Secure Enclave — アーキテクチャと安全なコプロセッサの動作原理

Secure Enclaveとは？

Secure Enclave (SEP — Secure Enclave Processor)は、AppleのSoCに統合された専用32ビットRISCプロセッサ（古いチップではARM Cortex-A7/A8、独自のL4マイクロカーネル）です。ハードウェアアイソレーションが必要なすべての暗号操作および生体認証操作のための安全なコプロセッサとして機能します。

歴史とジェネレーション

Secure Enclaveは、A7チップ（iPhone 5S、2013年）でTouch IDとともに初めて登場しました。A7–A8では、Secure Enclaveはプロセッサの一部として実装されています。A9（iPhone 6S、2015年）からは、Secure Enclaveは独立した電源とクロックを持つチップの別の領域を使用しています。A12（2018年）以降、Secure Enclaveは独自のTrue Random Number Generator (TRNG)とハードウェアEd25519アクセレレータを持ちます。

各Secure Enclaveには、チップ製造段階で続かれた固有識別子（UID）があります。UIDは、他のすべてのキーを暗号化するためのルートキーとして使用されます。Appleでもこの識別子を抽出または復元できません — Secure Enclave内でのみアクセス可能です。

アイソレーションが必要な理由

現代のモバイルオペレーティングシステムは複雑で、数百万行のコードを含むため、エクスプロイトに弱いです。攻撃者がiOS（カーネルレベル）の完全な制御を得た場合でも、Secure Enclaveはアクセス不可能のままです — 主機SoCから物理的に離されており、直接のコマンドを受け付けません。暗号化されたリクエストのみが安全なチャネルを通じてSEPと相互作用できます。

Apple Platform Security (2025)によると、現在のハードウェア制限のもとで、ロックされたデバイスのSecure Enclaveからデータが成功に抽出された事例は記録されていません。

Secure Enclaveの仕組み

Secure Enclaveは自律的なプロセッサとして機能します。デバイスの起動後、独自のブートローダ（SEP ROM）で初期化し、L4マイクロカーネルの整合性を検証し、安全なメールボックスを通じてアプリケーションプロセッサ（AP）からのリクエストを待つ状態に入ります。

AP-SEP通信チャネル

アプリケーションプロセッサ（AP）とSecure Enclaveの通信は、共有セッションキーで暗号化された安全なメールボックスを通じて行われます。APが暗号化されたリクエストを送信し、SEPがそれを復号し、操作（署名、復号、キー生成）を実行し、結果を暗号化された形で返します。SEPが暗号化されていないコマンドを受け入れることはありません。

セッションキーを確立する前に、APとSEPはSEP ROMに埋め込まれ、Apple証明書で検証されたグループキー（Group Key）を使用した認証プロトコルを実行します。この仕組みにより、本物のAppleデバイスのみがこのSecure Enclaveと相互作用できることが保証されます。

キーの生成と保護

すべての暗号キーは、ハードウェアTRNGを使用してSecure Enclave内で生成されます。各キーはデバイスのUIDに結びついており、エクスポートできません。キーにアクセスする際、APがそのハンドル（Keychainと同様）を指定し、SEPがキーそのものを明かさずに操作を実行します。

// Secure Enclave内でのECDSAキー生成
@interface AppDelegate ()
- (SecKeyRef)generateSEKey;
@end

- (SecKeyRef)generateSEKey {
    let attributes: [String: Any] = [
        kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom,
        kSecAttrKeySizeInBits as String: 256,
        kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
        kSecPrivateKeyAttrs as String: [
            kSecAttrIsPermanent as String: true,
            kSecAttrLabel as String: "com.app.key"
        ]
    ]
    var error: Unmanaged<CFError?>?
    return SecKeyCreateRandomKey(attributes as CFDictionary, &error)
}

アーキテクチャとコンポーネント

Secure Enclaveは単なるソフトウェアモジュールではありません — チップ上の完全な自律コンピュータです。独自のプロセッサ、RAM、ROM、非ボラティルメモリ、および専門的な暗号アクセレレータを含みます。

プロセッサとメモリ

Secure Enclaveプロセッサは32ビットARM Cortex-A7（A7-A10）または独自のL4マイクロカーネル（A12+）です。RAMは静的に割り当てられ（SRAM）、外部からはアクセス不可です。ROM（SEP ROM）にはブートローダとグループキーが含まれています。非ボラティルメモリにはUID、ルート証明書、および永続キーが保存されます。

