¿Cómo se almacena el código de acceso en la nube?

Que yo sepa, no se envían a ningún sitio las contraseñas que utilizas para desbloquear el teléfono. Con 2FA, inicias la sesión con tu código de acceso de forma normal, y luego se envía un código de desafío a los dispositivos autorizados para que tú también lo introduzcas. El código de desafío se genera en la parte de Apple y sólo se envía a los dispositivos que ya has confirmado. Ver Documentación de Apple sobre cómo funciona la 2FA.

Editar después de su comentario: Ah, ya veo la desconexión. La sección a la que te refieres se refiere específicamente a la custodia del llavero. Esta es una característica opcional al configurar la sincronización de llaveros de iCloud que permite a apple mantener una copia secundaria de tu llavero. Por defecto, iCloud simplemente sincroniza los llaveros entre tus dispositivos. Si configuras la custodia con Apple, ellos mantendrán su propia copia de tu llavero para que se sincronice mientras tus dispositivos se sincronizan por separado y de forma segura. Esto permite la recuperación de un llavero si tu único (o todos) los dispositivos autorizados por iCloud se pierden. Así que primero es importante darse cuenta de que esto sólo se aplica si se configura la custodia de llaveros.

En segundo lugar, aunque el código de acceso de tu dispositivo se utilizará por defecto como tu "clave segura" para el depósito, ese código de acceso no se envía a Apple. En su lugar, se utiliza para cifrar la copia en custodia de su llavero. En concreto, este párrafo (todas las citas están tomadas de la Guía de Seguridad de iOS de enero de 2018, enlazada en los comentarios más abajo):

A continuación, el dispositivo iOS exporta una copia del llavero del usuario, la encripta envuelta con claves en un saco de claves asimétrico, y lo coloca en el área de almacenamiento de valores de claves de iCloud del usuario. del usuario. El llavero se envuelve con el código de seguridad de iCloud del usuario y la clave pública del clúster del módulo de seguridad de hardware (HSM) que almacenará el registro de custodia. Esto se convierte en el registro de custodia de iCloud del usuario.

Ten en cuenta que el código de seguridad de iCloud se refiere aquí al código de acceso de tu dispositivo o al código que has configurado si no tienes activado el 2FA. Ahora echa un vistazo a cómo el documento explica la recuperación de un llavero en custodia:

Para recuperar un llavero, los usuarios deben autenticarse con su cuenta de iCloud y y responder a un SMS enviado a su número de teléfono registrado. Una vez que esto, los usuarios deben introducir su código de seguridad de iCloud. El clúster HSM verifica que el usuario conoce su código de seguridad de iCloud mediante el protocolo Secure Remote (SRP); el código en sí no se envía a Apple. Cada miembro del del clúster verifica de forma independiente que el usuario no ha superado el número máximo número de intentos permitidos para recuperar su registro, como se explica a continuación. Si Si la mayoría está de acuerdo, el clúster desenvuelve el registro de custodia y lo envía al dispositivo del usuario. dispositivo del usuario.

Así que hay varios pasos aquí:

1) Te autentificas con la información de tu cuenta de iCloud

2) A continuación, respondes a un SMS enviado a tu número de teléfono previamente registrado

3) Introduce tu código de seguridad de iCloud (o el código de acceso del dispositivo en el caso de 2FA).

Fíjate específicamente que dice que este código NO se envía a Apple. En su lugar, su código se verifica utilizando el Protocolo de contraseña remota segura . No soy un experto en criptografía, así que no puedo explicarte los detalles, pero lo que es importante destacar es que SRP permite la verificación de las contraseñas sin enviar la propia contraseña o cualquier otro dato equivalente.

Una vez hecho esto, tu dispositivo recibe ahora el llavero encriptado, y aún debe descifrarlo usando tu código de seguridad de iCloud (o el código de acceso del dispositivo). Pero todo eso se hace en el dispositivo local.

Para resumirlo todo, si tienes habilitado el 2FA, y activas la custodia de llaveros al habilitar la sincronización de tu llavero de icloud, utilizará el código de acceso de tu dispositivo como parte de la seguridad de la custodia de llaveros, pero ese código de acceso nunca sale de tu dispositivo.