Mode contrainte : retirer l'accès aux autres coffres

Le mode contrainte dans Vaultaire vous permet de désigner un coffre comme déclencheur de coercition. Dessiner le motif de ce coffre l'ouvre normalement tout en supprimant les index du coffre sans contrainte et les correspondances de récupération locales de l'appareil actuel. Les sauvegardes iCloud chiffrées existantes et les copies sur d'autres appareils sont intentionnellement laissées inchangées.

Qu'est-ce que le mode contrainte ?

Le mode contrainte est la dernière ligne de défense. C'est une fonctionnalité que vous espérez ne jamais avoir besoin d'utiliser, conçue pour le moment où tout le reste a échoué — quand quelqu'un se tient devant vous, exige l'accès à vos fichiers privés, et que vous n'avez pas d'autre choix que d'obtempérer.

Voici comment cela fonctionne : vous désignez un coffre comme coffre sous contrainte. Vous le remplissez de contenu qui semble crédible : quelques photos inoffensives, des documents banals. Ensuite, vous lui attribuez un motif, comme n'importe quel autre coffre. Dans l'interface de déverrouillage ordinaire, il ressemble et s'ouvre comme un coffre normal ; les traces dans le système de fichiers et dans le cloud dépassent cette promesse, limitée à l'affichage.

La différence réside dans ce qui se passe lorsque vous dessinez ce motif. Un motif de coffre normal ouvre son propre coffre. Le motif de contrainte fait également cela, en affichant le contenu du coffre désigné à l'écran, mais il déclenche également un effacement local des index et des correspondances de récupération qui rendent les autres coffres accessibles sur cet appareil.

Aucune boîte de dialogue de confirmation n'apparaît. Aucun son d'avertissement n'est émis. La personne qui vous surveille voit un coffre ouvert et ses fichiers apparaissent. Ce que l'interface n'annonce pas, c'est que d'autres index de coffre local ont été supprimés, que les correspondances de récupération locales ont été effacées, que le travail de sauvegarde en attente a été arrêté et que l'appareil doit utiliser une récupération explicite basée sur des phrases avant qu'un coffre retiré puisse revenir.

Comment ça fonctionne sous le capot

Comprendre les mécanismes est important car le mode contrainte a une limite plus étroite qu'une demande d'effacement universelle. Il modifie l'état de l'appareil actuel ; il ne promet pas d'effacer CloudKit, un autre appareil, l'historique du système de fichiers ou des preuves déjà collectées par un attaquant.

Étape 1 : vous tracez le motif de contrainte

Lorsque vous dessinez le motif attribué à votre coffre sous contrainte, Vaultaire le reconnaît comme un déclencheur de contrainte. L'application commence deux opérations simultanément : elle commence à déchiffrer et à afficher le contenu du coffre désigné, et elle lance le nettoyage local des index et des correspondances de récupération pour tous les autres coffres.

Étape 2 : l'état d'accès local est supprimé

Vaultaire utilise un seul sel du Keychain, commun à tout l'appareil, pour la dérivation de motifs locaux, pas un sel distinct pour chaque coffre. Le mode contrainte ne détruit pas ce sel partagé. Au lieu de cela, il efface la base de données de récupération locale chiffrée et supprime tous les index du coffre, à l'exception de l'index du coffre désigné. Étant donné que chaque index contient la clé principale aléatoire encapsulée et le mappage de fichiers pour ce coffre, sa suppression retire le coffre sans contrainte de l'état local utilisable de l'application.

Le pool d’objets blob chiffrés peut rester car les coffres partagent ce stockage. Sans l'index supprimé, Vaultaire ne dispose pas de mappage de fichiers ni de clé principale encapsulée avec laquelle ouvrir localement le coffre supprimé. L'application efface également les correspondances de récupération locales afin que l'écran de récupération ordinaire ne puisse pas immédiatement énumérer ou restaurer ces coffres.

Étape 3 : La récupération dans le cloud est préservée mais isolée

La sauvegarde iCloud chiffrée existante est délibérément conservée comme chemin de récupération. L'appareil réinitialise les travaux de sauvegarde en attente et entre dans une limite d'isolement afin que l'effacement local ne soit pas envoyé comme une suppression ordinaire et que les coffres masqués ne soient pas rapatriés automatiquement. La récupération ultérieure est explicite, un coffre à la fois, et nécessite la phrase de récupération de ce coffre plutôt que le seul motif divulgué sous la contrainte.

