Piilotetut holvit: Kukaan ei tiedä kuinka monta on olemassa

Vaultaire tallentaa kaiken salatun datan yhteen erottamattomaan altaaseen ilman holviluetteloa, hakemistoa tai metatietoa, joka paljastaisi holvien lukumäärän. Tallennuksen täyttö pitää kokonaiskoon vakiona riippumatta holvien tai tiedostojen määrästä. Sovellus itsekään ei pysty luettelemaan laitteesi holveja.

Mitä "piilotetut holvit" todella tarkoittaa?

Useimmat holvisovellukset toimivat kuin arkistokaapit. Avaat sovelluksen ja näet holviluettelon. Ehkä niillä on nimiä. Ehkä ne näyttävät lukumäärän. Ehkä jokaisen vieressä on pieni lukkokuvake. Sovellus tietää täsmälleen kuinka monta holvia sinulla on, ja tämä tieto on näkyvissä kaikille, jotka avaavat sovelluksen tai tutkivat laitetta.

Vaultaire toimii eri tavalla. Ei holviluetteloa. Ei hakemistoa. Ei rekisteriä. Ei metatiedostoa, joka luetteloi olemassa olevat holvit. Kun piirrät kuvion, Vaultaire ei etsi holviasi tietokannasta. Se johtaa kryptografisen avaimen kuviostasi ja yrittää purkaa datan salauksen kyseisellä avaimella. Jos avain vastaa olemassa olevaa holvia, data purkautuu tiedostoiksesi. Jos se ei vastaa mitään, salauksen purku tuottaa kohinaa, eikä Vaultaire pysty erottamaan tilannetta "tähän kuvioon ei liity holvia" tilanteesta "holvi on olemassa mutta piirsit väärän kuvion".

Tämä ei ole käyttöliittymäpäätös. Se on arkkitehtuurinen. Vaultaire ei todella tiedä kuinka monta holvia laitteellasi on. Sovellus ei pysty laskemaan niitä, luettelemaan niitä eikä paljastamaan niitä, koska sitä ei ole koskaan suunniteltu seuraamaan niitä.

Tämä ei ole "piilotettu kansio"

Ilmaisu "piilotettu holvi" saattaa tuoda mieleen sovellukset, jotka piilottavat kansion paikkaan, josta sitä ei helposti löydä. Ehksi kansion nimi alkaa pisteellä, jolloin se ei näy tiedostoselainsessa. Ehkä sovellus käyttää "laskin"-naamiota todellisen tarkoituksensa peittämiseksi. Nämä ovat kamuflaasitrikkejä, ja niillä on kaikilla sama kohtalokas heikkous: piilotettu data on silti siellä, tunnetussa paikassa, odottamassa löytämistään. Jos tämä on työnkulku, jota arvioit, lue oppaamme salaisen kansion luomisesta iPhoneen ennen kuin luotat siihen arkaluonteisilla tiedostoilla.

Rikostekninen tutkija, jolla on pääsy laitteeseesi, löytää piilotetun kansion vaivattomasti. Tiedostojärjestelmätyökalut listaavat kaikki hakemistot. Tallennusanalyysit osoittavat, mihin levytila on varattu. Jopa kohtuullisen teknisesti taitava tuttava, jolla on viisi minuuttia ja hakukone, löytäisi useimmat "piilotetut" kansiot.

Vaultaire ei piilota kansioita. Se ei naamioidu tiedostoja. Sen sijaan kaikkien holvien salattu data on yhdessä erottamattomassa tallennusaltaassa. Ei tiedostorajoja, jotka vastaisivat holvirajoja. Ei otsikoita, jotka merkitsisivät, mistä yksi holvi loppuu ja toinen alkaa. Koko allas on salattua dataa, ja ilman oikeaa avainta tiettyyn holviin ei ole mitään tapaa selvittää, mitkä tavut kuuluvat mihinkin holviin tai kuinka monta holvia allas sisältää.

