Déni plausible : chaque schéma ouvre un coffre-fort différent

Le déni plausible dans Vaultaire signifie que chaque schéma tracé sur la grille 5×5 ouvre un coffre-fort différent avec une clé de chiffrement différente. Pas d'index maître, pas de compteur de coffres-forts, et aucun moyen de prouver que d'autres coffres-forts existent sur l'appareil.

Ce que signifie vraiment le déni plausible

En sécurité, le déni plausible signifie que tu peux nier de manière crédible que quelque chose existe. Pas juste le cacher. Pas juste le rendre difficile à trouver. Tu peux regarder quelqu'un dans les yeux — un agent aux frontières, un partenaire violent, un voleur qui a pris ton téléphone — et dire honnêtement « c'est tout », et il n'y a aucune preuve technique pour te contredire.

La plupart des apps de coffre-fort te donnent un coffre-fort derrière un mot de passe. Si quelqu'un te force à l'ouvrir, tout est exposé. Certaines apps offrent un « mode leurre » où tu peux définir un second mot de passe qui montre un faux écran. Mais ces implémentations sont souvent superficielles. Un expert forensique peut regarder les données de l'app, voir des drapeaux de configuration, remarquer que la taille des données chiffrées ne correspond pas aux fichiers visibles, ou trouver des métadonnées trahissant l'existence d'une couche cachée.

Vaultaire adopte une approche fondamentalement différente. Chaque schéma que tu traces sur la grille 5×5 dérive une clé de chiffrement différente. Chaque clé déchiffre un blob chiffré différent. Il n'y a pas d'index maître, pas de registre de coffres-forts, pas de fichier de configuration listant combien de coffres-forts existent. L'app elle-même ne le sait pas. Elle ne peut pas le savoir. Elle prend simplement le schéma que tu traces, dérive une clé, essaie de déchiffrer des données avec cette clé, et te montre ce qu'elle trouve.

Si elle trouve un coffre-fort, tu vois tes fichiers. Si elle ne trouve rien, elle propose de créer un nouveau coffre-fort. Si quelqu'un trace un schéma différent, il obtient une clé différente, et un résultat différent. Il n'y a pas d'erreur « mauvais schéma ». Il n'y a aucune indication que d'autres coffres-forts existent. Il y a seulement le coffre-fort devant toi — et un silence complet, mathématiquement imposé, sur tout le reste.

Comment ça fonctionne sous le capot

Le fondement technique du déni plausible de Vaultaire est d'une élégance surprenante. Il repose sur une propriété du chiffrement que la plupart des apps de coffre-fort ignorent complètement : des clés différentes produisent des sorties différentes à partir des mêmes données chiffrées, et il n'y a aucun moyen de distinguer un déchiffrement « correct » d'un « faux » sans examiner le texte en clair.

Schémas différents, clés différentes

Quand tu traces un schéma sur la grille 5×5 de Vaultaire, la séquence de points connectés est injectée dans une fonction de dérivation de clés (PBKDF2) avec un sel cryptographique. Ce processus produit une clé AES de chiffrement unique de 256 bits. Un schéma différent — même un qui ne diffère que d'un seul point — produit une clé complètement différente. Pas légèrement différente. Complètement différente. Change un point dans ton schéma, et chaque bit de la clé dérivée change de manière imprévisible.

Chaque clé déchiffre son propre blob

Vaultaire stocke les données chiffrées comme des blobs opaques. Quand tu traces un schéma, l'app dérive une clé et essaie de déchiffrer les données. Si la clé correspond à un coffre-fort existant, le déchiffrement authentifié (AES-256-GCM) réussit, l'étiquette d'authentification se vérifie, et tes fichiers apparaissent. Si la clé ne correspond à aucun coffre-fort, le déchiffrement échoue silencieusement ou produit une sortie sans signification. Dans les deux cas, l'app n'affiche pas d'erreur. Elle demande simplement si tu veux créer un nouveau coffre-fort avec ce schéma.

Pas d'index maître

C'est la décision de conception cruciale qui sépare Vaultaire des apps qui offrent simplement un « mode leurre ». Il n'y a pas de table de base de données listant des identifiants de coffres-forts. Pas de fichier de configuration comptant combien de coffres-forts existent. Pas de structure de métadonnées qui pourrait révéler la présence de conteneurs chiffrés supplémentaires. Les blobs chiffrés sur le disque sont indistinguables les uns des autres et indistinguables de données aléatoires. Vaultaire lui-même ne peut pas énumérer combien de coffres-forts un utilisateur a créés.

Les deux coffres-forts sont également réels. Les deux sont chiffrés avec le même algorithme. Les deux produisent le même type de sortie chiffrée. Il n'y a pas de drapeau, pas de marqueur, pas de métadonnée qui étiquette l'un comme « vrai » et l'autre comme « leurre ». Du point de vue des maths, ils sont identiques.

