Mode contrainte : effacement silencieux du coffre-fort local

Le mode contrainte dans Vaultaire vous permet de désigner un coffre-fort comme déclencheur de coercition. Dessiner le modèle de ce coffre-fort l'ouvre normalement tout en supprimant les index du coffre-fort sans contrainte et les mappages de récupération locaux du périphérique actuel. Chiffré existant iCloud les sauvegardes et les copies de périphériques homologues sont intentionnellement laissées inchangées.

Qu'est-ce que le mode de contrainte ?

Le mode de contrainte est la dernière ligne de défense. C'est une fonctionnalité que tu espères ne jamais avoir besoin d'utiliser, conçue pour le moment où tout le reste a échoué — quand quelqu'un se tient devant toi, exige l'accès à tes fichiers privés, et que tu n'as pas d'autre choix que d'obtempérer.

Voici comment cela fonctionne : vous désignez un coffre-fort comme coffre-fort sous contrainte. Vous le remplissez de contenu qui semble crédible : quelques photos inoffensives, des documents banals. Ensuite, vous lui attribuez un modèle, comme n'importe quel autre coffre-fort. Dans l'interface de déverrouillage ordinaire, il ressemble et s'ouvre comme un coffre-fort normal ; Les preuves du système de fichiers et du cloud restent en dehors de cette revendication de présentation étroite.

La différence réside dans ce qui se passe lorsque vous dessinez ce motif. Un modèle de coffre-fort normal ouvre son propre coffre-fort. Le modèle de contrainte fait également cela, en affichant le contenu du coffre-fort désigné à l'écran, mais il déclenche également un effacement local des index et des mappages de récupération qui rendent les autres coffres-forts accessibles sur cet appareil.

Aucune boîte de dialogue de confirmation n'apparaît. Aucun son d'avertissement n'est émis. La personne qui vous surveille voit un coffre-fort ouvert et ses fichiers apparaissent. Ce que l'interface n'annonce pas, c'est que d'autres index de coffre-fort local ont été supprimés, que les mappages de récupération locaux ont été effacés, que le travail de sauvegarde en attente a été arrêté et que l'appareil doit utiliser une récupération explicite basée sur des phrases avant qu'un coffre-fort effacé puisse revenir.

Comment ça fonctionne sous le capot

Comprendre les mécanismes est important car le mode contrainte a une limite plus étroite qu'une demande d'effacement universelle. Il change d'état sur l'appareil actuel ; il ne promet pas d'effacer CloudKit, un autre appareil, l'historique du système de fichiers ou des preuves déjà collectées par un attaquant.

Étape 1 : tu traces le schéma de contrainte

Lorsque vous dessinez le motif attribué à votre coffre-fort sous contrainte, Vaultaire le reconnaît comme un déclencheur de contrainte. L'application commence deux opérations simultanément : elle commence à décrypter et à afficher le contenu du coffre-fort désigné, et elle lance le nettoyage local des index et des mappages de récupération pour tous les autres coffres-forts.

Étape 2 : l'état d'accès local est supprimé

Vaultaire utilise un seul appareil à l'échelle de l'appareil Keychain sel pour la dérivation de modèles locaux, pas un sel distinct pour chaque coffre-fort. Le mode contrainte ne détruit pas ce sel partagé. Au lieu de cela, il efface la base de données de récupération locale chiffrée et supprime tous les index du coffre-fort, à l'exception de l'index du coffre-fort désigné. Étant donné que chaque index contient la clé principale aléatoire encapsulée et le mappage de fichiers pour ce coffre-fort, sa suppression retire le coffre-fort sans contrainte de l'état local utilisable de l'application.

Le pool d’objets blob chiffrés peut rester car les coffres partagent ce stockage. Sans l'index supprimé, Vaultaire ne dispose pas de mappage de fichiers ni de clé principale encapsulée avec laquelle ouvrir localement le coffre-fort supprimé. L'application efface également les mappages de récupération locaux afin que l'écran de récupération ordinaire ne puisse pas immédiatement énumérer ou restaurer ces coffres-forts.

Étape 3 : La récupération dans le cloud est préservée mais isolée

Chiffré existant iCloud la sauvegarde est délibérément conservée comme chemin de récupération. L'appareil réinitialise les travaux de sauvegarde en attente et entre dans une limite d'isolement afin que l'effacement local ne soit pas téléchargé comme une suppression ordinaire et que les coffres-forts masqués ne soient pas automatiquement retirés. La récupération ultérieure est explicite, un coffre-fort à la fois, et nécessite la phrase de récupération de ce coffre-fort plutôt que le seul modèle divulgué sous la contrainte.

