Modo de coacción: quita el acceso a las otras bóvedas

El modo de coacción de Vaultaire te permite designar una bóveda como disparador de coacción. Dibujar el patrón de esa bóveda la abre con normalidad mientras se eliminan del dispositivo actual los índices y las asignaciones de recuperación locales de las bóvedas que no son de coacción. Las copias de seguridad cifradas en iCloud y las copias en otros dispositivos no se tocan, a propósito.

¿Qué es el modo de coacción?

El modo de coacción es la última línea de defensa. Es una función que esperas no necesitar nunca, pensada para el momento en que todo lo demás ha fallado: cuando alguien está delante de ti, te exige acceso a tus archivos privados y no te queda más remedio que obedecer.

Funciona así: designas una bóveda como tu bóveda de coacción. La llenas con contenido creíble: algunas fotos inofensivas, algunos documentos corrientes. Después le asignas un patrón, como a cualquier otra bóveda. En la pantalla de desbloqueo normal se ve y se abre como una bóveda más; las pruebas en el sistema de archivos y en la nube quedan fuera de esa promesa, que solo abarca lo que muestra la interfaz.

La diferencia está en lo que ocurre al dibujar ese patrón. Un patrón normal abre su propia bóveda. El patrón de coacción también lo hace y muestra en pantalla el contenido de la bóveda designada, pero además activa un borrado local de los índices y las asignaciones de recuperación que permiten abrir las demás bóvedas en ese dispositivo.

No aparece ningún diálogo de confirmación. No suena ningún aviso. Quien te observa ve abrirse una bóveda y aparecer sus archivos. Lo que la interfaz no anuncia es que se han eliminado los índices locales de las demás bóvedas, se han borrado las asignaciones de recuperación locales, se ha detenido el trabajo de copia de seguridad pendiente y el dispositivo tendrá que usar la recuperación explícita con frase antes de que una bóveda eliminada pueda volver.

Cómo funciona por dentro

Conviene entender el mecanismo, porque el modo de coacción tiene un alcance más limitado que un borrado universal. Cambia el estado del dispositivo actual; no promete borrar CloudKit, otro dispositivo, el historial del sistema de archivos ni las pruebas que un atacante ya haya reunido.

Paso 1: dibujas el patrón de coacción

Cuando dibujas el patrón asignado a tu bóveda de coacción, Vaultaire lo reconoce como disparador de coacción. La aplicación inicia dos operaciones a la vez: empieza a descifrar y mostrar el contenido de la bóveda designada, y comienza la limpieza local de los índices y las asignaciones de recuperación de todas las demás bóvedas.

Paso 2: se elimina el estado de acceso local

Vaultaire usa una única sal para todo el dispositivo, guardada en el Llavero, para derivar las claves de los patrones locales; no usa una sal distinta para cada bóveda. El modo de coacción no destruye esa sal compartida. En su lugar, borra la base de datos local de recuperación cifrada y elimina todos los índices de bóveda salvo el de la bóveda designada. Como cada índice contiene la clave maestra aleatoria envuelta y el mapa de archivos de su bóveda, eliminarlo deja esa bóveda fuera del estado local utilizable de la aplicación.

El almacén de blobs cifrados puede quedarse, porque las bóvedas lo comparten. Sin el índice eliminado, Vaultaire no tiene ni mapa de archivos ni clave maestra envuelta con los que abrir en local la bóveda eliminada. La aplicación también borra las asignaciones de recuperación locales, de modo que la pantalla de recuperación normal no puede enumerar ni restaurar esas bóvedas de inmediato.

Paso 3: la recuperación en la nube se conserva, pero aislada

La copia de seguridad cifrada en iCloud que ya existe se conserva a propósito como vía de recuperación. El dispositivo reinicia el trabajo de copia pendiente y entra en un límite de aislamiento para que el borrado local no se suba como una eliminación normal y las bóvedas ocultas no se vuelvan a descargar solas. La recuperación posterior es explícita, bóveda a bóveda, y exige la frase de recuperación de esa bóveda, no solo el patrón revelado bajo coacción.

