通过配置Pair Locking，保护隐私，防止执法人员对您的设备进行取证。但因对于受 checkm8 影响的设备的设备无效。

什么是 checkm8 漏洞？

checkm8 是由 Twitter 用户 @axi0mX 发现并命名的 bootrom 漏洞。它让永久越狱变成了可能，同时也带来了极大的安全隐患。举例来说，捡到或盗取你手机的不法人士，将可以通过越狱的方式开机，绕过 iCloud 的保护，同时你存放在中的个人数据也有被窥视的危险。
从使用 A5 芯片的 iPhone4S 到使用了 A11 芯片的 iPhone8 iPhoneX 都可能受到这个漏洞的影响。
由于 bootrom 是存在于手机的硬件之中，无法通过软件去修改，意思也就是说苹果将无法通过软件更新的方式去将这个漏洞堵上，只要是拥有这个漏洞的硬件，无论 iOS 怎么升级都能被破解。目前基本上只要是使用 A11 或更早的芯片的 iPhone 机种都在受影响的范围内，也就是除了今年最新 iPhone 11 / 11 Pro / 11 Pro Max 和去年的 XS / XS Max / XR之外，剩下来所有的机种都有这个漏洞了。

https://github.com/axi0mX/ipwndfu

为什么要配对锁定我的手机？

处于信息化社会的今天，我们的数字隐私日益收到执法机构，政府等等方面的攻击，尤其是在抗议活动，机场和过境点时，这个问题更为明显。而且想必对于手机取证这种事情都或多或少有所耳闻。

通过配置 Pair Locking ，即使您被执法部门强迫，也会阻止 iPhone 取证工具连接到您的设备，读取您的聊天记录，相册，联系人，通话记录等行为。即使你被法律强制执行,也迫使你打开你的装置! 他们也只能手动查看您的手机内容，但他们无法复制并进行离线分析，他们无法运行自动扫描的扫描程序，而且他们也无法获取到您的各种 App 认证 token。

Pair Locking 是如何工作的？

取证工具使用名为pairing的概念从iPhone提取数据，Jonathan最好地解释了这一点：

A pairing is a trusted relationship with another device, where a computer is granted privileged, trusted access on the iPhone. In order to have the level of control to backup the phone, download personal data, install applications, or perform other such tasks on an iOS device, the machine it’s connected to must be paired with the device. This is what iTunes and Xcode do to talk to the phone, but also what forensic imaging tools and a number of free hacking tools do as well.

配对，是与另一个设备相匹配的一种信任关系。在另一台设备上，计算机被赋予权限 ——在 iPhone 上受信任的访问。为了能够控制 iOS 设备进行备份手机，下载个人数据，安装应用程序或执行其他类似任务的控制级别，必须将与其连接的计算机与该设备配对。这是 iTunes 和 Xcode 与设备进行信息传输的方式，但是取证工具和许多黑客工具也是如此。

通过锁定配对设备，让您的 iPhone 设备不会与其他的连接的设备去创建新的信任，除了锁定配对的设备，副作用便是阻止了所有的取证设备。在存在配对锁定的情况下，从手机中收集数据的唯一方法是存在硬件漏洞（例如本博文开头部分提到的 bootrom ）。

要启用配对锁定，我们需要将手机设置成受监管的状态，从而可以对手机的功能和行为施加大量限制。它是专为企业实施其员工手机上的安全控制而设计的，但对我们来说也一样。

需要注意的是：

建议在执行前，先完整阅读一遍此文章，再决定是否进行此操作。
将手机设置成受监管状态会 完全擦除手机，尽管擦除之后，您可以重新登录到您的 iCloud，所有同步过的设置，应用程序等项目都会再次出现。
但是，不能先对手机进行备份，再将手机设置成受监管状态，然后再恢复备份！！！(因为恢复备份的同时也会将设备还原到不受监管的状态)
任何能够使用您的笔记本电脑的人都可以从中获得配对记录，并且可以完全访问您手机上的所有内容（在物理连接到笔记本电脑之后）。
如果您无法访问笔记本电脑或丢失配对记录，那么您也将无法连接手机。

监管并锁定配对您的设备

下载并安装 Apple Configurator 2
将您的设备与电脑通过 USB 连接
打开 Apple Configurator 2，选择设备后，点击 Prepare 按钮
在 Prepare Devices 页面中：
- 勾选 Supervise devices
- 勾选 Allow devices to pair with other computers
- 然后点击 Next
配对锁定可以在两个不同的级别中执行：在监管级别或者在描述文件的级别执行（描述文件是执行一个iPhone设置的合集）

根据 Jonathan 的建议我们在这里勾选 Allow devices to pair with other computers，我们在监管级别允许它，稍后将在描述文件级别来阻止他。因为如果您需要更换到新的笔记本或者台式机，不需要去清除您的手机。
在 Enroll in MDM Server 页面中选择 Do not enroll in MDM，然后点击 Next
在 Assign to Organization 页面中，点击 New Organization，然后点击 Next
在 Devices Enrollment Program 界面，我们直接点击 Skip 跳过即可
接下来，在 Create an Organization 页面中填写您组织的名称，除名称外，其他项目均可留空

此处填写的名称将会在您的设备中显示，效果如下图：

填写完成后，点击 Next 进行下一步操作

在接下来下页面中，点击 Generate a new supervision identity ，然后点击 Next
在 Configure iOS Setup Assistant 页面，不进行修改，直接点击 Prepare 按钮

此时会弹出提示，要求输入密码，以便于更新证书设置，输入密码后，点击 Update Settings 。

接下来，擦除和监管手机的过程。如果您的设备已经受到监管，则会出现有关需要首先还原设备的错误。
该过程完成后，您可以创建一个新的配置文件，该配置文件将具有配对锁定限制:

之所以选择通过配置文件的方式，而非直接在监管级别进行锁定，是因为我们无法避免可能会出现的情况，比如电脑损坏，丢失等情况。为了避免在这种情况下我们无法连接自己的手机，所以选择使用配置文件的方式进行限制。
- 点击状态栏的 File -> New Profile 并为您的新描述文件命名
- 在 Controls when the profile can be removed 的部分下，选择 Never 或 With Authorization
  
  通过这项设置我们可以控制如果有人试图通过手机删除此描述文件。
  如果此处保留默认设置，即 Always ，那么任何有权访问未锁定手机的人都可以删除此描述文件（这便失去了我们的目的）
  设置为 Never 即表示我们无法透过手机来移除这个配置文件
  设置为 With Authorization ，则只有输入正确的密钥时，才能从设备中删除此描述文件
  
  如果您居住在或者计划访问一个法院可能会迫使您删除描述文件的国家，则最好选择 Never ，这样便不会因为拒绝交出密码而被指控蔑视法庭或妨碍司法。
点击左侧的 Restrictions 选项卡，首先点击 Configure
接下来，可以看到大量的设置，比如禁止某些应用程序，设置密码，Touch ID，Face ID 限制等等。找到并取消勾选 Allow pairing with non-Configurator hosts

也可以继续做一些您喜欢的设置
退出并保存描述文件，在主界面中，右键点击您的 iOS 设备，选择 Add -> Profiles...，选择刚刚保存的描述文件。