Nátlakový režim: odebrání přístupu k ostatním trezorům

Nátlakový režim ve Vaultaire vám umožní určit jeden trezor jako spouštěč pro situaci pod nátlakem. Nakreslením vzoru tohoto trezoru se trezor normálně otevře a zároveň se z aktuálního zařízení odstraní indexy ostatních trezorů, jejich soubory úložiště a místní mapování obnovy. Existující šifrované zálohy na iCloud a kopie na dalších zařízeních zůstávají záměrně beze změny.

Co je nátlakový režim?

Nátlakový režim je poslední obranná linie. Je to funkce, o které doufáte, že ji nikdy nebudete potřebovat, navržená pro okamžik, kdy vše ostatní selhalo: kdy někdo stojí nad vámi, požaduje přístup k vašim soukromým souborům a vy nemáte jinou možnost než vyhovět.

Funguje to takto: jeden trezor určíte jako nátlakový. Naplníte ho věrohodně vypadajícím obsahem, třeba několika neškodnými fotkami a všedními dokumenty. Pak mu přiřadíte vzor jako každému jinému trezoru. V běžném rozhraní pro odemčení vypadá a otevírá se jako obyčejný trezor; stopy v souborovém systému a v cloudu ale toto úzké tvrzení o vzhledu nepokrývá.

Rozdíl je v tom, co se stane, když tento vzor nakreslíte. Běžný vzor otevře svůj trezor. Nátlakový vzor udělá totéž a zobrazí obsah určeného trezoru, zároveň ale spustí místní vymazání indexů a mapování obnovy, přes které jsou na zařízení dostupné ostatní trezory.

Neobjeví se žádné potvrzovací okno. Nezazní žádný varovný zvuk. Člověk, který vás sleduje, vidí, jak se otevře trezor a v něm soubory. Rozhraní neoznámí, že byly smazány místní indexy ostatních trezorů, vymazáno místní mapování obnovy a zastaveno čekající zálohování a že zařízení musí projít výslovnou obnovou pomocí fráze, než se odebraný trezor může vrátit.

Jak to funguje pod pokličkou

Na pochopení mechaniky záleží, protože nátlakový režim má užší hranici než slib úplného vymazání. Mění stav na aktuálním zařízení; neslibuje vymazání CloudKit, jiného zařízení, historie souborového systému ani důkazů, které už útočník získal.

Krok 1: Nakreslíte vzor nátlaku

Když nakreslíte vzor přiřazený trezoru pod nátlakem, Vaultaire ho rozpozná jako nátlakový spouštěč. Aplikace spustí současně dvě operace: začne dešifrovat a zobrazovat obsah určeného trezoru a zahájí místní odstranění indexů a mapování obnovy všech ostatních trezorů.

Krok 2: Odstranění místních přístupových dat

Vaultaire používá pro místní odvození ze vzoru jednu sůl v Keychain společnou pro celé zařízení, ne samostatnou sůl pro každý trezor. Nátlakový režim tuto sdílenou sůl neničí. Místo toho vymaže šifrovanou místní databázi obnovy a smaže indexy všech trezorů kromě určeného spolu se soubory úložiště ostatních trezorů. Každý index obsahuje zabalený náhodný hlavní klíč a mapu souborů daného trezoru, takže jeho odstraněním trezor přestane být v aplikaci lokálně použitelný.

Nátlakový režim odstraní stránky a arény ostatních trezorů ze sdílené složky úložiště prostým smazáním bez přepsání, takže ve flash úložišti mohou zůstat staré bloky. Bez odstraněného indexu ale Vaultaire nemá mapu souborů ani zabalený hlavní klíč, kterými by odstraněný trezor lokálně otevřel. Aplikace také vymaže místní mapování obnovy, takže běžná obrazovka obnovy tyto trezory nemůže hned vypsat ani obnovit.

Krok 3: Obnova z cloudu zůstává zachována, ale izolovaná

Existující šifrovaná záloha na iCloud zůstává záměrně zachována jako cesta k obnově. Zařízení zruší čekající zálohování a přejde do izolace, aby se místní vymazání nenahrálo jako běžné smazání a skryté trezory se automaticky nestáhly zpět. Pozdější obnova je výslovný krok, vždy pro jeden trezor, a vyžaduje frázi pro obnovení daného trezoru, ne jen vzor prozrazený pod nátlakem.

Krok 4: Trezor nátlaku se otevře normálně

Zatímco probíhá místní odstraňování, určený trezor se otevře v běžném rozhraní. Vaultaire předem vypne analytiku a nechá ji vypnutou, dokud ji znovu nezapnete, pokusí se zrušit aktivní sdílení vytvořená z tohoto trezoru, vygeneruje pro něj novou frázi pro obnovení a nakonec z něj odstraní označení trezoru pod nátlakem. Aplikace nezobrazí žádné potvrzení ani zprávu o dokončení, doba dokončení ale závisí na místní práci a případném rušení sdílení přes síť; Vaultaire neslibuje, že vše vždy proběhne do jedné sekundy.

