Bedrohungsmodus: Silent Local Vault Wipe

Im Nötigungsmodus in Vaultaire können Sie einen Tresor als Nötigungsauslöser festlegen. Durch das Zeichnen des Musters dieses Tresors wird dieser normal geöffnet, während nicht erzwungene Tresorindizes und lokale Wiederherstellungszuordnungen vom aktuellen Gerät entfernt werden. Vorhanden verschlüsselt iCloud Backups und Peer-Gerätekopien werden absichtlich unverändert gelassen.

Was ist der Notfallmodus?

Der Notfallmodus ist die letzte Verteidigungslinie. Eine Funktion, die du hoffentlich nie brauchst, konzipiert für den Moment, in dem alles andere versagt hat — wenn jemand vor dir steht, Zugang zu deinen privaten Dateien verlangt, und du keine Wahl hast, als nachzugeben.

So funktioniert es: Sie bestimmen einen Tresor als Ihren Zwangstresor. Sie füllen es mit Inhalten, die glaubwürdig wirken – ein paar harmlose Fotos, ein paar banale Dokumente. Dann weisen Sie ihm wie jedem anderen Tresor ein Muster zu. In der normalen Entsperroberfläche sieht es aus und öffnet sich wie ein normaler Tresor. Dateisystem- und Cloud-Beweise bleiben außerhalb dieses engen Präsentationsanspruchs.

Der Unterschied besteht darin, was passiert, wenn Sie dieses Muster zeichnen. Ein normales Tresormuster öffnet seinen eigenen Tresor. Das Zwangsmuster tut dies ebenfalls und zeigt den Inhalt des angegebenen Tresors auf dem Bildschirm an, löst aber auch eine lokale Löschung der Indizes und Wiederherstellungszuordnungen aus, die die anderen Tresore auf diesem Gerät zugänglich machen.

Es erscheint kein Bestätigungsdialog. Es ertönt kein Warnton. Die Person, die Sie beobachtet, sieht einen geöffneten Tresor und seine Dateien werden angezeigt. Was die Schnittstelle nicht ankündigt, ist, dass andere lokale Tresorindizes gelöscht wurden, lokale Wiederherstellungszuordnungen gelöscht wurden, ausstehende Sicherungsarbeiten gestoppt wurden und das Gerät eine explizite Phrasen-basierte Wiederherstellung verwenden muss, bevor ein gelöschter Tresor zurückkehren kann.

Wie es technisch funktioniert

Es ist wichtig, die Mechanismen zu verstehen, da der Bedrohungsmodus engere Grenzen hat als ein universeller Löschanspruch. Es ändert den Status auf dem aktuellen Gerät. es verspricht keine Löschung CloudKit, ein anderes Gerät, der Dateisystemverlauf oder bereits von einem Angreifer gesammelte Beweise.

Schritt 1: Du zeichnest das Notfall-Muster

Wenn Sie das Ihrem Bedrohungstresor zugewiesene Muster zeichnen, erkennt Vaultaire es als Bedrohungsauslöser. Die App startet zwei Vorgänge gleichzeitig: Sie beginnt mit der Entschlüsselung und Anzeige des Inhalts des angegebenen Tresors und initiiert die lokale Bereinigung der Indizes und Wiederherstellungszuordnungen für jeden anderen Tresor.

Schritt 2: Der lokale Zugriffsstatus wird entfernt

Vaultaire verwendet ein Gerät geräteweit Keychain Salt zur lokalen Musterableitung, kein separates Salt für jeden Tresor. Der Zwangmodus zerstört das gemeinsame Salz nicht. Stattdessen wird die verschlüsselte lokale Wiederherstellungsdatenbank gelöscht und jeder Tresorindex außer dem Index des angegebenen Tresors gelöscht. Da jeder Index den verpackten zufälligen Hauptschlüssel und die Dateizuordnung für diesen Tresor enthält, wird durch das Entfernen dieser Index der Nicht-Zwangs-Tresor aus dem nutzbaren lokalen Zustand der App entfernt.

