Perustelu Vaultairelle

Yksityisyyssovelluksissa on kohtalokas virhe: ne näyttävät yksityisyyssovelluksilta.

Lukittu kansio ilmoittaa olevansa lukittu. Piilotettu galleria nimeltä “Calculator+” ei hoodaa ketään, joka oikeasti etsii. Jokaisessa iPhonen “turvallisessa” kuvaholvisovelluksessa on sama ongelma: se todistaa, että sinulla on jotain piilotettavaa.

Kun joku pakottaa sinut avaamaan puhelimesi, olipa se rajavartija, väkivaltainen kumppani tai autoritaarinen hallitus, he näkevät sovelluksen, näkevät lukon eivätkä lopeta ennen kuin avaat sen.

Vaultaire ei avaudu nimettyjen holvien luetteloon. Kuvio osoittaa yhden salatun holvin, eikä käyttöliittymä mainosta muita.

Miten salatun kuvien tallennuksen pitäisi toimia

Piirrä kuvio ruudukolle. PBKDF2 johtaa paikallisen holvin avaimen, joka todentaa salatun indeksin ja purkaa satunnaisen pääavaimen, jota käytetään AES-256-GCM-tiedostosalaukseen. Piirrä toinen määritetty kuvio, niin toinen salattu holvi voi avautua. AES-toiminnot suoritetaan sovellusprosessissa CryptoKitin kautta; Vaultaire ei väitä suorittavansa mielivaltaista symmetristä salausta Secure Enclavessa.

Syötä kuvio, jolla ei ole vastaavaa indeksiä? Ei "virheellinen salasana" -viestiä eikä luetteloa muista holveista, vain tyhjä luontitila. Tämä vastaavuus koskee käyttöliittymää. Kopioitu indeksitiedoston nimi ja AES-GCM-tunniste antavat silti tiedostojärjestelmään pääsevän hyökkääjän tarkistaa arvauksia offline-tilassa.

Käyttöliittymä ei näytä holviluetteloa, mutta tallennusraja on selkeä: juuri-indeksitiedostot ovat 64:n ryhmiin täydennetyssä joukossa satunnaisten peitetiedostojen kanssa, ja kaikki holvit jakavat 1 tallennuskansion satunnaisin tiedostonimin, mutta tiedostojärjestelmän tutkija voi silti arvioida, kuinka monessa holvissa on tiedostoja. Tallennustilan käyttö muuttuu salatun sisällön myötä. Tutkija voi kopioida salatekstiä, kun taas kuvioperäinen avain ja satunnainen pääavain suojaavat luettavaa tiedostokarttaa ja sisältöä.

Tämä ei ole lukko ovessa. Se on seinä siellä, missä ovi oli.

Miksi nollatietoisuusarkkitehtuuri on tärkeä

Lukitusnäyttö ei yksin todista, että tiedostot ovat salattuja. Jokaista valokuvaholvia tulee arvioida sen tallennusmuodon, avainhierarkian, palautuspolun ja sovelluksen säilöä kopioitaessa käyttäytymisen perusteella, ei PIN-koodin tai kuvionäytön olemassaolon perusteella.

Vaultaire rakennettiin kapeamman periaatteen ympärille: salattuja Vaultaire-tietueita tallentavat palvelut eivät saa vastaanottaa luettavaa holvin sisältöä tai salauksen purkuavaimia. Sovellus, iOS, Keychain ja lukitsematon laite pysyvät osana luottamusmallia, ja salatut tiedostot ovat edelleen havaittavissa salattuina sovellustietoina.

Ei Vaultaire-identiteettitiliä. Sovellus ei vaadi sähköpostiosoitettasi tai puhelinnumeroasi. Apple voi edelleen säilyttää osto-, iCloud- ja laitetilitietueita. Sovellusanalytiikka ja kaatumisdiagnostiikka ovat oletusarvoisesti käytössä, ja ne voidaan poistaa käytöstä asetuksista "Jaa virheet nimettömästi"; kun ne ovat käytössä, ne luovat pseudonyymejä tuotetapahtumia tietosuojakäytännön mukaisesti.

