Apple опубликовала на GitHub исходный код corecrypto - низкоуровневой криптографической библиотеки, на которую опираются Security framework, CryptoKit и CommonCrypto в экосистеме Apple. Компания поясняет, что сама corecrypto не предназначена как прямой API для приложений iOS, iPadOS или macOS, но публикация кода нужна для проверки его безопасности и корректности работы.

В репозитории уже доступны реализации множества криптографических примитивов и модулей: AES, ChaCha20-Poly1305, HMAC, SHA-1, SHA-2, SHA-3, RSA, эллиптические кривые, генераторы случайных чисел, KDF, а также компоненты для постквантовой криптографии, включая ML-KEM и ML-DSA. Код рассчитан на разные среды выполнения - от kernel и bootloader до userspace.

Отдельный акцент Apple сделала на формальной верификации. В техническом обзоре компания описывает, как проверяет реализации постквантовых алгоритмов ML-KEM и ML-DSA, стандартизованных как FIPS 203 и FIPS 204. Цель - математически доказать, что криптографические процедуры дают корректный результат на гораздо большем диапазоне входных данных, чем можно проверить обычными тестами.

Для этого Apple использует Isabelle, SAW, Cryptol, AutoCorres2 и собственные расширения для проверки C- и ARM64-реализаций. Такой подход особенно важен для криптографии: ошибки в логике, оптимизациях или арифметике могут быть неочевидны при обычном тестировании, но критичны для безопасности устройств.

При этом публикацию не стоит воспринимать как обычный open-source-релиз в привычном смысле. В README указано, что код опубликован прежде всего для исследований безопасности и верификации, а основная лицензия - evaluation-only corecrypto Internal Use License Agreement. Внешние code contributions Apple сейчас не принимает, но предлагает сообщать о найденных проблемах безопасности через официальный канал.

Для ИБ-сообщества это важный шаг: одна из ключевых криптографических библиотек Apple становится доступной для внешнего анализа. Исследователи смогут изучать реализацию, проверять корректность алгоритмов, искать ошибки и оценивать, как Apple готовит свои системы к переходу на постквантовую криптографию.