La stratégie du coffre-fort leurre

Le déni plausible ne fonctionne que si tu as quelque chose à montrer. Un coffre-fort vide est suspect. Un coffre-fort qui ne contient rien qui vaille la peine d'être protégé est suspect. La meilleure défense est un coffre-fort qui ressemble exactement à ce que quelqu'un s'attend à trouver.

Configurer ton leurre

Choisis un second schéma — un que tu peux tracer vite et naturellement sous pression. Crée un coffre-fort avec ce schéma. Remplis-le de contenu plausible pour quelqu'un qui utilise une app de coffre-fort : quelques photos personnelles que tu préfères garder privées mais qui ne sont pas sensibles, quelques documents financiers, des notes. Le contenu doit être crédible et légèrement embarrassant — juste assez pour que la personne qui fouille ton téléphone pense avoir trouvé ce que tu cachais.

Le rendre convaincant

Un bon coffre-fort leurre a quelques caractéristiques. Il devrait contenir un nombre raisonnable de fichiers — ni trop peu (suspicieusement vide) ni trop (pourquoi protéger autant de contenu banal ?). Les fichiers devraient être assez récents pour suggérer une utilisation active. Et idéalement, le contenu devrait fournir une raison plausible pour laquelle tu as installé une app de coffre-fort.

Quelqu'un qui trouve ton coffre-fort leurre et voit des photos personnelles, des documents fiscaux et des notes privées conclura probablement qu'il a tout trouvé. Il n'a aucune raison de soupçonner l'existence d'autres coffres-forts, parce que l'app elle-même ne donne aucune indication. Le stockage sur le disque montre des blobs chiffrés qui sont entièrement justifiés par le coffre-fort visible — ou plus précisément, il n'y a pas de méthode technique pour déterminer si les blobs sont entièrement justifiés ou non.

Sous pression

Si on te force à déverrouiller ton appareil, trace le schéma leurre. Le coffre-fort s'ouvre. Les fichiers apparaissent. Donne le téléphone. Il n'y a rien à trouver, rien à investiguer, pas de menu caché à découvrir. La personne qui tient ton téléphone voit une app de coffre-fort avec un coffre-fort déverrouillé. Fin de l'histoire.

Ton vrai coffre-fort — celui avec les fichiers qui comptent vraiment — reste invisible. Pas caché derrière un menu. Pas protégé par une seconde couche d'authentification. Il ne se manifeste tout simplement pas sauf si le bon schéma est tracé. Et personne ne peut te forcer à tracer un schéma dont il ignore l'existence.

Pourquoi c'est mathématiquement prouvable

Ce n'est pas une affirmation marketing. La sécurité du déni plausible de Vaultaire repose sur des propriétés bien comprises de la cryptographie moderne. Voici pourquoi aucune analyse forensique, aussi sophistiquée soit-elle, ne peut prouver l'existence de coffres-forts supplémentaires.

Les données chiffrées ressemblent à du bruit aléatoire

Le chiffrement AES-256-GCM produit une sortie computationnellement indistinguable de données aléatoires. Ce n'est pas une approximation — c'est une propriété formelle du chiffrement. Face à un bloc de données chiffrées, aucun algorithme ne peut déterminer s'il s'agit de contenu chiffré significatif ou d'octets véritablement aléatoires. Cela signifie que les données de coffre-fort chiffrées sur le disque ne peuvent pas être identifiées comme « données de coffre-fort » sans la bonne clé.

Pas de registre de coffres-forts

Il n'y a pas de fichier, de base de données ou de structure de données qui enregistre combien de coffres-forts existent ou à quels schémas ils correspondent. Un expert forensique peut voir que Vaultaire est installé et que des données chiffrées existent. Il ne peut pas déterminer combien de coffres-forts ces données représentent. Ça pourrait être un. Ça pourrait être dix. Les données elles-mêmes ne répondent pas à la question.

Pas d'oracle de distinction

En cryptographie, un « oracle » est tout ce qui répond à des questions sur des données chiffrées. La plupart des systèmes de mots de passe incluent un oracle : tu entres un mot de passe, et le système te dit s'il était correct. Vaultaire n'a pas d'oracle de ce type. Chaque schéma produit une clé. Chaque clé tente un déchiffrement. Il n'y a pas de réponse « accès refusé » qui confirmerait ou infirmerait qu'un schéma donné correspond à un coffre-fort existant. Un attaquant essayant des schémas aléatoires ne peut même pas savoir s'il « se rapproche ».

L'argument théorique de l'information

Dit formellement : étant donné les données observables sur le disque (blobs chiffrés) et un déchiffrement valide (le coffre-fort leurre), un adversaire n'obtient zéro information sur l'existence de déchiffrements valides supplémentaires. Cela tient même si l'adversaire dispose d'une puissance de calcul illimitée. Ce n'est pas une question de calculer plus fort ou plus longtemps. L'information n'est tout simplement pas là.

