Tvangstilstand: fjern adgang til andre bokse

Tvangstilstand i Vaultaire giver dig mulighed for at udpege én boks som en tvangsudløser. Tegning af denne boks' mønster åbner den normalt, mens den fjerner ikke-tvangsboksindekser og lokale gendannelsestilknytninger fra den aktuelle enhed. Eksisterende krypterede iCloud-sikkerhedskopier og kopier på andre enheder efterlades bevidst uændret.

Hvad er tvangstilstand?

Tvangstilstand er den sidste forsvarslinje. Det er en funktion du håber aldrig at få brug for, designet til det øjeblik hvor alt andet er brudt sammen: når nogen står over dig, kræver adgang til dine private filer og du ikke har andet valg end at efterkomme.

Sådan fungerer det: Du udpeger én boks som din tvangsboks. Du fylder den med indhold, der ser troværdigt ud - et par harmløse billeder, nogle banale dokumenter. Så tildeler du den et mønster ligesom enhver anden boks. I den almindelige oplåsningsgrænseflade ligner og åbner den som en normal boks; spor i filsystemet og i skyen falder uden for denne snævre påstand om præsentationen.

Forskellen er, hvad der sker, når du tegner det mønster. Et normalt boksmønster åbner sin egen boks. Tvangsmønsteret gør det også og viser indholdet af den udpegede boks på skærmen, men udløser samtidig en lokal sletning af de indekser og gendannelsestilknytninger, der gør de andre bokse tilgængelige på den enhed.

Der vises ingen bekræftelsesdialog. Der afspilles ingen advarselslyd. Den person, der ser dig, ser en boks åbne, og dens filer vises. Hvad grænsefladen ikke annoncerer, er, at andre lokale boksindekser er blevet slettet, lokale gendannelsestilknytninger er blevet ryddet, afventende sikkerhedskopieringsarbejde er blevet stoppet, og enheden skal bruge eksplicit sætningsbaseret gendannelse, før en fjernet boks kan vende tilbage.

Sådan virker det under hætten

Det er vigtigt at forstå mekanikken, fordi tvangstilstand har en snævrere grænse end en universel sletningspåstand. Den ændrer tilstanden på den aktuelle enhed; den lover ikke at slette CloudKit, en anden enhed, filsystemhistorik eller beviser, der allerede er indsamlet af en angriber.

Trin 1: Du tegner tvangsmønsteret

Når du tegner det mønster, der er tildelt din tvangsboks, genkender Vaultaire det som en tvangsudløser. Appen starter to operationer samtidigt: den begynder at dekryptere og vise indholdet af den udpegede boks, og den starter lokal oprydning af indekserne og gendannelsestilknytninger for hver anden boks.

Trin 2: Lokal adgangstilstand er fjernet

Vaultaire bruger ét enhedsdækkende Keychain-salt til lokal mønsterafledning, ikke et separat salt for hver boks. Tvangstilstand ødelægger ikke det delte salt. I stedet rydder den den krypterede lokale gendannelsesdatabase og sletter hvert boksindeks undtagen den udpegede boks' indeks. Fordi hvert indeks indeholder den indpakkede tilfældige hovednøgle og filkortet for den boks, fjernes den pågældende boks fra appens brugbare lokale tilstand.

Krypterede fildata kan blive liggende på disken. Uden det slettede indeks har Vaultaire intet filkort eller indpakket hovednøgle til at åbne den fjernede boks lokalt. Appen rydder også lokale gendannelsestilknytninger, så den almindelige gendannelsesskærm ikke umiddelbart kan opregne eller gendanne disse bokse.

Trin 3: Gendannelse fra skyen er bevaret, men isoleret

Eksisterende krypteret iCloud-sikkerhedskopi bevares bevidst som en gendannelsessti. Enheden nulstiller afventende backuparbejde og isoleres, så den lokale sletning ikke uploades som en almindelig sletning, og skjulte bokse hentes ikke automatisk tilbage. Senere gendannelse er eksplicit, én boks ad gangen, og kræver boksens gendannelsessætning i stedet for kun det mønster, der afsløres under tvang.

Trin 4: Tvangsboksen åbner normalt

Mens den lokale oprydning kører, åbnes den udpegede boks gennem den normale grænseflade. Vaultaire slår analyse fra for den aktuelle session før start, forsøger at tilbagekalde aktive delinger, der er oprettet fra den boks, genererer en ny gendannelsessætning for den og fjerner tvangsmarkeringen bagefter. Appen præsenterer ingen tvangsbekræftelse eller færdiggørelsesmeddelelse, men færdiggørelsestiden afhænger af lokalt arbejde og eventuelle tilbagekaldelser over netværket; Vaultaire lover ikke en fast frist på ét sekund.

