Crittografia a Pattern: come disegnare una forma protegge i tuoi file

Vaultaire serializza una forma disegnata su una griglia 5×5 e la elabora PBKDF2-HMAC-SHA512, 600.000 iterazioni e un sale a livello di dispositivo memorizzato nel file iOS Keychain. Il risultato a 256 bit è una chiave del vault: crittografa l'indice del vault e scarta la chiave master casuale separata che AES-256-GCM utilizza per il contenuto dei file e i metadati.

Cos'è Crittografia a Pattern?

La maggior parte delle app del vault si nascondono dietro un PIN o una password. Digiti quattro cifre e vengono visualizzate le tue foto. Sembra abbastanza sicuro, vero?

Ecco il problema: un PIN di quattro cifre ha esattamente 10.000 combinazioni possibili. Un computer può provarli tutti in meno di un secondo. Sei cifre? Un milione di combinazioni. Ancora banalmente veloce per l'hardware moderno. Anche una password di otto caratteri, se utilizza solo lettere minuscole, offre circa 200 miliardi di possibilità. Sembra molto finché non scopri che un laptop standard può testare miliardi di hash di password al secondo.

La crittografia dei pattern adotta un approccio fondamentalmente diverso. Invece di digitare i caratteri in una casella, disegna una forma geometrica su una griglia di punti. Il percorso specifico che tracci (quali punti tocchi, in quale ordine, con quale geometria) diventa l'input per una funzione di derivazione della chiave basata su password. Il risultato non viene semplicemente controllato dall'interfaccia: deve sbloccare un indice crittografato autenticato e la chiave master casuale al suo interno.

La distinzione conta. Quando inserisci un PIN in alcune app, l'app controlla solo se hai digitato il numero corretto. In tal caso, si aprirà, anche se i file potrebbero essere protetti principalmente dal controllo degli accessi. Vaultaire invece inserisce il disegno disegnato PBKDF2 per derivare una chiave dell'insieme di credenziali a 256 bit. Tale chiave deve autenticare e decrittografare l'indice del vault prima di poter aprire la chiave master casuale utilizzata sui file. Un modello non riconosciuto si presenta come una volta vuota, ma sottostante AES-GCM l'autenticazione distingue ancora una chiave corretta da una errata.

Come Funziona, passo dopo passo

Ecco cosa succede dal momento in cui il tuo dito tocca lo schermo al momento in cui i tuoi file diventano illeggibili per tutti gli altri.

Passaggio 1: disegna il tuo modello

Vaultaire presenta una griglia di punti 5×5. Disegni un percorso continuo che collega almeno 6 punti con almeno due cambi di direzione. L'app registra esattamente quali punti hai visitato e in quale ordine. Questa sequenza è il tuo modello.

A differenza delle griglie 3×3 comunemente utilizzate per le schermate di blocco Android, Vaultaire utilizza una griglia 5×5. Questa non è una scelta cosmetica. Venticinque posizioni consentono molti più percorsi, incroci, salti e cambi di direzione rispetto a nove posizioni. Lo spazio teorico più ampio aiuta, ma la sicurezza effettiva dipende ancora dall’imprevedibilità del percorso che si sceglie. Una lettera familiare o una forma semplice rimangono indovinabili anche quando la griglia può esprimere miliardi di alternative.

Passaggio 2: il modello deriva una chiave del vault

Il modello disegnato viene serializzato con la dimensione della griglia e inserito PBKDF2 (Funzione 2 di derivazione della chiave basata su password) con HMAC-SHA512, 600.000 iterazioni e un sale casuale a livello di dispositivo. Il sale è un valore non segreto memorizzato nel file iOS Keychain come elemento WhenUnlockedThisDeviceOnly. Rende la derivazione locale legata al dispositivo; non è unico per ogni volta e non aggiunge entropia a un modello scelto dall'uomo.

Il processo di derivazione della chiave è volutamente costoso. PBKDF2 ne gestisce 600.000 HMAC-SHA512 iterazioni per ciascun modello candidato, aumentando il costo di un attacco indovinativo. Ciò non trasforma un modello a bassa entropia in 256 bit di sicurezza e il tempo di attacco dipende dall’hardware dell’aggressore. Il suo scopo è più ristretto e misurabile: rendere ogni ipotesi sostanzialmente più costosa di un semplice hash.

Passaggio 3: i file vengono crittografati

Quando il vault viene creato per la prima volta, Vaultaire genera una chiave master casuale a 256 bit. La chiave dell'insieme di credenziali derivata dal modello crittografa l'indice e avvolge la chiave master; non crittografa direttamente ogni file. La chiave principale viene utilizzata con AES-256-GCM per intestazioni di file, contenuti, miniature e metadati correlati. I nuovi nonce assicurano che il testo in chiaro ripetuto non produca testo cifrato ripetuto sotto la stessa chiave.

