Secure Enclave — 아키텍처와 보호된 코프로세서의 동작 방식

Secure Enclave란 무엇인가?

Secure Enclave(SEP — Secure Enclave Processor)는 Apple의 SoC에 통합된 전용 32비트 RISC 프로세서(이전 칩에서는 ARM Cortex-A7/A8, 독자 L4 마이크로커널)입니다. 하드웨어 격리가 필요한 모든 크립토그래픽 및 생체 인증 작업을 위한 안전한 코프로세서로 작동합니다.

역사와 세대

Secure Enclave는 A7 칩(iPhone 5S, 2013)에서 Touch ID와 함께 처음 등장했습니다. A7–A8에서 Secure Enclave는 프로세서의 일부로 구현되었습니다. A9(iPhone 6S, 2015)부터는 독립적인 전원과 클로킹을 가진 칩의 별도 영역을 사용합니다. A12(2018)부터 Secure Enclave는 자체 True Random Number Generator(TRNG)와 Hardware Ed25519 가속기를 보유하고 있습니다.

각 Secure Enclave는 칩 생산 단계에서 입혁된 고유 식별자(UID)를 가집니다. UID는 다른 모든 키를 암호화하는 루트 키로 사용됩니다. Apple이라도 이 식별자를 추출하거나 복구할 수 없습니다 — Secure Enclave 내부에서만 접근 가능합니다.

격리가 필요한 이유

현대 모바일 운영체제는 복잡하고 수백만 줄의 코드를 포함하여 익스플로이트에 취약합니다. 공격자가 iOS(커널 레벨)를 완전히 장악하더라도 Secure Enclave는 접근할 수 없습니다 — 주요 SoC와 물리적으로 분리되어 있으며 직접 명령을 수행하지 않습니다. 안전한 채널을 통한 암호화된 요청만이 SEP와 상호작용할 수 있습니다.

Apple Platform Security(2025)에 따르면, 현재 하드웨어 제한 상태에서 잠금된 장치의 Secure Enclave에서 데이터가 성공적으로 추출된 사례는 문서화되지 않았습니다.

Secure Enclave는 어떻게 작동하나?

Secure Enclave는 자율적인 프로세서로 작동합니다. 장치 부트 후, 자체 부트로더(SEP ROM)로 초기화되고 L4 마이크로커널의 무결성을 확인한 다음, 안전한 메일박스를 통한 애플리케이션 프로세서(AP)의 요청을 대기하는 상태로 들어갑니다.

AP-SEP 통신 채널

애플리케이션 프로세서(AP)와 Secure Enclave 간의 통신은 공유 세션 키로 암호화된 안전한 메일박스를 통해 이루어집니다. AP가 암호화된 요청을 보내면 SEP가 복호화하고 작업(서명, 복호화, 키 생성)을 수행한 다음 결과를 암호화된 형태로 반환합니다. SEP는 암호화되지 않은 명령을 절대 수행하지 않습니다.

세션 키를 설정하기 전, AP와 SEP는 SEP ROM에 임베디되고 Apple 인증서로 확인된 그룹 키(Group Key)를 사용하는 인증 프로토콜을 수행합니다. 이 메커니즘은 진짜 Apple 장치만이 이 Secure Enclave와 상호작용할 수 있다는 것을 보장합니다.

키 생성 및 보호

모든 크립토그래픽 키는 Hardware TRNG를 사용하여 Secure Enclave 내부에서 생성됩니다. 각 키는 장치의 UID와 연결되어 있으며 내보낼 수 없습니다. 키에 접근할 때 AP가 그 핸들(Keychain과 동일)을 지정하며, SEP는 키 자체를 말하지 않고 작업을 수행합니다.

// Secure Enclave 내 ECDSA 키 생성
@interface AppDelegate ()
- (SecKeyRef)generateSEKey;
@end

- (SecKeyRef)generateSEKey {
    let attributes: [String: Any] = [
        kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom,
        kSecAttrKeySizeInBits as String: 256,
        kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
        kSecPrivateKeyAttrs as String: [
            kSecAttrIsPermanent as String: true,
            kSecAttrLabel as String: "com.app.key"
        ]
    ]
    var error: Unmanaged<CFError?>?
    return SecKeyCreateRandomKey(attributes as CFDictionary, &error)
}

아키텍처와 구성 요소

Secure Enclave는 단순한 소프트웨어 모듈이 아닙니다 — 칩 위의 완전한 자율적인 컴퓨터입니다. 자체 프로세서, RAM, ROM, 비후산성 메몬리 그리고 전문 크립토그래픽 가속기를 포함합니다.

프로세서와 메몬리

Secure Enclave 프로세서는 32비트 ARM Cortex-A7(A7-A10) 또는 독자 L4 마이크로커널(A12+)입니다. RAM은 정적으로 할당(SRAM)되며 외부에서 접근할 수 없습니다. ROM(SEP ROM)에는 부트로더와 그룹 키가 포함되어 있습니다. 비후산성 메몬리는 UID, 루트 인증서 그리고 영구 키를 저장합니다.