Hvad den lydløse grænseflade skjuler, og hvad den ikke skjuler

Den umiddelbare grænseflade er designet til at undgå at annoncere Tvangstilstand for nogen, der kigger dig over skulderen. Det er en nyttig egenskab ved præsentationen, ikke et bevis på, at enhver retsmedicinsk observatør ser en identisk enhedstilstand. Filsystemartefakter, CloudKit-poster, en anden synkroniseret enhed eller tidligere adgang til telefonen kan falde uden for, hvad appen kan skjule.

Ingen bekræftelsesdialog

De fleste destruktive handlinger i software kommer med en advarsel: "Er du sikker?" Tvangstilstand har ingen sådan advarsel. En bekræftelsesdialog ville være en afsløring. I det øjeblik du tegner mønsteret, er handlingen udført. Du kan ikke udløse det ved et uheld, medmindre du ved et uheld tegner et specifikt, komplekst mønster på et 5×5-gitter, hvilket ikke sker ved et tilfælde.

Ingen separat forsinkelsesskærm

Appen åbner den udpegede boks, mens den udfører lokal oprydning og tilbagekaldelsesarbejde. Flowet er designet til ikke at tilføje en separat advarselsskærm, men enhedens ydeevne, bokstilstand og netværksforhold varierer. Vaultaire hævder ikke, at tidsforløbet ikke kan skelnes af en observatør med måleudstyr.

Ingen meddelelse om sletning i appen

Vaultaire slår analyse fra for den aktuelle session før sletningen og viser ikke en meddelelse om "bokse slettet". Analyse starter igen ved næste start, hvis indstillingen er slået til. Tvangsindstillingen er et nøgleringselement, så en undersøger med adgang til nøgleringen kan se, at der er valgt en tvangsboks. På den enhed er den bevarede boks den, der forbliver tilgængelig via appen. Dette sletter ikke beviser uden for appens nuværende lokale tilstand, og det bør ikke behandles som et løfte om uopdagelighed under retsmedicinsk undersøgelse.

Hvilken lokal tilstand fjernes

Præcision betyder noget her. Tvangstilstand fjerner specifikke lokale strukturer, der er nødvendige for at finde og åbne ikke-tvangsbokse, samtidig med at krypterede fildata og en eventuel krypteret iCloud-sikkerhedskopi bevares. Det er en sletning af lokal adgangstilstand, ikke en påstand om, at hver fysisk kopi er blevet overskrevet.

Den krypterede gendannelsesdatabase

Den lokale gendannelsesdatabase knytter gendannelsessætninger og ældre mønsterfelter til boksadgang. Tvangstilstand rydder denne database og opretter derefter en ny gendannelsespost kun for den udpegede boks. Dette fjerner lokale gendannelsestilknytninger for de andre bokse uden at foregive, at Vaultaire brugte eller ødelagde et separat salt for hver enkelt.

Indekserne for de øvrige bokse

Hvert krypteret boksindeks indeholder sine filposter og den tilfældige hovednøgle, der er indpakket med boksens mønsterafledte nøgle. Tvangstilstand sletter hvert indeks undtagen den udpegede boks'. PBKDF2-algoritmen og antallet af iterationer er offentlige implementeringsparametre; sikkerhed afhænger ikke af at slette dem.

Krypterede data

Krypterede fildata bevares på disken. Data, der kun tilhørte slettede indekser, kan blive utilgængelige gennem appen, men Vaultaire påstår ikke sikker fysisk overskrivning af hver flash-lagerblok. Slettede indekser eller tidligere tilstand kan også fortsætte i lagerlag uden for appens kontrol.

Hvornår man bruger tvangstilstand

Tvangstilstand er designet til situationer, hvor du udsættes for fysisk tvang eller retslig tvang og har besluttet, at fjernelse af lokal boksadgang er at foretrække frem for at afsløre den. Dette er en personlig beslutning med alvorlige konsekvenser, og Vaultaire giver dig værktøjet uden at tage beslutningen for dig.

Grænseovergange

Myndighedernes ret til at gennemsøge enheder ved grænsen og de rejsendes pligter varierer efter land og omstændigheder. Tegning af tvangsmønsteret, før du afleverer din telefon, efterlader én boks tilgængelig i grænsefladen og fjerner andre lokale adgangstilstande, men den kan ikke garantere, at en undersøger ikke finder filsystemartefakter, krypterede sikkerhedskopier, kopier på andre enheder eller tidligere beviser.

