แคชความเชื่อถือ

หนึ่งในวัตถุที่รวมอยู่ในลำดับการเริ่มต้นระบบอย่างปลอดภัยคือแคชความเชื่อถือแบบคงที่ ซึ่งเป็นบันทึกที่เชื่อถือแล้วของไบนารี Mach-O ทั้งหมดที่ประกอบอยู่ในดิสก์โวลุ่มระบบที่ลงชื่อ Mach-O แต่ละรายการจะแสดงด้วยแฮชไดเรกทอรีโค้ด เพื่อการค้นหาอย่างมีประสิทธิภาพ แฮชเหล่านี้จะถูกเรียงก่อนจะถูกใส่ลงในแคชความเชื่อถือ ไดเรกทอรีโค้ดคือผลลัพธ์ของการดำเนินการลงชื่อที่ทำโดย codesign(1) ในการบังคับใช้แคชความเชื่อถือ SIP จะต้องเปิดใช้งานอยู่ ในการปิดใช้งานการบังคับใช้แคชความเชื่อถือบน Mac ที่มี Apple Silicon การเริ่มต้นระบบอย่างปลอดภัยจะต้องกำหนดค่าเป็นความปลอดภัยแบบอนุญาต

เมื่อเรียกใช้ไบนารี (ไม่ว่าจะเพื่อสร้างกระบวนการใหม่หรือเทียบผังโค้ดที่เรียกใช้ได้ไปยังกระบวนการที่มีอยู่แล้ว) ไดเรกทอรีโค้ดของไบนารีจะถูกดึงข้อมูลและแฮช ถ้าพบแฮชผลลัพธ์ในแคชความเชื่อถือ การเทียบผังที่สามารถเรียกใช้ได้ที่สร้างขึ้นสำหรับไบนารีจะได้รับสิทธิ์ของแพลตฟอร์ม นั่นคือ การเทียบผังเหล่านั้นสามารถครอบครองสิทธิ์ใดๆ และทำงานได้โดยไม่ต้องตรวจสอบยืนยันเพิ่มเติมเกี่ยวกับความน่าเชื่อถือของลายเซ็น กระบวนการนี้จะตรงข้ามกับ Mac ที่ใช้ Intel ซึ่งสิทธิ์ของแพลตฟอร์มจะถูกส่งไปยังเนื้อหาระบบปฏิบัติการโดยใบรับรองของ Apple ที่ลงชื่อไบนารี (ใบรับรองนี้ไม่ได้จำกัดว่าสิทธิ์ใดที่ไบนารีสามารถมีได้)

ไบนารีที่ไม่ใช่แพลตฟอร์ม (ตัวอย่างเช่น โค้ดของบริษัทอื่นที่มีการรับรองแล้ว) จะต้องมีลำดับใบรับรองที่ถูกต้องจึงจะสามารถเรียกใช้ได้ และสิทธิ์ที่ไบนารีสามารถมีได้จะถูกจำกัดโดยโปรไฟล์การลงชื่อที่ออกให้กับนักพัฒนาโดย Apple Developer Program

ไบนารีทั้งหมดที่จัดส่งภายใน macOS จะมีการลงชื่อด้วยข้อมูลจำเพาะของแพลตฟอร์ม บน Mac ที่มี Apple Silicon ข้อมูลจำเพาะนี้จะใช้เพื่อระบุว่า แม้ว่าไบนารีจะมีการลงชื่อโดย Apple แฮชไดเรกทอรีโค้ดจะต้องมีอยู่ในแคชความเชื่อถือจึงจะสามารถเรียกใช้ได้ บน Mac ที่ใช้ Intel ข้อมูลจำเพาะของแพลตฟอร์มจะใช้เพื่อดำเนินการเพิกถอนแบบมีเป้าหมายของไบนารีจาก macOS เวอร์ชั่นที่เก่ากว่า การเพิกถอนแบบมีเป้าหมายนี้จะป้องกันไม่ให้ไบนารีเหล่านั้นเรียกใช้บนเวอร์ชั่นที่ใหม่กว่า

แคชความเชื่อถือแบบคงที่จะล็อคชุดของไบนารีอย่างสมบูรณ์ไปยัง macOS เวอร์ชั่นที่กำหนด ลักษณะการทำเช่นนี้จะช่วยป้องกันไบนารีที่ Apple ลงชื่ออย่างถูกต้องจากระบบปฏิบัติการที่เก่ากว่าไม่ให้ถูกนำเข้าไปยังเวอร์ชั่นที่ใหม่กว่าเพื่อให้ผู้โจมตีสามารถใช้ประโยชน์ได้