Paso 4: la bóveda de coacción se abre con normalidad

Mientras se ejecuta la limpieza local, la bóveda designada se abre con la interfaz normal. Vaultaire desactiva la analítica antes de empezar, intenta revocar lo que se haya compartido desde esa bóveda, regenera su frase de recuperación y después quita la designación de coacción. La aplicación no muestra ninguna confirmación de coacción ni mensaje de finalización, pero el tiempo que tarda depende del trabajo local y de las revocaciones por red; Vaultaire no promete un plazo universal de menos de un segundo.

Lo que la interfaz silenciosa oculta y lo que no

La interfaz inmediata está pensada para no delatar el modo de coacción ante alguien que mira por encima de tu hombro. Es una propiedad útil de la presentación, no una prueba de que cualquier observador forense vea un estado idéntico del dispositivo. Los artefactos del sistema de archivos, los registros de CloudKit, otro dispositivo sincronizado o un acceso previo al teléfono pueden quedar fuera de lo que la aplicación puede ocultar.

Sin diálogo de confirmación

Casi todas las acciones destructivas en el software llevan una advertencia: “¿Seguro?”. El modo de coacción no la tiene. Un diálogo de confirmación te delataría. En cuanto dibujas el patrón, la acción se ejecuta. No puedes activarlo sin querer, salvo que dibujes sin querer un patrón concreto y complejo en una cuadrícula de 5×5, y eso no pasa por casualidad.

Sin pantalla de espera aparte

La aplicación abre la bóveda designada mientras hace la limpieza local y revoca lo compartido. El flujo está diseñado para no añadir una pantalla de aviso aparte, pero el rendimiento del dispositivo, el estado de la bóveda y la red varían. Vaultaire no afirma que los tiempos sean idénticos hasta el punto de que un observador con instrumentos nunca pueda distinguirlos.

Sin aviso de borrado en la aplicación

Vaultaire desactiva la analítica antes del borrado y no muestra ninguna notificación de “bóvedas eliminadas”. En ese dispositivo, la bóveda conservada es la única a la que se puede acceder desde la aplicación. Esto no borra las pruebas que existan fuera del estado local actual de la aplicación y no debe entenderse como una promesa de que el borrado sea indetectable en un examen forense.

Qué estado local se elimina

Aquí importa la precisión. El modo de coacción elimina estructuras locales concretas que hacen falta para encontrar y abrir las bóvedas que no son de coacción, y conserva el almacén compartido de blobs cifrados y cualquier copia de seguridad cifrada en iCloud. Es un borrado del estado de acceso local, no una afirmación de que se hayan sobrescrito todas las copias físicas.

La base de datos de recuperación cifrada

La base de datos local de recuperación relaciona las frases de recuperación y los campos de patrón heredados con el acceso a cada bóveda. El modo de coacción borra esa base de datos y después crea una entrada de recuperación nueva solo para la bóveda designada. Así desaparecen las asignaciones de recuperación locales de las demás bóvedas, sin pretender que Vaultaire usara o destruyera una sal distinta para cada una.

Los índices de las bóvedas que no son de coacción

Cada índice de bóveda cifrado contiene sus registros de archivos y la clave maestra aleatoria envuelta por la clave derivada del patrón de esa bóveda. El modo de coacción elimina todos los índices salvo el de la bóveda designada. El algoritmo PBKDF2 y el número de iteraciones son parámetros públicos de la implementación; la seguridad no depende de borrarlos.

Los datos cifrados

El almacén compartido de blobs cifrados se conserva porque también guarda el contenido de la bóveda designada. Los datos que solo pertenecían a índices eliminados pueden quedar inaccesibles desde la aplicación, pero Vaultaire no afirma que se sobrescriba de forma segura cada bloque de la memoria flash. Los índices eliminados o el estado anterior también pueden persistir en capas de almacenamiento que la aplicación no controla.

Cuándo usar el modo de coacción

El modo de coacción está pensado para situaciones de coacción física u obligación legal en las que has decidido que quitar el acceso local a las bóvedas es preferible a exponerlas. Es una decisión personal con consecuencias serias, y Vaultaire te da la herramienta sin decidir por ti.

Cruces de frontera

Las facultades de registro en frontera y las obligaciones de los viajeros cambian según el país y las circunstancias. Dibujar el patrón de coacción antes de entregar el teléfono deja una bóveda accesible en la interfaz y elimina el resto del estado de acceso local, pero no garantiza que un examinador no encuentre artefactos del sistema de archivos, copias de seguridad cifradas, copias en otros dispositivos o pruebas anteriores.