Étape 4 : le coffre-fort de contrainte s'ouvre normalement

Pendant l'exécution du nettoyage local, le coffre-fort désigné s'ouvre via l'interface normale. Vaultaire supprime les analyses avant de démarrer, tente de révoquer les partages actifs créés à partir de ce coffre-fort, régénère sa phrase de récupération et efface ensuite la désignation de contrainte. L'application ne présente aucune confirmation de contrainte ni message d'achèvement, mais le temps d'achèvement dépend du travail local et des éventuelles révocations du réseau ; Vaultaire ne promet pas de délai universel inférieur à la seconde.

Pourquoi personne ne peut savoir

L'interface immédiate est conçue pour éviter d'annoncer le mode contrainte à quelqu'un qui vous regarde par-dessus votre épaule. Il s’agit d’une propriété de présentation utile, et non d’une preuve que chaque observateur médico-légal voit un état d’appareil identique. Artefacts du système de fichiers, CloudKit les enregistrements, un autre appareil synchronisé ou un accès antérieur au téléphone peuvent ne pas être ce que l'application peut cacher.

Pas de boîte de dialogue de confirmation

La plupart des actions destructives dans les logiciels s'accompagnent d'un avertissement : « Es-tu sûr ? » Le mode de contrainte n'a pas de tel avertissement. Une boîte de dialogue de confirmation serait un signal évident. Au moment où tu traces le schéma, l'action est effectuée. Tu ne peux pas le déclencher accidentellement à moins de tracer accidentellement un schéma spécifique et complexe sur une grille 5×5 — ce qui n'arrive pas par hasard.

Pas d'écran de retard séparé

L'application ouvre le coffre-fort désigné pendant qu'elle effectue un travail de nettoyage local et de révocation de partage. Le flux n'est pas conçu pour ajouter un écran d'avertissement distinct, mais les performances de l'appareil, l'état du coffre-fort et les conditions du réseau varient. Vaultaire ne revendique pas une égalité temporelle qu'un observateur équipé d'instruments ne pourrait jamais distinguer.

Aucun avis d'effacement dans l'application

Vaultaire désactive les analyses avant l'effacement et n'affiche pas de notification « Coffres supprimés ». Sur cet appareil, le coffre-fort conservé est celui qui reste accessible via l'application. Cela n’efface pas les preuves en dehors de l’état local actuel de l’application et ne doit pas être traité comme une promesse d’indétectabilité lors d’un examen médico-légal.

Quel état local est supprimé

La précision compte ici. Le mode contrainte supprime les structures locales spécifiques nécessaires pour rechercher et ouvrir des coffres-forts sans contrainte, tout en préservant le stockage blob chiffré partagé et tout stockage chiffré. iCloud sauvegarde. Il s'agit d'un effacement de l'état d'accès local, et non d'une affirmation selon laquelle chaque copie physique a été écrasée.

La base de données de récupération cryptée

La base de données de récupération locale mappe les phrases de récupération et les champs de modèles hérités à l'accès au coffre-fort. Le mode contrainte efface cette base de données, puis crée une nouvelle entrée de récupération uniquement pour le coffre-fort désigné. Cela supprime les mappages de récupération locaux pour les autres coffres sans prétendre que Vaultaire a utilisé ou détruit un sel distinct pour chacun.

Les index du coffre-fort sans contrainte

Chaque index de coffre-fort chiffré contient ses enregistrements de fichiers et la clé principale aléatoire enveloppée par la clé dérivée de modèle de ce coffre-fort. Le mode contrainte supprime tous les index, à l’exception de ceux du coffre-fort désigné. Le PBKDF2 l'algorithme et le nombre d'itérations sont des paramètres d'implémentation publics ; la sécurité ne dépend pas de leur effacement.

Les données chiffrées

Le pool d’objets blob chiffrés partagés est conservé car il contient également le contenu du coffre-fort désigné. Les données qui appartenaient uniquement aux index supprimés peuvent devenir inaccessibles via l'application, mais Vaultaire ne revendique pas l'écrasement physique sécurisé de chaque bloc de stockage flash. Les index supprimés ou l’état antérieur peuvent également persister dans des couches de stockage indépendantes du contrôle de l’application.

Quand utiliser le mode de contrainte

Le mode contrainte est conçu pour les situations dans lesquelles vous êtes confronté à une coercition physique ou à une contrainte légale et avez décidé qu'il est préférable de supprimer l'accès au coffre-fort local plutôt que de l'exposer. Il s’agit d’une décision personnelle aux implications sérieuses, et Vaultaire vous donne l’outil sans prendre la décision à votre place.

Passages aux frontières

Les pouvoirs de fouille aux frontières et les obligations des voyageurs varient selon les pays et les circonstances. Dessiner le modèle de contrainte avant de remettre votre téléphone laisse un coffre-fort accessible dans l'interface et supprime les autres états d'accès local, mais cela ne peut pas garantir qu'un examinateur ne trouve aucun artefact du système de fichiers, aucune sauvegarde chiffrée, aucune copie homologue ou aucune preuve antérieure.

