Déni plausible et coffres séparés par des motifs

La fonctionnalité de déni plausible de Vaultaire utilise des motifs distincts pour traiter des index de coffre chiffrés distincts sans afficher de liste globale des coffres. Cela peut dissimuler d'autres coffres lors d'une inspection ordinaire de l'interface, mais la disposition sur le disque expose le nombre de coffres à un examinateur ayant accès au conteneur d'application.

Ce que signifie vraiment le déni plausible

Dans son sens cryptographique le plus fort, le déni plausible signifie que le stockage observable ne prouve pas l’existence d’un contenu protégé supplémentaire. Dans le langage courant des produits, l’expression est également utilisée pour des informations d’identification leurres qui révèlent une vue tout en en cachant une autre. Ce sont des normes différentes, et l’implémentation actuelle de Vaultaire répond à l’objectif de compartimentation de l’interface plutôt qu’au déni au sens de la théorie de l'information.

La plupart des apps de coffre-fort vous donnent un coffre derrière un mot de passe. Si quelqu'un vous force à l'ouvrir, tout est exposé. Certaines apps offrent un « mode leurre » où vous pouvez définir un second mot de passe qui montre un faux écran. Mais ces implémentations sont souvent superficielles. Un expert forensique peut regarder les données de l'app, voir des drapeaux de configuration, remarquer que la taille des données chiffrées ne correspond pas aux fichiers visibles, ou trouver des métadonnées trahissant l'existence d'une couche cachée.

Vaultaire adopte une approche axée sur les motifs. Chaque motif valide sur la grille 5×5 dérive une clé de coffre candidate différente. L'application hache cette clé pour calculer un nom de fichier d'index chiffré attendu, puis ouvre et authentifie cet index s'il existe. Elle ne présente aucun registre en texte brut associant les motifs aux noms de coffre visibles par l'utilisateur, bien que les fichiers d'index chiffrés eux-mêmes puissent être énumérés et comptés.

Si l'index dérivé existe et que l'authentification réussit, vous voyez les fichiers de ce coffre. Si ce n'est pas le cas, Vaultaire présente un état vide et peut créer un nouveau coffre pour ce motif. Il n'y a pas d'erreur d'écran de verrouillage nommant un autre coffre ou affichant une liste. Cette interface silencieuse est utile lors d'une inspection occasionnelle, mais elle n'efface pas les preuves du système de fichiers décrites ci-dessous.

Comment ça fonctionne sous le capot

La base technique combine un adressage dérivé de motifs avec un chiffrement authentifié. Différents motifs produisent différentes clés et noms de fichiers candidats. AES-GCM fournit ensuite une vérification d'intégrité explicite : une clé correcte authentifie l'index chiffré, tandis qu'une clé incorrecte échoue. Ce résultat d'authentification est utile pour la sécurité, mais cela signifie également que les données copiées prennent en charge la vérification hors ligne.

Motifs différents, clés différentes

Lorsque vous dessinez un motif, Vaultaire sérialise la séquence de points et la taille de la grille, puis exécute 600 000 tours de PBKDF2-HMAC-SHA512 avec un sel aléatoire du Keychain commun à tout l'appareil. La fonction génère une clé de coffre de 256 bits. On s’attend à ce que la saisie d’un motif différent produise une clé sans rapport, mais la sécurité des informations d’identification reste limitée par la possibilité de deviner le motif. Une sortie de 256 bits ne donne pas à un motif choisi par un humain 256 bits d'entropie.

Chaque clé déchiffre son propre blob

Vaultaire stocke la mappe de fichiers de chaque coffre et la clé principale aléatoire dans un index chiffré par AES-256-GCM. Lorsque vous dessinez un motif, l'application dérive la clé du coffre candidat et vérifie le nom de fichier d'empreinte de clé correspondant. Si le fichier existe, le déchiffrement authentifié réussit ou échoue ; AES-GCM n'accepte jamais un texte clair dénué de sens. Si aucun index valide ne s'ouvre, l'interface utilisateur propose un état vide sans répertorier les autres coffres.

Aucun catalogue des coffres en clair

Vaultaire ne conserve pas de table de base de données destinée à l'utilisateur qui associe les motifs à des noms de coffres lisibles. Le flux de déverrouillage ordinaire adresse un index via la clé dérivée. Sur le disque, chaque coffre possède un fichier racine « vault_index_<locator>.bin » dans un pool complété par tranches de 64 avec des fichiers leurres aléatoires, plus un répertoire de stockage nommé avec le même localisateur. L'application elle-même les énumère pour la maintenance du stockage. Les localisateurs ne révèlent pas leurs motifs d'origine, mais le nombre de répertoires révèle le nombre de coffres et indique quels fichiers racine sont réels.

Les deux coffres sont également réels. Les deux sont chiffrés avec le même algorithme. Les deux produisent le même type de sortie chiffrée. Il n'y a pas de drapeau, pas de marqueur, pas de métadonnée qui étiquette l'un comme « vrai » et l'autre comme « leurre ». Du point de vue des maths, ils sont identiques.

