Negación plausible y bóvedas separadas por patrones

La negación plausible de Vaultaire usa patrones separados para acceder a índices de bóveda cifrados separados sin mostrar una lista de todos. Esto puede ocultar otras bóvedas durante una inspección normal de la interfaz, pero el diseño actual en disco expone el número de archivos de índice cifrados a quien tenga acceso al contenedor de la aplicación.

Qué Significa Realmente la Negación Plausible

En su sentido criptográfico más estricto, la negación plausible significa que el almacenamiento observable no prueba que exista más contenido protegido. En el lenguaje habitual de los productos, la expresión también se usa para credenciales señuelo que muestran una vista y ocultan otra. Son exigencias distintas, y la implementación actual de Vaultaire cumple el objetivo de compartimentar la interfaz, no la negación en sentido teórico de la información.

La mayoría de las apps de bóveda te dan una bóveda detrás de una contraseña. Si alguien te obliga a abrirla, todo queda expuesto. Algunas apps ofrecen un “modo señuelo” donde puedes establecer una segunda contraseña que muestra una pantalla falsa. Pero esas implementaciones son generalmente cosméticas. Un examinador forense puede mirar los datos de la app, ver flags de configuración, notar que el tamaño de los datos cifrados no coincide con los archivos visibles, o encontrar metadatos que delatan la existencia de una capa oculta.

Vaultaire parte del patrón. Cada patrón válido en la cuadrícula de 5×5 deriva una clave de bóveda candidata distinta. La aplicación calcula un hash de esa clave para obtener el nombre esperado de un archivo de índice cifrado, y después abre y autentica ese índice si existe. No muestra ningún registro sin cifrar que relacione patrones con bóvedas ni nombres de bóveda visibles para el usuario, aunque los archivos de índice cifrados se pueden enumerar y contar.

Si el índice derivado existe y la autenticación AES-GCM tiene éxito, ves los archivos de esa bóveda. Si no, Vaultaire muestra un estado vacío y puede crear una bóveda nueva para ese patrón. La pantalla de bloqueo no muestra ningún error que nombre otra bóveda ni ninguna lista. Esa interfaz discreta ayuda en una inspección informal, pero no borra las pruebas del sistema de archivos que se describen más abajo.

Cómo Funciona Internamente

La base técnica combina el direccionamiento derivado del patrón con el cifrado autenticado. Patrones distintos producen claves candidatas y nombres de archivo distintos. AES-GCM añade después una comprobación de integridad explícita: una clave correcta autentica el índice cifrado y una incorrecta falla. Ese resultado de autenticación es útil para la seguridad, pero también significa que los datos copiados permiten comprobar intentos sin conexión.

Diferentes Patrones, Diferentes Claves

Cuando dibujas un patrón, Vaultaire serializa la secuencia de puntos y el tamaño de la cuadrícula, y después ejecuta 600.000 rondas de PBKDF2-HMAC-SHA512 con una sal aleatoria del dispositivo guardada en Keychain. La función produce una clave de bóveda de 256 bits. Un patrón distinto debería producir una clave sin relación con la anterior, pero la seguridad de la credencial sigue limitada por lo fácil que sea adivinar el patrón. Una salida de 256 bits no da a un patrón humano 256 bits de entropía.

Cada Clave Descifra Su Propio Blob

Vaultaire guarda el mapa de archivos de cada bóveda y la clave maestra aleatoria envuelta en un índice cifrado con AES-256-GCM. Cuando dibujas un patrón, la aplicación deriva la clave de bóveda candidata y busca el archivo cuyo nombre corresponde a la huella de esa clave. Si el archivo existe, el descifrado autenticado tiene éxito o falla; AES-GCM no acepta texto sin sentido como válido. Si no se abre ningún índice válido, la interfaz muestra un estado vacío sin enumerar otras bóvedas.

Sin catálogo de bóvedas sin cifrar

Vaultaire no mantiene ninguna tabla visible para el usuario que relacione patrones con nombres de bóveda legibles. El desbloqueo normal localiza un índice mediante la clave derivada. Sin embargo, en el disco cada bóveda tiene un archivo raíz `vault_index_.bin` dentro de un grupo completado hasta bloques de 64 con archivos de relleno aleatorios, además de un directorio de almacenamiento con el mismo localizador, y la propia aplicación incluye código que enumera esos nombres de archivo para el mantenimiento del almacenamiento. Las huellas no revelan los patrones de origen, pero su número revela cuántos índices locales hay.

