الإنكار المعقول وخزائن منفصلة بالأنماط

تستخدم ميزة الإنكار المعقول في Vaultaire أنماطًا منفصلة لتحديد فهارس خزائن مشفرة منفصلة دون عرض قائمة مشتركة للخزائن. قد يخفي هذا الخزائن الأخرى أثناء فحص الواجهة العادي، لكن التخطيط الحالي على القرص يكشف عدد ملفات الفهرس المشفرة لفاحص لديه وصول إلى حاوية التطبيق.

ماذا يعني الإنكار المعقول في الواقع

في أقوى معانيه التشفيرية، يعني الإنكار المعقول أن التخزين المرئي لا يثبت وجود محتوى محمي إضافي. وفي لغة المنتجات اليومية، تُستخدم العبارة أيضًا لبيانات اعتماد تمويهية تكشف عرضًا واحدًا وتحجب عرضًا آخر. هذان معياران مختلفان، وتطبيق Vaultaire الحالي يحقق هدف الفصل في الواجهة، لا الإنكار على مستوى نظرية المعلومات.

تمنحك معظم تطبيقات الخزائن خزنة واحدة خلف كلمة مرور واحدة. إذا أجبرك أحد على فتحه، فسوف ينكشف كل شيء. تقدم بعض التطبيقات وضع “decoy” حيث يمكنك تعيين كلمة مرور ثانية تظهر شاشة مزيفة. لكن هذه التطبيقات عادة ما تكون تجميلية. يمكن للفاحص الجنائي الاطلاع على بيانات التطبيق، أو رؤية علامات التكوين، أو ملاحظة أن حجم البيانات المشفرة لا يتطابق مع الملفات المرئية، أو العثور على البيانات الوصفية التي تكشف عن وجود طبقة مخفية.

يعتمد Vaultaire نهج التوجيه بالنمط. كل نمط صالح على شبكة 5×5 يشتق مفتاح خزنة مرشحًا مختلفًا. يحسب التطبيق قيمة تجزئة لهذا المفتاح ليعرف اسم ملف الفهرس المشفر المتوقع، ثم يفتح هذا الفهرس ويصادق عليه إن وُجد. لا يعرض التطبيق خريطة بنص صريح بين الأنماط وأسماء الخزائن، مع أن ملفات الفهرس المشفرة نفسها يمكن سردها وعدّها.

إذا وُجد الفهرس المشتق ونجحت مصادقة AES-GCM، ترى ملفات تلك الخزنة. وإلا يعرض Vaultaire حالة فارغة ويمكنه إنشاء خزنة جديدة لهذا النمط. لا تعرض شاشة القفل خطأ يسمّي خزنة أخرى أو قائمة بها. تساعد هذه الواجهة الهادئة أثناء التفتيش العابر، لكنها لا تمحو أدلة نظام الملفات الموضحة أدناه.

كيف يعمل تحت الغطاء

يجمع الأساس التقني بين التوجيه المشتق من النمط والتشفير الموثّق. تنتج الأنماط المختلفة مفاتيح مرشحة وأسماء ملفات مختلفة. ثم يوفر AES-GCM فحص سلامة صريحًا: المفتاح الصحيح يصادق على الفهرس المشفر، والمفتاح الخاطئ يفشل. نتيجة المصادقة هذه مفيدة للسلامة، لكنها تعني أيضًا أن البيانات المنسوخة تتيح التحقق من التخمينات دون اتصال.

أنماط مختلفة، مفاتيح مختلفة

عندما ترسم نمطًا، يحوّل Vaultaire تسلسل النقاط وحجم الشبكة إلى مدخل واحد، ثم يشغّل 600000 جولة من PBKDF2-HMAC-SHA512 مع قيمة salt عشوائية على مستوى الجهاز محفوظة في Keychain. تُخرج الدالة مفتاح خزنة بطول 256 بت. يُتوقع أن ينتج نمط مختلف مفتاحًا غير مرتبط، لكن أمان بيانات الاعتماد يبقى محدودًا بقابلية النمط للتخمين. الناتج بطول 256 بت لا يمنح نمطًا بشريًا 256 بت من الإنتروبيا.

