รหัสและรหัสผ่าน
Apple จะใช้รหัสใน iOS และ iPadOS และรหัสผ่านใน macOS เพื่อปกป้องข้อมูลผู้ใช้จากการโจมตีที่เป็นอันตราย ยิ่งรหัสหรือรหัสผ่านยาวเท่าไร ก็ยิ่งปลอยภัยมากเท่านั้น และยิ่งป้องกันการโจมตีแบบ Brute-Force ได้ง่ายขึ้น Apple บังคับใช้การหน่วงเวลา (สำหรับ iOS และ iPadOS) และจำกัดการพยายามป้อนรหัสผ่าน (สำหรับ Mac) เพื่อเพิ่มการป้องกันจากการโจมตี
การตั้งค่ารหัสอุปกรณ์หรือรหัสผ่านใน iOS และ iPadOS จะเป็นการเปิดใช้งานการปกป้องข้อมูลโดยอัตโนมัติ การปกป้องข้อมูลยังเปิดใช้งานบนอุปกรณ์อื่นๆ ที่มีระบบ Apple บนชิป (SoC) เช่น Mac ที่มี Apple Silicon, Apple TV, และ Apple Watch อีกด้วย Apple ใช้โปรแกรมเข้ารหัสดิสก์โวลุ่ม FileVault ในตัวสำหรับ macOS
รหัสและรหัสผ่านที่ปลอดภัยสูงช่วยเพิ่มความปลอดภัยได้อย่างไร
iOS และ iPadOS รองรับรหัสตัวเลขและตัวอักษรหกหลัก สี่หลัก และการกำหนดความยาวตามอำเภอใจ นอกจากการปลดล็อคอุปกรณ์ รหัสและรหัสผ่านยังมอบ Entropy สำหรับกุญแจการเข้ารหัสบางรายการอีกด้วย ซึ่งหมายความว่าผู้ไม่ประสงค์ดีที่ได้อุปกรณ์ไปจะไม่สามารถเข้าถึงข้อมูลในคลาสการปกป้องเฉพาะโดยไม่มีรหัสได้
รหัสหรือรหัสผ่านจะเชื่อมโยงกับ UID ของอุปกรณ์ ดังนั้นการโจมตีแบบ Brute-force จะต้องทำบนอุปกรณ์ที่จะโจมตี ตัวนับการทำซ้ำจำนวนมากใช้เพื่อทำให้การโจมตีแต่ละครั้งช้าลง ตัวนับการทำซ้ำมีการปรับเทียบเพื่อให้การโจมตีหนึ่งครั้งใช้เวลาประมาณ 80 มิลลิวินาที ซึ่งแท้จริงแล้ว การลองผสมรหัสทั้งหมดของรหัสตัวเลขและตัวอักษรหกหลักซึ่งมีตัวอักษรตัวพิมพ์เล็กและตัวเลขจะใช้เวลามากกว่าห้าปีครึ่ง
ยิ่งรหัสผู้ใช้มีความยากมากขึ้นเท่าใด กุญแจการเข้ารหัสจะยิ่งมีความปลอดภัยสูงขึ้นเท่านั้น และด้วยการใช้ Face ID และ Touch ID ผู้ใช้จะสามารถสร้างรหัสที่ปลอดภัยได้สูงกว่ารหัสที่ใช้ได้ในเชิงปฏิบัติ รหัสที่ปลอดภัยมากขึ้นนี้จะช่วยเพิ่มปริมาณ Entropy ที่มีประสิทธิภาพซึ่งช่วยปกป้องกุญแจการเข้ารหัสที่ใช้สำหรับการปกป้องข้อมูล โดยไม่ส่งผลด้านลบต่อประสบการณ์การใช้งานของผู้ใช้ที่ต้องปลดล็อคอุปกรณ์หลายครั้งตลอดวัน
ถ้าป้อนรหัสผ่านที่ยาวและมีเพียงตัวเลขเท่านั้น ปุ่มตัวเลขจะแสดงบนหน้าจอล็อคแทนแป้นพิมพ์แบบเต็ม รหัสตัวเลขที่ยาวจะป้อนได้ง่ายกว่ารหัสตัวเลขและตัวอักษรที่สั้นกว่า ในขณะที่ให้การป้องกันในระดับเดียวกัน
