キーチェーンの安全な同期
ユーザがiCloudキーチェーンを2ファクタ認証アカウントで初めて有効にすると、デバイス自身が同期識別情報を確立および作成します。同期識別情報は楕円曲線の非対称鍵（P-384を使用）から構成され、デバイスのキーチェーンに保存されます。各デバイスはユーザのほかのデバイスの同期識別情報のリストを独自に保持しており、このリストにID鍵のうちの1つを使用して署名します。これらのリストはCloudKitに保存されるため、ユーザのデバイス間でキーチェーンデータを安全に同期する方法について、ユーザのデバイスが合意に達することができます。
古いiCloudデバイスとの互換性については、同様の信頼できる同期グループが作成され、別の同期識別情報が形成されます。同期識別情報の公開鍵は信頼グループの中に置かれ、そのグループは2回署名されます。まず同期識別情報の秘密鍵で署名され、次にユーザのiCloudアカウントパスワードから導出される楕円曲線の非対称鍵（P-256を使用）で署名されます。信頼グループと共に、ユーザのiCloudパスワードに基づ��鍵の作成に使用されるパラメータ（ランダムなソルトおよび反復回数）も保存されます。
同期グループのiCloud保管
2ファクタ認証が有効なアカウントでは、各デバイスの信頼できるデバイスのリストがCloudKitに保存されます。このリストの読み出しにはユーザのiCloudパスワードが必要であり、所有デバイスの秘密鍵がないと変更を加えられません。
同様に、署名された同期グループはユーザのiCloudのキー値ストレージ領域に保存されます。この読み出しにはユーザのiCloudパスワードが必要であり、グループメンバーの同期識別情報の秘密鍵がないと正規に変更を加えられません。
ユーザのほかのデバイスが同期グループに追加される仕組み
新しいデバイスがiCloudにサインインすると、既存のiCloudキーチェーンデバイスとペアリングしてそのデバイスからスポンサー認証されるか、iCloudキーチェーン復旧を使用することで、iCloudキーチェーンの同期グループに参加します。
ペアリングフロー中、（2ファクタ認証が有効なアカウントでは）申請者デバイスは同期グループと同期リストの両方に対して新しい同期識別情報を作成し、それらをスポンサーに提示します。スポンサーは新しいメンバーの公開鍵を同期グループに追加し、自らの同期識別情報と、ユーザのiCloudパスワードから導出された鍵の両方を使って再度公開鍵に署名します。新しい同期グループがiCloudに配置されます。その同期グループには、グループの新しいメンバーも同様に署名しています。2ファクタ認証が有効なアカウントでは、ID鍵で署名されたバウチャーもスポンサーデバイスから参加デバイスに提供され、申請者デバイスは信頼していいことが示されます。そして、申請者デバイスを含めるように、信頼する同期識別情報の個別リストがアップデートされます。
これで同期グループのメンバーが2つになり、各メンバーがお互いの公開鍵を持つことになります。状況に応じて、メンバー同士でCloudKitまたはiCloudのキー値ストレージを経由して個別のキーチェーン項目のやりとりが開始されます。両方のグループメンバーが同じ項目に対するアップデートを所有している場合は、一方が選択され、最終的な整合性が取られます。同期される各項目は暗号化され、ユーザの信頼グループに含まれるデバイスによってのみ復号できるようになります。ほかのデバイスやAppleが復号することはできません。
新しいデバイスが同期グループに参加すると、この「参加プロセス」が繰り返されます。例えば、次のデバイスが参加すると、既存のデバイスのいずれかとペアリングできます。新しいメンバーが追加されると、各メンバーが新しいメンバーと同期されます。これは、すべてのメンバーのキーチェーン項目を同じ内容にするためです。
特定の項目のみを同期
iMessageキーなどの一部のキーチェーン項目はデバイス固有であり、そのデバイスで留まっている必要があります。予期しないデータ転送を防ぐために、同期するすべての項目はkSecAttrSynchronizable属性で明示的にマークされる必要があります。
Appleは、Safariユーザデータ（ユーザ名、パスワード、およびクレジットカード番号を含む）と、Wi-FiパスワードやHomeKitの暗号鍵などのエンドツーエンドiCloud暗号化に対応したキーチェーン項目にこの属性を設定します。
また、デフォルトでは、他社製アプリによって追加されたキーチェーン項目は同期されません。デベロッパは、キーチェーンに項目を追加する際にkSecAttrSynchronizable属性を設定する必要があります。