macOS Tahoe, Secure Enclave Mac에서 로그인 키체인 수동 복사 더 이상 통하지 않는다
Copying login keychains between Macs fails on Secure Enclave Macs with Tahoe
macOS Tahoe부터 Secure Enclave가 탑재된 Mac에서는 로그인 키체인 파일을 다른 Mac으로 복사해도 비밀번호를 알아도 잠금 해제가 불가능하다. 키체인 암호화 키가 원본 Mac의 Secure Enclave에 묶여 있어, 복사된 키체인은 자동으로 이름이 바뀌고 새 키체인이 생성된다. 필자는 Apple Silicon Mac에서 복사한 login.keychain-db를 Secure Enclave가 없는 VM에서 올바른 비밀번호로 시도했지만 실패하는 것을 확인했다.
메타데이터 키는 Secure Enclave로 보호되지만 키체인의 빠른 쿼리를 위해 Application Processor에 캐시됩니다. 비밀 키는 항상 Secure Enclave를 왕복해야 합니다.
HN 토론
47- xmddmx
사실이라면 불안하다. 내 "전부" 백업이 실제로는 전혀 완전한 백업이 아니라는 뜻이니까.
궁금한데, iCloud 키체인을 활성화해 두면 비밀번호를 되찾는 또 다른 방법이 생기나?
내 MacBook을 도난당했지만 iPhone은 아직 있다고 치자. iPhone의 비밀번호 앱으로 내 비밀번호를 가져올 수 있을까? 그게 전부를 포함할까, 아니면 일부만 포함할까?
- shenenee
이건 거의 의도된 대로 동작하는 거다...
- Jhsto
macOS에서 Linux로 옮기는 건 꽤 고통스러웠다. Mac에서는 보안이 너무 매끄러웠거든. 하지만 내 비밀번호가 어떻게 저장되고 어떤 보장 아래 있는지 전혀 모르고 있었다는 것도 깨달았다. Linux에서 제대로 하려고 공부하고 하드웨어 토큰을 구하는 건 PITA였다. 그래도 이 글을 읽으니 조금은 위안이 된다.
- dfabulich
macOS 로그인 키체인은 Time Machine 백업으로 백업되어, 원래 기기의 Secure Enclave가 분실되거나 파괴된 경우에도 키체인을 복원할 수 있는 방식인가?
- ok_dad
봉투 암호화(envelope encryption)를 사용하고 매번 Secure Enclave로 행 키(row key)를 유도하는 것 같다. 솔직히 내보내기 도구를 제공하지 않는 한 딱히 쉬운 우회 방법은 없다. 아마 예전에는 봉투 암호화를 쓰지 않았거나 비밀번호에서 행 키를 유도했을 거다. 안전한 설계긴 한데, 요즘은 보안이 강할수록 보통 사용성이 떨어진다.