Максимальная защита: ключ открывается только для вашего лица или пальца

Какую брешь она закрывает

Ключ вашего хранилища должен где-то лежать на телефоне. По умолчанию он лежит там, куда приложение может дотянуться, пока телефон разблокирован.

Ключ вашего хранилища лежит в связке ключей iPhone, только на этом устройстве, и прочитать его можно лишь пока телефон разблокирован. Без Максимальной защиты приложение может прочитать ключ вашего хранилища, когда телефон разблокирован, потому что ключ лежит в связке ключей.

Для большинства людей этого достаточно: ключ охраняет замок самого телефона. Максимальная защита нужна, когда вы хотите, чтобы ключ охраняли ещё и ваше лицо или палец.

Что она делает

Максимальная защита запечатывает ключ вашего хранилища ключом Secure Enclave, которым можно воспользоваться только после живого совпадения Face ID или Touch ID.

Apple описывает Secure Enclave как отдельную защищённую подсистему, изолированную от основного процессора и призванную защищать чувствительные данные пользователя, даже если ядро процессора приложений скомпрометировано.

Простыми словами, ключ обёрнут вторым ключом, который никогда не покидает отдельный чип в телефоне. Этот чип разворачивает его только после живого совпадения вашего лица или пальца. Нет совпадения, нет ключа, а без ключа файлы хранилища нечитаемы.

Что меняется, когда она включена

• Каждая разблокировка заканчивается вашим лицом или пальцем. При включённой Максимальной защите каждая разблокировка заканчивается живым совпадением Face ID или Touch ID, которое выдаёт ключ вашего хранилища.
• Одно ваше лицо может открыть хранилище, если вы не просите ещё и код-пароль. При включённой Максимальной защите и выключенной двойной блокировке хранилище открывается одним лишь совпадением Face ID или Touch ID, без код-пароля. Чтобы просить и то и другое, добавьте двойную блокировку.
• Ложному хранилищу тоже нужно ваше лицо. При включённой Максимальной защите даже ложному код-паролю нужно живое совпадение Face ID или Touch ID, потому что ключ хранилища выдаёт только оно.
• Фото при взломе по-прежнему работают. При включённой Максимальной защите ключа хранилища нет, пока оно заблокировано, поэтому Sealed хранит каждый снимок при взломе зашифрованным открытым ключом Secure Enclave и запечатывает его в хранилище при следующей разблокировке.
• Кнопка камеры на собственном экране блокировки Sealed пропадает. Кнопка камеры на собственном экране блокировки Sealed входит в Sealed Pro и не показывается, пока включены Максимальная защита или парольная фраза хранилища. Это другое, чем камера на экране блокировки iPhone. Камера на экране блокировки и действия «Команд» продолжают работать при включённой Максимальной защите или парольной фразе хранилища, потому что запечатывают фото без вашего ключа хранилища.

Цена: ключ восстановления становится необходим

В iOS ключ, защищённый с помощью biometryCurrentSet, становится недействительным, если человек заново настраивает Face ID либо добавляет или удаляет пальцы для Touch ID.

Поэтому если вы заново настроите лицо или добавите или удалите палец, обёрнутый ключ больше нельзя будет развернуть. Так задумано. Прежде чем вы сможете включить Максимальную защиту, Sealed просит сохранить ключ восстановления: это единственный способ вернуться, если Face ID или Touch ID когда-нибудь изменится.

Считайте это единственным правилом максимальной защиты: сохраните ключ восстановления и держите его вне телефона, прежде чем включать её. Где его хранить, объясняет страница ключа восстановления.

Как включить

1. Сохраните ключ восстановления и подтвердите это.
2. Включите в приложении разблокировку по лицу или отпечатку. Максимальную защиту можно включить, только пока включена разблокировка по Face ID или Touch ID, потому что ваш ключ запечатывается к ней.
3. «Двойная блокировка», «Экран блокировки», «Максимальная защита» и «Парольная фраза хранилища» находятся в «Настройках», в разделе «Код-пароль и разблокировка», в секции «Дополнительная защита». Включите там максимальную защиту и подтвердите лицом или пальцем.

Для Максимальной защиты нужен iPhone или iPad с Face ID или Touch ID.

На новом телефоне

Новый iPhone не может унаследовать привязку Максимальной защиты старого, поэтому вы восстанавливаетесь с помощью ключа восстановления. После восстановления с помощью ключа восстановления Максимальная защита выключена, и вы снова включаете её в «Настройках».

Поэтому после переезда включите её на новом телефоне заново.

Максимальная защита или парольная фраза

И то и другое не даёт ключу лежать на телефоне наготове. Одно привязывает его к вашему лицу, другое к словам, которые вы вводите. Парольная фраза хранилища должна содержать не меньше 12 символов, для неё сначала нужно сохранить ключ восстановления, и её нельзя включить вместе с Максимальной защитой или двойной блокировкой. Страница парольной фразы хранилища сравнивает их.

Бесплатно или Pro

Максимальная защита входит в Sealed Pro.

Где Sealed помогает, а где нет

Помогает держать ключ хранилища запечатанным до живого совпадения вашего лица или пальца, так что один разблокированный телефон его не отдаёт. Максимальная защита запечатывает ключ вашего хранилища ключом Secure Enclave, которым можно воспользоваться только после живого совпадения Face ID или Touch ID.

Не умеет следующего:

• Остановить того, кто может добиться совпадения с вашим лицом. При включённой Максимальной защите и выключенной двойной блокировке хранилище открывается одним лишь совпадением Face ID или Touch ID, без код-пароля. Двойная блокировка добавляет код-пароль.
• Пережить изменение лица или пальцев без ключа восстановления. Прежде чем вы сможете включить Максимальную защиту, Sealed просит сохранить ключ восстановления: это единственный способ вернуться, если Face ID или Touch ID когда-нибудь изменится.
• Переехать на новый телефон. Новый iPhone не может унаследовать привязку Максимальной защиты старого, поэтому вы восстанавливаетесь с помощью ключа восстановления.
• Работать на телефоне без разблокировки по лицу или отпечатку. Для Максимальной защиты нужен iPhone или iPad с Face ID или Touch ID.
• Входить в бесплатный план. Максимальная защита входит в Sealed Pro.