Coffres masqués sans liste de coffre visible

Les coffres cachés dans Vaultaire sont une propriété d'interface et de routage de clés : l'application n'affiche aucune liste globale des coffres en texte brut et ouvre un coffre uniquement après avoir dérivé sa clé du motif. Sur le disque, les fichiers d'index chiffrés distincts restent dénombrables, de sorte que cette conception ne rend pas le décompte des coffres invisible d'un point de vue médico-légal.

Que signifient réellement les « coffres cachés » ?

La plupart des applications de coffre-fort fonctionnent comme des classeurs. Ouvrez l'application, et vous voyez une liste de vos coffres. Peut-être qu'ils ont des noms. Peut-être qu'ils affichent un compteur. Peut-être qu'il y a une petite icône de cadenas à côté de chacun. L'application sait exactement combien de coffres vous avez, et cette information est visible par quiconque ouvre l'application — ou examine l'appareil.

Vaultaire fonctionne différemment dans l'interface. Il n’y a pas d’écran répertoriant les noms de vos coffres ou vous demandant lequel déverrouiller. Lorsque vous dessinez un motif, l'application dérive une clé de coffre de 256 bits avec PBKDF2, hache cette clé pour former le nom de fichier d'index attendu et tente un déchiffrement authentifié de cet index chiffré. Si l'index existe et que sa balise AES-GCM est valide, Vaultaire désencapsule la clé principale aléatoire et ouvre les fichiers. Sinon, il présente un état vide.

Ce routage fait partie de l'architecture de stockage, mais sa protection a des limites. Vaultaire ne gère pas de registre principal en texte brut mappant les coffres à des motifs ou des étiquettes. Il conserve l'index racine chiffré de chaque coffre dans un pool complété par tranches de 64 emplacements avec des fichiers leurres aléatoires, mais chaque coffre réel a aussi un répertoire de stockage nommé avec le même localisateur, et l'application dispose de chemins de maintenance qui les énumèrent. Un examinateur de système de fichiers peut donc compter les coffres et distinguer les vrais fichiers racine des leurres, même s'il ne peut pas lire le contenu de l'index sans clé.

Ce n'est pas un « dossier caché »

L'expression « coffre caché » pourrait vous faire penser à des applications qui cachent un dossier là où vous ne pouvez pas facilement le voir. Peut-être que le dossier est nommé avec un préfixe point pour qu'il n'apparaisse pas dans un explorateur de fichiers. Peut-être que l'application utilise un déguisement de « calculatrice » pour dissimuler son vrai but. Ce sont des astuces de camouflage, et elles partagent toutes le même défaut fatal : les données cachées sont toujours là, dans un emplacement connu, attendant d'être trouvées.

Un examinateur forensique avec accès à votre appareil peut trouver trivialement un dossier caché. Les outils de système de fichiers listent chaque répertoire. Les analyseurs de stockage montrent où l'espace disque est alloué. Même un ami modérément compétent en informatique avec cinq minutes et un moteur de recherche pourrait localiser la plupart des dossiers « cachés ».

Vaultaire ne s'appuie pas sur un dossier déguisé ou un skin de calculatrice. Dans son conteneur d'application, il stocke les index du coffre chiffrés ainsi que les fichiers blob chiffrés. Le contenu de l'index masque derrière AES-256-GCM les noms de fichiers des utilisateurs, les types MIME, les dates, correspondances de fichiers et la clé principale encapsulée. Ces contenus ne deviennent pas lisibles tant que la clé dérivée du motif correct n'authentifie pas l'index.

La différence pratique réside entre un dossier secret clairement nommé et un conteneur chiffré authentifié sélectionné par un nom de fichier dérivé d'une clé. Un examinateur d'appareil peut voir que le conteneur existe. Sans identifiants corrects, il n'obtient pas la table des fichiers ou le contenu lisible.

Ce que révèle la disposition du stockage

Même sans liste de coffres, un adversaire astucieux pourrait essayer une approche différente : analyser l'utilisation du disque. Si Vaultaire utilise 500 Mo de stockage aujourd'hui et 800 Mo demain, peut-être que vous avez ajouté un coffre. Si supprimer des photos d'un coffre réduit le stockage de exactement 200 Mo, peut-être qu'il y a une corrélation à exploiter.

Vaultaire ne maintient pas constante l'empreinte du stockage local. L'ajout de fichiers consomme de l'espace de stockage, la suppression d'un coffre peut libérer de l'espace de stockage et il existe un répertoire de stockage pour chaque coffre. Le chiffrement protège le contenu et l'intégrité, mais il n'efface pas toutes les informations de taille, de nombre et de synchronisation du système de fichiers.

Un observateur ayant accès au conteneur d'application peut corréler le nombre de fichiers, les tailles et les heures de modification avec l'activité. La protection des données d'iOS peut restreindre l'accès lorsque l'appareil est verrouillé, et les charges utiles chiffrées restent confidentielles sans leurs clés, mais Vaultaire n'annonce pas la résistance locale à l'analyse du trafic.

Où le bourrage est utilisé

Vaultaire utilise le bourrage dans des formats précis. Les en-têtes de fichiers chiffrés réservent une taille d'en-tête fixe, de sorte que les noms de fichiers et les types MIME ne sont pas exposés en texte brut. La sauvegarde iCloud chiffrée utilise des enregistrements fixes de 10 Mo plus des blocs leurres. Ces contrôles ne doivent pas être confondus avec un pool de stockage local de taille constante.

