Salin Login Keychain Antar Mac Gagal di macOS Tahoe

JAKARTA — Fitur salin login keychain antar perangkat Mac tidak lagi berfungsi pada komputer Apple Silicon yang menjalankan macOS Tahoe. Perubahan ini terjadi karena integrasi keamanan Secure Enclave yang membuat enkripsi file keychain terikat langsung pada perangkat sumber.

Login keychain adalah database terenkripsi yang macOS buat otomatis untuk setiap akun pengguna. Secara default, password keychain sama dengan password login pengguna, sehingga database terbuka otomatis saat user masuk ke sistem. Sejak macOS Tahoe, file ini berformat SQLite bernama login.keychain-db dan tersimpan di /Users/username/Library/Keychains.

Dulu, pengguna bisa menyalin file login keychain dari satu Mac ke Mac lain, kemudian membukanya dengan memasukkan password keychain yang benar. Metode tersebut sekarang tidak berfungsi untuk Mac dengan Secure Enclave.

Mengapa Salin Login Keychain Gagal?

Penyebabnya terletak pada arsitektur enkripsi keychain di macOS Tahoe. Menurut dokumentasi Platform Security Apple, setiap item keychain dienkripsi menggunakan dua kunci AES-256-GCM berbeda: metadata key (untuk atribut) dan per-row key (untuk nilai rahasia).

Metadata key dilindungi oleh Secure Enclave namun di-cache di Application Processor untuk percepatan query. Namun, secret key selalu memerlukan akses langsung ke Secure Enclave. Artinya, kunci dekripsi terikat pada perangkat tempat keychain dibuat.

“Dengan kunci dekripsi disimpan di Secure Enclave perangkat sumber, menyalin keychain ke Mac lain tidak akan berhasil. Password mungkin benar, tetapi kunci aktual yang dibutuhkan untuk mendekripsi isinya tidak tersedia di perangkat tujuan,” jelasnya.

Pengujian Gagal di macOS Virtual Machine

Pengujian membuktikan masalah ini. Seorang peneliti menyalin file login.keychain-db dari Mac Apple Silicon ke virtual machine macOS (yang tidak memiliki Secure Enclave) menggunakan akun dan password identik.

Hasilnya: sistem gagal membuka keychain tersebut meski password sudah benar. Log sistem menunjukkan error code -2147413984 saat mencoba unlock. Virtual machine kemudian membuat file login keychain baru secara otomatis.

Error ini mengkonfirmasi bahwa kunci dekripsi keychain benar-benar terikat pada Secure Enclave perangkat asal. Tanpa akses ke Secure Enclave tersebut, dekripsi file keychain tidak mungkin dilakukan, bahkan dengan password yang tepat.

Bagi pengguna yang ingin memindahkan akun ke Mac baru, metode manual salin-paste keychain tidak lagi viable. Apple merekomendasikan menggunakan fitur migrasi resmi atau setup otomatis yang menangani transferan keychain dengan aman, memastikan kunci Secure Enclave juga ditransfer dengan benar.