Étape 4 : le coffre sous contrainte s'ouvre normalement

Pendant l'exécution du nettoyage local, le coffre désigné s'ouvre via l'interface normale. Vaultaire supprime les analyses avant de démarrer, tente de révoquer les partages actifs créés à partir de ce coffre, régénère sa phrase de récupération et efface ensuite la désignation de contrainte. L'application ne présente aucune confirmation de contrainte ni message d'achèvement, mais le temps d'achèvement dépend du travail local et des éventuelles révocations du réseau ; Vaultaire ne promet pas de délai universel inférieur à la seconde.

Ce que l’interface silencieuse cache et ne cache pas

L'interface immédiate est conçue pour éviter d'annoncer le mode contrainte à quelqu'un qui vous regarde par-dessus votre épaule. Il s’agit d’une propriété de présentation utile, et non d’une preuve que chaque observateur médico-légal voit un état d’appareil identique. Les artefacts du système de fichiers, les enregistrements CloudKit, un autre appareil synchronisé ou un accès antérieur au téléphone échappent à ce que l'application peut cacher.

Pas de boîte de dialogue de confirmation

La plupart des actions destructives dans les logiciels s'accompagnent d'un avertissement : « Êtes-vous sûr ? » Le mode contrainte n'a pas de tel avertissement. Une boîte de dialogue de confirmation serait un signal évident. Au moment où vous tracez le motif, l'action est effectuée. Vous ne pouvez pas le déclencher accidentellement à moins de tracer accidentellement un motif spécifique et complexe sur une grille 5×5 — ce qui n'arrive pas par hasard.

Pas d'écran de retard séparé

L'application ouvre le coffre désigné pendant qu'elle effectue un travail de nettoyage local et de révocation de partage. Le flux n'est pas conçu pour ajouter un écran d'avertissement distinct, mais les performances de l'appareil, l'état du coffre et les conditions du réseau varient. Vaultaire ne revendique pas une égalité temporelle qu'un observateur équipé d'instruments ne pourrait jamais distinguer.

Aucun avis d'effacement dans l'application

Vaultaire désactive les analyses avant l'effacement et n'affiche pas de notification « Coffres supprimés ». Sur cet appareil, le coffre conservé est celui qui reste accessible via l'application. Cela n’efface pas les preuves en dehors de l’état local actuel de l’application et ne doit pas être traité comme une promesse d’indétectabilité lors d’un examen médico-légal.

Quel état local est supprimé

La précision compte ici. Le mode contrainte supprime les structures locales spécifiques nécessaires pour rechercher et ouvrir des coffres sans contrainte, tout en préservant le stockage blob chiffré partagé et toute sauvegarde iCloud chiffrée. Il s'agit d'un effacement de l'état d'accès local, et non d'une affirmation selon laquelle chaque copie physique a été écrasée.

La base de données de récupération chiffrée

La base de données de récupération locale mappe les phrases de récupération et les champs de motifs hérités à l'accès au coffre. Le mode contrainte efface cette base de données, puis crée une nouvelle entrée de récupération uniquement pour le coffre désigné. Cela supprime les correspondances de récupération locales pour les autres coffres sans prétendre que Vaultaire a utilisé ou détruit un sel distinct pour chacun.

Les index du coffre sans contrainte

Chaque index de coffre chiffré contient ses enregistrements de fichiers et la clé principale aléatoire enveloppée par la clé dérivée de motif de ce coffre. Le mode contrainte supprime tous les index, à l’exception de ceux du coffre désigné. L'algorithme PBKDF2 et le nombre d'itérations sont des paramètres d'implémentation publics ; la sécurité ne dépend pas de leur effacement.

Les données chiffrées

Le pool d’objets blob chiffrés partagés est conservé car il contient également le contenu du coffre désigné. Les données qui appartenaient uniquement aux index supprimés peuvent devenir inaccessibles via l'application, mais Vaultaire ne revendique pas l'écrasement physique sécurisé de chaque bloc de stockage flash. Les index supprimés ou l’état antérieur peuvent également persister dans des couches de stockage indépendantes du contrôle de l’application.

Quand utiliser le mode contrainte

Le mode contrainte est conçu pour les situations dans lesquelles vous êtes confronté à une coercition physique ou à une contrainte légale et avez décidé qu'il est préférable de supprimer l'accès au coffre local plutôt que de l'exposer. Il s’agit d’une décision personnelle aux implications sérieuses, et Vaultaire vous donne l’outil sans prendre la décision à votre place.

Passages aux frontières

Les pouvoirs de fouille aux frontières et les obligations des voyageurs varient selon les pays et les circonstances. Dessiner le motif de contrainte avant de remettre votre téléphone laisse un coffre accessible dans l'interface et supprime les autres états d'accès local, mais cela ne peut pas garantir qu'un examinateur ne trouve aucun artefact du système de fichiers, aucune sauvegarde chiffrée, aucune copie sur un autre appareil ou aucune preuve antérieure.