Proč to nikdo nepozná

Okamžité rozhraní je navrženo tak, aby nátlakový režim neprozradilo nikomu, kdo vás sleduje přes rameno. To je užitečná vlastnost toho, co je vidět na obrazovce, ne důkaz, že každý forenzní pozorovatel uvidí stejný stav zařízení. Stopy v souborovém systému, záznamy v CloudKit, jiné synchronizované zařízení nebo dřívější přístup k telefonu mohou být mimo to, co aplikace dokáže skrýt.

Žádný potvrzovací dialog

Většina destruktivních akcí v softwaru přichází s varováním: "Jste si jistý?" Nátlakový režim takové varování nemá. Potvrzovací dialog by byl prozrazením. V okamžiku, kdy nakreslíte vzor, je akce provedena. Nemůžete ho spustit náhodně, pokud náhodně nenakreslíte specifický, složitý vzor na mřížce 5×5, což se nestane náhodou.

Žádná samostatná čekací obrazovka

Aplikace otevře určený trezor a přitom provádí místní odstraňování a rušení sdílení. Průběh je navržený tak, aby nepřidal samostatnou varovnou obrazovku, výkon zařízení, stav trezoru a podmínky sítě se ale liší. Vaultaire netvrdí, že časování je tak stejné, že by ho pozorovatel s měřicími přístroji nikdy nerozlišil.

Žádné upozornění na vymazání v aplikaci

Vaultaire před vymazáním vypne analytiku a nezobrazí žádné oznámení o smazaných trezorech. Analytika zůstane vypnutá i po novém spuštění aplikace, dokud ji znovu nezapnete. Nastavení nátlaku je položka v Keychain, takže zkoumající s přístupem ke Keychain uvidí, že byl nastaven trezor pod nátlakem. Na daném zařízení zůstane v aplikaci přístupný jen zachovaný trezor. To nevymaže důkazy mimo aktuální místní stav aplikace a nelze to brát jako slib, že forenzní zkoumání nic neodhalí.

Jaká místní data se odstraní

Tady záleží na přesnosti. Nátlakový režim odstraní konkrétní místní struktury potřebné k nalezení a otevření ostatních trezorů i jejich soubory úložiště a zachová sůl zařízení i případnou šifrovanou zálohu na iCloud. Soubory maže bez přepsání, takže netvrdí, že byla přepsána každá fyzická kopie.

Šifrovaná databáze obnovy

Místní databáze obnovy přiřazuje fráze pro obnovení a starší pole vzorů k přístupu do trezorů. Nátlakový režim tuto databázi vymaže a pak vytvoří nový záznam obnovy jen pro určený trezor. Tím odstraní místní mapování obnovy ostatních trezorů, aniž by předstíral, že Vaultaire pro každý z nich používal nebo zničil samostatnou sůl.

Indexy ostatních trezorů

Každý šifrovaný index trezoru obsahuje záznamy o jeho souborech a náhodný hlavní klíč zabalený klíčem odvozeným ze vzoru daného trezoru. Nátlakový režim smaže všechny indexy kromě indexu určeného trezoru. Algoritmus PBKDF2 a počet iterací jsou veřejné parametry implementace; bezpečnost nezávisí na jejich vymazání.

Zašifrovaná data

Nátlakový režim smaže ze sdílené složky úložiště šifrované stránky a arény ostatních trezorů i krycí arény a zachovanému trezoru pak vytvoří nové krycí soubory. Jde o prosté odstranění bez přepsání a Vaultaire netvrdí, že bezpečně fyzicky přepíše každý blok flash úložiště. Smazané indexy nebo předchozí stav mohou přetrvat i ve vrstvách úložiště, které aplikace neovládá.

Kdy použít nátlakový režim

Nátlakový režim je určen pro situace, kdy čelíte fyzickému nátlaku nebo právnímu donucení a rozhodli jste se, že odstranit místní přístup k trezoru je lepší než ho odhalit. Je to osobní rozhodnutí se závažnými důsledky a Vaultaire vám dává nástroj, aniž by rozhodoval za vás.

Hraniční přechody

Pravomoci při hraničních prohlídkách a povinnosti cestujících se liší podle země a okolností. Nakreslení nátlakového vzoru před předáním telefonu ponechá v rozhraní přístupný jeden trezor a odstraní ostatní místní přístupová data, nemůže ale zaručit, že zkoumající nenajde žádné stopy v souborovém systému, šifrované zálohy, kopie na jiných zařízeních nebo dřívější důkazy.

