รหัสและรหัสผ่าน
Apple จะใช้รหัสใน iOS, iPadOS และ visionOS และรหัสผ่านใน macOS เพื่อปกป้องข้อมูลผู้ใช้จากการโจมตีที่เป็นอันตราย ยิ่งรหัสหรือรหัสผ่านยาวเท่าไร ก็ยิ่งปลอยภัยมากเท่านั้น และยิ่งป้องกันการโจมตีแบบ Brute-Force ได้ง่ายขึ้น Apple บังคับใช้การรอเวลา (iOS, iPadOS และ visionOS) และจำกัดการพยายามป้อนรหัสผ่าน (Mac) เพื่อเพิ่มการป้องกันจากการโจมตี
บน iPad, iPhone และ Apple Vision Pro เมื่อผู้ใช้ตั้งค่ารหัสหรือรหัสผ่านของอุปกรณ์ ผู้ใช้จะเปิดใช้งานการปกป้องข้อมูลโดยอัตโนมัติ การปกป้องข้อมูลยังจะเปิดใช้งานบนอุปกรณ์อื่นๆ ที่มีระบบ Apple บนชิป (SoC) เช่น Mac ที่มี Apple Silicon, Apple TV และ Apple Watch อีกด้วย Apple ใช้โปรแกรมเข้ารหัสดิสก์โวลุ่ม FileVault ในตัวบนอุปกรณ์ที่ใช้ macOS
การเพิ่มความปลอดภัยด้วยรหัสและรหัสผ่านที่ปลอดภัยสูง
iOS, iPadOS และ visionOS รองรับรหัสตัวเลขและตัวอักษรหกหลัก สี่หลัก และการกำหนดความยาวตามอำเภอใจ นอกจากการปลดล็อคอุปกรณ์ รหัสและรหัสผ่านยังมอบ Entropy สำหรับกุญแจการเข้ารหัสบางรายการอีกด้วย ซึ่งหมายความว่าผู้ไม่ประสงค์ดีที่ได้อุปกรณ์ไปจะไม่สามารถเข้าถึงข้อมูลในคลาสการปกป้องเฉพาะโดยไม่มีรหัสได้
รหัสหรือรหัสผ่านจะเชื่อมโยงกับ UID ของอุปกรณ์ ดังนั้นการโจมตีแบบ Brute-force ต้องทำบนอุปกรณ์ที่จะโจมตี ตัวนับการทำซ้ำจำนวนมากใช้เพื่อทำให้การโจมตีแต่ละครั้งช้าลง ตัวนับการทำซ้ำมีการปรับเทียบเพื่อให้การโจมตีหนึ่งครั้งใช้เวลาประมาณ 80 มิลลิวินาที ซึ่งแท้จริงแล้ว การลองผสมรหัสทั้งหมดของรหัสตัวเลขและตัวอักษรหกหลักซึ่งมีตัวอักษรตัวพิมพ์เล็กและตัวเลขจะใช้เวลามากกว่าห้าปีครึ่ง
ยิ่งรหัสผู้ใช้มีความยากมากขึ้นเท่าใด กุญแจการเข้ารหัสจะยิ่งมีความปลอดภัยสูงขึ้นเท่านั้น และเมื่อใช้ Optic ID, Face ID และ Touch ID ผู้ใช้จะสามารถสร้างรหัสที่ปลอดภัยสูงกว่ารหัสที่ใช้ในเชิงปฏิบัติได้ รหัสที่ปลอดภัยมากขึ้นนี้จะช่วยเพิ่มปริมาณ Entropy ที่มีประสิทธิภาพซึ่งช่วยปกป้องกุญแจการเข้ารหัสที่ใช้สำหรับการปกป้องข้อมูล โดยไม่ส่งผลด้านลบต่อประสบการณ์การใช้งานของผู้ใช้ที่ต้องปลดล็อคอุปกรณ์หลายครั้งต่อวัน
ถ้ารหัสมีเพียงตัวเลข ปุ่มตัวเลขจะแสดงที่หน้าจอล็อค รหัสตัวเลขที่ยาวจะป้อนได้ง่ายกว่ารหัสผ่านตัวเลขและตัวอักษรที่สั้นกว่า ในขณะที่ให้การป้องกันในระดับเดียวกัน
