Šifrování vzorem: Jak nakreslený tvar chrání vaše soubory

Vaultaire převede tvar nakreslený na mřížce 5×5 do sekvence a zpracuje ji pomocí PBKDF2-HMAC-SHA512 s 600 000 iteracemi a solí společnou pro celé zařízení, uloženou v iOS Keychain. 256bitový výsledek je klíč trezoru: šifruje index trezoru a rozbaluje samostatný náhodný hlavní klíč, kterým AES-256-GCM šifruje obsah souborů a metadata.

Co je šifrování vzorem?

Většina archivních aplikací se skrývá za PINem nebo heslem. Zadáte čtyři číslice a fotografie se zobrazí. Zní to bezpečně, že?

Zde je problém: čtyřmístný PIN má přesně 10 000 možných kombinací. Počítač je může vyzkoušet všechny za méně než sekundu. Šest číslic? Milion kombinací. Pro moderní hardware stále triviálně rychlé. Dokonce osmiznaké heslo, pokud používá pouze malá písmena, nabízí přibližně 200 miliard možností. To zní jako hodně, dokud se nedozvíte, že standardní notebook dokáže testovat miliardy hashů hesel za sekundu.

Šifrování vzorem na to jde zásadně jinak. Místo psaní znaků do pole nakreslíte geometrický tvar přes mřížku bodů. Konkrétní dráha, kterou nakreslíte (kterých bodů se dotknete, v jakém pořadí a s jakou geometrií), se stane vstupem funkce pro odvození klíče z hesla. Výsledek jen nekontroluje rozhraní: musí odemknout ověřený šifrovaný index a náhodný hlavní klíč v něm.

Na tomto rozdílu záleží. Když v některých aplikacích zadáte PIN, aplikace jen zkontroluje, zda jste zadali správné číslo. Pokud ano, otevře se, i když soubory mohou chránit hlavně pravidla přístupu. Vaultaire místo toho předá nakreslený vzor funkci PBKDF2 a odvodí z něj 256bitový klíč trezoru. Tento klíč musí ověřit a dešifrovat index trezoru, než může rozbalit náhodný hlavní klíč, který šifruje soubory. Nerozpoznaný vzor se zobrazí jako prázdný trezor, ověření AES-GCM v pozadí ale správný klíč od nesprávného stále rozliší.

Jak to funguje krok za krokem

Zde je popsáno, co se děje od okamžiku, kdy se váš prst dotkne obrazovky, do chvíle, kdy se vaše soubory stanou nečitelnými pro všechny ostatní.

Krok 1: Nakreslíte vzor

Vaultaire zobrazí mřížku 5×5 bodů. Nakreslíte souvislou dráhu, která spojí alespoň 6 bodů a alespoň jednou změní směr. Aplikace přesně zaznamená, které body jste prošli a v jakém pořadí. Tato sekvence je váš vzor.

Na rozdíl od mřížek 3×3, které se běžně používají na zamykací obrazovce Androidu, používá Vaultaire mřížku 5×5. Nejde o kosmetickou volbu. Dvacet pět pozic umožňuje mnohem víc drah, křížení, přeskoků a změn směru než devět pozic. Větší teoretický prostor pomáhá, skutečná bezpečnost ale stále závisí na tom, jak nepředvídatelnou dráhu zvolíte. Známé písmeno nebo jednoduchý tvar zůstane uhodnutelný, i když mřížka umožňuje miliardy jiných možností.

Krok 2: Vzor odvozuje klíč trezoru

Nakreslený vzor se spolu s velikostí mřížky převede do sekvence a předá funkci PBKDF2 (Password-Based Key Derivation Function 2) s HMAC-SHA512, 600 000 iteracemi a náhodnou solí společnou pro celé zařízení. Sůl není tajná a je uložená v iOS Keychain jako položka WhenUnlockedThisDeviceOnly. Váže místní odvození klíče k zařízení; není jedinečná pro každý trezor a k vzoru zvolenému člověkem nepřidává žádnou entropii.

Odvození klíče je záměrně náročné. PBKDF2 provede pro každý zkoušený vzor 600 000 iterací HMAC-SHA512, a tím hádání prodraží. Vzor s nízkou entropií tím ale nezíská 256bitovou bezpečnost a doba útoku závisí na hardwaru útočníka. Účel je užší a měřitelný: každý pokus je výrazně dražší než jednoduchý hash.

