iCloud 钥匙串安全恢复

iCloud 钥匙串会将用户的钥匙串数据交予 Apple 托管，但不允许 Apple 读取密码和钥匙串包含的其他数据。即使用户只有一台设备，钥匙串恢复也可提供一个防止数据丢失的安全网。当 Safari 浏览器用于为网络帐户生成随机强密码时，这尤其重要，因为这些密码的唯一记录在钥匙串中。

钥匙串恢复包含两大基本要素：二次身份认证和安全托管服务，后者是 Apple 专为支持此功能而创建的服务。用户的钥匙串通过强密码进行加密，只有满足一系列严格的条件，托管服务才会提供钥匙串副本。

建立强密码有以下几种方法：

如果用户帐户启用了双重认证，则使用设备密码来恢复托管的钥匙串。

如果未设置双重认证，用户需要通过提供六位数字密码来创建 iCloud 安全码。除此之外，如果未设置双重认证，用户可以自行指定较长的安全码或允许其设备创建随机加密的安全码，他们可以自行记录和保存。

密码建立后，钥匙串由 Apple 托管。iOS、iPadOS 或 macOS 设备先导出用户的钥匙串副本，然后将其与密钥加密封装于非对称钥匙包中，并放置在用户的 iCloud 键值存储区域。密钥包被用户的 iCloud 安全码和储存托管记录的硬件安全模块 (HSM) 集群公钥所封装。它会变成用户的 iCloud 托管记录。对于双重认证帐户，钥匙串还储存在 CloudKit 中并封装到只能通过 iCloud 托管记录的内容才能恢复的中间密钥，因此提供了相同级别的安全保护。

托管记录的内容还允许恢复设备重新加入 iCloud 钥匙串，向所有现有设备证明恢复设备已成功执行托管流程并因此获得帐户所有者的授权。

【注】如果用户决定接受随机加密的安全码而不自行指定或使用 4 位数值，则不再需要托管记录。此时，会使用 iCloud 安全码直接封装随机密钥。

除了创建安全码，用户还必须注册电话号码。这在钥匙串恢复过程中提供了第二重认证。用户收到短信后，必须回复才能继续恢复。

下载本手册的 PDF 版