Ero on sama kuin kirjan piilottamisella korkealle hyllylle verrattuna kirjan musteen liuottamiseen uima-altaaseen. Ensimmäiseen tarvitaan tikkaita. Jälkimmäiseen tarvitaan tieto siitä, mitkä molekyylit olivat sinun.

Tallennuksen hämärtäminen: täyttömekanismi

Vaikka holviluetteloa ei olisi, ovela vastustaja saattaisi kokeilla eri lähestymistapaa: levynkäytön analysointia. Jos Vaultaire käyttää tänään 500 Mt ja huomenna 800 Mt, ehkä lisäsit holvin. Jos valokuvien poistaminen yhdestä holvista pienentää tallennustilaa täsmälleen 200 Mt, ehkä on korrelaatio hyödynnettäväksi.

Vaultaire torjuu tämän tallennuksen täytöllä. Sovellus ylläpitää yhtenäistä tallennusjalanjälkeä täyttämällä data-altaansa kryptografisesti satunnaisilla tavuilla. Kun lisäät tiedostoja holviin, täyttö kutistuu. Kun poistat tiedostoja, täyttö kasvaa. Tallennusaltaan kokonaiskoko muuttuu vain ennalta määritetyillä kynnyksillä, ei yksittäisten tiedosto-operaatioiden vastauksena.

Tämä tarkoittaa, että laitteesi tallennusta ajan mittaan tarkkaileva henkilö ei pysty selvittämään, johtuvatko muutokset tiedostojen lisäämisestä, poistamisesta, uusien holvien luomisesta vai vanhojen tuhoamisesta. Tallennusjalanjälki on suunniteltu olemaan epäinformatiivinen. Se on tarkoituksellista kohinaa.

Miten täyttö toimii

Täyttömekanismi toimii yksinkertaisella periaatteella: tallennusallas vie aina tietyn kiinteän askeleen mukaisen määrän tilaa. Ajattele sitä portaikkona rampin sijaan. Todellinen datasi saattaa olla 347 Mt, mutta allas vie 512 Mt. Lisäät 100 Mt valokuvia, ja allas vie edelleen 512 Mt: täyttö absorboi eron. Vasta kun ylität seuraavan askelkynnyksen, altaan koko muuttuu, ja kyseinen muutos on identtinen riippumatta siitä, lisäsitkö yhden vai kymmenen holvin.

Täyttötavut ovat erottamattomia salatusta datasta. Molemmat ovat satunnaisnäköisiä tavusarjoja. Ei otsikoita, ei merkkejä eikä metatietoja, jotka tunnistaisivat, mitkä tavut ovat täytettä ja mitkä salattua holvin sisältöä. Ilman oikeaa avainta jokainen tavu näyttää täsmälleen samalta.

Rikostekninen vastustuskyky: mitä tapahtuu kun ottavat puhelimesi

Tarkennetaan uhkamallia. Kuvittele joku, jolla on fyysinen pääsy laitteeseesi, ammattimaiset rikosteknisit työkalut, rajoittamaton aika ja laillinen valtuutus tutkia jokainen tavu. Mitä he pystyvät selvittämään holveistasi?

Mitä rikosteknisit työkalut näkevät

Rikostekninen tutkija näkee, että Vaultaire on asennettu. Hän näkee, että Vaultaire käyttää tietyn määrän tallennustilaa. Hän näkee, että tallennettu data on salattua. Siinä kaikki.

