Crittografia a Pattern: come disegnare una forma protegge i tuoi file

Vaultaire serializza una forma disegnata su una griglia 5×5 e la elabora con PBKDF2-HMAC-SHA512, 600.000 iterazioni e un salt del dispositivo conservato nel Keychain di iOS. Il risultato a 256 bit è una chiave della cassaforte: cifra l'indice della cassaforte e sblocca la chiave master casuale separata che AES-256-GCM usa per il contenuto e i metadati dei file.

Cos'è Crittografia a Pattern?

La maggior parte delle app della cassaforte si nascondono dietro un PIN o una password. Digiti quattro cifre e vengono visualizzate le tue foto. Sembra abbastanza sicuro, vero?

Ecco il problema: un PIN di quattro cifre ha esattamente 10.000 combinazioni possibili. Un computer può provarli tutti in meno di un secondo. Sei cifre? Un milione di combinazioni. Ancora banalmente veloce per l'hardware moderno. Anche una password di otto caratteri, se utilizza solo lettere minuscole, offre circa 200 miliardi di possibilità. Sembra molto finché non scopri che un laptop standard può testare miliardi di hash di password al secondo.

La cifratura con sequenza segue un approccio del tutto diverso. Invece di digitare caratteri in una casella, disegni una forma geometrica su una griglia di punti. Il percorso che tracci (quali punti tocchi, in quale ordine, con quale geometria) diventa l'input di una funzione di derivazione della chiave basata su password. L'interfaccia non si limita a controllare il risultato: il risultato deve sbloccare un indice cifrato e autenticato e la chiave master casuale che contiene.

La differenza conta. In alcune app, quando inserisci un PIN, l'app controlla solo se hai digitato il numero giusto. Se è giusto si apre, anche se i file possono essere protetti soprattutto da un controllo di accesso. Vaultaire invece passa la sequenza disegnata a PBKDF2 per derivare una chiave della cassaforte a 256 bit. Quella chiave deve autenticare e decifrare l'indice della cassaforte prima di poter sbloccare la chiave master casuale usata sui file. Una sequenza non riconosciuta mostra una cassaforte vuota, ma sotto l'autenticazione AES-GCM distingue comunque una chiave corretta da una errata.

Come Funziona, passo dopo passo

Ecco cosa succede dal momento in cui il tuo dito tocca lo schermo al momento in cui i tuoi file diventano illeggibili per tutti gli altri.

Passaggio 1: disegna il tuo modello

Vaultaire mostra una griglia di punti 5×5. Disegni un percorso continuo che collega almeno 6 punti con almeno un cambio di direzione. L'app registra esattamente quali punti hai toccato e in quale ordine. Quel percorso è la tua sequenza.

A differenza delle griglie 3×3 comuni nelle schermate di blocco Android, Vaultaire usa una griglia 5×5. Non è una scelta estetica. Venticinque posizioni permettono molti più percorsi, incroci, salti e cambi di direzione di nove posizioni. Uno spazio teorico più ampio aiuta, ma la sicurezza reale dipende comunque da quanto è imprevedibile il percorso che scegli. Una lettera nota o una forma semplice restano facili da indovinare anche quando la griglia ammette miliardi di alternative.

Passaggio 2: la sequenza deriva una chiave della cassaforte

La sequenza disegnata viene serializzata insieme alla dimensione della griglia e passata a PBKDF2 (Password-Based Key Derivation Function 2) con HMAC-SHA512, 600.000 iterazioni e un salt casuale del dispositivo. Il salt è un valore non segreto conservato nel Keychain di iOS come elemento WhenUnlockedThisDeviceOnly. Lega la derivazione locale al dispositivo; non è diverso per ogni cassaforte e non aggiunge entropia a una sequenza scelta da una persona.

La derivazione della chiave è volutamente costosa. PBKDF2 esegue 600.000 iterazioni HMAC-SHA512 per ogni sequenza candidata, aumentando il costo di un attacco per tentativi. Questo non trasforma una sequenza a bassa entropia in 256 bit di sicurezza, e il tempo dell'attacco dipende dall'hardware dell'aggressore. Lo scopo è più ristretto e misurabile: rendere ogni tentativo molto più costoso di un semplice hash.

Passaggio 3: i file vengono crittografati

Quando la cassaforte viene creata, Vaultaire genera una chiave master casuale a 256 bit. La chiave della cassaforte derivata dalla sequenza cifra l'indice e incapsula la chiave master; non cifra direttamente ogni file. La chiave master si usa con AES-256-GCM per intestazioni, contenuti, miniature e metadati dei file. Nonce sempre nuovi fanno sì che lo stesso testo in chiaro non produca lo stesso testo cifrato con la stessa chiave.