Ei pilviriippuvuutta paikalliseen holvin käyttöön. Vaultaire luo CloudKit-tietueita salattua varmuuskopiota varten, joka on oletuksena päällä ja jonka voi kytkeä pois asetuksista, sekä laitteen synkronointia tai jakamista varten, kun käytät niitä; CloudKit sitten vastaanottaa salatekstiä ja toiminnallisia metatietoja, ei luettavia holvitiedostoja eikä selkokielisiä salauksenpurkuavaimia. iCloud-varmuuskopiointi ja tietokonelaitteiden varmuuskopiot ovat erillisiä järjestelmäpolkuja, ja ne voivat sisältää sovelluksen salattuja paikallisia tiedostoja.

Ei biometristä lukitusta Vaultairen sisällä. Kuvio on tunnistetieto, joka on erillään iPhonen pääsykoodista ja Face ID:stä, mutta sen voi silti nähdä, arvata, paljastaa pakotettuna tai kaapata vaarantuneella laitteella. Jätimme biometriset tiedot pois pitääksemme pääsypolun selkeänä.

Ei sähköpostin nollausta. Ei palveluntarjoajan hallussa olevaa palautusavainta. Vaultaire luo oman yhdeksän sanan palautuslauseen, ei BIP-39-muistilausetta. Se tallentaa lauseen salattuun Keychain-tietokantaan, jotta voit tarkastella sitä myöhemmin, ja se voi tallentaa lauseella salatun CloudKit-palautusluettelon, kun varmuuskopiointi on päällä, mikä on oletus.

Kuviosi käy läpi 600 000 kierrosta PBKDF2-HMAC-SHA512:ta laitekohtaisella suolalla, josta johdetaan 256-bittinen holvin avain. Tämä tulosteen pituus ei muuta arvattavissa olevaa kuviota 256 bitin entropiaksi. Avain on sovelluksen muistissa käytön aikana, ja lukituspolut hylkäävät aktiivisen tilan vaatimatta jokaisen ohimenevän kopion todistettavaa pyyhkimistä.

Kenelle tämä on tarkoitettu

Toimittajille, jotka suojaavat lähteitään alueilla, joissa puhelintarkistukset ovat rutiinikäytäntö. Aktivisteille, jotka kantavat dokumentaatiota valtion valvonnan alla. Lähisuhdeväkivallan uhreille, jotka säilyttävät todisteita laitteella, jonka he tietävät olevan seurattu. Matkustajille, jotka ylittävät rajoja, joilla laitetarkastus on pakollinen. Asianajajille, joilla on luottamuksellista materiaalia henkilökohtaisilla puhelimilla.

Kaikille, jotka ymmärtävät, että yksityisyys ei koske jotain piilotettavaa. Se koskee jotain suojelemisen arvoista.

Pakotusholvi

Pro-versiolla voit määrittää yhden holvin pakotuksen laukaisijaksi. Kun sen kuvio piirretään, määritetty holvi avautuu ja Vaultaire poistaa muiden holvien paikalliset indeksit, tallennustiedostot ja palautusmääritykset nykyiseltä laitteelta. Olemassa olevat salatut iCloud-varmuuskopiot ja vertaislaitteiden kopiot pysyvät ennallaan, ja myöhempi palautus vaatii nimenomaisen palautuslauseen. Pakotusasetus on Keychain-kohde, joten tutkija, jolla on pääsy Keychainiin, näkee, että sellainen on asetettu.

Toiminto on hiljainen sovelluksen käyttöliittymässä, eikä sitä voida taata havaitsematta rikosteknisessä analyysissä. Poistetut tiedostot, tiedostojärjestelmän tila, pilvitietueet, vertaislaitteet tai aiemmin vaarantunut laite voivat silti paljastaa, että tietoja on ollut tai että ne ovat muuttuneet.

Mitä emme rakenna

Emme lisää biometristä lukituksen avausta, koska se voidaan pakottaa laillisesti. Emme lisää pilvestä riippuvaa tallennustilaa, koska se luo kohteen haasteille ja rikkomuksille. Emme lisää analytiikkaan holvin sisältöä, malleja, palautuslauseita, tiedostonimiä, jakotunnuksia tai holvitunnuksia. Emme lisää tilin palautukseksi puettua takaovea. Emme heikennä arkkitehtuuria mukavuuden vuoksi.

Jokainen Vaultairen päätös palaa yhteen asiaan: yksityiset tiedostosi pysyvät sinulla kaikissa olosuhteissa.