Ambas bóvedas son igualmente reales. Ambas están cifradas con el mismo algoritmo. Ambas producen el mismo tipo de salida cifrada. No hay flag, ni marcador, ni metadato que etiquete una como “real” y la otra como “señuelo.” Si configuras una bóveda de coacción, la app guarda ese ajuste en el llavero, y un examinador con acceso al llavero puede ver que se configuró una bóveda de coacción.

La Estrategia de la Bóveda Señuelo

La negación plausible solo funciona si tienes algo que mostrar. Una bóveda vacía es sospechosa. Una bóveda que obviamente no contiene nada que valga la pena proteger es sospechosa. La defensa más fuerte es una bóveda que se ve exactamente como lo que alguien esperaría encontrar.

Configurando Tu Señuelo

Elige un segundo patrón — uno que puedas dibujar rápida y naturalmente bajo presión. Crea una bóveda con ese patrón. Llénala con contenido que tenga sentido para alguien que usa una app de bóveda: quizás algunas fotos personales que preferirías mantener privadas pero que no son sensibles, algunos documentos financieros, algunas notas. El contenido debe ser creíble y ligeramente embarazoso — justo lo suficiente para que alguien buscando en tu teléfono piense que ha encontrado lo que estabas ocultando.

Haciéndolo Convincente

Una buena bóveda señuelo tiene algunas características. Debe contener un número razonable de archivos — ni muy pocos (sospechosamente vacía) ni demasiados (¿por qué protegerías tanto contenido mundano?). Los archivos deben ser lo suficientemente recientes para sugerir uso activo. E idealmente, el contenido debe proporcionar una razón plausible de por qué instalaste una app de bóveda en primer lugar.

Quien solo tiene acceso a la interfaz desbloqueada ve la bóveda seleccionada y ningún selector entre bóvedas. Eso puede reducir la exposición casual. Quien tiene acceso al sistema de archivos puede contar las bóvedas y saber que existe más de una bóveda local, aunque siga sin poder relacionar un índice con un patrón ni leer su contenido.

Bajo Presión

Si alguna vez te obligan a desbloquear el dispositivo, dibuja el patrón señuelo. Se abre la bóveda. Aparecen los archivos. En la interfaz normal no hay ningún menú oculto ni lista de bóvedas que descubrir. Quien tiene tu teléfono en la mano ve una bóveda desbloqueada. Esto puede hacer que lo que muestras resulte coherente en una inspección informal, aunque un examen del sistema de archivos todavía puede revelar índices cifrados adicionales.

Tu bóveda delicada no aparece en la interfaz a menos que se dibuje su patrón. No figura tras ningún menú oculto. Su índice cifrado sigue existiendo en el contenedor de la app, así que esta función no debe presentarse como protección frente a toda forma de revelación obligada o análisis forense.

El límite de seguridad, con precisión

Vaultaire puede afirmar con firmeza lo que protege en el contenido cifrado y afirmar algo más limitado sobre la interfaz. AES-GCM protege lo que contiene un índice y sus archivos. El enrutamiento por patrón mantiene las demás bóvedas fuera del desbloqueo visible. Ninguna de las dos propiedades hace invisible el número de archivos de índice cifrados para quien pueda leer el contenedor de la aplicación.

El contenido cifrado sigue siendo confidencial

AES-256-GCM está diseñado para ocultar el texto sin cifrar y detectar cambios cuando las claves y los nonces se manejan bien. Un examinador puede identificar los archivos de índice y los blobs de Vaultaire por su nombre y ubicación, pero no puede leer el mapa de archivos protegido, la clave maestra envuelta, los nombres de archivo, los metadatos, las miniaturas ni el contenido sin las claves correspondientes.

Índices enumerables, sin mapa de patrones sin cifrar

El sistema de archivos puede decir cuántos índices de bóveda cifrados hay, porque cada índice tiene su propio archivo. Lo que no ofrece es un mapa sin cifrar entre esas huellas y los patrones que las generaron, los nombres de bóveda visibles para el usuario o el contenido descifrado. Es un límite útil, pero el número no queda oculto.

Se pueden verificar intentos sin conexión

Un atacante que copia la sal del dispositivo y los datos cifrados de la aplicación puede derivar una clave candidata a partir de un patrón adivinado. La huella del índice correspondiente le dice si existe un nombre de archivo coincidente, y el descifrado autenticado AES-GCM confirma el intento con una seguridad casi total. PBKDF2 encarece cada intento; no elimina esta prueba sin conexión ni añade entropía a un patrón débil.

