苹果公司今天早上向媒体（包括我）发表了一份措辞非常精确的声明：
Apple 无法再在英国向新用户提供高级数据保护 (ADP)，而当前的英国用户最终将需要禁用此安全功能。 ADP 通过端到端加密来保护 iCloud 数据，这意味着数据只能由拥有该数据的用户且只能在其受信任的设备上解密。鉴于数据泄露和其他对客户隐私的威胁不断增加，我们在英国的客户将无法获得 ADP 提供的保护，对此我们深感失望。通过端到端加密增强云存储的安全性比以往任何时候都更加紧迫。 Apple 仍然致力于为用户的个人数据提供最高级别的安全性，并希望我们将来能够在英国做到这一点。正如我们之前多次说过的，我们从未为我们的任何产品或服务建立后门或主密钥，而且永远不会。
其背景是两周前《华盛顿邮报》的 Joseph Menn和《金融时报》的 Tim Bradshaw爆出的消息（引用 Menn 的报告，重点是添加的）：
知情人士告诉《华盛顿邮报》，英国安全官员要求苹果公司创建一个后门，允许他们检索全球任何苹果用户上传到云端的所有内容。英国政府上个月发布的未公开命令要求具备查看完全加密材料的全面能力，而不仅仅是协助破解特定帐户，这在主要民主国家中没有先例。 […]
知情人士称，内政大臣办公室已向苹果公司提供了一份名为“技术能力通知”的文件，命令其根据 2016 年英国调查权力法案提供访问权限，该法案授权执法部门在需要收集证据时迫使公司提供协助。这项被批评者称为“窥探者宪章”的法律规定，揭露政府甚至提出过这样的要求将构成刑事犯罪。苹果发言人拒绝置评。
根据定义，端到端加密不能有秘密后门，因此，从广义上讲，遵守英国的这项命令将要求苹果放弃端到端加密——不仅针对英国用户，而且针对全球所有国家的所有用户。 1更阴险和令人愤慨的是，英国法律显然禁止他们向公众通报这一要求，或者如果他们愿意遵守，也不得告诉公众他们所做的事情，否则将受到严厉的处罚（监禁）。英国希望苹果公司能够秘密访问所有 iCloud 数据，而苹果公司不会告诉任何人——我相信甚至包括美国政府——他们已经授予英国政府这种惊人的访问权限。
苹果没有遵守规定，而是选择从英国撤回高级数据保护。对于尚未使用 ADP 的英国用户，在 Apple 发出声明之前启用该功能的功能已被关闭。英国广播公司新闻的这篇报道提供了英国用户今天尝试启用它时会看到的屏幕截图。
重新阅读上面苹果的声明，我已完整引用该声明，包括超链接。值得注意的是，苹果没有解释，甚至没有暗示，为什么该公司“不能再在英国向新用户提供高级数据保护（ADP），而当前的英国用户最终将需要禁用此安全功能”。在涉及安全和隐私的问题上，苹果总是尽可能地解释其政策和功能。事实上，苹果公司没有提供任何关于他们为什么这样做的暗示，这是一种金丝雀声明：他们通过不告诉我们为什么他们不再能够在英国提供 ADP 来尽可能明确地表明他们受到法律禁言令的约束，该禁言令甚至阻止他们承认自己受到法律禁言令的约束。
启用 ADP 是在服务器端进行控制的，因此 Apple 能够禁用英国用户打开 ADP 的功能，而无需对设备进行软件更新。但对于已经启用 ADP 的英国用户来说，这将如何发挥作用仍是一个悬而未决的问题。 Apple 无法远程禁用 ADP。稍加思考，您就会意识到为什么他们不能：这会破坏整个目的。就像 Apple 无法拥有自己的密钥来使用 ADP 解密用户数据一样，他们也无法拥有禁用 ADP 的能力。
不过，启用 ADP 是可逆的。打开它后，用户可以恢复到标准保护，将其关闭。但他们必须手动确认。我怀疑苹果将为已启用 ADP 的英国用户做的事情是开始发出警告，指示他们在某个截止日期之前手动禁用它。一旦截止日期过去，我认为苹果将不得不停止允许 iCloud 访问英国受 ADP 保护的帐户。这不会让这些用户的数据不受保护——他们只是会失去同步访问权限，直到禁用 ADP 并恢复到标准保护为止。
最重要的是，英国政府的行事方式就像一个残暴的独裁国家。这并不夸张。他们的命令范围之广令人惊叹——能够秘密窥探，而不是注意到他们甚至有能力，不仅对他们自己的公民，而且对全世界的每一个苹果用户——表明了一种错觉，认为大英帝国仍然存在。它同时具有令人愤怒的攻击性、在数学上的无知（关于端到端加密的本质）、危险（正如最近中国成功窃听美国非E2EE通信的盐台风攻击所证明的那样），而且对于英国的实际实力和在世界上的地位而言，它的天真可笑。
