أمن الأنظمة لـ watchOS

تحديث watchOS

يمكن تكوين watchOS ليتم تحديثه خلال ساعات الليل. لمزيد من المعلومات حول كيفية تخزين رمز دخول Apple Watch واستخدامه أثناء التحديث، انظر حاويات المفاتيح.

اكتشاف المعصم

إذا تم تمكين اكتشاف المعصم، يتم قفل الجهاز تلقائيًا بعد فترة وجيزة من إزالته من معصم المستخدم. وإذا تم تعطيل اكتشاف المعصم، يوفر مركز التحكم خيارًا لقفل Apple Watch. عند قفل Apple Watch، لا يمكن استخدام Apple Pay إلا عن طريق إدخال رمز الدخول على Apple Watch. ويتم إيقاف اكتشاف المعصم باستخدام تطبيق Apple Watch على الـ iPhone. يمكن أيضًا فرض هذا الإعداد باستخدام حل إدارة جهاز الجوال (MDM).

قفل التنشيط

عند تشغيل تحديد الموقع على iPhone، تستطيع Apple Watch المقترنة به استخدام ميزة قفل التنشيط. ويُصعّب قفل التنشيط على أي شخص استخدام أو بيع Apple Watch التي تعرضت للفقدان أو السرقة. يتطلب قفل التنشيط Apple ID وكلمة السر الخاصين بالمستخدم لإلغاء إقران Apple Watch أو مسحها أو إعادة تنشيطها.

الإقران الآمن مع الـ iPhone

يمكن إقران Apple Watch بجهاز iPhone واحد فقط في المرة الواحدة. عندما تكون Apple Watch غير مقترنة، يقوم الـ iPhone بإرسال التعليمات لمسح كل المحتوى والبيانات من الساعة.

يتم تأمين اقتران Apple Watch مع الـ iPhone باستخدام عملية خارج النطاق لتبادل المفاتيح العامة، متبوعة بالسر المشترك لرابط Bluetooth®‎ منخفض الطاقة (‎BLE‎)‎. تعرض Apple Watch نمطًا متحركًا يتم التقاطه بواسطة الكاميرا على الـ iPhone. ويحتوي النمط على سر مشفر يُستخدم في اقتران BLE 4.1 خارج النطاق. يستخدم إدخال مفتاح مرور BLE القياسي كطريقة اقتران احتياطية، إذا لزم الأمر.

بعد إنشاء جلسة BLE وتشفيرها باستخدام أعلى بروتوكول أمني متاح في مواصفات Bluetooth الأساسية، ومفاتيح تبادل iPhone و Apple Watch باستخدام أي مما يلي:

• عملية مقتبسة من خدمة الهوية من Apple ‏(IDS) كما هو موضح في نظرة عامة على أمن iMessage.

• تبادل المفاتيح باستخدام IKEv2/IPsec. تتم مصادقة تبادل المفاتيح الأولي باستخدام إما مفتاح جلسة Bluetooth (لسيناريوهات الاقتران) أو مفاتيح IDS (لسيناريوهات تحديث نظام التشغيل). ينشئ كل جهاز زوج مفاتيح Ed25519 خاص-عام عشوائي سعة 256 بت وخلال عملية تبادل المفاتيح الأولية، يتم تبادل المفاتيح العامة. عند إقران Apple Watch بـ watchOS 10 أو أحدث للمرة الأولى، يرجع جذر المفاتيح الخاصة إلى Secure Enclave.

  على iPhone الذي يعمل بنظام iOS 17 أو أحدث، لا يرجع جذر المفاتيح الخاصة إلى Secure Enclave، لأن المستخدم الذي يستعيد نسخة iCloud الاحتياطية إلى iPhone نفسه يحافظ على اقتران Apple Watch الحالي دون الحاجة إلى إجراء نقل.

بعد استبدال المفاتيح:

• يتم تجاهل مفتاح جلسة Bluetooth ويتم تشفير جميع الاتصالات بين iPhone و Apple Watch باستخدام إحدى الطرق المذكورة أعلاه — مع Bluetooth المشفرة و Wi-Fi والروابط الخلوية التي توفر طبقة تشفير ثانوية.

• (IKEv2/IPsec فقط) يتم تخزين المفاتيح في سلسلة مفاتيح النظام واستخدامها لمصادقة جلسات IKEv2/IPsec المستقبلية بين الأجهزة. يتم تشفير الاتصال الإضافي بين هذه الأجهزة وحماية تكاملها باستخدام AES-256-GCM على أجهزة iPhone المثبّت عليها iOS 15 أو أحدث مقترنة بـ Apple Watch Series 4 أو أحدث مثبّت عليها watchOS 8 أو أحدث. (يتم استخدام ChaCha20-Poly1305 بمفاتيح 256 بت على الأجهزة الأقدم أو الأجهزة المثبت عليها إصدارات أنظمة التشغيل الأقدم).