Les index du coffre local et les fichiers blob ont toujours des noms et des tailles de fichiers reconnaissables au niveau de l'application. AES-GCM masque leur texte en clair et détecte les modifications ; cela ne rend pas chaque artefact d'octet ou de système de fichiers impossible à distinguer des secteurs de disque aléatoires arbitraires.

Résistance forensique : ce qui se passe quand on prend votre téléphone

Soyons précis sur le modèle de menace. Quelqu'un qui parcourt l'application ne voit aucun catalogue de coffre. Quelqu'un qui obtient l'accès au conteneur d'application via un appareil compromis ou déverrouillé a une meilleure vue et peut inspecter les noms de fichiers, les nombres, les tailles, la disponibilité des éléments du Keychain et les charges utiles chiffrées.

Ce que les outils forensiques peuvent voir

Un légiste peut voir que Vaultaire est installé, la quantité de stockage qu'il utilise, le nombre de répertoires de stockage par coffre, les fichiers racine « vault_index_*.bin » auxquels ils correspondent, les fichiers d'arène chiffrés et les métadonnées de modification. L'examinateur peut également copier le texte chiffré pour deviner un motif hors ligne.

Ce que le chiffrement protège encore

• Étiquettes de coffre et tables de fichiers lisibles. L'index chiffré protège les enregistrements de fichiers et la clé principale aléatoire encapsulée.
• Noms de fichiers originaux et types MIME. Ces champs se trouvent dans des en-têtes de fichiers chiffrés authentifiés plutôt que dans des noms de répertoires en texte brut.
• Contenu de photos, de vidéos et de documents. Les charges utiles des fichiers utilisent AES-256-GCM sous la clé principale aléatoire du coffre.
• Le motif lui-même. Vaultaire ne le stocke pas en tant que préférence en texte brut, bien que la base de données de récupération locale chiffrée contienne des motifs et des phrases lorsque l'appareil est utilisé normalement.
• Un raccourci pour deviner. PBKDF2 augmente le coût de chaque candidat, mais un nom de fichier d'index copié et la balise AES-GCM permettent toujours à un attaquant de vérifier les suppositions hors ligne.

Comment les coffres cachés permettent le déni plausible

Les coffres cachés assurent le compartimentage de l'interface sur lequel repose la fonctionnalité de déni plausible de Vaultaire. Ce lien, et sa limite face à l'examen du système de fichiers, comptent pour évaluer cette promesse.

Dans l'interface de Vaultaire, différents motifs valides peuvent ouvrir différents coffres réels. Vous pouvez choisir un motif pour les contenus sensibles et un autre pour un coffre moins sensible. Un observateur qui ne voit que l'interface déverrouillée ne voit pas d'étiquette identifiant le coffre comme « réel » ou « leurre ».

Cela peut réduire la divulgation lors d’une inspection occasionnelle ou d’un regard par-dessus l’épaule, mais cela ne satisfait pas à la définition médico-légale la plus stricte du déni plausible. Un examinateur ayant accès au conteneur d'application peut compter les coffres. Utilisez cette fonctionnalité comme un compartimentage de l'interface, et non comme preuve qu'aucun coffre supplémentaire n'existe.

La chaîne complète

• Étape 1 : vous créez plusieurs coffres avec des motifs différents — un pour les vrais fichiers, un pour les leurres, autant que vous voulez.
• Étape 2 : si vous êtes sous pression, vous tracez le motif du leurre. L'observateur voit un coffre avec des photos ennuyeuses.
• Étape 3 : L'interface déverrouillée n'affiche aucune liste globale des coffres ni invite nommant l'autre coffre.
• Étape 4 : Gardez à l'esprit la limite distincte des menaces : l'accès au système de fichiers peut révéler le nombre d'index chiffrés même lorsque l'observateur ne peut pas déchiffrer le contenu.

Le résultat est un compartimentage pratique à l’intérieur de l’application, soutenu par le chiffrement du contenu. Il ne s’agit pas d’une garantie mathématique qu’un examinateur d’appareil ne puisse pas détecter des conteneurs chiffrés supplémentaires.

Pourquoi c'est important

Vous pourriez penser que la résistance forensique semble extrême. La plupart des gens ne font pas face à des saisies d'appareils ou à des ordonnances du tribunal. Mais le principe derrière les coffres cachés vous protège aussi dans des scénarios quotidiens.

Une personne qui atteint l’écran de verrouillage de Vaultaire ne reçoit pas de liste de noms de coffre à cibler. Un collègue qui emprunte votre appareil ne peut pas parcourir les coffres via un sélecteur. Un voleur sait toujours que Vaultaire est installé et peut cibler l'application ou l'appareil, mais le contenu chiffré reste protégé par le motif, le coût de PBKDF2, AES-GCM et la frontière de sécurité d'iOS.

Les coffres cachés répondent à une question plus précise en matière de confidentialité : l’ouverture d’un coffre révèle-t-elle un catalogue des autres ? Dans l’interface normale, la réponse est non. La capacité d'un examinateur plus puissant à détecter les conteneurs chiffrés dépend de l'état de l'appareil et du niveau d'accès, limites que Vaultaire documente directement.