Fysisk tvang

Hvis nogen tvinger dig til at låse din telefon op under trussel, har du brug for en måde at begrænse, hvad den almindelige grænseflade afslører. Tvangstilstand lader dig tegne et mønster, der ligner samarbejde. Tvangsudøveren ser den udpegede boks åben, mens grænsefladen ikke annoncerer den samtidige lokale oprydning af adgangstilstanden for andre bokse.

Beslaglæggelse af enhed

Hvis du har grund til at tro, at din enhed vil blive konfiskeret, kan tvangstilstand fjerne ikke-tvangsboksadgang fra den aktuelle appinstallation før overdragelse. Den kan ikke garantere, at en retsmedicinsk analytiker intet har at undersøge, især hvis enheden allerede var kompromitteret, eller der findes andre kopier og systemartefakter.

Journalister og kildebeskyttelse

Journalister der arbejder i fjendtlige miljøer, aktivister under overvågning og alle hvis data kunne bringe dem selv eller andre i fare. Tvangstilstand forvandler et sårbarhedsøjeblik til et beskyttelsesøjeblik.

Opsætning af tvangsboksen

Konfiguration af tvangstilstand tager cirka to minutter. At gøre det godt og troværdigt kræver lidt mere overvejelse.

Udpeg boksen

I Vaultaires indstillinger markerer du én boks som tvangsboks. Den boks åbner, når tvangsmønsteret tegnes, så den skal indeholde indhold der ser ægte ud og opfylder en observers forventninger. En tom boks er mistænkelig. En boks med åbenlyst falsk indhold er mistænkelig. En boks med et par normaludseende personlige fotos er ideel.

Fyld den med troværdigt indhold

Læg indhold i tvangsboksen som nogen ville forvente i et privat arkiv: nogle personlige fotos, måske et dokumentscan, nogle filer der ser tilstrækkeligt private ud til at blive låst inde, men uskyldige nok til at bestå kontrol. Målet er ikke at narre en retsteknisk undersøgelse, men at tilfredsstille personen der står foran dig i det øjeblik.

Vælg et naturligt mønster

Tvangsmønsteret skal være noget, du kan tegne under stress, hurtigt og uden tøven. Hvis du tegner et andet gyldigt mønster, kan du i stedet åbne en anden boks eller en tom tilstand. Øv udløseren i en sikker testopsætning. Som ethvert Vaultaire-mønster skal det forbinde mindst seks prikker og lave mindst én retningsændring.

Test det

Inden du får brug for det, test tvangstilstand i et sikkert miljø. Opret test-bokse, markér tvangsboksen og aktivér den. Bekræft at de andre bokse ikke længere åbner på den enhed. Bekræft at tvangsboksen åbnede normalt. Derefter opsæt det igen med rigtigt indhold.

Kan ikke fortrydes

Dette skal siges klart: Når tvangstilstanden udløses, er der ingen fortryd-knap til den lokale sletning. Vaultaire-support kan ikke rekonstruere dit mønster eller din gendannelsessætning. Hvis krypteret iCloud-sikkerhedskopi (slået til som standard) stadig var slået til, og du har beholdt gendannelsessætningen, kan du senere gendanne en boks ad gangen. Uden begge dele kan den slettede lokale adgangstilstand gøre dig ude af stand til at gendanne boksen.

De andre indekser og lokale gendannelsestilknytninger er væk fra den aktive app-tilstand. Det enhedsdækkende salt og de krypterede fildata er ikke mål for sletningen, og krypterede cloud-backups bevares. Denne grænse er bevidst: den fjerner adgang fra den tvungne enhed, mens den bevarer en sætningsstyret gendannelsessti for ejeren.

Tvangstilstand er designet til folk, der forstår denne afvejning og på forhånd har besluttet, at de hellere vil fjerne øjeblikkelig adgang fra den aktuelle enhed end at udsætte boksen under tvang. Hvis du ikke sikkert kan beholde gendannelsessætningen og en krypteret sikkerhedskopi, skal du antage, at den lokale sletning kan koste dig adgang til den boks.

Afvejningen er konkret, ikke absolut. Lokal sletning begynder uden bekræftelse, mens senere gendannelse kun er mulig gennem den separate sky- og gendannelsessætningssti. Test funktionen med ikke-følsomme data, før du beslutter, om den adfærd matcher din trusselsmodel.