Secure Enclave — kiến trúc và cách thức hoạt động của bộ đồng xử lý được bảo vệ

Secure Enclave là gì?

Secure Enclave (SEP — Secure Enclave Processor) là bộ xử lý RISC 32 bit chuyên dụng (ARM Cortex-A7/A8 trên các chip cũ, vi nhân L4 độc quyền) được tích hợp vào SoC của Apple. Nó hoạt động như một bộ đồng xử lý an toàn cho tất cả các thao tác mật mã và sinh trắc học yêu cầu cách ly phần cứng.

Lịch sử và các thế hệ

Secure Enclave xuất hiện lần đầu tiên trong chip A7 (iPhone 5S, 2013) cùng với Touch ID. Trên A7–A8, Secure Enclave được triển khai như một phần của bộ xử lý. Bắt đầu từ A9 (iPhone 6S, 2015), Secure Enclave sử dụng một khu vực riêng của chip với nguồn điện và xung nhịp độc lập. Từ A12 (2018), Secure Enclave có bộ tạo số ngẫu nhiên thực sự (TRNG) riêng và bộ tăng tốc phần cứng Ed25519.

Mỗi Secure Enclave có một định danh duy nhất (UID) được gắn vào ở giai đoạn sản xuất chip. UID được sử dụng như khóa gốc để mã hóa tất cả các khóa khác. Ngay cả Apple cũng không thể trích xuất hoặc khôi phục định danh này — nó chỉ có thể truy cập được trong Secure Enclave.

Tại sao cần cách ly

Các hệ điều hành di động hiện đại rất phức tạp và chứa hàng triệu dòng mã, khiến chúng dễ bị khai thác. Ngay cả khi kẻ tấn công giành được quyền kiểm soát hoàn toàn iOS (ở cấp nhân), Secure Enclave vẫn không thể truy cập được — nó được tách biệt vật lý khỏi SoC chính và không chấp nhận các lệnh trực tiếp. Chỉ có các yêu cầu được mã hóa qua kênh an toàn mới có thể tương tác với SEP.

Theo Apple Platform Security (2025), không có trường hợp trích xuất dữ liệu thành công nào từ Secure Enclave trên thiết bị bị khóa được ghi nhận với các hạn chế phần cứng hiện tại.

Secure Enclave hoạt động như thế nào?

Secure Enclave hoạt động như một bộ xử lý tự định: sau khi khởi động thiết bị, nó khởi tạo với bộ nạp khởi động riêng (SEP ROM), xác minh tính toàn vẹn của vi nhân L4, sau đó chuyển sang trạng thái chờ các yêu cầu từ Bộ xử lý Ứng dụng (AP) qua hộp thư an toàn.

Kênh giao tiếp AP-SEP

Giao tiếp giữa Bộ xử lý Ứng dụng (AP) và Secure Enclave diễn ra qua một hộp thư an toàn với mã hóa bằng khóa phiên dùng chung. AP gửi một yêu cầu đã mã hóa, SEP giải mã nó, thực hiện thao tác (ký, giải mã, tạo khóa) và trả về kết quả ở dạng đã mã hóa. SEP không bao giờ chấp nhận các lệnh không được mã hóa.

Trước khi thiết lập khóa phiên, AP và SEP thực hiện giao thức xác thực sử dụng Khóa nhóm (Group Key) được nhúng trong SEP ROM và được xác minh bằng chứng chỉ Apple. Cơ chế này đảm bảo rằng chỉ có thiết bị Apple chính hãng mới có thể tương tác với Secure Enclave này.

Tạo và bảo vệ khóa

Tất cả các khóa mật mã đều được tạo bên trong Secure Enclave bằng TRNG phần cứng. Mỗi khóa được liên kết với UID của thiết bị và không thể xuất ra ngoài. Khi truy cập khóa, AP chỉ định handle của nó (như trong Keychain) và SEP thực hiện thao tác mà không tiết lộ khóa.

// Tạo khóa ECDSA trong Secure Enclave
@interface AppDelegate ()
- (SecKeyRef)generateSEKey;
@end

- (SecKeyRef)generateSEKey {
    let attributes: [String: Any] = [
        kSecAttrKeyType as String: kSecAttrKeyTypeECSECPrimeRandom,
        kSecAttrKeySizeInBits as String: 256,
        kSecAttrTokenID as String: kSecAttrTokenIDSecureEnclave,
        kSecPrivateKeyAttrs as String: [
            kSecAttrIsPermanent as String: true,
            kSecAttrLabel as String: "com.app.key"
        ]
    ]
    var error: Unmanaged<CFError?>?
    return SecKeyCreateRandomKey(attributes as CFDictionary, &error)
}

Kiến trúc và các thành phần

Secure Enclave không chỉ là một mô-đun phần mềm — nó là một máy tính tự định hoàn chỉnh trên một chip. Nó chứa bộ xử lý, RAM, ROM, bộ nhớ không bay hơi và các bộ tăng tốc mật mã chuyên dụng riêng.

Bộ xử lý và bộ nhớ

Bộ xử lý Secure Enclave là ARM Cortex-A7 32 bit (A7-A10) hoặc vi nhân L4 độc quyền (A12+). RAM được cấp phát tĩnh (SRAM) và không thể truy cập từ bên ngoài. ROM (SEP ROM) chứa bộ nạp khởi động và khóa nhóm. Bộ nhớ không bay hơi lưu trữ UID, chứng chỉ gốc và các khóa vĩnh viễn.