Contrainte physique

Si quelqu'un vous force à déverrouiller votre téléphone sous la menace, vous avez besoin d'un moyen de limiter ce que révèle l'interface ordinaire. Le mode contrainte vous permet de dessiner un motif qui ressemble à une coopération. La personne qui vous contraint voit le coffre désigné ouvert, tandis que l'interface n'annonce pas le nettoyage local simultané des autres états d'accès au coffre.

Saisie de l'appareil

Si vous avez des raisons de croire que votre appareil sera confisqué, le mode contrainte peut supprimer l'accès au coffre sans contrainte de l'installation actuelle de l'application avant le transfert. Il ne peut pas garantir qu'un analyste médico-légal n'a rien à examiner, surtout si l'appareil a déjà été compromis ou si d'autres copies et artefacts du système existent.

Protection des journalistes et des sources

Les journalistes travaillant dans des environnements hostiles, les militants opérant sous surveillance et toute personne dont les données pourraient mettre en danger elle-même ou d'autres. Le mode contrainte transforme un moment de vulnérabilité en moment de protection.

Configurer votre coffre sous contrainte

La configuration du mode contrainte prend environ deux minutes. Le faire bien — le rendre convaincant — demande un peu plus de réflexion.

Désignez le coffre

Dans les paramètres de Vaultaire, vous désignez un coffre comme coffre sous contrainte. Ce coffre sera celui qui s'ouvre quand le motif de contrainte est tracé, donc il doit contenir du contenu qui paraît réel et satisfait les attentes d'un observateur. Un coffre vide est suspect. Un coffre avec du contenu manifestement faux est suspect. Un coffre avec une poignée de photos personnelles d'apparence normale est parfait.

Remplissez-le de contenu crédible

Mettez dans votre coffre sous contrainte du contenu que quelqu'un s'attendrait à trouver dans un coffre privé : quelques photos personnelles, peut-être le scan d'un document, des fichiers qui semblent assez privés pour justifier d'être verrouillés mais assez anodins pour résister à un examen. L'objectif n'est pas de tromper une investigation forensique — c'est de satisfaire la personne debout en face de vous dans l'instant.

Choisissez un motif naturel

Le motif de contrainte doit être quelque chose que vous pouvez dessiner sous stress, rapidement et sans hésitation. Si vous dessinez un autre motif valide, vous pouvez ouvrir un autre coffre ou un état vide à la place. Pratiquez le déclencheur dans une configuration de test sécurisée. Comme tout motif Vaultaire, il doit relier au moins six points et effectuer au moins un changement de direction.

Testez-le

Avant d'en avoir besoin, testez le mode contrainte dans un environnement sûr. Créez quelques coffres de test, désignez un coffre sous contrainte et déclenchez-le. Vérifiez que les autres coffres ne s'ouvrent plus sur cet appareil. Vérifiez que le coffre sous contrainte s'est ouvert normalement. Puis configurez-le pour de vrai.

Pas d'annulation possible

Cela doit être dit clairement : une fois le mode contrainte déclenché, il n'y a pas de bouton d'annulation pour l'effacement local. L'assistance Vaultaire ne peut pas reconstruire votre motif ou votre phrase de récupération. Si la sauvegarde iCloud chiffrée (activée par défaut) était toujours activée auparavant et que vous avez conservé la phrase de récupération, vous pourrez ultérieurement restaurer un coffre à la fois. Sans les deux, l'état d'accès local supprimé peut vous empêcher de récupérer le coffre.

Les autres index et correspondances de récupération locales ont disparu de l’état actif de l’application. Le sel commun à tout l'appareil et le pool d’objets blob chiffrés partagés ne sont pas la cible d’effacement, et les sauvegardes cloud chiffrées sont préservées. Cette limite est délibérée : elle supprime l'accès de l'appareil contraint tout en conservant un chemin de récupération contrôlé par phrase pour le propriétaire.

Le mode contrainte est conçu pour les personnes qui comprennent ce compromis et ont décidé, à l'avance, qu'elles préféreraient supprimer l'accès immédiat à l'appareil actuel plutôt que d'exposer le coffre sous la contrainte. Si vous ne pouvez pas conserver en toute sécurité la phrase de récupération et une sauvegarde chiffrée, supposez que l'effacement local peut vous coûter l'accès à ce coffre.

Le compromis est spécifique plutôt qu’absolu. La suppression locale commence sans confirmation, tandis que la récupération ultérieure n'est possible que via le cloud séparé et le chemin de la phrase de récupération. Testez la fonctionnalité avec des données non sensibles avant de décider si ce comportement correspond à votre modèle de menace.