La modalità GCM aggiunge un livello importante: l'autenticazione. Non si limita a codificare i tuoi dati, ma genera anche un tag che rileva eventuali manomissioni. Se viene modificato un singolo bit del file crittografato, la decrittografia fallirà. Nessuno può manomettere i tuoi file senza che tu lo sappia.

Passaggio 4: lo stato della chiave attiva viene cancellato

Quando Vaultaire si blocca, cancella lo stato del caveau attivo e della chiave principale e richiede un'altra cerimonia di sblocco prima di mostrare nuovamente i file. Mentre il vault è aperto, i byte della chiave simmetrica esistono necessariamente nel processo dell'app CryptoKit può eseguire AES-GCM operazioni. Vaultaire conserva inoltre le informazioni di recupero, inclusa la busta di recupero con modello e frase crittografata, all'interno di un file AES-GCM database crittografato archiviato nel file iOS Keychain. Ciò è sostanzialmente diverso dall’affermare che il modello e ogni copia della chiave non siano archiviati da nessuna parte.

La matematica dietro (in inglese semplice)

Non è necessaria una laurea in informatica per capire perché funziona. La sicurezza si riduce a tre numeri: quanti schemi sono possibili, quanto tempo impiega ogni tentativo e quante ipotesi può fare un utente malintenzionato.

Entropia: la misura dell'imprevedibilità

Entropia è una parola fantasiosa per “quanto è difficile da indovinare.” Il lancio di una moneta ha 1 bit di entropia (due risultati). Un PIN di quattro cifre ha circa 13 bit di entropia (10.000 risultati). Uno schema ben scelto su una griglia 5×5, che collega 8 o più punti, può superare i 30 bit di entropia, più di un miliardo di schemi possibili.

L’entropia del modello stabilisce il limite per un attacco indovinativo. PBKDF2 non può creare entropia che il gesto non contiene, ma può rendere ogni candidato molto più costoso da testare.

Derivazione chiave: fare ipotesi costose

PBKDF2 prende il modello serializzato ed esegue 600.000 round HMAC-SHA512. Le stime degli attacchi devono utilizzare un costo misurato sull'hardware che effettua le ipotesi: esattamente 1 ms per candidato completo, 1.000.000.000 di candidati impiegherebbero 1.000.000 di s, o circa 11,6 giorni, su 1 lavoratore. Un costo del candidato misurato più lentamente aumenta quel tempo; l'hardware parallelo lo riduce. La lunghezza di output di 256 bit non modifica la dimensione dello spazio di ricerca del modello.

Il sale a livello del dispositivo viene immagazzinato Keychain e non è progettato per essere segreto. Keychain e iOS La protezione dei dati può rendere più difficile l’estrazione in uno scenario di sequestro del dispositivo, ma l’analisi crittografica deve presupporre che un esaminatore che acquisisce i file crittografati possa anche acquisire il sale. Il sale impedisce il precalcolo tra i dispositivi; non è un sostituto di un modello forte.

AES-256: lo standard di cui si fidano i governi

AES-256 è lo standard di crittografia utilizzato dal governo degli Stati Uniti per le informazioni riservate. “256” si riferisce alla lunghezza della chiave in bit. Una chiave a 256 bit ne ha 2²⁵⁶ valori possibili, un numero così grande che se ogni atomo nell'universo osservabile fosse un computer, e ogni computer potesse testare trilioni di chiavi al secondo, non riuscirebbero comunque a decifrarlo prima della morte termica dell'universo.

La sicurezza di AES-256 non dipende dal mantenimento segreto dell'algoritmo. Ma l’intero sistema non è protetto solo dallo spazio chiave AES: il limite pratico per indovinare deriva dall’entropia del modello, PBKDF2 fattore di lavoro e la protezione attorno al sale del dispositivo e l'archiviazione crittografata. AES-256-GCM fornisce una crittografia autenticata avanzata una volta sbloccata la chiave principale casuale corretta.

Perché nessuno può sfondare

Consideriamo i modi principali in cui qualcuno potrebbe tentare di accedere ai tuoi file crittografati, cosa fa Vaultaire per aumentare i costi e dove rimangono i limiti.