ผู้ใช้สามารถกำหนดรหัสผ่านตัวเลขและตัวอักษรที่ยาวขึ้นได้โดยเลือก กำหนดรหัสตัวอักษรและตัวเลขเอง ในตัวเลือกรหัสในการตั้งค่า > [Optic ID], [Face ID] หรือ [Touch ID] และรหัส) ถ้ารหัสผ่านเป็นตัวเลขและตัวอักษร ปุ่มทั้งหมดจะแสดงที่หน้าจอล็อค
การรอเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force
บน iPad, iPhone, Mac และ Apple Vision Pro เพื่อเพิ่มการป้องกันจากการโจมตีรหัสแบบ Brute-Force จะมีการรอเวลาที่นานขึ้นหลังจากการป้อนรหัส รหัสผ่าน หรือรหัส PIN ที่ไม่ถูกต้อง (ขึ้นอยู่กับอุปกรณ์และสถานะของอุปกรณ์ในขณะนั้น) ดังที่แสดงในตารางด้านล่าง
ความพยายาม | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 ขึ้นไป |
|---|---|---|---|---|---|---|---|---|
หน้าจอล็อค iOS และ iPadOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | อุปกรณ์ถูกล็อคและต้องเชื่อมต่อกับ Mac หรือ PC |
หน้าจอล็อค watchOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | อุปกรณ์ถูกล็อคและต้องเชื่อมต่อกับ iPhone |
หน้าต่างเข้าสู่ระบบ FileVault และหน้าจอล็อค | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | 8 ชั่วโมง |
โหมดการกู้คืน macOS | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | ให้ดูที่ “การรอเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS ได้อย่างไร” ด้านล่าง |
FileVault ที่มีรหัสการกู้คืน (ส่วนบุคคล องค์กร หรือ iCloud) | ไม่มี | 1 นาที | 5 นาที | 15 นาที | 1 ชั่วโมง | 3 ชั่วโมง | 8 ชั่วโมง | ให้ดูที่ “การรอเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS ได้อย่างไร” ด้านล่าง |
การล็อค macOS ระยะไกลด้วยรหัส PIN | 1 นาที | 5 นาที | 15 นาที | 30 นาที | 1 ชั่วโมง | 1 ชั่วโมง | 1 ชั่วโมง | 1 ชั่วโมง |
ถ้าตัวเลือกลบข้อมูลเปิดใช้อยู่สำหรับ iPad, iPhone หรือ Apple Vision Pro (ในการตั้งค่า > [Optic ID], [Face ID] หรือ [Touch ID] และรหัส) หลังจากที่ป้อนรหัสไม่ถูกต้อง 10 ครั้งติดต่อกัน เนื้อหาและการตั้งค่าทั้งหมดจะถูกเอาออกจากพื้นที่จัดเก็บข้อมูล ความพยายามในการป้อนรหัสที่ไม่ถูกต้องซึ่งเป็นรหัสเดียวกันซ้ำๆ จะไม่ถูกนับเป็นการป้อนรหัสผิดที่ติดต่อกันมากกว่าหนึ่งครั้ง การตั้งค่านี้ยังใช้งานเป็นนโยบายการดูแลจัดการได้ผ่านบริการจัดการอุปกรณ์ที่รองรับคุณสมบัตินี้และผ่าน Microsoft Exchange ActiveSync และยังสามารถปรับลดจำนวนครั้งในการป้อนรหัสให้ต่ำลงมาได้