ผู้ใช้สามารถกำหนดรหัสตัวเลขและตัวอักษรที่ยาวขึ้นได้โดยเลือก กำหนดรหัสตัวอักษรและตัวเลขเอง ในตัวเลือกรหัสในการตั้งค่า > Touch ID และรหัส หรือ Face ID และรหัส
การหน่วงเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ได้อย่างไร
สำหรับ iOS, iPadOS และ macOS เพื่อเพิ่มการป้องกันจากการโจมตีรหัสแบบ Brute-Force ระบบมีการหน่วงเวลาที่เพิ่มขึ้นหลังจากการป้อนรหัส รหัสผ่าน หรือรหัส PIN ที่ไม่ถูกต้อง (ขึ้นอยู่กับอุปกรณ์และสถานะของอุปกรณ์ในขณะนั้น) ดังที่แสดงในตารางด้านล่าง
ความพยายาม | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 ขึ้นไป |
|---|---|---|---|---|---|---|---|---|
หน้าจอล็อค iOS และ iPadOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | อุปกรณ์ถูกปิดใช้งานและต้องเชื่อมต่อกับ Mac หรือ PC |
หน้าจอล็อค watchOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | อุปกรณ์ถูกปิดใช้งานและต้องเชื่อมต่อกับ iPhone |
หน้าต่างเข้าสู่ระบบและหน้าจอล็อค macOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | 8 ชั่วโมง |
โหมดการกู้คืน macOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | ให้ดูที่ “การหน่วงเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS ได้อย่างไร” ด้านล่าง |
FileVault ที่มีรหัสการกู้คืน (ส่วนบุคคล องค์กร หรือ iCloud) | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | ให้ดูที่ “การหน่วงเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS ได้อย่างไร” ด้านล่าง |
การล็อค macOS ระยะไกลด้วยรหัส PIN | 1 นาที | 5 นาที | 15 นาที | 30 นาที | 1 ชั่วโมง | 1 ชั่วโมง | 1 ชั่วโมง | 1 ชั่วโมง |
ถ้าตัวเลือกลบข้อมูลเปิดใช้อยู่สำหรับ iPhone หรือ iPad (ในการตั้งค่า > [Face ID] หรือ [Touch ID] และรหัส) หลังจากป้อนรหัสไม่ถูกต้อง 10 ครั้งติดต่อกัน เนื้อหาและการตั้งค่าทั้งหมดจะถูกเอาออกจากพื้นที่จัดเก็บข้อมูล ความพยายามในการป้อนรหัสที่ไม่ถูกต้องซึ่งเป็นรหัสเดียวกันซ้ำๆ จะไม่ถูกนับเป็นการป้อนรหัสผิดที่ติดต่อกันมากกว่าหนึ่งครั้ง การตั้งค่านี้ยังใช้งานเป็นนโยบายการดูแลจัดการได้ผ่านโซลูชั่นการจัดการอุปกรณ์เคลื่อนที่ (MDM) ที่รองรับคุณสมบัตินี้และผ่าน Microsoft Exchange ActiveSync และยังสามารถปรับลดจำนวนครั้งในการป้อนรหัสให้ต่ำลงมาได้