يقوم كل مفتاح بفك تشفير النقطة الخاصة به

يخزّن Vaultaire خريطة ملفات كل خزنة ومفتاحها الرئيسي العشوائي المغلّف في فهرس مشفر بـ AES-256-GCM. عندما ترسم نمطًا، يشتق التطبيق مفتاح الخزنة المرشح ويبحث عن اسم الملف المطابق لبصمة هذا المفتاح. إذا وُجد الملف، فإما أن ينجح فك التشفير الموثّق أو يفشل، ولا ينتج AES-GCM نصًا صريحًا مقبولًا بلا معنى. إذا لم يُفتح فهرس صالح، تعرض الواجهة حالة فارغة دون سرد الخزائن الأخرى.

لا فهرس بنص صريح يجمع الخزائن

لا يحتفظ Vaultaire بجدول قاعدة بيانات ظاهر للمستخدم يربط الأنماط بأسماء خزائن مقروءة. يحدد مسار الفتح العادي فهرسًا واحدًا عبر المفتاح المشتق. لكن على القرص، لكل خزنة ملف `vault_index_.bin`، ويتضمن التطبيق نفسه شيفرة تسرد أسماء هذه الملفات لصيانة التخزين. لا تكشف البصمات أنماطها الأصلية، لكن عدّها يكشف عدد الفهارس المحلية.

كلا الخزائن حقيقية بنفس القدر. كلاهما مشفران بنفس الخوارزمية. كلاهما ينتجان نفس النوع من المخرجات المشفرة. لا توجد علامة، ولا علامة، ولا بيانات وصفية تُصنف أحدهما على أنه “real” والآخر على أنه “decoy.” بقدر ما يتعلق الأمر بالرياضيات، فهما متطابقتان.

استراتيجية الخزنة الخادعة

إن الإنكار المعقول لا ينجح إلا إذا كان لديك شيء تريد إظهاره. الخزنة الفارغة مريبة. والخزنة التي لا تحتوي بوضوح على أي شيء يستحق الحماية مريبة أيضًا. أقوى دفاع هو خزنة تبدو تمامًا مثل ما يتوقع أي شخص العثور عليه.

إعداد الشرك الخاص بك

اختر نمطًا ثانيًا، يمكنك رسمه بسرعة وبشكل طبيعي تحت الضغط. أنشئ خزنة بهذا النمط. واملأها بالمحتوى المناسب لشخص يستخدم تطبيق Vault: ربما بعض الصور الشخصية التي تفضل الاحتفاظ بها خاصة ولكنها ليست حساسة، وبعض المستندات المالية، وبعض الملاحظات. يجب أن يكون المحتوى قابلاً للتصديق ومحرجًا بعض الشيء، بما يكفي حتى يعتقد شخص ما يبحث في هاتفك أنه عثر على ما كنت تخفيه.

مما يجعلها مقنعة

للخزنة الخادعة الجيدة بعض الخصائص. يجب أن تحتوي على عدد معقول من الملفات، وليس عددًا قليلًا جدًا (فارغًا بشكل مريب) وليس كثيرًا (لماذا تحمي هذا القدر من المحتوى العادي؟). يجب أن تكون الملفات حديثة بما يكفي لاقتراح الاستخدام النشط. ومن الناحية المثالية، يجب أن يقدم المحتوى سببًا معقولاً لسبب تثبيت تطبيق Vault في المقام الأول.

من يقتصر على الواجهة المفتوحة يرى الخزنة المختارة، ولا يجد أداة اختيار تجمع الخزائن. قد يقلل هذا الكشف العرضي. أما من لديه وصول إلى نظام الملفات فيستطيع عدّ الخزائن من مجلدات تخزينها، وقد يعرف أن هناك أكثر من خزنة محلية واحدة، حتى لو لم يستطع ربط فهرس بنمط أو قراءة محتواه.

تحت الضغط

إذا أُجبرت على فتح جهازك، ارسم نمط التمويه. تُفتح الخزنة وتظهر الملفات. في الواجهة العادية لا توجد قائمة مخفية أو قائمة تجمع الخزائن ليُكتشف ما فيها. يرى من يحمل هاتفك خزنة واحدة مفتوحة. قد يجعل هذا ما تكشفه متسقًا أثناء التفتيش العابر، بينما قد يكشف فحص نظام الملفات فهارس مشفرة إضافية.