Mitä rikosteknisit työkalut eivät pysty selvittämään

• Kuinka monta holvia on olemassa. Ei holvimäärää, ei hakemistorakennetta eikä metatietoa, joka paljastaisi holvien lukumäärän.
• Onko yhtään holvia olemassa. Tallennusallas on olemassa riippumatta siitä, sisältääkö se nolla vai sata holvia. Täyttö täyttää tilan joka tapauksessa.
• Mitä holvi sisältää. Salattu data on erottamatonta satunnaiskohinasta ilman oikeaa avainta.
• Milloin holveja luotiin tai muokattiin. Aikaleimat on salattu datan mukana. Tiedostojärjestelmän aikaleimat heijastavat altaan tason operaatioita, eivät holvin tason.
• Kuinka paljon oikeaa dataa on. Täyttö tekee todellisesta datamäärästä epämääräisen. 500 Mt tallennustilaa voi sisältää 10 Mt oikeaa dataa ja 490 Mt täytettä tai 490 Mt oikeaa dataa ja 10 Mt täytettä.

Kuinka piilotetut holvit mahdollistavat uskottavan kiistettävyyden

Piilotetut holvit ovat se perusta, joka tekee Vaultairen uskottavan kiistettävyyden ominaisuudesta toimivan. Tässä syy, miksi ne ovat erottamattomia.

Uskottava kiistettävyys tarkoittaa, että jokainen piirtämäsi kuvio avaa jotakin. Piirrät oikean kuviosi ja näet yksityiset tiedostosi. Piirrät eri kuvion ja näet harhautusholvin: joukon viattomia valokuvia, jotka olet sinne laittanut juuri tätä tilannetta varten. Tarkkailijalle molemmat lopputulokset näyttävät identtisiltä. Ei ole mitään tapaa kertoa, piirsitkö "oikean" vai "harhautus"-kuviosi.

Uskottava kiistettävyys toimii kuitenkin vain, jos lisäholvien olemassaolo on havaitsematonta. Jos tutkija pystyy selvittämään, että laitteellasi on kolme holvia, yhden näyttäminen heille ei ole kiistettävissä: he tietävät, että kaksi muuta on olemassa. Piilotetut holvit poistavat tämän haavoittuvuuden. Koska kukaan ei pysty laskemaan holvejasi, kukaan ei pysty todistamaan, että pidät pääsyn joihinkin niistä salassa.

Koko ketju

• Vaihe 1: Luot useita holveja eri kuvioilla: yksi oikeille tiedostoille, yksi harhautuksille, niin monta kuin haluat.
• Vaihe 2: Jos sinut painostetaan, piirrät harhautuskuvion. Tarkkailija näkee holvin tylsillä valokuvilla.
• Vaihe 3: Tarkkailija ei pysty selvittämään, onko muita holveja olemassa. Ei lukumäärää, ei luetteloa, ei todisteita lisäholveista.
• Vaihe 4: Toteat totuudenmukaisesti näyttäneesi kaiken mitä sinulla on. He eivät pysty todistamaan muuta.

Ilman piilotettuja holveja uskottava kiistettävyys on teatteria. Piilotettujen holvien kanssa se on matematiikkaa.

Miksi tällä on merkitystä

Saatat ajatella, että rikostekninen vastustuskyky kuulostaa äärimmäiseltä. Useimmat ihmiset eivät kohtaa laitteiden takavarikointia tai tuomioistuinmääräyksiä. Mutta piilotettujen holvien taustalla oleva periaate suojaa sinua myös arkisissa tilanteissa.

Kumppani, joka ottaa puhelimesi, ei pysty kertomaan onko sinulla yksityisiä holveja. Työtoveri, joka lainaa laitettasi, ei näe mitään, mikä herättäisi uteliaisuutta. Varas, joka varastaa puhelimesi, ei pysty selvittämään, onko mitään kannattavaa poimittavaksi. Kaikissa tapauksissa suoja on sama: mitä ei löydetä, siihen ei pystytä kohdistamaan hyökkäystä.

Tämä on perustavanlaatuinen muutos yksityisyyden toiminnassa. Perinteinen tietoturva kysyy: "Pystyvätkö he murtautumaan sisään?" Piilotetut holvit esittävät täysin eri kysymyksen: "Pystyvätkö he edes kertomaan, onko jotain, mihin murtautua?" Vastaus on suunnitelmallisesti ei.