Geheimphrase: Die Rettungsleine deines Tresors

Vaultaire generiert einen benutzerdefinierten Wiederherstellungssatz mit 9 separaten Wörtern anstelle eines 12- oder 24-Wort-Wiederherstellungssatzes BIP-39 Eselsbrücke. PBKDF2-HMAC-SHA512 verarbeitet die normalisierte Phrase über 800.000 Iterationen, um einen Wiederherstellungsschlüssel abzuleiten. Dieser Schlüssel öffnet ein AES-GCM Verschlüsselter Umschlag, der den Tresorschlüssel lokal enthält, oder der Tresorschlüssel und der Sicherungsschlüssel beim Wiederherstellen einer verschlüsselten Datei iCloud Sicherung.

Was ist die Geheimphrase?

Jeder Vaultaire-Tresor verfügt über eine mehrschichtige Schlüsselhierarchie. Ihr Muster leitet einen Tresorschlüssel ab, dieser Tresorschlüssel entsperrt den verschlüsselten Index und der Index enthält einen verpackten, zufälligen Hauptschlüssel, der für die Dateiverschlüsselung verwendet wird. Aber was passiert, wenn Sie Ihr Muster vergessen? Was passiert, wenn Monate vergehen und das Muskelgedächtnis nachlässt? Ohne einen separaten Wiederherstellungspfad wäre der Tresorschlüssel unerreichbar.

Hier kommt die geheime Phrase ins Spiel. Wenn Sie einen neuen Tresor erstellen, generiert Vaultaire einen grammatikalischen Satz mit neun gewöhnlichen englischen Wörtern – Wörter, die mithilfe kryptografisch sicherer Zufälligkeit aus mehreren rollenspezifischen Listen ausgewählt werden. Dies ist kein benutzerdefiniertes Wiederherstellungsformat BIP-39. Die Wörter kodieren nicht den aus dem Muster abgeleiteten Tresorschlüssel. Stattdessen wird der normalisierte Satz zur Eingabe PBKDF2, und der resultierende Wiederherstellungsschlüssel entschlüsselt einen Umschlag, der den Tresorschlüssel enthält.

Stellen Sie sich das so vor: Das Muster und die Wiederherstellungsphrase sind zwei Anmeldeinformationen, die unterschiedliche Wrapper um dasselbe Tresorzugriffsmaterial öffnen können. Das Muster ist der Berechtigungsnachweis, den Sie täglich verwenden. Der Wiederherstellungssatz öffnet den Notfallumschlag, den Sie für den Tag aufbewahren, an dem das Muskelgedächtnis ausfällt oder ein neues Gerät ein verschlüsseltes Backup finden muss.

Wie die Geheimphrase funktioniert

Die Geheimphrase ist ein separater Berechtigungsnachweis und daher eine separate Möglichkeit, den Tresor anzugreifen oder wiederherzustellen. Es handelt sich nicht um eine weitere Darstellung des aus dem Muster abgeleiteten Schlüssels. Die Phrase leitet einen eigenen 256-Bit-Wiederherstellungsschlüssel ab, und dieser Schlüssel authentifiziert und entschlüsselt einen kleinen Umschlag, der den Tresorschlüssel enthält. Durch diese Trennung bleibt die Phrase portierbar, während der normale lokale Tresorschlüssel an den des Geräts gebunden bleibt Keychain Salz.

Erzeugung

Wenn Sie einen Tresor erstellen, wählt Vaultaire Wörter mit kryptografisch sicherer Zufälligkeit aus und platziert sie in einer von mehreren grammatikalischen Vorlagen. Der generierte Satz enthält normalerweise 9 separate Wörter und wird vom Phrasenstärkeschätzer der App überprüft. Sie können auch eine benutzerdefinierte Phrase mit mindestens sechs einzelnen Wörtern angeben, wenn diese die Validierung besteht. Die Phrase wird normalisiert und durch 800.000 verarbeitet PBKDF2-HMAC-SHA512 Iterationen und wird zum Verschlüsseln des tragbaren Wiederherstellungsumschlags verwendet.

Anzeige

Vaultaire zeigt die Phrase während der Tresorerstellung an und fordert Sie auf, zu bestätigen, dass Sie sie gespeichert haben. Außerdem wird die Phrase in einem gespeichert AES-GCM verschlüsselte Wiederherstellungsdatenbank in der iOS Keychain So kann der Ausdruck später in den Einstellungen dieses Tresors angezeigt und zum Veröffentlichen eines verschlüsselten Wiederherstellungsmanifests verwendet werden iCloud Die Sicherung ist aktiviert. Vaultaire empfängt die Phrase nicht auf einem Unternehmensserver und bezieht sie auch nicht in die Analyse ein.

