苹果在 Apple 芯片中引入面向环境感知的新安全架构 Secure Exclaves

我们近期推出了HomeView，它可以识别多达六个人，从而提供丰富且个性化的体验。这一能力依赖于环境感知：利用麦克风和摄像头来理解周围环境，并识别已注册用户的声音和面部。我们始终认为，此类功能必须从底层设计上就保护用户的安全与隐私，如今我们在此基础上更进一步，在Apple芯片中引入了一套专为环境感知打造的全新安全架构。这项工作既惠及我们最新的功能，也强化了我们已有功能的安全性，例如“嘿 Siri”检测。我们的目标是：即便面对高度复杂的攻击，也能确保环境传感器数据的安全，同时每当传感器完全激活时，为用户提供清晰、可靠且防篡改的信号。

尽管环境感知依赖于处理来自摄像头或麦克风的输入，但它绝不能录制音频或视频，也不能将其暴露给操作系统的其余部分。相反，它必须将传感器数据流简化为简单得多的信号，例如是否检测到特定声音，或是否识别出已注册用户的面部或声音，同时在处理过程中保护原始传感器数据，并在处理完成后将其丢弃。

硬连线的LED传感器指示灯易于理解，并在我们产品的隐私和安全方面发挥着重要作用，但并不适合环境感知的使用场景，因为它们会持续发光。这会削弱指示灯的作用，并使用户无法区分后台感知（例如设备正在监听“嘿 Siri”唤醒词）与主动的音频和视频录制。于是我们转而致力于让环境感知能够在一个高度隔离的环境中运行，同时充分借助主应用处理器的能力，并拥有一个精确受控的接口通往系统其余部分，以及一套安全的指示机制，以便用户知晓音频或视频数据何时被允许离开隔离边界。

为实现这一目标，我们创建了Secure Exclaves：受保护且相互隔离的运行时，用于将摄像头和麦克风数据处理与系统其余部分分开。芯片众多核心组件中新增的隔离特性协同工作，保护Secure Exclaves并使其与系统其余部分保持隔离。在Secure Exclave中处理和分析的数据无法被主操作系统、应用或Apple访问。

我们使用Secure Exclaves来保护全新的用例，例如HomeView上的人员识别，以及Siri Recap和Live Rewind（详见此处）。我们还用它们来保护iPhone 18 Pro、iPhone 18 Pro Max和iPhone Duo上的屏幕摄像头与麦克风指示灯，以及MacBook Neo和HomeView上的摄像头指示灯，从而全面提升用户的安全保障。

我们认为，Secure Exclaves是业界最先进的环境感知架构，为这些用例定义了雄心勃勃的安全与隐私新高度。

为了保护环境感知，我们的目标是构建一个能以两种不同模式运行的系统：环境模式和活动模式，摄像头和麦克风均适用。在环境模式下，传感器可以响应周围世界中的特定触发条件，但只有特定的元数据可以共享给系统其余部分。在活动模式下，完整的传感器数据可以释放给主操作系统（OS），同时安全指示灯会可靠地告知用户这一情况。

要应对这一挑战，最终需要构建一个全新的隔离计算环境，它既能满足环境感知用例的全部性能需求，又能与主OS保持清晰隔离，这需要满足三项主要要求：

构建新的安全运行时需要高度安全的OS基础。为此，我们采用了Apple定制的L4微内核版本，该版本最初是为一些安全最敏感的部署而构建的，包括安全隔区处理器（SEP）。该微内核使用能力（capabilities），即安全的资源句柄，既能标识又能授权对底层资源的访问。这种简单而强大的机制同时应用于内存隔离和IPC安全，使我们能够构建一个不包含任何多余权限的安全系统。exclaves微内核及其正确性形式化验证方法将在本文后面详细介绍。

Secure Exclaves在主OS之外的不同处理器执行上下文中运行，这使我们能够采用一个独立的操作系统，专门设计用于处理高安全、高性能的工作负载。但隔离还要求谨慎处理应用处理器可用的所有共享资源：最重要的是系统内存以及与协处理器的通信。

为Secure Exclaves独占使用而隔离内存是一项严峻的工程挑战：负责组织并保护主设备内存的页表管理，通常由主OS处理。我们在早前的版本中为隔离奠定了基础，将这个子系统剥离出来并重建为安全页表监视器（SPTM）：一个独立的组件，负责页表和内存逻辑，并以高于主OS内核的权限级别运行。它与主OS不共享数据或代码，并由引导加载程序单独加载。这一架构重构不仅加固了整个系统以抵御某些内核级攻击，还为隔离Secure Exclave内存奠定了基础。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）