บนอุปกรณ์ที่ใช้ Secure Enclave การหน่วงเวลาจะถูกบังคับใช้โดย Secure Enclave ถ้าอุปกรณ์เริ่มการทำงานเครื่องใหม่ในระหว่างช่วงการหน่วงเวลา การหน่วงเวลาจะยังคงใช้งานอยู่ โดยตัวจับเวลาจะเริ่มต้นใหม่สำหรับช่วงเวลาปัจจุบัน
การหน่วงเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS ได้อย่างไร
ในการช่วยป้องกันการโจมตีแบบ Brute-force เมื่อ Mac เริ่มต้นระบบ ผู้ใช้พยายามป้อนรหัสผ่านในหน้าต่างเข้าสู่ระบบได้ไม่เกิน 10 ครั้ง และการหน่วงเวลาที่เพิ่มขึ้นจะถูกกำหนดขึ้นหลังจากป้อนรหัสผิดตามจำนวนครั้งที่กำหนด การหน่วงเวลาถูกบังคับใช้โดย Secure Enclave ถ้า Mac เริ่มการทำงานเครื่องใหม่ในระหว่างช่วงการหน่วงเวลา การหน่วงเวลาจะยังคงใช้งานอยู่ โดยตัวจับเวลาจะเริ่มต้นใหม่สำหรับช่วงเวลาปัจจุบัน
ในการช่วยป้องกันไม่ให้มัลแวร์ทำให้สูญเสียข้อมูลถาวรโดยการพยายามโจมตีรหัสผ่านของผู้ใช้ การจำกัดเหล่านี้จะไม่ได้ใช้งานหลังจากที่ผู้ใช้เข้าสู่ระบบ Mac เสร็จเรียบร้อย แต่ถูกกำหนดขึ้นอีกครั้งหลังจากเริ่มการทำงานใหม่ ถ้าป้อนรหัสผ่านครบ 10 ครั้งแล้ว จะสามารถป้อนรหัสผ่านได้อีก 10 ครั้งหลังจากเริ่มการทำงานใหม่ไปยัง recoveryOS และถ้าป้อนรหัสผ่านจนครบ 10 ครั้งแล้วเช่นกัน จะสามารถป้อนรหัสผ่านเพิ่มเติมได้อีก 10 ครั้งสำหรับกลไกการกู้คืน FileVault แต่ละกลไก (การกู้คืน iCloud, รหัสการกู้คืน FileVault และกุญแจองค์กร) สำหรับการป้อนรหัสผ่านเพิ่มเติมสูงสุด 30 ครั้ง หลังจากป้อนรหัสผ่านเพิ่มเติมเหล่านั้นครบแล้ว Secure Enclave จะไม่สามารถดำเนินการตามคำร้องใดๆ เพื่อถอดรหัสดิสก์โวลุ่มหรือตรวจสอบความถูกต้องรหัสผ่านได้อีกต่อไป และข้อมูลบนไดรฟ์จะไม่สามารถกู้คืนได้
ในการปกป้องข้อมูลในการตั้งค่าองค์กร ฝ่ายไอทีควรกำหนดและบังคับใช้นโยบายการกำหนดค่า FileVault โดยใช้โซลูชั่น MDM องค์กรจะมีตัวเลือกมากมายสำหรับจัดการดิสก์โวลุ่มที่ถูกเข้ารหัส รวมถึงรหัสการกู้คืนขององค์กร รหัสการกู้คืนส่วนบุคคล (ซึ่งสามารถเลือกที่จะจัดเก็บด้วย MDM สำหรับข้อมูลที่ฝากได้) หรือกุญแจทั้งสองประเภท การหมุนเวียนของกุญแจก็สามารถตั้งค่าเป็นนโยบายใน MDM ได้ด้วยเช่นกัน
บน Mac ที่มีชิป Apple T2 Security รหัสผ่านจะทำหน้าที่คล้ายคลึงกัน ยกเว้นว่ากุญแจที่สร้างขึ้นจะใช้สำหรับการเข้ารหัส FileVault แทนการปกป้องข้อมูล macOS ยังเสนอตัวเลือกการกู้คืนรหัสผ่านเพิ่มเติม:
การกู้คืน iCloud
การกู้คืน FileVault
กุญแจ FileVault สำหรับองค์กร