Secure Enclave의 SRAM 크기는 제한되어 있습니다(세대에 따라 16–64KB). 이것은 아키텍처적 제약 사항입니다. SEP 내부에서는 크립토그래픽 작업과 생체 인증 템플릿 일치 확인만 수행됩니다. 다른 모든 데이터는 암호화된 채널을 통해 AP의 주 메몬리로 전송됩니다.

크립토그래픽 가속기

Secure Enclave에는 전용 하드웨어 블록이 포함되어 있습니다. AES 엔진(하드웨어 암호화/복호화), P256 가속기(ECDSA, ECDH), SHA-256/SHA-512 모듈, TRNG(링 발진기 기반 True Random Number Generator). 이를 통해 최소 전력으로 높은 성능(기가비트 AES 속도)을 제공합니다.

그룹 키와 인증서

Secure Enclave 칩의 각 배치는 SEP ROM에 임베디된 그룹 키(Group Key)를 받습니다. 이 키는 AP에 대해 SEP을 인증하고 암호화된 채널을 설정하는 데 사용됩니다. Apple은 그룹 키를 서명하는 인증서를 발행하여 펜웨어 레벨에서 SEP의 진기성을 확인할 수 있도록 합니다.

애플리케이션과의 상호작용

iOS 개발자는 Secure Enclave에 직접 접근하지 않습니다. 상호작용은 하이레벨 API를 통해 이루어집니다. LocalAuthentication(Touch ID, Face ID), Keychain Services(SEP에서의 키 저장), CryptoKit(SEP 키와의 크립토그래픽 작업) 등입니다.

CryptoKit과 Secure Enclave

CryptoKit 프레임워크(iOS 13+)는 ECDSA 키 생성 및 데이터 서명을 위해 Secure Enclave에 직접 접근할 있도록 합니다. secureEnclaveKey 플래그로 생성된 키는 물리적으로 SEP 내부에 위치합니다. 서명 시, 데이터는 안전한 채널을 통해 전송되고 작업이 SEP에서 수행된 다음 서명이 애플리케이션에 반환됩니다.

import CryptoKit
import LocalAuthentication

func signWithSecureEnclave() throws -> Data {
    let context = LAContext()
    let accessControl = try SecAccessControl(
        protection: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
        flags: .userPresence
    )

    let key = try SecureEnclave.P256.SigningKey(
        accessControl: accessControl
    )

    let dataToSign = "authenticate".data(using: .utf8)!
    return try key.signature(for: dataToSign)
}

Keychain과 Secure Enclave

Keychain Services는 크립토그래픽 키 저장에 Secure Enclave를 사용할 수 있습니다. kSecAttrTokenID = kSecAttrTokenIDSecureEnclave 속성은 키가 SEP 내부에서 생성되고 저장되어야 한다는 것을 시스템에 알립니다. Secure Enclave가 RSA를 지원하지 않기 때문에 SEP의 키는 항상 EC 타입(secp256r1/P-256)입니다.

Secure Enclave와 생체 인증

Touch ID와 Face ID는 Secure Enclave를 통해 구현된 주요 사용자 기능입니다. SEP은 생체 인증 템플릿을 저장할 뿔만 아니라 제공된 데이터와 일치 확인을 수행하여 지문과 입체 이미지를 가로채네할 가능성을 완전히 제거합니다.

생체 인증 데이터 저장

지문 또는 얼굴을 등록할 때, 센서가 이미지를 Secure Enclave에 전송하면 수학적 템플릿(이미지가 아님!)으로 변환되고 SEP의 암호화된 메몬리에 저장됩니다. 원본 이미지는 파기됩니다. 템플릿을 외부로 추출할 수 없습니다 — SEP는 새 템플릿을 저장된 것과 비교만 할 수 있습니다.

Secure Enclave는 최대 5개의 지문 또는 얼굴을 저장할 수 있습니다. 모든 템플릿은 장치의 UID로 보호됩니다. 장치가 재시동되면 처음으로 패스코드(잠금 코드이며 생체 인증이 아님)가 입력될 때까지 SEP가 템플릿에 대한 접근을 차단합니다.

인증 프로세스

사용자가 Touch ID에 손가락을 대면, 센서가 이미지를 캡처하고 (iOS 드라이버를 통해) 안전한 채널을 통해 Secure Enclave에 전송합니다. SEP은 템플릿을 저장된 것과 비교합니다. 일치하면 SEP는 AP에 성공 상태와 Keychain 잠금 해제를 위한 일회성 키를 반환합니다. 실패한 시도는 추적되며, 설정 가능한 실패 회수 이후에는 패스코드가 입력될 때까지 SEP가 모든 생체 인증 요청을 차단합니다.

import LocalAuthentication

func authenticateUser() {
    let context = LAContext()
    var error: NSError?

    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else { return }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "인증"
    ) { success, error in
        if success {
            // SEP가 생체 인증 일치를 확인함
        }
    }
}

장치 분실 시 보안

장치가 분실된 경우, 생체 인증 데이터는 여러 레벨에서 보호됩니다. 템플릿은 UID로 암호화되며(SEP 외부에서 읽을 수 없음), SEP은 재시동 할 때마다, 48시간 비활동 후, 또는 5번의 생체 인증 실패 후에 장치 패스코드가 필요합니다. Find My를 통한 Lost Mode는 SEP를 추가로 차단합니다.