Secure EnclaveのSRAMサイズは制限されています（ジェネレーションにより16–64KB）。これはアーキテクチャ上の制約です。SEP内では暗号操作と生体認証テンプレートの比対のみが実行されます。その他のすべてのデータは、暗号化チャネルを通じてAPの主メモリに転送されます。

暗号アクセレレータ

Secure Enclaveには専用のハードウェアブロックが含まれています。AESエンジン（ハードウェア暗号化/復号）、P256アクセレレータ（ECDSA、ECDH）、SHA-256/SHA-512モジュール、TRNG（リング発振器ベースのTrue Random Number Generator）。これにより、最小の消費電力で高いパフェーマンス（ギガビットのAES速度）を実現しています。

グループキーと証明書

Secure Enclaveチップの各バッチには、SEP ROMに埋め込まれたグループキー（Group Key）が与えられます。このキーは、APに対するSEPの認証と暗号化チャネルの確立に使用されます。Appleはグループキーを署名する証明書を発行し、ファームウェアレベルでSEPの真躬性を検証できるようにしています。

アプリケーションとの相互作用

iOS開発者はSecure Enclaveに直接アクセスしません。相互作用はハイレベルAPIを通じて行われます。LocalAuthentication（Touch ID、Face ID）、Keychain Services（SEPでのキー保管）、CryptoKit（SEPキーによる暗号操作）です。

CryptoKitとSecure Enclave

CryptoKitフレームワーク（iOS 13+）は、ECDSAキーの生成とデータの署名のためにSecure Enclaveへの直接アクセスを提供します。secureEnclaveKeyフラグで作成されたキーは、物理的にSEPの内部に位置します。署名時、データは安全なチャネルを通じて送信され、操作はSEP内で実行され、署名がアプリケーションに返されます。

import CryptoKit
import LocalAuthentication

func signWithSecureEnclave() throws -> Data {
    let context = LAContext()
    let accessControl = try SecAccessControl(
        protection: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
        flags: .userPresence
    )

    let key = try SecureEnclave.P256.SigningKey(
        accessControl: accessControl
    )

    let dataToSign = "authenticate".data(using: .utf8)!
    return try key.signature(for: dataToSign)
}

KeychainとSecure Enclave

Keychain Servicesは、暗号キーの保管にSecure Enclaveを使用できます。kSecAttrTokenID = kSecAttrTokenIDSecureEnclave属性により、キーをSEP内で作成および保管するようシステムに指示します。Secure EnclaveがRSAをサポートしていないため、SEP内のキーは常にECタイプ（secp256r1/P-256）です。

Secure Enclaveと生体認証

Touch IDとFace IDは、Secure Enclaveを通じて実装された主要なユーザー機能です。SEPは生体認証テンプレートを保管するだけでなく、提供されたデータとの比対も実行し、指紋や顔画像の盗取可能性を完全に除去します。

生体認証データの保管

指紋または顔を登録する際、センサーが画像をSecure Enclaveに送信し、数学的テンプレート（画像ではありません！）に変換され、SEPの暗号化メモリに保存されます。元の画像は破棄されます。テンプレートを外部に抽出することはできません — SEPは新しいテンプレートを保存されたものと比較できるだけです。

Secure Enclaveは最大5つの指紋または顔を保管できます。すべてのテンプレートはデバイスのUIDによって保護されています。デバイスが再起動すると、最初にパスコード（ロックコードであり、生体認証ではない）が入力されるまで、SEPはテンプレートへのアクセスをブロックします。

認証プロセス

ユーザーがTouch IDに指を置くと、センサーが画像を捕獲し、（iOSドライバーを通じて）安全なチャネルを通じてSecure Enclaveに送信します。SEPはテンプレートを保存されたものと比較します。一致した場合、SEPはAPに成功ステータスとKeychain解除のための一時的なキーを返します。失敗した試行は追跡され、設定可能な回数の失敗後、パスコードが入力されるまでSEPはすべての生体認証リクエストをブロックします。

import LocalAuthentication

func authenticateUser() {
    let context = LAContext()
    var error: NSError?

    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else { return }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "認証"
    ) { success, error in
        if success {
            // SEPが生体認証の一致を確認
        }
    }
}

デバイス丧失時のセキュリティ

デバイスを丧った場合、生体認証データは複数のレベルで保護されます。テンプレートはUIDで暗号化され（SEP外では読み取り不可）、SEPは再起動毎、48時間の非活動後、または5回の生体認証失敗後にデバイスのパスコードを必要とします。Find MyによるLost Modeは、さらにSEPをブロックします。