La stratégie du coffre leurre

Le déni plausible ne fonctionne que si vous avez quelque chose à montrer. Un coffre vide est suspect. Un coffre qui ne contient rien qui vaille la peine d'être protégé est suspect. La meilleure défense est un coffre qui ressemble exactement à ce que quelqu'un s'attend à trouver.

Configurer votre leurre

Choisissez un second motif — un que vous pouvez tracer vite et naturellement sous pression. Créez un coffre avec ce motif. Remplissez-le de contenu plausible pour quelqu'un qui utilise une app de coffre-fort : quelques photos personnelles que vous préférez garder privées mais qui ne sont pas sensibles, quelques documents financiers, des notes. Le contenu doit être crédible et légèrement embarrassant — juste assez pour que la personne qui fouille votre téléphone pense avoir trouvé ce que vous cachiez.

Le rendre convaincant

Un bon coffre leurre a quelques caractéristiques. Il devrait contenir un nombre raisonnable de fichiers — ni trop peu (suspicieusement vide) ni trop (pourquoi protéger autant de contenu banal ?). Les fichiers devraient être assez récents pour suggérer une utilisation active. Et idéalement, le contenu devrait fournir une raison plausible pour laquelle vous avez installé une app de coffre-fort.

Une personne limitée à l'interface déverrouillée voit le coffre sélectionné et aucun sélecteur de coffres. Cela peut réduire les divulgations occasionnelles. Une personne ayant accès au système de fichiers peut compter les coffres et savoir qu'il existe plusieurs coffres locaux, même si elle ne peut toujours pas connecter un index à un motif ou lire son contenu.

Sous pression

Si jamais vous êtes contraint de déverrouiller votre appareil, dessinez le motif leurre. Le coffre s'ouvre. Les fichiers apparaissent. Dans l'interface ordinaire, il n'y a pas de menu caché ni de liste de coffres à découvrir. La personne qui tient votre téléphone voit un coffre déverrouillé. Cela peut rendre la divulgation cohérente lors d'une inspection occasionnelle, tandis qu'un examen du système de fichiers peut toujours révéler des index chiffrés supplémentaires.

Votre coffre sensible n'apparaît dans l'interface que si son motif est dessiné. Il n'est pas répertorié derrière un menu caché. Son index chiffré existe toujours dans le conteneur de l'application, cette fonctionnalité ne doit donc pas être présentée comme une protection contre toute forme de divulgation forcée ou d'analyse médico-légale.

La frontière de sécurité, précisément

Vaultaire peut faire des affirmations fortes sur le contenu chiffré et des affirmations plus précises sur l'interface. AES-GCM protège ce que contiennent un index et ses fichiers. L'adressage par motif maintient les autres coffres hors du flux de déverrouillage visible. Aucune de ces propriétés ne rend le nombre de fichiers d'index chiffrés invisible à un examinateur capable de lire le conteneur de l'application.

Le contenu chiffré reste confidentiel

AES-256-GCM est conçu pour masquer le texte en clair et détecter les modifications lorsque les clés et les nonces sont gérés correctement. Un examinateur peut identifier les fichiers d'index et les fichiers blob de Vaultaire à partir de leurs noms et de leur emplacement, mais ne peut pas lire la mappe de fichiers protégée, la clé principale encapsulée, les noms de fichiers, les métadonnées, les miniatures ou le contenu du fichier sans les clés appropriées.

Index énumérables, aucune table des motifs en clair

Le système de fichiers peut révéler combien de coffres sont présents, car chaque coffre possède son propre répertoire de stockage. Ce qu'il ne fournit pas, c'est une table en clair reliant ces empreintes aux motifs qui les ont générées, aux étiquettes de coffre destinées à l'utilisateur ou au contenu déchiffré. C’est une limite utile, mais le nombre de coffres, lui, n'est pas caché.

La vérification hors ligne existe

Un attaquant qui copie le sel de l'appareil et les données chiffrées de l'application peut dériver une clé candidate à partir d'un motif deviné. L'empreinte d'index correspondante indique à l'attaquant s'il existe un nom de fichier correspondant, et le déchiffrement authentifié AES-GCM confirme la supposition avec une quasi-certitude. PBKDF2 rend chaque supposition plus coûteuse ; il ne supprime pas ce test hors ligne et n'ajoute pas d'entropie à un motif faible.

Ce qu'apporte l'état vide

Sur l'écran de verrouillage, Vaultaire n'annonce pas de « mauvais motif » ni n'affiche les autres coffres disponibles. Un motif sans correspondance atteint un flux vide ou de création, de sorte qu'une personne qui n'a accès qu'à l'interface n'obtient aucune liste de coffres. Cet avantage de présentation ne doit pas être extrapolé à un attaquant qui aurait copié et analysé les fichiers sous-jacents.