لا تظهر خزنتك الحساسة في الواجهة إلا إذا رُسم نمطها. فهي غير مدرجة خلف قائمة مخفية. لكن فهرسها المشفر ما زال موجودًا في حاوية التطبيق، لذلك لا ينبغي تقديم الميزة على أنها حماية من كل أشكال الكشف القسري أو التحليل الجنائي.

حدود الأمان بدقة

يستطيع Vaultaire تقديم ادعاءات قوية عن المحتوى المشفر وادعاء أضيق عن الواجهة. يحمي AES-GCM ما يحتويه الفهرس وملفاته. ويُبقي التوجيه بالنمط الخزائن الأخرى خارج مسار الفتح المرئي. لكن لا تجعل أيٌّ من الخاصيتين عدد ملفات الفهرس المشفرة غير مرئي لفاحص يستطيع قراءة حاوية التطبيق.

يبقى المحتوى المشفر سريًا

صُمم AES-256-GCM لإخفاء النص الصريح واكتشاف أي تعديل عندما تُعالج المفاتيح وقيم nonce بشكل صحيح. يستطيع الفاحص التعرف على ملفات الفهرس والكتل في Vaultaire من أسمائها ومواقعها، لكنه لا يستطيع قراءة خريطة الملفات المحمية أو المفتاح الرئيسي المغلّف أو أسماء الملفات أو البيانات الوصفية أو الصور المصغرة أو محتوى الملفات دون المفاتيح المعنية.

فهارس قابلة للعدّ، ولا خريطة أنماط بنص صريح

يستطيع نظام الملفات أن يجيب عن عدد فهارس الخزائن المشفرة الموجودة، لأن لكل فهرس ملفًا خاصًا به. لكنه لا يقدم خريطة بنص صريح من تلك البصمات إلى الأنماط التي أنشأتها، ولا أسماء الخزائن الظاهرة للمستخدم، ولا المحتوى بعد فك تشفيره. هذه حدود مفيدة، لكنها لا تعني أن العدد مخفي.

التحقق من التخمين دون اتصال ممكن

يستطيع مهاجم ينسخ بيانات الجهاز وبيانات التطبيق المشفرة أن يشتق مفتاحًا مرشحًا من نمط يخمّنه. تخبره بصمة الفهرس المقابلة إن كان هناك اسم ملف مطابق، ويؤكد فك التشفير الموثّق في AES-GCM التخمين بثقة شبه كاملة. يجعل PBKDF2 كل تخمين أغلى، لكنه لا يلغي هذا الاختبار دون اتصال ولا يضيف إنتروبيا إلى نمط ضعيف.

ما تحققه الحالة الفارغة

على شاشة القفل، لا يعلن Vaultaire «نمط خاطئ» ولا يعرض الخزائن الأخرى المتاحة. النمط غير المطابق يصل إلى حالة فارغة أو إلى مسار الإنشاء، فلا يحصل من يقتصر على التفاعل مع الواجهة على قائمة بالخزائن. لا ينبغي تعميم فائدة العرض هذه على مهاجم نسخ الملفات الأساسية وحللها.

من يحتاج إلى الإنكار المعقول

قد تعتقد أن الإنكار المعقول مخصص فقط للجواسيس والمبلغين عن المخالفات. في الواقع، يواجه الملايين من الأشخاص العاديين مواقف لا تكون فيها القدرة على حماية المعلومات تحت الإكراه ترفًا، بل هي ضرورة.

الصحفيون ومصادرهم

غالبًا ما يحمل الصحفيون الاستقصائيون مواد حساسة: هويات المصدر، والوثائق المسربة، وتسجيلات المقابلات. في العديد من البلدان، يتم احتجاز الصحفيين بشكل روتيني وتفتيش أجهزتهم على الحدود أو نقاط التفتيش أو أثناء المداهمات. توفر الخزنة الخادعة التي تحتوي على ملاحظات غير ضارة وصور منشورة غطاءً، بينما تحمي الخزنة الحقيقية المصادر التي قد تعتمد حياتها على عدم الكشف عن هويتها.

النشطاء والمنظمون

قد يعمل الناشطون السياسيون ومنظمو العمال والعاملون في حقوق الإنسان في بيئات تكون فيها هواتفهم هدفًا للمراقبة. يمكن للأنماط المنفصلة أن تفصل ما يظهر أثناء الاستخدام العادي للتطبيق، لكن الهاتف المصادَر أو المخترق قد يكشف عدد الفهارس المشفرة ويتيح تخمين الأنماط دون اتصال. يجب أن يمتد الأمن التشغيلي إلى ما هو أبعد من التطبيق.