Wiederherstellung

Wenn Sie Ihr Muster vergessen, öffnen Sie Vaultaire und wählen die Wiederherstellungsoption. Auf dem Originalgerät ordnet die verschlüsselte Wiederherstellungsdatenbank die Phrase ihrem Umschlag zu. Für eine verschlüsselte iCloud Bei der Wiederherstellung findet ein deterministischer Locator das Phrasenadressierte Wiederherstellungsmanifest. In jedem Fall, AES-GCM Bei der authentifizierten Entschlüsselung wird der aus der Phrase abgeleitete Schlüssel überprüft, bevor das Zugriffsmaterial auf den Tresor freigegeben wird. Anschließend können Sie den Tresor öffnen und ein neues Muster festlegen.

Warum die Geheimphrase existiert

Vaultaire verfügt über keinen Kontodienst, der Ihr Muster, Ihre Wiederherstellungsphrase, Ihren Tresorschlüssel, Ihren Sicherungsschlüssel oder lesbare Tresorinhalte empfängt. Verschlüsselte Backups befinden sich in Ihrem privaten Bereich CloudKit Datenbank und Vaultaire verfügt nicht über einen separaten Anbieter-Wiederherstellungsschlüssel. Dadurch wird ein vom Unternehmen betriebener Pfad zum Zurücksetzen des Passworts entfernt: Der Support kann ein verlorenes Muster oder einen verlorenen Satz nicht durch Kontoanmeldeinformationen ersetzen.

Der geheime Satz ist Vaultaires Antwort auf diesen Kompromiss. Sie erhalten einen für Menschen lesbaren Berechtigungsnachweis für eine verschlüsselte Kopie des Tresorzugriffsmaterials, ohne Vaultaire einen vom Anbieter gehaltenen Entschlüsselungsschlüssel mitteilen zu müssen. Die Phrase wird lokal in protected gespeichert Keychain Daten und sollten auch an einem von Ihnen kontrollierten Ort aufbewahrt werden. Wenn weder Ihr Muster noch eine verwendbare Kopie der Phrase vorhanden sind, kann Vaultaire die Verschlüsselung nicht von einem Firmenkonto aus zurücksetzen.

Sicherheit der Geheimphrase

Der Geheimsatz ist einer der sensibelsten Zugangsdaten, die mit Ihrem Tresor verbunden sind. Jeder, der die Phrase und die passenden lokalen Wiederherstellungsdaten hat oder verschlüsselt iCloud Backup kann möglicherweise die Tresorschlüssel wiederherstellen und auf Ihre Daten zugreifen. Aus diesem Grund speichert Vaultaire seine lokale Kopie verschlüsselt Keychain Speicherung – und warum Sie jede von Ihnen erstellte Kopie schützen sollten.

Wird bei der Erstellung angezeigt und ist in den Einstellungen verfügbar

Vaultaire zeigt die Phrase während der Tresorerstellung an, sodass Sie eine unabhängige Kopie erstellen können. Die App kann die gespeicherte Phrase auch aus den Einstellungen des offenen Tresors laden und anzeigen. Diese Bequemlichkeit verändert das Bedrohungsmodell: Jemand, der den Tresor entsperren und auf seine Einstellungen zugreifen kann, kann möglicherweise den Satz lesen, also der iPhone Passcode, Vaultaire-Muster und physische Kontrolle des Geräts bleiben wichtig.

Lokal verschlüsselt, nicht an Vaultaire gesendet

Der Satz wird in einer verschlüsselten Wiederherstellungsdatenbank gespeichert, die als „WhenUnlockedThisDeviceOnly“ gespeichert ist Keychain Artikel. Ein separater Zufall Keychain Der Schlüssel schützt diese Datenbank mit AES-GCM. Wenn verschlüsselt iCloud Wenn die Sicherung aktiviert ist, lädt Vaultaire einen deterministischen Phrasenfinder und eine hoch AES-GCM verschlüsseltes Wiederherstellungsmanifest; Die Klartextphrase wird nicht in diesen Datensatz eingefügt. Der Satz ist von der Analyse ausgeschlossen und Vaultaire erhält ihn nicht.