โค้ดแพลตฟอร์มที่จัดส่งภายนอกระบบปฏิบัติการ

Apple จัดส่งไบนารีบางรายการ เช่น Xcode และสแต็คเครื่องมือการพัฒนา ที่ไม่ได้ลงชื่อด้วยข้อมูลจำเพาะของแพลตฟอร์ม แม้จะเป็นเช่นนั้น Apple ก็ยังคงได้รับอนุญาตให้ดำเนินการด้วยสิทธิ์ของแพลตฟอร์มบน Mac ที่มี Apple Silicon และ Mac ที่มีชิป T2 เนื่องจากซอฟต์แวร์แพลตฟอร์มนี้มีการจัดส่งอย่างอิสระจาก macOS ซอฟต์แวร์จึงไม่อยู่ภายใต้ลักษณะการทำงานการเพิกถอนที่กำหนดโดยแคชความเชื่อถือแบบคงที่

แคชความเชื่อถือแบบโหลดได้

Apple จัดส่งแพ็คเกจซอฟต์แวร์บางรายการพร้อมกับแคชความเชื่อถือแบบโหลดได้ แคชเหล่านี้มีโครงสร้างข้อมูลเดียวกันกับแคชความเชื่อถือแบบคงที่ แต่แม้ว่าแคชความเชื่อถือแบบคงที่จะมีเพียงรายการเดียว และเนื้อหาของแคชมักจะถูกล็อคอยู่ในช่วงอ่านอย่างเดียวเสมอหลังจากที่การเริ่มต้นทำงานในช่วงต้นของเคอร์เนลได้สิ้นสุดลง แคชความเชื่อถือแบบโหลดได้จะถูกเพิ่มไปยังระบบในระหว่างรันไทม์

แคชความเชื่อถือเหล่านี้มีการตรวจสอบสิทธิ์ผ่านกลไกเดียวกันกับกลไกที่ตรวจสอบสิทธิ์เฟิร์มแวร์การเริ่มการทำงาน (การปรับให้เป็นส่วนตัวโดยใช้บริการการลงชื่อที่เชื่อถือได้ของ Apple) หรือกลไกเดียวกันกับวัตถุที่มีการลงชื่อสากล (ซึ่งมีลายเซ็นที่ไม่ผูกกับอุปกรณ์ใดโดยเฉพาะ)

ตัวอย่างหนึ่งของแคชความเชื่อถือที่ปรับให้เป็นส่วนตัวคือแคชที่จัดส่งมาพร้อมกับภาพดิสก์ที่ใช้ดำเนินการการวินิจฉัยช่องบน Mac ที่มี Apple Silicon แคชความเชื่อถือนี้มีการปรับให้เป็นส่วนตัว พร้อมกับภาพดิสก์ แล้วโหลดไปยังเคอร์เนลของคอมพิวเตอร์ Mac เป้าหมายขณะที่เครื่องเริ่มการทำงานไปยังโหมดการวินิจฉัย แคชที่เชื่อถือได้ช่วยให้ซอฟต์แวร์ภายในภาพดิสก์ทำงานด้วยสิทธิ์ของแพลตฟอร์มได้

ตัวอย่างของแคชความเชื่อถือที่มีการลงชื่อสากลจะถูกจัดส่งพร้อมกับรายการอัปเดตซอฟต์แวร์ macOS แคชความเชื่อถือนี้จะอนุญาตให้ชิ้นส่วนของโค้ดภายในรายการอัปเดตซอฟต์แวร์ หรือที่เรียกว่าสมองของการอัปเดต ทำงานด้วยสิทธิ์ของแพลตฟอร์ม สมองของการอัปเดตจะดำเนินการใดๆ เพื่อสร้างการอัปเดตซอฟต์แวร์ที่ระบบโฮสต์ไม่สามารถดำเนินการได้ในลักษณะที่สอดคล้องกันในเวอร์ชั่นต่างๆ

ดูเพิ่มเติมความปลอดภัยของดิสก์โวลุ่มระบบที่ลงชื่อ Rosetta 2 บน Mac ที่มี Apple Silicon การปกป้องการเข้าถึงหน่วยความจำโดยตรงสำหรับคอมพิวเตอร์ Mac การขยายเคอร์เนลอย่างปลอดภัยใน macOS

ดาวน์โหลดคู่มือนี้เป็น PDF

เป็นประโยชน์ไหม

ความปลอดภัยของแพลตฟอร์ม Apple

แคชความเชื่อถือ

โค้ดแพลตฟอร์มที่จัดส่งภายนอกระบบปฏิบัติการ

แคชความเชื่อถือแบบโหลดได้