Fyzický nátlak

Pokud vás někdo pod pohrůžkou nutí odemknout telefon, potřebujete způsob, jak omezit, co ukáže běžné rozhraní. Nátlakový režim vám umožní nakreslit vzor, který vypadá jako spolupráce. Ten, kdo vás nutí, vidí otevřený určený trezor, rozhraní ale neoznámí, že se současně lokálně odstraňují přístupová data ostatních trezorů.

Zabavení zařízení

Pokud máte důvod se domnívat, že vám zařízení zabaví, může nátlakový režim před předáním odstranit z aktuální instalace aplikace přístup k ostatním trezorům. Nemůže ale zaručit, že forenzní analytik nebude mít co zkoumat, zejména pokud už bylo zařízení kompromitováno nebo existují jiné kopie a systémové stopy.

Ochrana novinářů a zdrojů

Novináři pracující v nepřátelském prostředí, aktivisté působící pod dohledem a kdokoliv, jehož data by mohla ohrozit je samotné nebo ostatní. Nátlakový režim proměňuje okamžik zranitelnosti v okamžik ochrany.

Nastavení trezoru pod nátlakem

Konfigurace nátlakového režimu trvá přibližně dvě minuty. Udělat to dobře a přesvědčivě vyžaduje trochu více přemýšlení.

Určete trezor

V nastavení Vaultaire označíte jeden trezor jako trezor pod nátlakem. Tento trezor se otevře při nakreslení vzoru nátlaku, takže musí obsahovat obsah, který vypadá skutečně a splní očekávání pozorovatele. Prázdný trezor je podezřelý. Trezor s zjevně falešným obsahem je podezřelý. Trezor s hrstkou normálně vypadajících osobních fotek je ideální.

Naplňte ho věrohodným obsahem

Vložte do trezoru pod nátlakem obsah, který by někdo očekával v soukromém trezoru: několik osobních fotek, možná sken dokumentu, nějaké soubory, které vypadají dostatečně soukromě pro uzamčení, ale nevinně pro obstání při kontrole. Cílem není oklamat forenzní vyšetřování, ale uspokojit osobu stojící před vámi v daný okamžik.

Zvolte přirozený vzor

Nátlakový vzor by měl být takový, abyste ho ve stresu nakreslili rychle a bez váhání. Pokud nakreslíte jiný platný vzor, můžete místo toho otevřít jiný trezor nebo prázdný stav. Spouštěč si procvičte v bezpečném testovacím nastavení. Jako každý vzor ve Vaultaire musí spojit alespoň šest bodů a alespoň jednou změnit směr.

Otestujte ho

Než ho budete potřebovat, otestujte nátlakový režim v bezpečném prostředí. Vytvořte testovací trezory, označte trezor pod nátlakem a spusťte ho. Ověřte, že se ostatní trezory na tomto zařízení už neotevřou. Ověřte, že se trezor pod nátlakem otevřel normálně. Pak vše nastavte naostro.

Nelze vrátit

Je třeba to říct jasně: jakmile se nátlakový režim spustí, místní vymazání nejde vrátit. Podpora Vaultaire nedokáže zrekonstruovat váš vzor ani frázi pro obnovení. Pokud zůstala zapnutá šifrovaná záloha na iCloud (ve výchozím nastavení je zapnutá) a frázi pro obnovení máte, můžete později obnovit trezory jeden po druhém. Bez obojího můžete po odstranění místních přístupových dat trezor ztratit natrvalo.

Ostatní indexy a místní mapování obnovy zmizí z aktivního stavu aplikace. Jejich soubory úložiště se odstraní bez přepsání. Sůl společná pro celé zařízení není cílem vymazání a šifrované zálohy v cloudu zůstávají zachované. Tato hranice je záměrná: odebere přístup z vynuceně odemčeného zařízení a vlastníkovi ponechá cestu k obnově chráněnou frází.

Nátlakový režim je určen lidem, kteří tomuto kompromisu rozumějí a předem se rozhodli, že raději odeberou okamžitý přístup z aktuálního zařízení, než aby trezor pod nátlakem odhalili. Pokud nemůžete bezpečně uchovat frázi pro obnovení a šifrovanou zálohu, počítejte s tím, že vás místní vymazání může připravit o přístup k danému trezoru.

Kompromis je konkrétní, ne absolutní. Místní mazání začne bez potvrzení a pozdější obnova je možná jen samostatnou cestou přes cloud a frázi pro obnovení. Než se rozhodnete, zda toto chování odpovídá vašemu modelu hrozeb, vyzkoušejte funkci na necitlivých datech.