Contrainte physique

Si quelqu'un vous force à déverrouiller votre téléphone sous la menace, vous avez besoin d'un moyen de limiter ce que révèle l'interface ordinaire. Le mode contrainte vous permet de dessiner un motif qui ressemble à une coopération. Le coercer voit le coffre-fort désigné ouvert, tandis que l'interface n'annonce pas le nettoyage local simultané des autres états d'accès au coffre-fort.

Saisie de l'appareil

Si vous avez des raisons de croire que votre appareil sera confisqué, le mode contrainte peut supprimer l'accès au coffre-fort sans contrainte de l'installation actuelle de l'application avant le transfert. Il ne peut pas garantir qu'un analyste médico-légal n'a rien à examiner, surtout si l'appareil a déjà été compromis ou si d'autres copies et artefacts du système existent.

Protection des journalistes et des sources

Les journalistes travaillant dans des environnements hostiles, les militants opérant sous surveillance et toute personne dont les données pourraient mettre en danger elle-même ou d'autres. Le mode de contrainte transforme un moment de vulnérabilité en moment de protection.

Configurer ton coffre-fort de contrainte

La configuration du mode de contrainte prend environ deux minutes. Le faire bien — le rendre convaincant — demande un peu plus de réflexion.

Désigne le coffre-fort

Dans les paramètres de Vaultaire, tu désignes un coffre-fort comme coffre-fort de contrainte. Ce coffre-fort sera celui qui s'ouvre quand le schéma de contrainte est tracé, donc il doit contenir du contenu qui paraît réel et satisfait les attentes d'un observateur. Un coffre-fort vide est suspect. Un coffre-fort avec du contenu manifestement faux est suspect. Un coffre-fort avec une poignée de photos personnelles d'apparence normale est parfait.

Remplis-le de contenu crédible

Mets dans ton coffre-fort de contrainte du contenu que quelqu'un s'attendrait à trouver dans un coffre-fort privé : quelques photos personnelles, peut-être le scan d'un document, des fichiers qui semblent assez privés pour justifier d'être verrouillés mais assez anodins pour résister à un examen. L'objectif n'est pas de tromper une investigation forensique — c'est de satisfaire la personne debout en face de toi dans l'instant.

Choisis un schéma naturel

Le modèle de contrainte doit être quelque chose que vous pouvez dessiner sous stress, rapidement et sans hésitation. Si vous dessinez un autre modèle valide, vous pouvez ouvrir un autre coffre-fort ou un état vide à la place. Pratiquez le déclencheur dans une configuration de test sécurisée. Comme tout modèle Vaultaire, il doit relier au moins six points et effectuer au moins deux changements de direction.

Teste-le

Avant d'en avoir besoin, teste le mode de contrainte dans un environnement sûr. Crée quelques coffres-forts de test, désigne un coffre-fort de contrainte et déclenche-le. Vérifie que les autres coffres-forts ont disparu. Vérifie que le coffre-fort de contrainte s'est ouvert normalement. Puis configure-le pour de vrai.

Pas d'annulation possible

Cela doit être dit clairement : une fois le mode contrainte déclenché, il n'y a pas de bouton d'annulation pour l'effacement local. L'assistance Vaultaire ne peut pas reconstruire votre modèle ou votre phrase de récupération. Si vous avez activé le chiffrement iCloud effectué une sauvegarde préalable et conservé la phrase de récupération, vous pourrez ultérieurement restaurer un coffre-fort à la fois. Sans les deux, l'état d'accès local supprimé peut vous empêcher de récupérer le coffre-fort.

Les autres index et mappages de récupération locaux ont disparu de l’état actif de l’application. Le sel à l’échelle de l’appareil et le pool d’objets blob chiffrés partagés ne sont pas la cible d’effacement, et les sauvegardes cloud chiffrées sont préservées. Cette limite est délibérée : elle supprime l'accès du périphérique contraint tout en conservant un chemin de récupération contrôlé par phrase pour le propriétaire.

Le mode contrainte est conçu pour les personnes qui comprennent ce compromis et ont décidé, à l'avance, qu'elles préféreraient supprimer l'accès immédiat à l'appareil actuel plutôt que d'exposer le coffre-fort sous la contrainte. Si vous ne pouvez pas conserver en toute sécurité la phrase de récupération et une sauvegarde chiffrée, supposez que l'effacement local peut vous coûter l'accès à ce coffre-fort.

Le compromis est spécifique plutôt qu’absolu. La suppression locale commence sans confirmation, tandis que la récupération ultérieure n'est possible que via le cloud séparé et le chemin de la phrase de récupération. Testez la fonctionnalité avec des données non sensibles avant de décider si ce comportement correspond à votre modèle de menace.