Zwangsmodus: Zugriff auf andere Tresore entfernen

Im Zwangsmodus von Vaultaire kannst du einen Tresor als Zwangsauslöser festlegen. Durch das Zeichnen des Musters dieses Tresors wird dieser normal geöffnet, während nicht erzwungene Tresorindizes und lokale Wiederherstellungszuordnungen vom aktuellen Gerät entfernt werden. Vorhandene verschlüsselte iCloud-Backups und Peer-Gerätekopien werden absichtlich unverändert gelassen.

Was ist der Zwangsmodus?

Der Zwangsmodus ist die letzte Verteidigungslinie. Eine Funktion, die du hoffentlich nie brauchst, konzipiert für den Moment, in dem alles andere versagt hat — wenn jemand vor dir steht, Zugang zu deinen privaten Dateien verlangt, und du keine Wahl hast, als nachzugeben.

So funktioniert es: Du bestimmst einen Tresor als deinen Zwangs-Tresor. Du füllst ihn mit Inhalten, die glaubwürdig wirken – ein paar harmlose Fotos, ein paar banale Dokumente. Dann weist du ihm wie jedem anderen Tresor ein Muster zu. In der normalen Entsperroberfläche sieht er aus wie ein normaler Tresor und öffnet sich auch so. Dateisystem- und Cloud-Beweise bleiben außerhalb dieses engen Präsentationsanspruchs.

Der Unterschied besteht darin, was passiert, wenn du dieses Muster zeichnest. Ein normales Tresormuster öffnet seinen eigenen Tresor. Das Zwangsmuster tut dies ebenfalls und zeigt den Inhalt des angegebenen Tresors auf dem Bildschirm an, löst aber auch eine lokale Löschung der Indizes und Wiederherstellungszuordnungen aus, die die anderen Tresore auf diesem Gerät zugänglich machen.

Es erscheint kein Bestätigungsdialog. Es ertönt kein Warnton. Die Person, die dich beobachtet, sieht einen geöffneten Tresor und seine Dateien werden angezeigt. Was die Oberfläche nicht ankündigt, ist, dass andere lokale Tresorindizes gelöscht wurden, lokale Wiederherstellungszuordnungen gelöscht wurden, ausstehende Sicherungsarbeiten gestoppt wurden und das Gerät eine explizite phrasenbasierte Wiederherstellung verwenden muss, bevor ein entfernter Tresor zurückkehren kann.

Wie es technisch funktioniert

Es ist wichtig, die Mechanismen zu verstehen, da der Zwangsmodus engere Grenzen hat als ein universeller Löschanspruch. Er ändert den Status auf dem aktuellen Gerät. Er verspricht keine Löschung in CloudKit, auf anderen Geräten, im Dateisystemverlauf oder bei Beweisen, die ein Angreifer bereits gesammelt hat.

Schritt 1: Du zeichnest das Zwangsmuster

Wenn du das deinem Zwangs-Tresor zugewiesene Muster zeichnest, erkennt Vaultaire es als Zwangsauslöser. Die App startet zwei Vorgänge gleichzeitig: Sie beginnt mit der Entschlüsselung und Anzeige des Inhalts des angegebenen Tresors und initiiert die lokale Bereinigung der Indizes und Wiederherstellungszuordnungen für jeden anderen Tresor.

Schritt 2: Der lokale Zugriffsstatus wird entfernt

Vaultaire verwendet für die lokale Musterableitung ein geräteweites Salt aus dem Keychain, kein separates Salt für jeden Tresor. Der Zwangsmodus zerstört das gemeinsame Salt nicht. Stattdessen wird die verschlüsselte lokale Wiederherstellungsdatenbank gelöscht und jeder Tresorindex außer dem Index des angegebenen Tresors gelöscht. Da jeder Index den verpackten zufälligen Hauptschlüssel und die Dateizuordnung für diesen Tresor enthält, wird durch das Entfernen dieser Index der Nicht-Zwangs-Tresor aus dem nutzbaren lokalen Zustand der App entfernt.

Verschlüsselte Dateidaten können auf dem Speicher bleiben. Ohne den gelöschten Index verfügt Vaultaire weder über eine Dateizuordnung noch über einen verpackten Hauptschlüssel, mit dem der entfernte Tresor lokal geöffnet werden kann. Die App löscht auch lokale Wiederherstellungszuordnungen, sodass der normale Wiederherstellungsbildschirm diese Tresore nicht sofort auflisten oder wiederherstellen kann.