Der verschlüsselte Blob-Pool kann bestehen bleiben, da Tresore diesen Speicher gemeinsam nutzen. Ohne den gelöschten Index verfügt Vaultaire weder über eine Dateizuordnung noch über einen verpackten Hauptschlüssel, mit dem der entfernte Tresor lokal geöffnet werden kann. Die App löscht auch lokale Wiederherstellungszuordnungen, sodass der normale Wiederherstellungsbildschirm diese Tresore nicht sofort auflisten oder wiederherstellen kann.

Schritt 3: Die Cloud-Wiederherstellung bleibt erhalten, aber isoliert

Vorhanden verschlüsselt iCloud Die Sicherung wird bewusst als Wiederherstellungspfad beibehalten. Das Gerät wird bei ausstehenden Sicherungsarbeiten zurückgesetzt und tritt in eine Isolationsgrenze ein, sodass die lokale Löschung nicht als normale Löschung hochgeladen wird und versteckte Depots nicht automatisch zurückgezogen werden. Die spätere Wiederherstellung erfolgt explizit, jeweils für einen Tresor, und erfordert die Wiederherstellungsphrase dieses Tresors und nicht nur das unter Zwang offengelegte Muster.

Schritt 4: Der Notfall-Tresor öffnet sich normal

Während die lokale Bereinigung ausgeführt wird, wird der angegebene Tresor über die normale Schnittstelle geöffnet. Vaultaire unterdrückt die Analyse vor dem Start, versucht, aus diesem Tresor erstellte aktive Freigaben zu widerrufen, generiert seine Wiederherstellungsphrase neu und löscht anschließend die Nötigungsbezeichnung. Die App zeigt keine Zwangsbestätigung oder Abschlussmeldung an, aber die Fertigstellungszeit hängt von der Arbeit vor Ort und etwaigen Netzwerksperrungen ab; Vaultaire verspricht keine universelle Frist von weniger als einer Sekunde.

Warum niemand es bemerken kann

Die unmittelbare Benutzeroberfläche soll verhindern, dass jemand, der Ihnen über die Schulter schaut, den Bedrohungsmodus ankündigt. Das ist eine nützliche Präsentationseigenschaft und kein Beweis dafür, dass jeder forensische Beobachter den gleichen Gerätezustand sieht. Dateisystemartefakte, CloudKit Aufzeichnungen, ein anderes synchronisiertes Gerät oder vorheriger Zugriff auf das Telefon können außerhalb des Bereichs liegen, den die App verbergen kann.

Kein Bestätigungsdialog

Die meisten destruktiven Aktionen in Software kommen mit einer Warnung: “Bist du sicher?” Der Notfallmodus hat keine solche Warnung. Ein Bestätigungsdialog wäre ein Verräter. Im Moment, in dem du das Muster zeichnest, wird die Aktion ausgeführt. Du kannst ihn nicht versehentlich auslösen, es sei denn, du zeichnest versehentlich ein bestimmtes, komplexes Muster auf einem 5×5-Raster — was nicht zufällig passiert.

Kein separater Verzögerungsbildschirm

Die App öffnet den angegebenen Tresor, während sie lokale Bereinigungs- und Freigabesperrarbeiten durchführt. Der Ablauf ist so konzipiert, dass kein separater Warnbildschirm hinzugefügt wird, die Geräteleistung, der Tresorstatus und die Netzwerkbedingungen variieren jedoch. Vaultaire beansprucht keine zeitliche Gleichheit, die ein Beobachter mit Instrumenten niemals unterscheiden könnte.

Kein In-App-Wipe-Hinweis

Vaultaire deaktiviert die Analyse vor dem Löschen und zeigt keine Benachrichtigung „Tresore gelöscht“ an. Auf diesem Gerät ist der gespeicherte Tresor derjenige, auf den über die App weiterhin zugegriffen werden kann. Dadurch werden keine Beweise außerhalb des aktuellen lokalen Status der App gelöscht und es sollte nicht als Versprechen der Nichtentdeckbarkeit bei einer forensischen Untersuchung gewertet werden.

Welcher lokale Status wird entfernt?

Hier kommt es auf Präzision an. Der Bedrohungsmodus entfernt spezifische lokale Strukturen, die zum Auffinden und Öffnen von Tresoren ohne Bedrohung erforderlich sind, während der gemeinsam genutzte verschlüsselte Blobspeicher und alle verschlüsselten Daten erhalten bleiben iCloud Sicherung. Es handelt sich um eine Löschung des lokalen Zugriffsstatus und nicht um die Behauptung, dass jede physische Kopie überschrieben wurde.