Forza bruta: provare ogni modello

PBKDF2 fa pagare a ogni candidato al modello 600.000 HMAC-SHA512 iterazioni. Questa è una difesa significativa, ma non una promessa di un numero fisso di anni: il risultato dipende dalla scelta del modello, dalla velocità di derivazione misurata, dal parallelismo e dal fatto che l'esaminatore abbia recuperato il sale del dispositivo. I percorsi più lunghi e meno prevedibili contano perché PBKDF2 aumenta il costo delle ipotesi anziché creare nuova entropia.

Attacchi di sbavature: lettura dello schermo

Su una griglia 3×3, le macchie sullo schermo possono restringere significativamente i possibili motivi. Su una griglia 5×5, il motivo delle macchie rivela quali punti sono stati toccati ma non l'ordine, la direzione o le connessioni tra di essi. L’esplosione combinatoria rende questo approccio impraticabile.

Surf sulle spalle: guardarti mentre disegni

I modelli disegnati rapidamente sullo schermo di un piccolo telefono sono estremamente difficili da memorizzare mediante l'osservazione, soprattutto su una griglia 5×5. La ricerca mostra che gli osservatori hanno molto più difficoltà a replicare schemi complessi rispetto a sentire un PIN o una password pronunciati ad alta voce.

Sequestro del dispositivo: sequestro del telefono

Se qualcuno prende il tuo telefono, i contenuti e gli indici dei file di Vaultaire rimangono AES-GCM testo cifrato finché non saranno disponibili le chiavi richieste. L'app non memorizza un record di verifica password convenzionale, ma ciò non rimuove la verifica offline. Il nome file di ciascun indice del vault crittografato contiene un hash troncato della chiave del vault e AES-GCM anche la decrittazione autenticata ha esito positivo o negativo per una chiave candidata. La protezione del dispositivo e la forza del modello rimangono quindi parte del modello di minaccia.

Scelta di un modello forte

La crittografia è forte quanto il modello scelto. Ecco come massimizzare la tua sicurezza con il minimo sforzo.

Ciò che rende forte un modello

• Utilizza più punti.Collega almeno 8 dei 25 punti disponibili. Ogni punto aggiuntivo moltiplica il numero di modelli possibili.
• Incrocia la tua strada.I modelli che eseguono il loopback, saltano punti o cambiano direzione inaspettatamente sono molto più difficili da riprodurre dalla memoria o dall'osservazione.
• Evitare forme evidenti.Lettere (L, Z, S), forme geometriche semplici (quadrati, triangoli) e linee rette sono le prime cose che un utente malintenzionato proverebbe.
• Utilizza la griglia completa.I modelli che rimangono in un angolo o lungo un bordo sprecano l'entropia disponibile. Distribuisciti.

Cosa evitare

• Modelli di lunghezza minima. Vaultaire richiede almeno 6 punti e due cambi di direzione, ma raggiungere il minimo non rende imprevedibile il percorso. Usa una parte maggiore della griglia quando puoi ricordare il risultato in modo affidabile.
• Forme geometriche semplici.Una forma a L, uno zigzag o una linea diagonale diritta sono gli equivalenti del modello di “password123.”
• Partire ogni volta dalla stessa curva.La ricerca sui modelli di blocco Android mostra che la maggior parte delle persone inizia dal punto in alto a sinistra. Gli aggressori lo sanno.

Il punto debole

Uno schema che collega 8–12 punti con almeno due cambi di direzione offre un'eccellente sicurezza pur rimanendo facile da ricordare attraverso la memoria muscolare. Non è necessario memorizzarla come una password, la tua mano ricorda il movimento, nello stesso modo in cui ricorda come scrivere la tua firma.

Perché dovresti sentirti sicuro

La crittografia dei pattern in Vaultaire non è semplicemente un PIN pad più carino. Il gesto viene elaborato da una funzione di derivazione della chiave reale e deve sbloccare i dati crittografati autenticati. La sua forza dipende ancora dal gesto che scegli, quindi Vaultaire combina la griglia più grande con un effetto alto PBKDF2 fattore di lavoro invece di presentare la lunghezza di output di 256 bit come 256 bit di entropia segreta umana.

La sequenza e la chiave del vault locale non vengono inviate a Vaultaire. Se il backup opzionale è abilitato, una chiave di backup derivata da un modello separato esegue la crittografia CloudKit record e un manifest di ripristino crittografato consentono alla frase di ripristino di ripristinare l'insieme di credenziali e le chiavi di backup. Vaultaire non possiede una chiave del provider che decrittografi tali record, ma il dispositivo e le credenziali di ripristino rimangono parti critiche della sicurezza del progetto.

Si disegna una forma. Quella forma protegge i tuoi file. I calcoli fanno il resto.