Schritt 3: Die Cloud-Wiederherstellung bleibt erhalten, aber isoliert

Die vorhandene verschlüsselte iCloud-Sicherung wird bewusst als Wiederherstellungspfad beibehalten. Das Gerät wird bei ausstehenden Sicherungsarbeiten zurückgesetzt und tritt in eine Isolationsgrenze ein, sodass die lokale Löschung nicht als normale Löschung hochgeladen wird und versteckte Tresore nicht automatisch zurückgeholt werden. Die spätere Wiederherstellung erfolgt explizit, jeweils für einen Tresor, und erfordert die Wiederherstellungsphrase dieses Tresors und nicht nur das unter Zwang offengelegte Muster.

Schritt 4: Der Zwangs-Tresor öffnet sich normal

Während die lokale Bereinigung ausgeführt wird, wird der angegebene Tresor über die normale Oberfläche geöffnet. Vaultaire schaltet die Analyse vor dem Start für die laufende Sitzung ab, versucht, aus diesem Tresor erstellte aktive Freigaben zu widerrufen, generiert seine Wiederherstellungsphrase neu und löscht anschließend die Zwangsmarkierung. Die App zeigt keine Zwangsbestätigung oder Abschlussmeldung an, aber die Fertigstellungszeit hängt von der lokalen Arbeit und etwaigen laufenden Netzwerkvorgängen ab; Vaultaire verspricht keine universelle Frist von weniger als einer Sekunde.

Warum niemand es bemerken kann

Die unmittelbare Benutzeroberfläche soll verhindern, dass jemand, der dir über die Schulter schaut, den Zwangsmodus ankündigt. Das ist eine nützliche Präsentationseigenschaft und kein Beweis dafür, dass jeder forensische Beobachter den gleichen Gerätezustand sieht. Dateisystemartefakte, CloudKit-Datensätze, ein anderes synchronisiertes Gerät oder vorheriger Zugriff auf das Telefon können außerhalb des Bereichs liegen, den die App verbergen kann.

Kein Bestätigungsdialog

Die meisten destruktiven Aktionen in Software kommen mit einer Warnung: “Bist du sicher?” der Zwangsmodus hat keine solche Warnung. Ein Bestätigungsdialog wäre ein Verräter. Im Moment, in dem du das Muster zeichnest, wird die Aktion ausgeführt. Du kannst ihn nicht versehentlich auslösen, es sei denn, du zeichnest versehentlich ein bestimmtes, komplexes Muster auf einem 5×5-Raster — was nicht zufällig passiert.

Kein separater Verzögerungsbildschirm

Die App öffnet den angegebenen Tresor, während sie lokale Bereinigungs- und Freigabesperrarbeiten durchführt. Der Ablauf ist so konzipiert, dass kein separater Warnbildschirm hinzugefügt wird, die Geräteleistung, der Tresorstatus und die Netzwerkbedingungen variieren jedoch. Vaultaire beansprucht keine zeitliche Gleichheit, die ein Beobachter mit Instrumenten niemals unterscheiden könnte.

Kein In-App-Wipe-Hinweis

Vaultaire schaltet die Analyse vor dem Löschen für die laufende Sitzung ab und zeigt keine Benachrichtigung „Tresore gelöscht“ an. Beim nächsten Start läuft die Analyse wieder, wenn die Einstellung aktiv ist. Die Zwangseinstellung ist ein Schlüsselbund-Eintrag, daher kann ein Prüfer mit Zugriff auf den Schlüsselbund sehen, dass ein Zwangs-Tresor festgelegt wurde. Auf diesem Gerät ist der gespeicherte Tresor derjenige, auf den über die App weiterhin zugegriffen werden kann. Dadurch werden keine Beweise außerhalb des aktuellen lokalen Status der App gelöscht und es sollte nicht als Versprechen der Nichtentdeckbarkeit bei einer forensischen Untersuchung gewertet werden.

Welcher lokale Status wird entfernt?