Krok 3: Vaše soubory jsou zašifrovány

Při prvním vytvoření trezoru Vaultaire vygeneruje náhodný 256bitový hlavní klíč. Klíč trezoru odvozený ze vzoru šifruje index a obaluje tento hlavní klíč; každý soubor přímo nešifruje. Hlavní klíč se používá s AES-256-GCM pro hlavičky souborů, obsah, náhledy a související metadata. Nové nonce zajišťují, že stejný otevřený text nevytvoří pod stejným klíčem stejný šifrovaný text.

Režim GCM přidává důležitou vrstvu: autentizaci. Nejenže zamíchá vaše data, ale také generuje značku, která detekuje jakékoli manipulace. Pokud je modifikován jediný bit zašifrovaného souboru, dešifrování selže. Nikdo nemůže manipulovat s vašimi soubory, aniž byste o tom věděli.

Krok 4: Aktivní stav klíčů se vymaže

Když se Vaultaire zamkne, vymaže aktivní stav trezoru a hlavního klíče a před dalším zobrazením souborů vyžaduje nové odemčení. Když je trezor otevřený, bajty symetrických klíčů nutně existují v procesu aplikace, aby CryptoKit mohl provádět operace AES-GCM. Vaultaire také uchovává informace pro obnovu, včetně vzoru a obálky pro obnovu šifrované frází, v databázi šifrované AES-GCM uložené v iOS Keychain. To je podstatně jiné tvrzení, než že vzor a žádná kopie klíče nejsou nikde uložené.

Matematika za tím (v běžné řeči)

Nepotřebujete titul z informatiky, abyste pochopili, proč to funguje. Bezpečnost spočívá ve třech číslech: kolik vzorů je možných, jak dlouho trvá každý pokus a kolik pokusů může útočník provést.

Entropie: míra nepředvídatelnosti

Entropie je jiné slovo pro “jak těžké je to uhodnout.” Hod mincí má 1 bit entropie (dva výsledky). Čtyřmístný PIN má přibližně 13 bitů entropie (10 000 výsledků). Dobře zvolený vzor na mřížce 5×5 spojující 8 nebo více bodů může překročit 30 bitů entropie, tedy více než miliardu možných vzorů.

Entropie vzoru určuje strop pro útok hádáním. PBKDF2 nedokáže vytvořit entropii, kterou gesto nemá, dokáže ale výrazně prodražit ověření každého pokusu.

Odvozování klíče: drahé pokusy

PBKDF2 vezme vzor převedený do sekvence a provede 600 000 kol HMAC-SHA512. Odhady útoku musí vycházet z naměřené ceny na hardwaru, který hádá: při přesně 1 ms na jeden celý pokus by 1 000 000 000 pokusů trvalo na jednom výpočetním vlákně 1 000 000 s, tedy asi 11,6 dne. Pomalejší naměřená cena pokusu tuto dobu prodlužuje; paralelní hardware ji zkracuje. 256bitová délka výstupu velikost prostoru vzorů nemění.

Sůl společná pro celé zařízení je uložená v Keychain a není navržená jako tajemství. Keychain a Ochrana dat v iOS mohou při zabavení zařízení ztížit její získání, kryptografická analýza ale musí počítat s tím, že kdo získá šifrované soubory, může získat i sůl. Sůl brání předvýpočtu napříč zařízeními; silný vzor nenahrazuje.

AES-256: veřejný, důkladně prozkoumaný standard

AES-256 je silná standardní šifra, kterou NIST publikoval jako FIPS 197. Číslo “256” označuje délku klíče v bitech. 256bitový klíč má 2²⁵⁶ možných hodnot, číslo tak velké, že i kdyby každý atom v pozorovatelném vesmíru byl počítačem a každý počítač testoval bilion klíčů za sekundu, prolomení by netrvalo do tepelné smrti vesmíru.

Bezpečnost AES-256 nezávisí na utajení algoritmu. Celý systém ale nechrání jen prostor klíčů AES: praktickou hranici hádání určuje entropie vzoru, výpočetní náročnost PBKDF2 a ochrana soli zařízení a šifrovaného úložiště. Jakmile je správný náhodný hlavní klíč odemčený, poskytuje AES-256-GCM silné ověřené šifrování.

Proč to nikdo neprolomí

Podívejme se na hlavní způsoby, jak by se někdo mohl pokusit dostat k vašim šifrovaným souborům, co Vaultaire dělá pro zvýšení ceny útoku a kde zůstávají hranice.

Hrubá síla: zkoušení každého vzoru

PBKDF2 nutí každý zkoušený vzor zaplatit 600 000 iterací HMAC-SHA512. To je účinná obrana, ne však slib pevného počtu let: výsledek závisí na volbě vzoru, naměřené rychlosti odvození, paralelizaci a na tom, zda útočník získal sůl zařízení. Na delších, méně předvídatelných drahách záleží, protože PBKDF2 zvyšuje cenu pokusu, novou entropii ale nevytváří.