Die verschlüsselte Wiederherstellungsdatenbank

Die lokale Wiederherstellungsdatenbank ordnet Wiederherstellungsphrasen und Legacy-Musterfelder dem Tresorzugriff zu. Der Zwangsmodus löscht diese Datenbank und erstellt dann einen neuen Wiederherstellungseintrag nur für den angegebenen Tresor. Dadurch werden lokale Wiederherstellungszuordnungen für die anderen Tresore entfernt, ohne vorzutäuschen, dass Vaultaire für jeden einen separaten Salt verwendet oder zerstört hat.

Die Non-Duress-Vault-Indizes

Jeder verschlüsselte Tresorindex enthält seine Dateidatensätze und den zufälligen Hauptschlüssel, der vom musterabgeleiteten Schlüssel dieses Tresors umschlossen ist. Der Zwangsmodus löscht alle Indizes mit Ausnahme der angegebenen Tresore. Die PBKDF2 Algorithmus und Iterationsanzahl sind öffentliche Implementierungsparameter; Die Sicherheit hängt nicht davon ab, sie zu löschen.

Die verschlüsselten Daten

Der gemeinsam genutzte verschlüsselte Blob-Pool bleibt erhalten, da er auch den Inhalt des angegebenen Tresors enthält. Daten, die nur zu gelöschten Indizes gehörten, können über die App nicht mehr erreichbar sein, Vaultaire erhebt jedoch keinen Anspruch auf sicheres physisches Überschreiben jedes Flash-Speicherblocks. Gelöschte Indizes oder frühere Zustände können auch in Speicherebenen bestehen bleiben, die außerhalb der Kontrolle der App liegen.

Wann den Notfallmodus nutzen

Der Zwangsmodus ist für Situationen konzipiert, in denen Sie körperlicher oder rechtlicher Nötigung ausgesetzt sind und entschieden haben, dass die Entfernung des Zugriffs auf den lokalen Tresor der Offenlegung vorzuziehen ist. Dies ist eine persönliche Entscheidung mit schwerwiegenden Auswirkungen, und Vaultaire gibt Ihnen das Werkzeug, ohne die Entscheidung für Sie zu treffen.

Grenzübergänge

Die Befugnisse zur Grenzdurchsuchung und die Pflichten von Reisenden variieren je nach Land und Umständen. Durch das Zeichnen des Zwangsmusters vor der Übergabe Ihres Telefons bleibt ein Tresor in der Benutzeroberfläche zugänglich und der andere lokale Zugriffsstatus wird entfernt. Es kann jedoch nicht garantiert werden, dass ein Prüfer keine Dateisystemartefakte, verschlüsselten Backups, Peer-Kopien oder früheren Beweise findet.

Physischer Zwang

Wenn Sie jemand unter Androhung einer Bedrohung dazu zwingt, Ihr Telefon zu entsperren, benötigen Sie eine Möglichkeit, den Inhalt der normalen Benutzeroberfläche einzuschränken. Im Zwangsmodus können Sie ein Muster zeichnen, das wie Kooperation aussieht. Der Coercer sieht, dass der angegebene Tresor geöffnet ist, während die Schnittstelle die gleichzeitige lokale Bereinigung anderer Tresor-Zugriffsstatus nicht ankündigt.

Gerätebeschlagnahmung

Wenn Sie Grund zu der Annahme haben, dass Ihr Gerät beschlagnahmt wird, kann der Bedrohungsmodus vor der Übergabe den nicht erzwungenen Tresorzugriff aus der aktuellen App-Installation entfernen. Es kann nicht garantiert werden, dass ein forensischer Analyst nichts zu untersuchen hat, insbesondere wenn das Gerät bereits kompromittiert wurde oder andere Kopien und Systemartefakte vorhanden sind.

Journalisten- und Quellenschutz

Journalisten in feindlichen Umgebungen, Aktivisten unter Überwachung und alle, deren Daten sie selbst oder andere gefährden könnten. Der Notfallmodus verwandelt einen Moment der Verwundbarkeit in einen Moment des Schutzes.