يتم تدوير عنوان جهاز Bluetooth منخفض الطاقة على فترات زمنية مدتها 15 دقيقة لتقليل مخاطر تعقب الجهاز محليًا إذا لجأ شخص ما إلى بث معرّف دائم.

لدعم التطبيقات التي تحتاج إلى تدفق البيانات، يتم توفير التشفير باستخدام الطرق الموضحة في أمن فيس تايم، وذلك باستخدام إما خدمة الهوية من Apple ‏(IDS) التي يوفرها iPhone المقترن أو اتصال إنترنت مباشر.

تنفذ Apple Watch تخزينًا مشفرًا بالمكونات المادية وحماية على أساس الفئة للملفات وعناصر سلسلة المفاتيح. كما يتم استخدام حاويات المفاتيح التي يتم التحكم في الوصول إليها لعناصر سلسلة المفاتيح. يتم أيضًا تأمين المفاتيح المستخدمة للاتصال بين الـ Apple Watch والـ iPhone باستخدام الحماية المستندة إلى الفئة. لمزيد من المعلومات، انظر حافظات المفاتيح لحماية البيانات.

فتح القفل التلقائي و Apple Watch

لمزيد من الراحة عند استخدام أجهزة Apple متعددة، يمكن لبعض الأجهزة فتح قفل الأجهزة الأخرى تلقائيًا في مواقف معينة. يدعم فتح القفل التلقائي ثلاثة استخدامات:

• يمكن فتح قفل Apple Watch بواسطة iPhone.

• يمكن فتح قفل Mac بواسطة Apple Watch.

• يمكن فتح قفل iPhone بواسطة Apple Watch عندما يتم اكتشاف المستخدم أثناء تغطية أنفه وفمه.

جميع حالات الاستخدام الثلاثة مبنية على الأساس الرئيسي نفسه: بروتوكول محطة إلى محطة (STS) مُصادَق عليه بشكل متبادل، مع مفاتيح طويلة الأجل يتم تبادلها في وقت تمكين الميزة ومفاتيح جلسة مؤقتة فريدة يتم التفاوض عليها لكل طلب. بغض النظر عن قناة الاتصال الأساسية، يتم التفاوض على معبر STS مباشرة بين Secure Enclaves في كلا الجهازين، ويتم الاحتفاظ بجميع مواد التشفير داخل هذا النطاق الآمن (باستثناء أجهزة كمبيوتر Mac التي لا تحتوي على Secure Enclave، والتي تنهي معبر STS في ملحق kernel).

فتح القفل

يمكن تقسيم تسلسل فتح القفل الكامل إلى مرحلتين. أولاً، يقوم الجهاز الذي يتم فتح قفله ("الهدف") بإنشاء سر فتح قفل مشفر وإرساله إلى الجهاز الذي ينفّذ فتح القفل ("البادئ"). بعد ذلك، يقوم البادئ بفتح القفل باستخدام السر الذي تم إنشاؤه سابقًا.

لتأمين فتح القفل التلقائي، يتصل الجهازان ببعضها باستخدام اتصال BLE. ثم يتم إرسال سر فتح قفل مكون من 32 بايت تم إنشاؤه عشوائيًا بواسطة الجهاز المستهدف إلى البادئ عبر معبر STS. أثناء عملية فتح القفل التالية باستخدام المقاييس الحيوية أو رمز الدخول، يعمل الجهاز المستهدف على تغليف المفتاح المشتق من رمز الدخول (PDK) الخاص به بسر فتح القفل ويتجاهل سر فتح القفل من ذاكرته.

لتنفيذ فتح القفل، يقوم الجهازان ببدء اتصال BLE جديد ثم استخدام شبكة Wi-Fi من نظير إلى نظير لتقريب المسافة بينهما بشكل آمن. إذا كان الجهازان ضمن النطاق المحدد وتم استيفاء سياسات الأمن المطلوبة، يرسل البادئ سر فتح القفل الخاص به إلى المستهدف عبر معبر STS. يقوم المستهدف بعد ذلك بإنشاء سر جديد لفتح القفل مكون من 32 بايت وإعادته إلى البادئ. إذا نجح سر فتح القفل الحالي الذي أرسله البادئ في فك تشفير سجل فتح القفل، فسيتم فتح قفل الجهاز المستهدف وإعادة تغليف PDK بسر جديد لفتح القفل. أخيرًا، يتم بعد ذلك تجاهل سر فتح القفل الجديد و PDK من ذاكرة الجهاز المستهدف.