Qui a besoin du déni plausible

Tu pourrais penser que le déni plausible est réservé aux espions et aux lanceurs d'alerte. En réalité, des millions de personnes ordinaires font face à des situations où la capacité de protéger des informations sous la contrainte n'est pas un luxe — c'est une nécessité.

Journalistes et leurs sources

Les journalistes d'investigation transportent souvent du matériel sensible : identités de sources, documents fuités, enregistrements d'interviews. Dans de nombreux pays, les journalistes sont régulièrement détenus et leurs appareils fouillés aux frontières, aux postes de contrôle ou lors de perquisitions. Un coffre-fort leurre contenant des notes anodines et des photos publiées offre une couverture, tandis que le vrai coffre-fort protège des sources dont la vie peut dépendre de l'anonymat.

Militants et organisateurs

Les militants politiques, les organisateurs syndicaux et les défenseurs des droits humains opèrent dans des environnements où leurs téléphones sont des cibles de surveillance. Les listes de membres, les communications stratégiques et la documentation des abus doivent être protégées non seulement du vol mais de la divulgation forcée. Le déni plausible signifie qu'un téléphone confisqué ne révèle rien qui ne puisse être expliqué.

Personnes en situation de violence

Les survivants de violences domestiques ont souvent besoin de documenter des preuves — photos de blessures, enregistrements de menaces, communications avec un avocat ou un refuge — tout en vivant avec quelqu'un qui surveille leur appareil. Si un agresseur exige de voir ce qui se trouve dans l'app de coffre-fort, un coffre-fort leurre ne montre rien d'alarmant. Le coffre-fort de preuves reste invisible, préservant à la fois la documentation et la sécurité de la personne.

Voyageurs traversant des frontières

Dans un nombre croissant de pays, les agents aux frontières peuvent exiger que les voyageurs déverrouillent leurs appareils et les remettent pour inspection. Refuser peut signifier le refus d'entrée, la détention, ou pire. Avec Vaultaire, tu peux obtempérer pleinement et honnêtement — tu ouvres ton coffre-fort, l'agent l'inspecte, et tes données privées dans d'autres coffres-forts restent complètement indétectables.

Toute personne qui tient à sa vie privée

Tu n'as pas besoin d'être en danger pour mériter la vie privée. Peut-être que tu tiens un journal privé. Peut-être que tu as des informations médicales que tu ne veux pas que quelqu'un tombe dessus. Peut-être que tu crois simplement que chaque morceau de ta vie numérique ne devrait pas être accessible à quiconque prend ton téléphone. Le déni plausible est la forme la plus forte de vie privée parce qu'il ne fait pas que prévenir l'accès — il empêche même la question d'être posée.

Comparaison avec les autres apps de coffre-fort

La plupart des apps de coffre-fort sur le marché traitent la sécurité comme un problème de contrôle d'accès : définis un mot de passe, et le mot de passe donne accès à tes fichiers. Certaines offrent un « faux code PIN » ou un « mode leurre ». Mais les implémentations sont superficielles, et un examinateur averti voit à travers.

Le problème du coffre-fort unique

La grande majorité des apps de coffre-fort — Private Photo Vault, Keepsafe, Calculator# — ont un seul coffre-fort derrière un seul mot de passe. Si on te force à l'ouvrir, tout est visible. Il n'y a pas de seconde couche, pas de vue alternative, pas de moyen de montrer certains fichiers en cachant d'autres. Ta seule option est de refuser de déverrouiller, ce qui dans bien des situations n'est pas une option.

Les modes leurres cosmétiques

Une poignée d'apps offrent une fonctionnalité de « faux mot de passe » où entrer un code secondaire montre un coffre-fort limité ou vide. Ça semble malin jusqu'à ce que tu considères l'implémentation. Ces apps stockent typiquement un drapeau dans leur configuration indiquant que le mode leurre existe. Un outil forensique — ou même une personne moyennement technique — peut inspecter le répertoire de données de l'app, trouver le drapeau, et savoir qu'il y a un mode caché. Le mode leurre est du théâtre sécuritaire.

L'approche de Vaultaire est architecturalement différente

Vaultaire ne greffe pas le déni plausible sur une architecture de coffre-fort traditionnelle. C'est intégré dans les fondations. La dérivation schéma-vers-clé, l'absence de registre de coffres-forts, l'utilisation du chiffrement authentifié qui ne révèle rien sur les autres clés — ce ne sont pas des fonctionnalités qu'on peut activer ou désactiver. Ce sont des propriétés du schéma de chiffrement lui-même. Il n'y a pas de drapeau à trouver parce qu'il n'y a pas de drapeau. Il n'y a pas de mode leurre parce que chaque coffre-fort est réel.

C'est la différence entre un système qui essaie de cacher des coffres-forts et un système où le concept même de « cacher » ne s'applique pas. Vaultaire ne cache pas tes coffres-forts. Il les rend cryptographiquement inexistants pour quiconque n'a pas le bon schéma.