Hier kommt es auf Präzision an. Der Zwangsmodus entfernt spezifische lokale Strukturen, die zum Auffinden und Öffnen von Tresoren ohne Bedrohung erforderlich sind, während die verschlüsselten Dateidaten und die gesamte verschlüsselte iCloud-Sicherung erhalten bleiben. Es handelt sich um eine Löschung des lokalen Zugriffsstatus und nicht um die Behauptung, dass jede physische Kopie überschrieben wurde.

Die verschlüsselte Wiederherstellungsdatenbank

Die lokale Wiederherstellungsdatenbank ordnet Wiederherstellungsphrasen und Legacy-Musterfelder dem Tresorzugriff zu. Der Zwangsmodus löscht diese Datenbank und erstellt dann einen neuen Wiederherstellungseintrag nur für den angegebenen Tresor. Dadurch werden lokale Wiederherstellungszuordnungen für die anderen Tresore entfernt, ohne vorzutäuschen, dass Vaultaire für jeden einen separaten Salt verwendet oder zerstört hat.

Die Indizes der übrigen Tresore

Jeder verschlüsselte Tresorindex enthält seine Dateidatensätze und den zufälligen Hauptschlüssel, der vom musterabgeleiteten Schlüssel dieses Tresors umschlossen ist. Der Zwangsmodus löscht alle Indizes mit Ausnahme der angegebenen Tresore. Der PBKDF2-Algorithmus und die Iterationsanzahl sind öffentliche Implementierungsparameter; die Sicherheit hängt nicht davon ab, sie zu löschen.

Die verschlüsselten Daten

Verschlüsselte Dateidaten bleiben auf dem Speicher. Daten, die nur zu gelöschten Indizes gehörten, können über die App nicht mehr erreichbar sein, Vaultaire erhebt jedoch keinen Anspruch auf sicheres physisches Überschreiben jedes Flash-Speicherblocks. Gelöschte Indizes oder frühere Zustände können auch in Speicherebenen bestehen bleiben, die außerhalb der Kontrolle der App liegen.

Wann den Zwangsmodus nutzen

Der Zwangsmodus ist für Situationen konzipiert, in denen du körperlicher oder rechtlicher Nötigung ausgesetzt bist und entschieden hast, dass die Entfernung des Zugriffs auf den lokalen Tresor der Offenlegung vorzuziehen ist. Dies ist eine persönliche Entscheidung mit schwerwiegenden Auswirkungen, und Vaultaire gibt dir das Werkzeug, ohne die Entscheidung für dich zu treffen.

Grenzübergänge

Die Befugnisse zur Grenzdurchsuchung und die Pflichten von Reisenden variieren je nach Land und Umständen. Durch das Zeichnen des Zwangsmusters vor der Übergabe deines Telefons bleibt ein Tresor in der Benutzeroberfläche zugänglich und der andere lokale Zugriffsstatus wird entfernt. Es kann jedoch nicht garantiert werden, dass ein Prüfer keine Dateisystemartefakte, verschlüsselten Backups, Peer-Kopien oder früheren Beweise findet.

Physischer Zwang

Wenn dich jemand unter Androhung einer Bedrohung dazu zwingt, dein Telefon zu entsperren, brauchst du eine Möglichkeit, den Inhalt der normalen Benutzeroberfläche einzuschränken. Im Zwangsmodus kannst du ein Muster zeichnen, das wie Kooperation aussieht. Die Person, die dich zwingt, sieht, dass der angegebene Tresor geöffnet ist, während die Oberfläche die gleichzeitige lokale Bereinigung anderer Tresor-Zugriffsstatus nicht ankündigt.

Gerätebeschlagnahmung

Wenn du Grund zu der Annahme hast, dass dein Gerät beschlagnahmt wird, kann der Zwangsmodus vor der Übergabe den nicht erzwungenen Tresorzugriff aus der aktuellen App-Installation entfernen. Es kann nicht garantiert werden, dass ein forensischer Analyst nichts zu untersuchen hat, insbesondere wenn das Gerät bereits kompromittiert wurde oder andere Kopien und Systemartefakte vorhanden sind.

Journalisten- und Quellenschutz

Journalisten in feindlichen Umgebungen, Aktivisten unter Überwachung und alle, deren Daten sie selbst oder andere gefährden könnten. Der Zwangsmodus verwandelt einen Moment der Verwundbarkeit in einen Moment des Schutzes.