Lo que consigue el estado vacío

En la pantalla de bloqueo, Vaultaire no anuncia "patrón incorrecto" ni muestra qué otras bóvedas hay. Un patrón que no coincide lleva a un estado vacío o de creación, así que quien solo puede usar la interfaz no obtiene ninguna lista de bóvedas. Esta ventaja de presentación no se aplica a un atacante que haya copiado y analizado los archivos subyacentes.

Quién Necesita Negación Plausible

Podrías pensar que la negación plausible es solo para espías y denunciantes. En realidad, millones de personas comunes enfrentan situaciones donde la capacidad de proteger información bajo coacción no es un lujo — es una necesidad.

Periodistas y Sus Fuentes

Los periodistas de investigación a menudo llevan material sensible: identidades de fuentes, documentos filtrados, grabaciones de entrevistas. En muchos países, los periodistas son rutinariamente detenidos y sus dispositivos registrados en fronteras, puntos de control o durante redadas. Una bóveda señuelo con notas inofensivas y fotos ya publicadas les da cobertura, mientras la bóveda real protege a fuentes cuya vida puede depender del anonimato.

Activistas y Organizadores

Activistas políticos, organizadores sindicales y defensores de los derechos humanos pueden trabajar en entornos donde sus teléfonos son objetivo de vigilancia. Los patrones separados pueden compartimentar lo que aparece durante el uso normal de la aplicación, pero un teléfono confiscado o comprometido puede exponer el número de índices cifrados y permitir adivinar patrones sin conexión. La seguridad operativa tiene que ir más allá de la aplicación.

Personas en Situaciones de Abuso

Quien documenta abusos puede necesitar separar las pruebas delicadas del material que puede mostrar sin riesgo. Una segunda bóveda puede reducir lo que se revela a alguien limitado a la interfaz de la aplicación. No garantiza la seguridad frente a la vigilancia del dispositivo, el software espía, la coacción o el examen del sistema de archivos, así que quien esté en peligro debe seguir las indicaciones de una organización de apoyo local cualificada.

Viajeros que Cruzan Fronteras

Las facultades de registro en frontera y las obligaciones de los viajeros cambian de un país a otro. Abrir Vaultaire con un patrón no muestra ninguna lista de bóvedas, pero no hace que los demás índices cifrados sean del todo indetectables en una inspección forense. Lleva los menos datos delicados posibles y busca asesoramiento jurídico actualizado para tu ruta y tus circunstancias.

Cualquiera que Valore la Privacidad

No hace falta estar en peligro para merecer privacidad. Quizá escribas un diario privado. Quizá tengas información médica que no quieres que nadie encuentre por casualidad. O quizá simplemente creas que no toda tu vida digital debería estar al alcance de cualquiera que tome tu teléfono. Las bóvedas separadas por patrones refuerzan la privacidad de la interfaz al limitar lo que revela un desbloqueo normal, aunque el número de índices cifrados sigue siendo visible para quien examine el sistema de archivos.

Cómo Se Compara con Otras Apps de Bóveda

Muchas aplicaciones de bóveda tratan la seguridad como un problema de control de acceso: una credencial controla un contenedor visible. Algunos productos añaden un PIN falso o un modo señuelo. La solidez de esas funciones depende del diseño del almacenamiento, no del nombre comercial; un indicador de configuración visible o una base de datos señuelo aparte pueden revelar que existe otro modo.

El Problema de la Bóveda Única

Un diseño de un solo contenedor tiene un problema claro ante la coacción: en cuanto revelas tu única credencial, todo lo que protege queda a la vista. Los productos cambian sus funciones con el tiempo, así que evalúa el almacenamiento real y la implementación del señuelo en lugar de dar por hecho que un competidor concreto usa un modelo fijo.

Modos Señuelo Cosméticos

Una función de contraseña falsa puede servir ante una inspección casual, pero su valor forense depende de si el dispositivo guarda un indicador de señuelo detectable, una segunda base de datos o tamaños de archivo distinguibles. Sin un diseño publicado o una auditoría, el nombre de la función no demuestra por sí solo ni una negación sólida ni un fallo.

El Enfoque de Vaultaire Es Arquitectónicamente Diferente

Vaultaire integra la separación por patrones en su desbloqueo normal. No hace falta ningún indicador especial de PIN falso para decidir si una bóveda es un señuelo; cada patrón configurado abre una bóveda cifrada normal. Los archivos de índice separados siguen siendo visibles como contenedores cifrados, así que la diferencia de arquitectura está en la interfaz y en el aislamiento del contenido, no en ocultar el número de bóvedas ante un análisis forense.