Keine Wiederherstellung ohne sie

Wenn Sie sowohl Ihr Muster als auch jede verwendbare Kopie der Geheimphrase verlieren, verfügt Vaultaire weder über eine Kontozurücksetzung noch über einen vom Anbieter gehaltenen Schlüssel, der den Tresor für Sie entschlüsseln kann. Ob eine lokale Wiederherstellung weiterhin möglich ist, hängt dann davon ab, was geschützt wird Keychain und die Tresordaten verbleiben weiterhin auf dem Gerät. Eine verschlüsselte iCloud Für die Sicherung ist weiterhin die Wiederherstellungsphrase oder der entsprechende, vom Muster abgeleitete Sicherungsschlüssel erforderlich.

Best Practices für deine Geheimphrase

Auf Papier aufschreiben

Nimm Stift und Papier. Schreib jedes Wort klar und nummeriert auf. Papier kann nicht aus der Ferne gehackt werden. Es kann nicht durch Schadsoftware kompromittiert werden. Ein Blatt Papier an einem sicheren Ort ist die widerstandsfähigste Form der Backup-Speicherung, die je erfunden wurde.

Nie digital speichern

Tipp sie nicht in eine Notizen-App. Mach keinen Screenshot. Schick sie dir nicht per E-Mail. Speichere sie nicht in einem Passwort-Manager. Jede digitale Kopie schafft eine Angriffsfläche. Der ganze Sinn der Zero-Knowledge-Verschlüsselung ist, dass kein digitales System deinen Schlüssel hält.

An einem sicheren Ort aufbewahren

Legen Sie keine ungeschützte Kopie in einer Notizen-App, einer Screenshot-Bibliothek oder einem E-Mail-Konto ab. Jede zusätzliche digitale Kopie schafft einen weiteren Ort, an dem die Phrase durch Malware, eine Datenschutzverletzung oder eine Kontokompromittierung offengelegt werden könnte. Vaultaire verfügt bereits über eine geschützte lokale Kopie zur Wiederherstellung und Anzeige der Einstellungen; Jede zusätzliche Kopie sollte entsprechend dem Risiko der von Ihnen geschützten Daten gesichert werden.

Eine Vertrauensperson in Betracht ziehen

Falls dir etwas zustößt, soll dann jemand auf deinen Tresor zugreifen können? Wenn ja, könntest du eine Kopie der Phrase einem vertrauten Familienmitglied geben oder sie in einem versiegelten Umschlag bei deinen Nachlassdokumenten aufbewahren. Das ist eine persönliche Entscheidung, aber es lohnt sich, darüber nachzudenken, bevor die Frage dringend wird.

Wie die Wiederherstellung funktioniert

Schritt 1: Wiederherstellungsbildschirm öffnen

Wenn du Vaultaire öffnest und nach deinem Muster gefragt wirst, siehst du eine Wiederherstellungsoption. Tippe darauf, und die App zeigt eine Wort-Eingabeschnittstelle.

Schritt 2: Phrase eingeben

Geben Sie die vollständige Phrase in derselben Wortreihenfolge ein, in der sie gespeichert wurde. Vaultaire normalisiert Groß- und Kleinschreibung und Leerzeichen, aber die Wörter und ihre Reihenfolge sind immer noch wichtig, weil sie werden PBKDF2 Eingabe. Das generierte Format ist ein Satz mit 9 separaten Wörtern, kein Satz BIP-39 Liste, und eine benutzerdefinierte Phrase kann eine andere Anzahl von Wörtern verwenden.

Schritt 3: Schlüssel-Regenerierung

Sobald alle Wörter eingegeben sind, wandelt Vaultaire die Phrase zurück in einen kryptografischen Schlüssel. Dieser Prozess ist deterministisch — dieselben Wörter erzeugen immer denselben Schlüssel, egal auf welchem Gerät oder wie viel Zeit vergangen ist.

Schritt 4: Neues Muster setzen

Nachdem der Tresor wieder zugänglich ist, kann Vaultaire ein neues Muster erstellen. Der zufällige Hauptschlüssel für die Dateiverschlüsselung bleibt unverändert, aber das neue Muster leitet einen neuen lokalen Tresorschlüssel und einen neuen deterministischen Sicherungsschlüssel ab. Durch das Ändern des Musters werden auch eine Ersatz-Wiederherstellungsphrase und ein Umschlag generiert. Daher müssen Sie die neue Phrase speichern, bevor Sie den Flow verlassen.