Apple julkisti eilen uuden MacBook Air -läppärin, jonka ulkoisesti hienoin uusi ominaisuus oli Retina-tasoon noussut näyttö. Kuorien sisällä on kuitenkin yksi merkittävä uudistus. Toisen polven T2-turvapiiri tekee Macbookeista selvästi aiempaa tietoturvallisempia.
Applen dokumentin mukaan T2-piiri toimi perustana salatulla APFS-tallennukselle, turvakäynnistykselle ja Touch ID -tunnistukselle. Lisäksi piirille on integroitu monia järjestelmätoimintoja kuten kuvankäsittely, audio-ohjain ja SSD-levyn ohjain.
T2-piirillä on erillinen suojattu alue, johon tallennetaan Filevault-salauksen ja turvakäynnistyksen tarvitsemat avaimet. Osiossa prosessoidaan myös käyttäjän autentikointi sormenjälkitunnistimen kautta.
T2-piiri käyttää salattua muistia ja satunnaislukugeneraattoria. Applen mukaan piiri säilyy koskemattomana, vaikka itse MacOS-käyttöjärjestelmä onnistuttaisiinkin jotenkin murtamaan. T2-piirin rajoitettu toiminnallisuus on samalla sen vahvuus: piirin kautta päästään käsiksi vain tiettyyn toimintoihin. Toisaalta tekniikkaa voi käyttää hyvin innovatiivisesti: esimerkiksi Macbookin mikrofoni sulkeutuu, kun kansi suljetaan.
Loogisesti T2-piiri sijaitsee järjestelmämuistin ja NAND-tallennusmuistin välissä. Koneen ID-tunnus (UID, unique ID) syötetään valmistuksen yhteydessä T2-piirin turvaosioon, eikä sitä voi suoraan lukea millään ohjelmistolla. UID on laitekohtainen, eikä siihen pääse käsiksi Apple tai sen komponenttitoimittajat. Tunnusta ei voi myöskään lukea JTAGin tai muiden testiväylien kautta. ID-tunnus ei ole myöskään Intel-sovellusprosessorin luettavissa.
Macin salasanaa voi tietenkin yrittää murtaa ns. brute force -hyökkäyksellä, mutta vääriä salasanoja voi syöttää vain 30 kappaletta. Lisäksi niiden syöttämisen välillä oleva viive kasvaa niin, että salasanayritysten 27-30 välillä pitää olla tunnin viive.
Mikäli 30 yritystä tulee täyteen, voi koneen käynnistää palautustilaan (Recovery), jolloin saa 10 uutta yritystä. Niiden jälkeen voi vielä saada yhteensä 90 yritystä eri palautusmekanismeilla (esimerkiksi iCloud-palautus ja FileVaut-palautus). Tämän jälkeen T2-piirin turvaosio ei enää vastaanota pyyntöjä avata kone ja sen salaus.
T2-turvapiirin tekniikkaan voi tutustua täällä.