Útok šmouhami: čtení vaší obrazovky

Na mřížce 3×3 mohou šmouhy na obrazovce výrazně zúžit možné vzory. Na mřížce 5×5 vzor šmouh odhalí, které body byly dotčeny, ale ne pořadí, směr ani spojení mezi nimi. Kombinatorická exploze tento přístup činí nepraktickým.

Sledování přes rameno: pozorování kreslení

Vzory kreslené rychle na malé obrazovce telefonu je velmi obtížné zapamatovat si pouhým pozorováním, zvláště na mřížce 5×5. Výzkum ukazuje, že pozorovatelé mají mnohem větší potíže s napodobením složitých vzorů ve srovnání s odposlechnutím PINu nebo hesla vysloveného nahlas.

Zabavení zařízení: vzít váš telefon

Pokud vám někdo vezme telefon, obsah souborů a indexy Vaultaire zůstanou šifrovaným textem AES-GCM, dokud nebudou k dispozici potřebné klíče. Aplikace neukládá klasický záznam pro ověření hesla, ověření offline to ale nevylučuje. Název souboru každého šifrovaného indexu trezoru obsahuje zkrácený hash klíče trezoru a ověřené dešifrování AES-GCM pro zkoušený klíč buď uspěje, nebo selže. Ochrana zařízení a síla vzoru proto zůstávají součástí modelu hrozeb.

Volba silného vzoru

Šifrování je jen tak silné jako váš vzor. Zde je návod, jak maximalizovat bezpečnost s minimálním úsilím.

Co dělá vzor silným

• Používejte více bodů. Spojte alespoň 8 z 25 dostupných bodů. Každý další bod násobí počet možných vzorů.
• Křižte vlastní cestu. Vzory, které se vracejí zpět, přeskakují body nebo neočekávaně mění směr, jsou mnohem těžší reprodukovat z paměti nebo pozorování.
• Vyhněte se zjevným tvarům. Písmena (L, Z, S), jednoduché geometrické tvary (čtverce, trojúhelníky) a přímé linie jsou prvními věcmi, které by útočník vyzkoušel.
• Využijte celou mřížku. Vzory zůstávající v jednom rohu nebo podél jednoho okraje plýtvají dostupnou entropií. Rozložte se.

Čemu se vyhnout

• Vzory s minimální délkou. Vaultaire vyžaduje alespoň 6 teček a jednu změnu směru, ale splnění minima nečiní cestu nepředvídatelnou. Použijte více mřížky, když si výsledek spolehlivě zapamatujete.
• Jednoduché geometrické tvary. Tvar L, klikatá čára nebo přímá úhlopříčka jsou vzorové ekvivalenty hesla “heslo123”.
• Vždy začínat ze stejného rohu. Výzkum vzorů Android ukazuje, že většina lidí začíná od levého horního bodu. Útočníci to vědí.

Zlatý střed

Vzor spojující 8 až 12 bodů s alespoň dvěma změnami směru poskytuje vynikající bezpečnost a zároveň si ho snadno zapamatujete prostřednictvím svalové paměti. Nemusíte si ho pamatovat jako heslo: vaše ruka si pamatuje pohyb, stejně jako si pamatuje, jak psát váš podpis.

Proč se můžete cítit bezpečně

Šifrování vzorem ve Vaultaire není jen hezčí klávesnice pro PIN. Gesto zpracuje skutečná funkce pro odvození klíče a musí odemknout ověřená šifrovaná data. Jeho síla stále závisí na zvoleném gestu, proto Vaultaire spojuje větší mřížku s vysokou výpočetní náročností PBKDF2 a nevydává 256bitovou délku výstupu za 256 bitů lidské tajné entropie.

Váš vzor ani místní klíč trezoru se do Vaultaire neodesílají. Když je záloha zapnutá, což je výchozí stav, samostatný záložní klíč odvozený ze vzoru šifruje záznamy CloudKit a šifrovaný manifest obnovy umožňuje frází pro obnovení obnovit klíče trezoru a zálohy. Vaultaire nedrží žádný klíč poskytovatele, který by tyto záznamy dešifroval, zařízení a přihlašovací údaje pro obnovu ale zůstávají pro bezpečnost návrhu klíčové.

Nakreslíte tvar. Ten tvar chrání vaše soubory. Matematika udělá zbytek.