Secure Enclave — الهندسة المعمارية وكيف يعمل المعالج المساعد الآمن

ما هو Secure Enclave؟

Secure Enclave (SEP — معالج Secure Enclave) هو معالج RISC مخصص 32 بت (ARM Cortex-A7/A8 على الرقاقات القديمة، نواة L4 صغرية خاصة) مدمج في SoC من Apple. يعمل كمعالج مساعد آمن لجميع العمليات المشفرة والبيومترية التي تتطلب عزلًا ماديًا.

التاريخ والأجيال

ظهر Secure Enclave لأول مرة في شريحة A7 (iPhone 5S، 2013) مع Touch ID. في A7–A8، تم تنفيذ Secure Enclave كجزء من المعالج. بدءًا من A9 (iPhone 6S، 2015)، يستخدم Secure Enclave منطقة منفصلة من الرقاقة مع طاقة وساعة مستقلتين. منذ A12 (2018)، أصبح لدى Secure Enclave مولد أرقام عشوائية (TRNG) خاص به ومسرع أجهزة Ed25519.

كل Secure Enclave له معرف فريد (UID) مدمج في مرحلة تصنيع الرقاقة. يُستخدم UID كمفتاح جذر لتشفير جميع المفاتيح الأخرى. حتى Apple لا يمكنها استخراج أو استعادة هذا المعرف — فهو متاح فقط داخل Secure Enclave.

لماذا نحتاج العزل

أنظمة التشغيل المحمولة الحديثة معقدة وتحتوي على ملايين الأسطر من التعليمات البرمجية، مما يجعلها عرضة للاستغلال. حتى إذا حصل المهاجم على السيطرة الكاملة على iOS (على مستوى النواة)، يظل Secure Enclave غير قابل للوصول — فهو منفصل ماديًا عن SoC الرئيسي ولا يقبل الأوامر المباشرة. فقط الطلبات المشفرة عبر قناة آمنة يمكنها التفاعل مع SEP.

وفقًا لأمان منصة Apple (2025)، لم يتم توثيق أي استخراج ناجح للبيانات من Secure Enclave على جهاز مقفل في ظل القيود الحالية للأجهزة.

كيف يعمل Secure Enclave؟

يعمل Secure Enclave كمعالج مستقل: بعد تشغيل الجهاز، يقوم بتهيئته بمحمل الإقلاع الخاص به (SEP ROM)، ويتحقق من سلامة النواة الصغرية L4، ثم يدخل في حالة انتظار للطلبات من معالج التطبيقات (AP) عبر صندوق بريد آمن.

قناة اتصال AP-SEP

يتم الاتصال بين معالج التطبيقات (AP) وSecure Enclave عبر صندوق بريد آمن مع تشفير باستخدام مفتاح جلسة مشترك. يرسل AP طلبًا مشفرًا، يقوم SEP بفك تشفيره، وينفذ العملية (توقيع، فك تشفير، توليد مفتاح)، ويعيد النتيجة بشكل مشفر. لا يقبل SEP أبدًا أوامر غير مشفرة.

قبل إنشاء مفتاح جلسة، يقوم AP و SEP بتنفيذ بروتوكول مصادقة يستخدم مفتاحًا جماعيًا (Group Key) مضمنًا في SEP ROM وموثقًا بشهادة Apple. تضمن هذه الآلية أن جهاز Apple الأصلي فقط يمكنه التفاعل مع Secure Enclave هذه.

توليد المفاتيح وحمايتها

جميع المفاتيح المشفرة تُنشأ داخل Secure Enclave باستخدام TRNG للأجهزة. كل مفتاح مرتبط بـ UID للجهاز ولا يمكن تصديره. عند الوصول إلى مفتاح، يحدد AP مقبضه (كما في Keychain)، ويقوم SEP بتنفيذ العملية دون كشف المفتاح نفسه.

// توليد مفتاح ECDSA داخل Secure Enclave
@interface AppDelegate ()
- (SecKeyRef)generateSEKey;
@end

- (SecKeyRef)generateSEKey {
    let attributes: [String: Any] = [
        kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom,
        kSecAttrKeySizeInBits as String: 256,
        kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
        kSecPrivateKeyAttrs as String: [
            kSecAttrIsPermanent as String: true,
            kSecAttrLabel as String: "com.app.key"
        ]
    ]
    var error: Unmanaged<CFError?>?
    return SecKeyCreateRandomKey(attributes as CFDictionary, &error)
}

الهندسة المعمارية والمكونات

Secure Enclave ليس مجرد وحدة برمجية — إنه كمبيوتر مستقل كامل على رقاقة. يحتوي على معالج وذاكرة RAM وذاكرة ROM وذاكرة غير متطايرة ومسرعات تشفير متخصصة خاصة به.

المعالج والذاكرة

معالج Secure Enclave هو ARM Cortex-A7 32 بت (A7-A10) أو نواة L4 صغرية خاصة (A12+). يتم تخصيص ذاكرة RAM بشكل ثابت (SRAM) ولا يمكن الوصول إليها من الخارج. تحتوي ROM (SEP ROM) على محمل الإقلاع والمفتاح الجماعي. تخزن الذاكرة غير المتطايرة UID والشهادات الجذرية والمفاتيح الدائمة.

حجم SRAM لـ Secure Enclave محدود (16–64 كيلوبايت حسب الجيل). هذا قيد معماري: فقط العمليات المشفرة ومطابقة القوالب البيومترية تُنفذ داخل SEP. يتم نقل جميع البيانات الأخرى عبر قناة مشفرة إلى الذاكرة الرئيسية لـ AP.