Qui a besoin du déni plausible

Vous pourriez penser que le déni plausible est réservé aux espions et aux lanceurs d'alerte. En réalité, des millions de personnes ordinaires font face à des situations où la capacité de protéger des informations sous la contrainte n'est pas un luxe — c'est une nécessité.

Journalistes et leurs sources

Les journalistes d'investigation transportent souvent du matériel sensible : identités de sources, documents fuités, enregistrements d'interviews. Dans de nombreux pays, les journalistes sont régulièrement détenus et leurs appareils fouillés aux frontières, aux postes de contrôle ou lors de perquisitions. Un coffre leurre contenant des notes anodines et des photos publiées offre une couverture, tandis que le vrai coffre protège des sources dont la vie peut dépendre de l'anonymat.

Militants et organisateurs

Les militants politiques, les organisateurs syndicaux et les défenseurs des droits humains peuvent opérer dans des environnements où leurs téléphones sont des cibles de surveillance. Des motifs distincts peuvent compartimenter ce qui apparaît lors de l'utilisation normale d'une application, mais un téléphone confisqué ou compromis peut exposer des décomptes d'index chiffrés et permettre de deviner des motifs hors ligne. La sécurité opérationnelle doit s’étendre au-delà de l’application.

Personnes en situation de violence

Les personnes qui documentent des abus peuvent avoir besoin de séparer les preuves sensibles des éléments qu'elles peuvent montrer en toute sécurité. Un deuxième coffre peut limiter ce que voit une personne qui n'a accès qu'à l'interface de l'application. Il ne peut pas garantir la sécurité contre la surveillance des appareils, les logiciels espions, la coercition ou l'examen du système de fichiers. Les utilisateurs en danger doivent donc suivre les conseils d'une organisation d'assistance locale qualifiée.

Voyageurs traversant des frontières

Les pouvoirs de fouille aux frontières et les obligations des voyageurs varient. L'ouverture d'un motif Vaultaire n'affiche pas de liste globale des coffres, mais ne rend pas les autres index chiffrés complètement indétectables pour une inspection médico-légale. Minimisez les données sensibles que vous transportez et obtenez des conseils juridiques à jour concernant votre itinéraire et votre situation.

Toute personne qui tient à sa vie privée

Vous n’avez pas besoin d’être en danger pour mériter votre intimité. Peut-être que vous tenez un journal privé. Peut-être avez-vous des informations médicales sur lesquelles vous ne voulez pas que quiconque tombe par hasard. Peut-être pensez-vous simplement que tous les éléments de votre vie numérique ne devraient pas être accessibles à quiconque décroche votre téléphone. Les coffres séparés par des motifs renforcent la confidentialité de l'interface en limitant ce qu'un déverrouillage ordinaire révèle, tandis que le nombre d'index chiffrés reste visible pour un examinateur du système de fichiers.

Comparaison avec les autres apps de coffre-fort

De nombreuses applications de coffre-fort traitent la sécurité comme un problème de contrôle d'accès : un identifiant contrôle un conteneur visible. Certains produits ajoutent un faux code PIN ou un mode leurre. La force de ces fonctionnalités dépend de la conception du stockage et non de l’étiquette marketing ; un indicateur de configuration visible ou une base de données leurre distincte peut révéler qu'un autre mode existe.

Le problème du coffre unique

Une conception à conteneur unique présente un problème de coercition direct : une fois que son seul identifiant est divulgué, tout le contenu derrière cet identifiant devient disponible. Les produits diffèrent par leurs fonctionnalités actuelles. Évaluez donc la mise en œuvre réelle du stockage et du leurre plutôt que de supposer qu'un concurrent nommé utilise un modèle fixe.

Les modes leurres cosmétiques

Une fonctionnalité de faux mot de passe peut être utile contre une inspection occasionnelle, mais sa valeur médico-légale dépend du fait que l'appareil stocke ou non un indicateur leurre détectable, une deuxième base de données ou des tailles de fichiers distinctes. Sans une conception ou un audit publié, l'étiquette seule ne prouve ni un déni solide ni son absence.

L'approche de Vaultaire est architecturalement différente

Vaultaire intègre la séparation des motifs dans son chemin de déverrouillage normal. Aucun indicateur de faux code PIN spécial n'est nécessaire pour décider si un coffre est un leurre ; chaque motif configuré pointe vers un coffre chiffré ordinaire. Les fichiers d'index séparés restent visibles en tant que conteneurs chiffrés, de sorte que la distinction architecturale est plus forte dans l'interface utilisateur et l'isolation du contenu, et non dans la dissimulation du nombre de coffres.

Le résultat est une expérience cohérente : aucun coffre n’est étiqueté « réel » ou « faux » et chacun nécessite son propre chemin de déverrouillage ou de récupération authentifié. Sans la clé du coffre et la clé principale requises, le contenu chiffré reste indisponible. La cryptographie ne masque pas pour autant l'existence du conteneur.