Deinen Notfall-Tresor einrichten

Den Notfallmodus zu konfigurieren dauert etwa zwei Minuten. Es überzeugend zu machen — glaubwürdig — braucht etwas mehr Überlegung.

Den Tresor bestimmen

In Vaultaires Einstellungen bestimmst du einen Tresor als Notfall-Tresor. Dieser Tresor öffnet sich, wenn das Notfall-Muster gezeichnet wird, also muss er Inhalte enthalten, die echt aussehen und die Erwartungen eines Beobachters erfüllen. Ein leerer Tresor ist verdächtig. Ein Tresor mit offensichtlich gefälschtem Inhalt ist verdächtig. Ein Tresor mit einer Handvoll normal aussehender persönlicher Fotos ist perfekt.

Mit glaubwürdigem Inhalt füllen

Fülle deinen Notfall-Tresor mit Inhalten, die jemand in einem privaten Tresor erwarten würde: ein paar persönliche Fotos, vielleicht ein eingescanntes Dokument, einige Dateien, die privat genug aussehen, um das Sperren zu rechtfertigen, aber harmlos genug, um einer Überprüfung standzuhalten. Das Ziel ist nicht, eine forensische Untersuchung zu täuschen — es ist, die Person vor dir im Moment zufriedenzustellen.

Ein natürliches Muster wählen

Das Zwangmuster sollte etwas sein, das Sie unter Stress schnell und ohne zu zögern zeichnen können. Wenn Sie ein anderes gültiges Muster zeichnen, können Sie stattdessen möglicherweise einen anderen Tresor oder einen leeren Zustand öffnen. Üben Sie den Auslöser in einem sicheren Testaufbau. Wie jedes Vaultaire-Muster muss es mindestens sechs Punkte verbinden und mindestens zwei Richtungsänderungen vornehmen.

Testen

Bevor du ihn jemals brauchst, teste den Notfallmodus in sicherer Umgebung. Erstelle einige Test-Tresore, bestimme einen Notfall-Tresor und löse ihn aus. Überprüfe, dass die anderen Tresore weg sind. Überprüfe, dass der Notfall-Tresor sich normal geöffnet hat. Dann richte ihn für den Ernstfall ein.

Es gibt kein Rückgängig

Dies muss klar gesagt werden: Sobald der Bedrohungsmodus ausgelöst wird, gibt es keine Rückgängig-Schaltfläche für die lokale Löschung. Der Vaultaire-Support kann Ihr Muster oder Ihre Wiederherstellungsphrase nicht rekonstruieren. Wenn Sie die Verschlüsselung aktiviert haben iCloud Nachdem Sie zuvor ein Backup erstellt und die Wiederherstellungsphrase beibehalten haben, können Sie später jeweils einen Tresor wiederherstellen. Ohne beides kann der gelöschte lokale Zugriffsstatus dazu führen, dass Sie den Tresor nicht wiederherstellen können.

Die anderen Indizes und lokalen Wiederherstellungszuordnungen sind aus dem aktiven App-Status verschwunden. Der geräteweite Salt- und gemeinsam genutzte verschlüsselte Blob-Pool sind nicht das Löschziel und verschlüsselte Cloud-Backups bleiben erhalten. Diese Grenze ist beabsichtigt: Sie entzieht dem erzwungenen Gerät den Zugriff und behält gleichzeitig einen phrasengesteuerten Wiederherstellungspfad für den Besitzer bei.

Der Zwangsmodus ist für Personen konzipiert, die diesen Kompromiss verstehen und im Voraus entschieden haben, dass sie lieber den sofortigen Zugriff vom aktuellen Gerät entfernen möchten, als den Tresor unter Zwang preiszugeben. Wenn Sie die Wiederherstellungsphrase und ein verschlüsseltes Backup nicht sicher aufbewahren können, gehen Sie davon aus, dass Sie durch die lokale Löschung möglicherweise Zugriff auf diesen Tresor verlieren.

Der Kompromiss ist eher spezifisch als absolut. Die lokale Löschung beginnt ohne Bestätigung, während eine spätere Wiederherstellung nur über den separaten Cloud- und Wiederherstellungsphrasenpfad möglich ist. Testen Sie die Funktion mit nicht vertraulichen Daten, bevor Sie entscheiden, ob dieses Verhalten zu Ihrem Bedrohungsmodell passt.