مسرعات التشفير

يحتوي Secure Enclave على كتل أجهزة مخصصة: محرك AES (تشفير/فك تشفير للأجهزة)، مسرع P256 (ECDSA، ECDH)، وحدة SHA-256/SHA-512، TRNG (مولد أرقام عشوائية حقيقي يعتمد على مذبذبات حلقية). هذا يوفر أداءً عاليًا (سرعات AES بالغيغابت) مع استهلاك طاقة ضئيل.

المفتاح الجماعي والشهادات

كل دفعة من رقاقات Secure Enclave تتلقى مفتاحًا جماعيًا (Group Key) مضمنًا في SEP ROM. يُستخدم هذا المفتاح لمصادقة SEP أمام AP ولإنشاء قناة مشفرة. تصدر Apple شهادات توقع على المفاتيح الجماعية، مما يسمح بالتحقق من أصالة SEP على مستوى البرامج الثابتة.

التفاعل مع التطبيقات

لا يصل مطورو iOS إلى Secure Enclave مباشرة. يتم التفاعل من خلال واجهات برمجة تطبيقات عالية المستوى: LocalAuthentication (Touch ID، Face ID)، Keychain Services (تخزين المفاتيح في SEP)، CryptoKit (العمليات المشفرة بمفاتيح SEP).

CryptoKit و Secure Enclave

إطار العمل CryptoKit (iOS 13+) يوفر وصولاً مباشرًا إلى Secure Enclave لتوليد مفاتيح ECDSA وتوقيع البيانات. المفاتيح التي تم إنشاؤها مع علامة secureEnclaveKey موجودة فعليًا داخل SEP. عند التوقيع، تُنقل البيانات عبر قناة آمنة، ويتم تنفيذ العملية في SEP، ويتم إرجاع التوقيع إلى التطبيق.

import CryptoKit
import LocalAuthentication

func signWithSecureEnclave() throws -> Data {
    let context = LAContext()
    let accessControl = try SecAccessControl(
        protection: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
        flags: .userPresence
    )

    let key = try SecureEnclave.P256.SigningKey(
        accessControl: accessControl
    )

    let dataToSign = "authenticate".data(using: .utf8)!
    return try key.signature(for: dataToSign)
}

Keychain و Secure Enclave

يمكن Keychain Services استخدام Secure Enclave لتخزين المفاتيح المشفرة. تشير السمة kSecAttrTokenID = kSecAttrTokenIDSecureEnclave إلى النظام بأنه يجب إنشاء المفتاح وتخزينه داخل SEP. المفاتيح في SEP هي دائمًا من نوع EC (secp256r1/P-256)، لأن Secure Enclave لا يدعم RSA.

Secure Enclave والقياسات الحيوية

Touch ID و Face ID هما وظيفتان رئيسيتان للمستخدم تم تنفيذهما عبر Secure Enclave. لا يخزن SEP القوالب البيومترية فحسب، بل يقوم أيضًا بمطابقتها مع البيانات المقدمة، مما يستبعد إمكانية اعتراض صورة بصمة الإصبع أو الوجه.

تخزين البيانات البيومترية

عند تسجيل بصمة إصبع أو وجه، ينقل المستشعر الصورة إلى Secure Enclave، حيث يتم تحويلها إلى قالب رياضي (وليس صورة!) وتخزينها في ذاكرة SEP المشفرة. يتم تدمير الصورة الأصلية. لا يمكن استخراج القالب خارجيًا — يمكن لـ SEP فقط مقارنة قالب جديد مع القوالب المخزنة.

يمكن لـ Secure Enclave تخزين ما يصل إلى 5 بصمات أصابع أو وجوه. جميع القوالب محمية بواسطة UID للجهاز. عند إعادة تشغيل الجهاز، يحظر SEP الوصول إلى القوالب حتى يتم إدخال رمز المرور (رمز القفل، وليس القياسات الحيوية) لأول مرة.

عملية المصادقة

عندما يضع المستخدم إصبعه على Touch ID، يلتقط المستشعر الصورة وينقلها (عبر برنامج تشغيل iOS) إلى Secure Enclave عبر قناة آمنة. يقارن SEP القالب مع القوالب المخزنة. في حالة التطابق، يعيد SEP حالة نجاح إلى AP بالإضافة إلى مفتاح مؤقت لفتح Keychain. يتم تتبع المحاولات الفاشلة، وبعد عدد قابل للتكوين من الإخفاقات، يحظر SEP جميع الطلبات البيومترية حتى يتم إدخال رمز المرور.

import LocalAuthentication

func authenticateUser() {
    let context = LAContext()
    var error: NSError?

    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else { return }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "المصادقة"
    ) { success, error in
        if success {
            // SEP أكد تطابق القياسات الحيوية
        }
    }
}

الأمان في حالة فقدان الجهاز

في حالة فقدان الجهاز، تتم حماية البيانات البيومترية على عدة مستويات: القوالب مشفرة بـ UID (غير قابلة للقراءة خارج SEP)، يتطلب SEP رمز مرور الجهاز عند كل إعادة تشغيل، بعد 48 ساعة من عدم النشاط، أو بعد 5 محاولات بيومترية فاشلة. يقوم وضع Lost Mode عبر Find My بحظر SEP بشكل إضافي.