrivano al software e fa sì che gli indicatori dei sensori funzionino in modo indipendente dal sistema operativo principale.
Le protezioni riguardano funzionalità e dispositivi specifici. Apple afferma che Secure Exclaves proteggono il riconoscimento delle persone, Siri Recap e Live Rewind sul display smart HomeView, presentato di recente. Proteggono anche gli indicatori di fotocamera e microfono sullo schermo di iPhone 18 Pro, iPhone 18 Pro Max e iPhone Duo, oltre agli indicatori della fotocamera su MacBook Neo e HomeView.
Cosa raggiunge il sistema operativo
Il rilevamento ambientale permette a un dispositivo di restare in attesa di un trigger, come “Hey Siri”, oppure di riconoscere volti e voci su HomeView. Le Secure Exclaves sono ambienti software isolati che elaborano i dati di fotocamera e microfono separatamente dal resto del dispositivo.
Apple afferma che le funzionalità di isolamento del suo silicio lavorano insieme per impedire al sistema operativo principale, alle app e alla stessa Apple di accedere ai dati elaborati e analizzati all'interno di un'exclave.
L'architettura si basa su tre requisiti: il sistema operativo principale non deve poter estrarre né alterare i dati gestiti all'interno di un'exclave; da quest'ultima può uscire solo un insieme strettamente definito di informazioni; e gli utenti devono poter capire quando una sessione di un sensore è attiva, senza interferenze da parte del sistema operativo principale.
HomeView offre un esempio concreto. Durante il riconoscimento delle persone in background, Apple afferma che il sistema operativo principale riceve un identificativo della persona, la posizione e il livello di confidenza, cioè la stima del sistema su quanto sia certo il riconoscimento. Non riceve l'audio o il video sottostante.
Verificare che gli indicatori dei sensori siano visibili
Quando un'app richiede l'accesso completo a un sensore, un'exclave dedicata controlla il rilascio dei dati del sensore. Per prima cosa verifica che l'indicatore di attività sia acceso e che sia stato visualizzato per un periodo sufficiente.
Sui dispositivi come iPhone, dove un punto sullo schermo segnala l'uso di un sensore, un'altra exclave controlla quali pixel siano stati effettivamente disegnati sul display. Questo controllo serve a rendere l'indicatore visibile indipendente da ciò che il sistema operativo principale dichiara di aver mostrato.
Le exclave girano su un microkernel minimale basato sulle capability, cioè un nucleo di sistema operativo ridotto all'essenziale che usa permessi espliciti per controllare l'accesso alle risorse. Apple afferma di applicare a questo nucleo la verifica formale, ossia controlli matematici delle proprietà del software.
Questo lavoro ha portato alla luce difetti difficili da individuare ma critici in più sottosistemi del kernel, che avrebbero potuto consentire la compromissione completa del kernel, ha dichiarato Apple. Molti sono stati individuati in una fase iniziale dello sviluppo. Poiché il microkernel cambia ancora di frequente, Apple afferma che la verifica resta incrementale: si estende gradualmente a parti diverse nel tempo, senza offrire una copertura completa di ogni aspetto del kernel.
