Über CryptoKit (SecureEnclave.P256.Signing.PrivateKey, SecureEnclave.P256.KeyAgreement.PrivateKey) oder den Schlüsselbund (kSecAttrTokenIDSecureEnclave) erhalten Apps einen Schlüssel, der die Hardware nie verlässt; gespeichert wird nur ein opakes, an das Gerät gebundenes Handle. Bei klassischen Algorithmen unterstützt die Enclave nur NIST P-256 – ein Grund, warum ES256 und COSE −7 bei Passkeys und gerätegebundenen Credentials dominieren.
Ab iOS 26 und macOS 26 (2025) bietet CryptoKit auch ML-KEM und ML-DSA mit Unterstützung der Secure Enclave. Flags für die Zugriffskontrolle (.biometryCurrentSet, .userPresence) können für jede Verwendung des Schlüssels eine biometrische Bestätigung oder die Eingabe des Gerätecodes verlangen.
Signaturen kommen DER-kodiert heraus, wie bei anderen Schlüsselspeichern der Plattformen; Code, der JWS oder COSE verarbeitet, braucht rohes r‖s. Mit dem Gerät gehen die Schlüssel verloren, sofern das Protokoll der App keine Wiederherstellung vorsieht: Synchronisierte Passkeys sind ein anderes Konzept und liegen im iCloud-Schlüsselbund statt in der Enclave.