Coacción física

Si alguien te obliga a desbloquear el teléfono bajo amenaza, necesitas una forma de limitar lo que revela la interfaz normal. El modo de coacción te permite dibujar un patrón que parece colaboración. Quien te coacciona ve abrirse la bóveda designada, y la interfaz no anuncia la limpieza local simultánea del estado de acceso a las demás bóvedas.

Confiscación del dispositivo

Si tienes motivos para creer que te van a confiscar el dispositivo, el modo de coacción puede quitar a la instalación actual el acceso a las bóvedas que no son de coacción antes de entregarlo. No garantiza que un analista forense no tenga nada que examinar, sobre todo si el dispositivo ya estaba comprometido o existen otras copias y artefactos del sistema.

Protección de periodistas y fuentes

Periodistas que trabajan en entornos hostiles, activistas bajo vigilancia y cualquier persona cuyos datos puedan ponerla en peligro a ella o a otros. El modo de coacción convierte un momento de vulnerabilidad en un momento de protección.

Cómo configurar tu bóveda de coacción

Configurar el modo de coacción lleva unos dos minutos. Hacerlo bien, que resulte convincente, exige pensarlo un poco más.

Designa la bóveda

En los ajustes de Vaultaire, designas una bóveda como bóveda de coacción. Será la que se abra cuando se dibuje el patrón de coacción, así que necesita un contenido que parezca real y cumpla lo que espera un observador. Una bóveda vacía despierta sospechas. Una bóveda con contenido claramente falso, también. Una bóveda con unas cuantas fotos personales de aspecto normal es perfecta.

Llénala de contenido creíble

Pon en tu bóveda de coacción lo que alguien esperaría encontrar en una bóveda privada: algunas fotos personales, quizá el escaneo de un documento, archivos que parezcan lo bastante privados para justificar el bloqueo y lo bastante inocuos para superar un examen. No se trata de engañar a una investigación forense, sino de convencer a la persona que tienes delante en ese momento.

Elige un patrón natural

El patrón de coacción debe ser algo que puedas dibujar bajo estrés, rápido y sin dudar. Si dibujas otro patrón válido, puedes abrir otra bóveda o un estado vacío. Practica el disparador en una configuración de prueba segura. Como todo patrón de Vaultaire, debe unir al menos seis puntos y cambiar de dirección al menos una vez.

Pruébalo

Antes de necesitarlo, prueba el modo de coacción en un entorno seguro. Crea algunas bóvedas de prueba, designa una bóveda de coacción y actívala. Comprueba que las demás bóvedas han desaparecido. Comprueba que la bóveda de coacción se ha abierto con normalidad. Después, configúralo de verdad.

No se puede deshacer

Hay que decirlo claro: una vez activado el modo de coacción, no hay forma de deshacer el borrado local. El soporte de Vaultaire no puede reconstruir tu patrón ni tu frase de recuperación. Si la copia de seguridad cifrada en iCloud (activada por defecto) seguía activada y conservas la frase de recuperación, después podrás restaurar las bóvedas una a una. Sin ambas cosas, el estado de acceso local eliminado puede impedirte recuperar la bóveda.

Los demás índices y asignaciones de recuperación locales desaparecen del estado activo de la aplicación. El almacén compartido de blobs cifrados y la sal común a todo el dispositivo no son objetivo del borrado, y las copias de seguridad cifradas en la nube se conservan. Este límite es deliberado: quita el acceso desde el dispositivo bajo coacción y mantiene para el propietario una vía de recuperación controlada por la frase.

El modo de coacción está pensado para quien entiende este compromiso y ha decidido de antemano que prefiere quitar el acceso inmediato desde el dispositivo actual antes que exponer la bóveda bajo coacción. Si no puedes conservar con seguridad la frase de recuperación y una copia de seguridad cifrada, da por hecho que el borrado local puede costarte el acceso a esa bóveda.

El compromiso es concreto, no absoluto. El borrado local empieza sin confirmación, y la recuperación posterior solo es posible por la vía aparte de la nube y la frase de recuperación. Prueba la función con datos no confidenciales antes de decidir si ese comportamiento encaja con tu modelo de amenazas.