Deinen Zwangs-Tresor einrichten

Den Zwangsmodus zu konfigurieren dauert etwa zwei Minuten. Es überzeugend zu machen — glaubwürdig — braucht etwas mehr Überlegung.

Den Tresor bestimmen

In Vaultaires Einstellungen bestimmst du einen Tresor als Zwangs-Tresor. Dieser Tresor öffnet sich, wenn das Zwangsmuster gezeichnet wird, also muss er Inhalte enthalten, die echt aussehen und die Erwartungen eines Beobachters erfüllen. Ein leerer Tresor ist verdächtig. Ein Tresor mit offensichtlich gefälschtem Inhalt ist verdächtig. Ein Tresor mit einer Handvoll normal aussehender persönlicher Fotos ist perfekt.

Mit glaubwürdigem Inhalt füllen

Fülle deinen Zwangs-Tresor mit Inhalten, die jemand in einem privaten Tresor erwarten würde: ein paar persönliche Fotos, vielleicht ein eingescanntes Dokument, einige Dateien, die privat genug aussehen, um das Sperren zu rechtfertigen, aber harmlos genug, um einer Überprüfung standzuhalten. Das Ziel ist nicht, eine forensische Untersuchung zu täuschen — es ist, die Person vor dir im Moment zufriedenzustellen.

Ein natürliches Muster wählen

Das Zwangsmuster sollte etwas sein, das du unter Stress schnell und ohne zu zögern zeichnen kannst. Wenn du ein anderes gültiges Muster zeichnest, kannst du stattdessen möglicherweise einen anderen Tresor oder einen leeren Zustand öffnen. Übe den Auslöser in einem sicheren Testaufbau. Wie jedes Vaultaire-Muster muss es mindestens sechs Punkte verbinden und mindestens eine Richtungsänderung vornehmen.

Testen

Bevor du ihn jemals brauchst, teste den Zwangsmodus in sicherer Umgebung. Erstelle einige Test-Tresore, bestimme einen Zwangs-Tresor und löse ihn aus. Überprüfe, dass sich die anderen Tresore auf diesem Gerät nicht mehr öffnen lassen. Überprüfe, dass der Zwangs-Tresor sich normal geöffnet hat. Dann richte ihn für den Ernstfall ein.

Es gibt kein Rückgängig

Dies muss klar gesagt werden: Sobald der Zwangsmodus ausgelöst wird, gibt es keine Rückgängig-Schaltfläche für die lokale Löschung. Der Vaultaire-Support kann dein Muster oder deine Wiederherstellungsphrase nicht rekonstruieren. Wenn das verschlüsselte iCloud-Backup (standardmäßig aktiv) zuvor noch eingeschaltet war und du die Wiederherstellungsphrase aufbewahrt hast, kannst du später jeweils einen Tresor wiederherstellen. Ohne beides kann der gelöschte lokale Zugriffsstatus dazu führen, dass du den Tresor nicht wiederherstellen kannst.

Die anderen Indizes und lokalen Wiederherstellungszuordnungen sind aus dem aktiven App-Status verschwunden. Das geräteweite Salt und die verschlüsselten Dateidaten sind nicht das Löschziel und verschlüsselte Cloud-Backups bleiben erhalten. Diese Grenze ist beabsichtigt: Sie entzieht dem erzwungenen Gerät den Zugriff und behält gleichzeitig einen phrasengesteuerten Wiederherstellungspfad für den Besitzer bei.

Der Zwangsmodus ist für Personen konzipiert, die diesen Kompromiss verstehen und im Voraus entschieden haben, dass sie lieber den sofortigen Zugriff vom aktuellen Gerät entfernen möchten, als den Tresor unter Zwang preiszugeben. Wenn du die Wiederherstellungsphrase und ein verschlüsseltes Backup nicht sicher aufbewahren kannst, geh davon aus, dass du durch die lokale Löschung möglicherweise den Zugriff auf diesen Tresor verlierst.

Der Kompromiss ist eher spezifisch als absolut. Die lokale Löschung beginnt ohne Bestätigung, während eine spätere Wiederherstellung nur über den separaten Cloud- und Wiederherstellungsphrasenpfad möglich ist. Teste die Funktion mit nicht vertraulichen Daten, bevor du entscheidest, ob dieses Verhalten zu deinem Bedrohungsmodell passt.