การรอเวลาถูกบังคับใช้โดย Secure Enclave ถ้าอุปกรณ์เริ่มการทำงานเครื่องใหม่ในระหว่างช่วงการรอเวลา การรอเวลาจะยังคงใช้งานอยู่ โดยตัวจับเวลาจะเริ่มต้นใหม่สำหรับช่วงเวลาปัจจุบัน
การรอเวลาที่เพิ่มขึ้นช่วยป้องกันการโจมตีแบบ Brute-Force ใน macOS
ในการช่วยป้องกันการโจมตีแบบ Brute-force เมื่อ Mac เริ่มต้นระบบ ผู้ใช้พยายามป้อนรหัสผ่านในหน้าต่างเข้าสู่ระบบได้ไม่เกิน 10 ครั้ง และการรอเวลาที่เพิ่มขึ้นจะถูกกำหนดขึ้นหลังจากป้อนรหัสผิดตามจำนวนครั้งที่กำหนด การรอเวลาถูกบังคับใช้โดย Secure Enclave ถ้า Mac เริ่มการทำงานเครื่องใหม่ในระหว่างช่วงการรอเวลา การรอเวลาจะยังคงใช้งานอยู่ โดยตัวจับเวลาจะเริ่มต้นใหม่สำหรับช่วงเวลาปัจจุบัน
ในการช่วยป้องกันไม่ให้มัลแวร์ทำให้สูญเสียข้อมูลถาวรโดยการพยายามโจมตีรหัสผ่านของผู้ใช้ การจำกัดเหล่านี้จะไม่ได้ใช้งานหลังจากที่ผู้ใช้เข้าสู่ระบบ Mac เสร็จเรียบร้อย แต่ถูกกำหนดขึ้นอีกครั้งหลังจากเริ่มการทำงานใหม่ ถ้าป้อนรหัสผ่านครบ 10 ครั้งแล้ว จะสามารถป้อนรหัสผ่านได้อีก 10 ครั้งหลังจากเริ่มการทำงานใหม่ไปยัง recoveryOS และถ้าป้อนรหัสผ่านจนครบอีกครั้งแล้ว ผู้ใช้จะสามารถป้อนรหัสผ่านเพิ่มเติมได้อีก 10 ครั้งสำหรับกลไกการกู้คืน FileVault ที่กำหนดค่าไว้ (การกู้คืน iCloud, รหัสการกู้คืน FileVault และกุญแจองค์กร) โดยสามารถป้อนรหัสผ่านเพิ่มเติมได้สูงสุด 30 ครั้ง หลังจากป้อนรหัสผ่านเพิ่มเติมเหล่านั้นครบแล้ว Secure Enclave จะไม่สามารถดำเนินการตามคำร้องใดๆ เพื่อถอดรหัสดิสก์โวลุ่มหรือตรวจสอบยืนยันรหัสผ่านได้อีกต่อไป และข้อมูลบนไดรฟ์จะไม่สามารถกู้คืนได้
ในการช่วยปกป้องข้อมูลในการตั้งค่าองค์กร ฝ่าย IT ควรกำหนดและบังคับใช้นโยบายการกำหนดค่า FileVault โดยใช้บริการจัดการอุปกรณ์ องค์กรมีตัวเลือกมากมายสำหรับจัดการดิสก์โวลุ่มที่ถูกเข้ารหัส รวมถึงรหัสการกู้คืนขององค์กร รหัสการกู้คืนส่วนบุคคล (ซึ่งสามารถเลือกที่จะจัดเก็บด้วยบริการจัดการอุปกรณ์สำหรับข้อมูลที่ฝากได้) หรือทั้งสองประเภทรวมกัน การหมุนเวียนของกุญแจก็สามารถตั้งค่าเป็นนโยบายในบริการจัดการอุปกรณ์ได้ด้วยเช่นกัน
บน Mac ที่มีชิป Apple T2 Security รหัสผ่านจะทำหน้าที่คล้ายคลึงกัน ยกเว้นว่ากุญแจที่สร้างขึ้นจะใช้สำหรับการเข้ารหัส FileVault แทนการปกป้องข้อมูล