macOS TahoeではSecure Enclave搭載Mac間でのlogin keychainのコピーが機能しなくなった
Copying login keychains between Macs fails on Secure Enclave Macs with Tahoe
macOS Tahoe以降、Secure Enclaveを搭載したMacでは、login keychainファイルを手動で別のMacにコピーしても、正しいパスワードを入力してもロック解除できなくなった。鍵がSecure Enclaveに結びついているためで、コピー先では新しいlogin keychainが自動生成される。Apple Silicon MacからVMへのコピーで検証され、ログに失敗が記録されている。
メタデータキーはSecure Enclaveによって保護されているが、キーチェーンの高速なクエリを可能にするためにApplication Processorにキャッシュされる。シークレットキーは常にSecure Enclaveを経由する必要がある。
HNでの議論
47- xmddmx
もし本当なら不安だ。自分の「全部」のバックアップが実は完全なバックアップではないということになるから。
もしiCloud keychainを有効にしていたら、パスワードを取り戻す別の方法になるのだろうか？
仮にMacBookが盗まれても、iPhoneが手元にあれば、iPhoneのパスワードアプリを使ってパスワードを取得できるのだろうか。それはすべてのパスワードを含むのか、それとも一部だけなのか？
- shenenee
これはほぼ想定通りの動作だと思うけど…
- Jhsto
macOSからLinuxへの移行はかなり苦痛だった。Macではセキュリティがとてもシームレスだったから。でも同時に、自分のパスワードがどう保存され、どんな保証のもとにあるのか全く知らなかったことにも気づいた。Linuxでちゃんとやるために学んだりハードウェアトークンを入手したりするのは面倒だった。でもこの投稿を読んで少しだけ気が楽になった。
- dfabulich
macOSのlogin keychainは、元のマシンのSecure Enclaveが失われたり破壊されたりした場合にkeychainを復元できるような形でTime Machineバックアップに含まれるのだろうか？
- ok_dad
どうやらエンベロープ暗号化を使っていて、毎回Secure Enclaveで行キーを導出しているようだ。正直なところ、それをエクスポートするツールを提供すべき以外に簡単な回避策はない。おそらく以前はエンベロープ暗号化を使っていなかったか、パスワードから行キーを導出していたのだろう。これは安全な設計だが、最近はセキュリティが高いほど使い勝手が悪くなることが多い。