سياسات أمن فتح القفل التلقائي على Apple Watch

لمزيد من الراحة، يمكن فتح قفل Apple Watch بواسطة iPhone مباشرةً بعد بدء التشغيل الأولي دون مطالبة المستخدم أولاً بإدخال رمز المرور على Apple Watch نفسها. لتحقيق ذلك، يتم استخدام سر فتح القفل العشوائي (الذي تم إنشاؤه أثناء تسلسل فتح القفل الأول بعد تمكين الميزة) لإنشاء سجل ضمان طويل الأجل، يتم تخزينه في حاوية مفاتيح Apple Watch. يتم تخزين سر سجل الضمان في سلسلة مفاتيح iPhone ويتم استخدامه لبدء جلسة جديدة بعد كل إعادة تشغيل على Apple Watch.

سياسات أمن فتح القفل التلقائي على iPhone

تنطبق سياسات الأمن الإضافية على فتح القفل التلقائي على iPhone باستخدام Apple Watch. لا يمكن استخدام Apple Watch بدلاً من بصمة الوجه على iPhone في عمليات أخرى، مثل Apple Pay أو تفويضات التطبيق. عندما تنجح Apple Watch في فتح قفل iPhone مقترن، تعرض الساعة إشعارًا وتقوم بتشغيل إشعار حسي مرتبط. إذا ضغط المستخدم على زر قفل iPhone في الإشعار، ترسل الساعة إلى iPhone أمر قفل عبر BLE. عندما يتلقى iPhone أمر القفل، فإنه يقفل ويعطل كلاً من بصمة الوجه وفتح القفل باستخدام Apple Watch. يجب إجراء فتح قفل iPhone التالي باستخدام رمز دخول iPhone.

يتطلب فتح قفل iPhone مقترن بنجاح من Apple Watch (عند التمكين) استيفاء المعايير التالية:

• يجب أن يكون iPhone قد تم فتح قفله باستخدام طريقة أخرى مرة واحدة على الأقل بعد وضع Apple Watch المرتبطة على المعصم وفتح قفلها.

• يجب أن تكون المستشعرات قادرة على اكتشاف تغطية الأنف والفم.

• يجب أن تكون المسافة المقاسة من مترين إلى ثلاثة أمتار أو أقل

• يجب ألا تكون Apple Watch في نمط وقت النوم.

• يجب أن يكون قد تم فتح قفل Apple Watch أو iPhone مؤخرًا، أو يجب أن تكون Apple Watch قد تعرضت لحركة جسدية تشير إلى أن مرتديها نشط (على سبيل المثال، ليس نائمًا).

• يجب أن يكون iPhone قد تم فتح قفله مرة واحدة على الأقل خلال آخر 6,5 ساعات.

• يجب أن يكون iPhone في حالة يُسمح فيها لميزة بصمة الوجه بفتح قفل الجهاز. (لمزيد من المعلومات، انظر بصمة الوجه وبصمة الإصبع ورموز المرور وكلمات السر).

الموافقة في macOS باستخدام Apple Watch

عند تمكين فتح القفل التلقائي باستخدام Apple Watch، يمكن استخدام Apple Watch في مكانها أو مع بصمة الإصبع للموافقة على مطالبات التخويل والمصادقة من:

• تطبيقات macOS و Apple التي تطلب التخويل

• تطبيقات الجهات الخارجية التي تطلب المصادقة

• كلمة سر سفاري المحفوظة

• الملاحظات الآمنة

الاستخدام الآمن لـ Wi-Fi والبيانات الخلوية و iCloud و Gmail

عندما لا تكون Apple Watch ضمن نطاق Bluetooth، يمكن استخدام Wi-Fi أو الشبكة الخلوية بدلاً من ذلك. تنضم Apple Watch تلقائيًا إلى شبكات Wi-Fi التي تم الانضمام إليها بالفعل على الـ iPhone المقترن والتي تمت مزامنة بيانات اعتمادها مع Apple Watch أثناء وجود كلا الجهازين في النطاق. يمكن بعد ذلك تكوين سلوك الانضمام التلقائي على أساس كل-شبكة في قسم Wi-Fi في تطبيق إعدادات Apple Watch. ويمكن ربط شبكات Wi-Fi التي لم يتم الانضمام إليها من قبل على أي من الجهازين يدويًا في قسم Wi-Fi في تطبيق إعدادات Apple Watch.

عندما تكون Apple Watch والـ iPhone خارج النطاق، تتصل Apple Watch مباشرة بخوادم iCloud و Gmail لجلب البريد، بدلاً من مزامنة بيانات البريد مع الـ iPhone المقترن عبر الإنترنت. بالنسبة لحسابات Gmail، يجب على المستخدم المصادقة مع Google في قسم البريد في تطبيق Watch على الـ iPhone. يُرسل رمز OAuth الذي تم استلامه من Google إلى Apple Watch بتنسيق مشفر عبر خدمة الهوية من Apple ‏(IDS) حتى يمكن استخدامه لجلب البريد. ولا يُستخدم رمز OAuth هذا مطلقًا للاتصال بخادم Gmail من الـ iPhone المقترن.