Kích thước SRAM của Secure Enclave bị giới hạn (16–64 KB tùy theo thế hệ). Đây là một ràng buộc về kiến trúc: chỉ các thao tác mật mã và so khớp mẫu sinh trắc học mới được thực hiện trong SEP. Tất cả dữ liệu khác được truyền qua kênh mã hóa đến bộ nhớ chính của AP.

Các bộ tăng tốc mật mã

Secure Enclave chứa các khối phần cứng chuyên dụng: cơ chế AES (mã hóa/giải mã phần cứng), bộ tăng tốc P256 (ECDSA, ECDH), mô-đun SHA-256/SHA-512, TRNG (Bộ tạo số ngẫu nhiên thực sự dựa trên bộ dao động vòng). Điều này cung cấp hiệu suất cao (tốc độ AES gigabit) với mức tiêu thụ điện tối thiểu.

Khóa nhóm và chứng chỉ

Mỗi lô chip Secure Enclave nhận được một Khóa nhóm (Group Key) được nhúng trong SEP ROM. Khóa này được sử dụng để xác thực SEP với AP và thiết lập kênh mã hóa. Apple cấp các chứng chỉ ký các khóa nhóm, cho phép xác minh tính xác thực của SEP ở cấp phần sụn.

Tương tác với ứng dụng

Các nhà phát triển iOS không truy cập trực tiếp vào Secure Enclave. Sự tương tác diễn ra thông qua các API cấp cao: LocalAuthentication (Touch ID, Face ID), Keychain Services (lưu trữ khóa trong SEP), CryptoKit (các thao tác mật mã với khóa SEP).

CryptoKit và Secure Enclave

Framework CryptoKit (iOS 13+) cung cấp quyền truy cập trực tiếp vào Secure Enclave để tạo khóa ECDSA và ký dữ liệu. Các khóa được tạo với cờ secureEnclaveKey nằm vật lý bên trong SEP. Khi ký, dữ liệu được truyền qua kênh an toàn, thao tác được thực hiện trong SEP và chữ ký được trả về cho ứng dụng.

import CryptoKit
import LocalAuthentication

func signWithSecureEnclave() throws -> Data {
    let context = LAContext()
    let accessControl = try SecAccessControl(
        protection: kSecAttrAccessibleWhenUnlockedThisDeviceOnly,
        flags: .userPresence
    )

    let key = try SecureEnclave.P256.SigningKey(
        accessControl: accessControl
    )

    let dataToSign = "authenticate".data(using: .utf8)!
    return try key.signature(for: dataToSign)
}

Keychain và Secure Enclave

Keychain Services có thể sử dụng Secure Enclave để lưu trữ các khóa mật mã. Thuộc tính kSecAttrTokenID = kSecAttrTokenIDSecureEnclave báo cho hệ thống rằng khóa phải được tạo và lưu trữ trong SEP. Các khóa trong SEP luôn thuộc loại EC (secp256r1/P-256), vì Secure Enclave không hỗ trợ RSA.

Secure Enclave và sinh trắc học

Touch ID và Face ID là các tính năng chính của người dùng được triển khai thông qua Secure Enclave. SEP không chỉ lưu trữ các mẫu sinh trắc học mà còn thực hiện so khớp với dữ liệu được cung cấp, loại bỏ khả năng chặn ảnh dấu vân tay hoặc khuôn mặt.

Lưu trữ dữ liệu sinh trắc học

Khi đăng ký dấu vân tay hoặc khuôn mặt, cảm biến truyền ảnh đến Secure Enclave, nơi nó được chuyển đổi thành mẫu toán học (không phải ảnh!) và được lưu trữ trong bộ nhớ đã mã hóa của SEP. Ảnh gốc bị phá hủy. Mẫu không thể được trích xuất ra bên ngoài — SEP chỉ có thể so sánh mẫu mới với các mẫu đã lưu.

Secure Enclave có thể lưu trữ tối đa 5 dấu vân tay hoặc khuôn mặt. Tất cả các mẫu đều được bảo vệ bởi UID của thiết bị. Khi thiết bị khởi động lại, SEP chặn quyền truy cập vào các mẫu cho đến khi mã truy cập (mã khóa, không phải sinh trắc học) được nhập lần đầu tiên.

Quy trình xác thực

Khi người dùng đặt ngón tay lên Touch ID, cảm biến chụp ảnh và (qua trình điều khiển iOS) truyền ảnh đến Secure Enclave qua kênh an toàn. SEP so sánh mẫu với các mẫu đã lưu. Nếu khớp, SEP trả về trạng thái thành công cho AP cùng với khóa tạm thời để mở khóa Keychain. Các lần thử thất bại được theo dõi và sau một số lần thất bại có thể cấu hình, SEP chặn tất cả các yêu cầu sinh trắc học cho đến khi nhập mã.

import LocalAuthentication

func authenticateUser() {
    let context = LAContext()
    var error: NSError?

    guard context.canEvaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        error: &error
    ) else { return }

    context.evaluatePolicy(
        .deviceOwnerAuthenticationWithBiometrics,
        localizedReason: "Xác thực"
    ) { success, error in
        if success {
            // SEP xác nhận khớp sinh trắc học
        }
    }
}

Bảo mật khi mất thiết bị

Khi mất thiết bị, dữ liệu sinh trắc học được bảo vệ ở nhiều cấp độ: các mẫu được mã hóa bằng UID (không thể đọc được bên ngoài SEP), SEP yêu cầu mã thiết bị mỗi khi khởi động lại, sau 48 giờ không hoạt động hoặc sau 5 lần thử sinh trắc học thất bại. Chế độ bị mất qua Find My sẽ chặn thêm SEP.