الأشخاص في المواقف المسيئة

قد يحتاج من يوثّقون الانتهاكات إلى فصل الأدلة الحساسة عن مواد يمكنهم عرضها بأمان. يمكن لخزنة ثانية أن تقلل ما ينكشف لشخص يقتصر على واجهة التطبيق. لكنها لا تضمن السلامة من مراقبة الجهاز أو برامج التجسس أو الإكراه أو فحص نظام الملفات، لذلك ينبغي للمستخدمين المعرّضين للخطر اتباع إرشادات منظمة دعم محلية مؤهلة.

المسافرون الذين يعبرون الحدود

تختلف صلاحيات التفتيش على الحدود والتزامات المسافرين. فتح نمط واحد في Vaultaire لا يعرض قائمة تجمع الخزائن، لكنه لا يجعل الفهارس المشفرة الأخرى غير قابلة للاكتشاف بالفحص الجنائي. قلّل البيانات الحساسة التي تحملها، واحصل على استشارة قانونية حديثة بشأن مسارك وظروفك.

أي شخص يقدر الخصوصية

لا يلزم أن تكون في خطر لتستحق الخصوصية. ربما تكتب يوميات خاصة. ربما لديك معلومات طبية لا تريد أن يعثر عليها أحد. أو ربما ترى ببساطة أن ليس كل جزء من حياتك الرقمية يجب أن يكون في متناول أي شخص يلتقط هاتفك. تعزز الخزائن المنفصلة بالأنماط خصوصية الواجهة بتقليل ما يكشفه الفتح العادي، بينما يبقى عدد الفهارس المشفرة ظاهرًا لفاحص نظام الملفات.

كيف يقارن هذا بتطبيقات الخزائن الأخرى

تتعامل كثير من تطبيقات الخزائن مع الأمان كمسألة ضبط وصول: بوابة بيانات اعتماد واحدة أمام حاوية مرئية واحدة. تضيف بعض المنتجات رمز PIN مزيفًا أو وضع تمويه. تعتمد قوة هذه الميزات على تصميم التخزين، لا على الاسم التسويقي، فقد تكشف علامة إعداد مرئية أو قاعدة بيانات تمويه منفصلة وجود وضع آخر.

مشكلة الخزنة الواحدة

يواجه تصميم الحاوية الواحدة مشكلة الإكراه مباشرة: بمجرد كشف بيانات الاعتماد الوحيدة، يصبح كل المحتوى خلفها متاحًا. تختلف مجموعات الميزات الحالية بين المنتجات، لذلك قيّم التخزين الفعلي وتنفيذ التمويه بدل افتراض أن منافسًا معينًا يستخدم نموذجًا ثابتًا واحدًا.

أوضاع الشرك التجميلي

قد تفيد ميزة كلمة المرور المزيفة أمام التفتيش العابر، لكن قيمتها أمام التحليل الجنائي تعتمد على ما إذا كان الجهاز يخزّن علامة تمويه قابلة للاكتشاف، أو قاعدة بيانات ثانية، أو أحجام ملفات يمكن تمييزها. دون تصميم منشور أو تدقيق، لا يثبت الاسم وحده إنكارًا قويًا ولا يثبت فشله.

Vaultaire’s يختلف من الناحية المعمارية

يبني Vaultaire الفصل بالأنماط في مسار الفتح العادي. لا حاجة إلى علامة PIN مزيفة خاصة تحدد ما إذا كانت الخزنة للتمويه، فكل نمط مُعدّ يحدد خزنة مشفرة عادية. تبقى ملفات الفهرس المنفصلة مرئية كحاويات مشفرة، لذلك يكون الفارق المعماري أقوى في الواجهة وعزل المحتوى، لا في إخفاء العدد عن التحليل الجنائي.

النتيجة تجربة متسقة: لا توصف أي خزنة بأنها «حقيقية» أو «مزيفة»، ولكل منها مسار فتح أو استرداد موثّق خاص بها. دون مفتاحي الخزنة والمفتاح الرئيسي المطلوبين، يبقى المحتوى المشفر غير متاح. لكن وجود الحاوية لا يُمحى تشفيريًا.