Привязка парольника к аппаратному модулю
Обновление macOS Tahoe 26.4 изменило работу с хранилищем паролей. Файл login Keychain теперь жестко связан с аппаратным модулем Secure Enclave конкретного устройства. Из-за этого пользователи потеряли возможность вручную скопировать файл ключей с одного Mac на другой и использовать его на новом компьютере.
Как отмечает Rich Trouton в блоге от 8 сентября, раньше файл login Keychain представлял собой базу данных SQLite, которую можно было просто перенести в домашних папках. Теперь при попытке открыть такой файл на другом Mac система не может получить доступ к метаданным, защищенным Secure Enclave исходного устройства.
Что изменилось в безопасности
Согласно объяснениям экспертов, Secure Enclave хранит ключ метаданных, необходимый для расшифровки атрибутов Keychain. Даже если кэш ключей сохраняется в процессоре для ускорения доступа, для его создания требуется участие Secure Enclave. Если файл Keychain перемещен на другой Mac, у него нет доступа к нужному аппаратному модулю, и парольник не открывается.
Jeff Johnson в посте от 10 сентября подтвердил, что проблема появилась именно в версии 26.4. Тесты показали, что копирование работало в macOS 26.3, включая использование виртуальных машин. Однако в версии 26.4 файл, скопированный даже из виртуальной машины, не читается на других физических Mac.
Реакция экспертов на обновление
Эксперты называют это изменение «бомбой замедленного действия». Johnson пишет, что пользователи могли восстановить login Keychain на новом Mac в версиях до 26.3, но теперь этот путь закрыт. О проблеме станет известно только в критический момент, например, при поломке основного компьютера.
Johnson характеризует действия компании как «невероятно безответственные», поскольку обновление minor-версии привело к потере возможности ручного восстановления данных. Усиленная защита направлена на предотвращение кражи данных злоумышленниками, но она создает сложности для легитимных пользователей.
Как обойти ограничение
Проблема касается только ручного копирования файла. Она не влияет на восстановление из резервных копий на тот же Mac или использование утилиты Migration Assistant. Однако для IT-администраторов, выполняющих массовую миграцию в корпоративной среде, это создает трудности.
Другие файлы Keychain, не являющиеся login Keychain, не затронуты и могут быть открыты на других устройствах. В качестве обхода проблемы эксперты рекомендуют:
- Экспортировать пароли перед миграцией.
- Использовать пользовательские keychain или сторонние менеджеры паролей.
- Домашним пользователям настроить iCloud Keychain для синхронизации паролей между iPhone, iPad и Mac.
