Secure Enclave y Android Keystore son mecanismos de seguridad de las plataformas que participan en la protección de operaciones criptográficas o material de claves; no son nombres intercambiables de una bóveda de fotos cifrada.
Dos plataformas, mecanismos diferentes
Apple describe Secure Enclave como un subsistema aislado de seguridad. La documentación de Keystore de Android describe almacenamiento de claves, uso autorizado y opciones de seguridad respaldadas por hardware. La compatibilidad del hardware y las propiedades de las claves varían según el dispositivo y la configuración.
Que una aplicación diga que utiliza una API de seguridad de la plataforma no significa que todos sus archivos estén almacenados físicamente dentro de un chip independiente. Los grandes archivos multimedia y sus claves tienen necesidades distintas de almacenamiento y procesamiento.
Preguntas que merece la pena hacer
¿Qué clave está protegida? ¿Puede exportarse? ¿Qué autenticación exige su uso? ¿Qué ocurre al restablecer o sustituir el dispositivo? ¿Las copias portátiles se diseñan con otro secreto de recuperación? Estas preguntas determinan el comportamiento práctico con más claridad que un distintivo genérico de seguridad de hardware.
La protección de plataforma tampoco hace seguro cualquier uso de una aplicación desbloqueada. Si un atacante controla el sistema operativo en ejecución, puede exponerse el texto claro mostrado por la aplicación aunque no sea posible extraer directamente una clave concreta.
El uso documentado de NullVault
La arquitectura Android describe material de Keystore junto con Argon2id y almacenamiento cifrado de la aplicación. La arquitectura iOS tiene su propio diseño criptográfico y de recuperación. No deduzca almacenamiento no documentado en Secure Enclave solo porque una aplicación funciona en iPhone. Lea la arquitectura de NullVault, las limitaciones ante dispositivos comprometidos, y cómo funcionan las bóvedas cifradas.