苹果正在正确地、正义地告诉他们滚蛋。
-
如果您使用高级数据保护，则您的 iCloud 数据只能通过 (a) 您自己的设备、(b) 您在启用 ADB 时控制的恢复密钥以及 (c) 您在 iCloud 中创建的任何恢复联系人来解密。 Apple 坚持要求您必须生成恢复密钥或指定至少一个恢复联系人才能启用 ADP。如果您的设备丢失、恢复密钥丢失、iCloud 密码丢失，那么包括 Apple 在内的任何人都无法恢复您的 iCloud 数据。这种级别的加密保证安全性就是 ADP 的优势。这也是ADP的风险。还有一个便利成本。例如，通过网络访问 iCloud。 引用苹果自己的ADP文档：
当用户首次打开高级数据保护时，对其在 iCloud.com 上的数据的 Web 访问将自动关闭。这是因为 iCloud Web 服务器不再有权访问解密和显示用户数据所需的密钥。用户可以选择再次打开网络访问，并使用其可信设备的参与来访问其在网络上的加密 iCloud 数据。
打开 Web 访问后，用户每次访问 iCloud.com 时都必须在其受信任的设备之一上授权 Web 登录。该授权“武装”设备以进行网络访问。在接下来的一个小时内，该设备将接受来自特定 Apple 服务器的上传单个服务密钥的请求，但仅限于与 iCloud.com 上通常可访问的服务允许列表相对应的密钥。换句话说，即使在用户授权 Web 登录后，服务器请求也无法促使用户的设备上传不打算在 iCloud.com 上查看的数据的服务密钥（例如 iCloud 钥匙串中的健康数据或密码）。 Apple 服务器仅请求解密用户请求在网络上访问的特定数据所需的服务密钥。每次上传服务密钥时，都会使用绑定到用户授权的 Web 会话的临时密钥对其进行加密，并在用户设备上显示一条通知，显示其数据暂时可供 Apple 服务器使用的 iCloud 服务。
由于“我丢失了唯一的设备并忘记了 iCloud 密码”以及通过网络轻松访问 iCloud 等原因，高级数据保护并不是所有用户的默认设置。
我认为从技术上讲，苹果可以在迂腐的意义上维持“端到端加密”，同时为 iCloud 中的所有加密数据添加一个额外的英国控制的签名密钥。假设您拥有两台 Apple 设备，一台 iPhone 和一台 Mac，并且您使用高级数据保护。您的数据只能由这两台设备、您的恢复密钥或由您的恢复联系人之一控制的设备解密。苹果可以采取一些措施，例如将英国政府添加为全球加密 iCloud 数据中每个用户的有效恢复联系人。这仍然是“端到端”的，只是英国政府将控制其中一个端点。但按照 iCloud 安全性的设计方式，类似的东西不能默默地添加。当新设备添加到您的 iCloud 帐户时，您的所有现有设备都会收到已添加新设备的通知。当我向我的帐户添加新的审核单元设备时，我个人每年都会看到这些通知数百次。就像九月份一样，我购买了四台 iPhone 16 评测机、两台 Apple Watch 评测机，并购买了自己的 iPhone 16 Pro。我拥有几台 Mac、几块 Apple Watch 和一台 iPad。这些设备中的每一个，当添加到我的 iCloud 帐户时，即使只是暂时进行测试，都会生成一条有关新设备添加到我的 iCloud 帐户的通知，以及当前登录到我的 iCloud 帐户的所有其他设备（新的或旧的）。作为产品评论员，这对我来说是一个小烦恼，但我当然不会有任何其他方式。 Apple 系统的构建方式是，如果不生成通知并将其发送到您帐户中的每个现有设备，则无法将新设备添加到链中。即使有标准保护，有关新设备的通知也会发生 – 它并非启用 ADP 的用户所独有。
因此，虽然理论上某些公司可以（我认为？）构建一个被公平（但具有欺骗性地）描述为“端到端加密”的系统，其中一个“端”由英国政府秘密且默默地控制，但苹果的 iCloud 并不是这样的系统。不幸的是，英国法律阻止苹果解释这一点，但我认为，按照 iCloud 目前的情况，苹果确实无法遵守英国对 ADP 保护帐户的要求，因为他们无法在不通知登录每个帐户的每个设备的情况下将英国控制的解密密钥添加到现有的 iCloud 帐户中。 ↩︎
原文： https://daringfireball.net/2025/02/apple_pulls_advanced_data_protection_from_the_uk