蘋果公司評估為多個用戶擴展安全區(qū)域保護

蘋果公司正在研究允許多個用戶從Touch ID或類似的生物識別系統(tǒng)中受益的同時，保持對當(dāng)前安全區(qū)域的保護。

蘋果公司的T2安全處理器基于一個安全的飛地，該飛地存儲有關(guān)用戶的生物識別數(shù)據(jù)。無論該用戶是解鎖Mac還是進行購買，都要求安全區(qū)域確認(rèn)自己是誰。

在不泄露任何存儲數(shù)據(jù)的情況下，T2處理器可以確認(rèn)或拒絕請求。因此，Mac或零售商可以確定他們需要繼續(xù)進行操作，而不會損害用戶的隱私。

這對于單個用戶來說效果很好，但是當(dāng)多個人想要訪問同一臺Mac或其他系統(tǒng)來做不同的事情時，它將變得更加復(fù)雜。為一個用戶解鎖可能意味著讓他們訪問整個計算機，而為另一個用戶解鎖可能會將他們限制為他們自己的用戶帳戶和一部分可能的功能。

聽起來似乎并沒有那么困難，但是最近公布的專利申請“安全區(qū)域中的域供應(yīng)以支持多個用戶”表明確實如此。不僅是安全區(qū)域?qū)⒅讣y與以前存儲的指紋進行比較，還存在著圍繞這些訪問級別的復(fù)雜問題。

因此，該專利申請較少關(guān)注如何物理存儲生物統(tǒng)計數(shù)據(jù)，或者關(guān)注多少個不同的人可以識別其指紋。更多的是關(guān)于允許誰做某事的問題。它說：“啟用組加密后，將新成員添加到組中可能需要由該組的現(xiàn)有成員顯式提供授權(quán)。”

“為了允許多用戶訪問數(shù)據(jù)處理系統(tǒng)，可以創(chuàng)建組密鑰，以便通過系統(tǒng)上組中的成員身份(例如，管理員，用戶等)可以啟用對系統(tǒng)的不同級別的訪問，”蘋果繼續(xù)。

僅擁有一個告訴人們的密碼會更容易，但這不會帶來任何與Apple認(rèn)為必需的安全級別相近的東西。

專利申請說：“計算設(shè)備可以采用密碼保護來保護存儲在設(shè)備上的數(shù)據(jù)。” “計算設(shè)備可以使用保護機制來防止未授權(quán)訪問存儲的數(shù)據(jù)，包括提供要求用戶提供用戶名/密碼組合和/或數(shù)字或字母數(shù)字密碼的登錄屏幕。”

蘋果繼續(xù)說：“但是，如果數(shù)據(jù)是以未加密的方式存儲的，那么仍然有可能在不知道用戶名/密碼或密碼的情況下訪問存儲在計算系統(tǒng)上的數(shù)據(jù)。” “惡意攻擊者可能能夠直接從內(nèi)存中提取數(shù)據(jù)。如果攻擊者可以物理訪問計算系統(tǒng)，則攻擊者可以從系統(tǒng)中刪除一個或多個存儲設(shè)備，并通過另一個系統(tǒng)訪問這些設(shè)備。”

一個安全的飛地應(yīng)該可以解決此問題，但是對于多個合法用戶而言，它應(yīng)該很方便，而對于未經(jīng)授權(quán)的用戶，則不可能。因此，Mac或其他設(shè)備應(yīng)該為合適的人快速解鎖，但任何試圖強行闖入的人都不要解鎖。

蘋果公司表示：“安全處理器包括用于跟蹤多種身份驗證類型中每一種的連續(xù)失敗身份驗證嘗試次數(shù)的內(nèi)存。” 每次嘗