Apple объяснила, как Secure Exclaves защищают данные камеры и микрофона в HomeView

Secure Exclaves представляют собой изолированные среды выполнения, которые обрабатывают данные с камеры и микрофона отдельно от остальной операционной системы. Результаты такой обработки не передаются системе, приложениям и Apple, но вычисления могут использовать основной процессор приложений.

В HomeView с помощью распознавания лиц и голоса устройство определяет до шести человек в доме. Операционная система получает только идентификатор человека, его положение и уровень уверенности. Необработанные аудио и видео удаляются сразу после анализа.

Как устроена схема

HomeView постоянно отправляет поток кадров с камеры в camera exclave, который в паре с person recognition exclave сверяет лица и голоса с базой зарегистрированных пользователей. Когда в кадре появляется человек, система лишь сообщает основной ОС, что рядом может находиться человек, но изображение из изолированной среды не выходит. Аудио обрабатывается аналогично.

Сигналы вроде идентификатора и положения используются для персональных функций, например Календаря и Сообщений, которым нужно знать, кто перед устройством.

Зачем понадобилась новая схема

Индикаторы камеры и микрофона в Apple горят только тогда, когда оба датчика активно работают. Для постоянного фонового анализа они не подходят: лампочки горели бы всё время, и пользователь не мог бы отличить фоновое наблюдение от реальной записи.

У Secure Exclave два режима. В амбиентном режиме без индикатора датчик реагирует на триггеры и передаёт системе лишь небольшой объём метаданных. В активном режиме ОС получает полные данные датчика, а индикатор сообщает, что система имеет доступ к аудио и видео. Индикатор должен быть включён до того, как данные смогут перейти из изолированной среды в систему.

Apple отдельно отметила, что изоляция памяти для Secure Exclaves стала «серьёзной инженерной задачей». Подробности компания опубликовала на своём сайте по безопасности.