La modalità GCM aggiunge un livello importante: l'autenticazione. Non si limita a codificare i tuoi dati, ma genera anche un tag che rileva eventuali manomissioni. Se viene modificato un singolo bit del file crittografato, la decrittografia fallirà. Nessuno può manomettere i tuoi file senza che tu lo sappia.

Passaggio 4: lo stato delle chiavi attive viene scartato

Quando Vaultaire si blocca, scarta la cassaforte attiva e lo stato della chiave master, e chiede un nuovo sblocco prima di mostrare di nuovo i file. Mentre la cassaforte è aperta, i byte delle chiavi simmetriche devono per forza stare nel processo dell'app perché CryptoKit possa eseguire le operazioni AES-GCM. Vaultaire conserva anche le informazioni di ripristino, compresa la busta di ripristino cifrata con sequenza e frase, in un database cifrato con AES-GCM e salvato nel Keychain di iOS. È ben diverso dall'affermare che la sequenza e ogni copia della chiave non siano salvate da nessuna parte.

La matematica dietro (in inglese semplice)

Non è necessaria una laurea in informatica per capire perché funziona. La sicurezza si riduce a tre numeri: quanti schemi sono possibili, quanto tempo impiega ogni tentativo e quante ipotesi può fare un utente malintenzionato.

Entropia: la misura dell'imprevedibilità

Entropia è una parola fantasiosa per “quanto è difficile da indovinare.” Il lancio di una moneta ha 1 bit di entropia (due risultati). Un PIN di quattro cifre ha circa 13 bit di entropia (10.000 risultati). Uno schema ben scelto su una griglia 5×5, che collega 8 o più punti, può superare i 30 bit di entropia, più di un miliardo di schemi possibili.

L'entropia della sequenza fissa il limite per un attacco per tentativi. PBKDF2 non può creare l'entropia che il gesto non contiene, ma può rendere ogni tentativo molto più costoso da verificare.

Derivazione chiave: fare ipotesi costose

PBKDF2 prende la sequenza serializzata ed esegue 600.000 iterazioni HMAC-SHA512. Le stime di attacco devono usare un costo misurato sull'hardware che esegue i tentativi: con esattamente 1 ms per candidato, 1.000.000.000 di candidati richiederebbero 1.000.000 di secondi, circa 11,6 giorni, su 1 unità di calcolo. Un costo misurato più alto allunga quel tempo; l'hardware parallelo lo accorcia. La lunghezza di output di 256 bit non cambia la dimensione dello spazio di ricerca delle sequenze.

Il salt del dispositivo è conservato nel Keychain e non è pensato per essere segreto. Il Keychain e la protezione dei dati di iOS possono rendere più difficile l'estrazione in caso di sequestro del dispositivo, ma l'analisi crittografica deve presumere che chi acquisisce i file cifrati possa acquisire anche il salt. Il salt impedisce il precalcolo tra dispositivi diversi; non sostituisce una sequenza forte.

AES-256: uno standard pubblico e ben studiato

AES-256 è un cifrario forte e standard, pubblicato dal NIST come FIPS 197. “256” indica la lunghezza della chiave in bit. Una chiave a 256 bit ha 2²⁵⁶ valori possibili, troppi per un attacco a forza bruta. Un aggressore attacca invece la sequenza, ed è per questo che Vaultaire la rafforza con 600.000 iterazioni PBKDF2.

La sicurezza di AES-256 non dipende dal tenere segreto l'algoritmo. Ma l'intero sistema non è protetto solo dallo spazio delle chiavi AES: il limite pratico per chi prova a indovinare dipende dall'entropia della sequenza, dal fattore di lavoro di PBKDF2 e dalla protezione del salt del dispositivo e dello storage cifrato. AES-256-GCM offre una cifratura autenticata forte una volta sbloccata la chiave master casuale corretta.

Perché nessuno può sfondare

Vediamo i modi principali in cui qualcuno potrebbe tentare di accedere ai tuoi file cifrati, cosa fa Vaultaire per aumentarne il costo e dove restano i limiti.

Forza bruta: provare ogni modello

PBKDF2 fa costare 600.000 iterazioni HMAC-SHA512 a ogni sequenza candidata. È una difesa importante, ma non la promessa di un numero fisso di anni: il risultato dipende dalla sequenza scelta, dalla velocità di derivazione misurata, dal parallelismo e dal fatto che l'esaminatore abbia recuperato o meno il salt del dispositivo. I percorsi più lunghi e meno prevedibili contano perché PBKDF2 aumenta il costo dei tentativi, non crea nuova entropia.

Attacchi di sbavature: lettura dello schermo

Su una griglia 3×3, le macchie sullo schermo possono restringere significativamente i possibili motivi. Su una griglia 5×5, il motivo delle macchie rivela quali punti sono stati toccati ma non l'ordine, la direzione o le connessioni tra di essi. L’esplosione combinatoria rende questo approccio impraticabile.

Surf sulle spalle: guardarti mentre disegni

I modelli disegnati rapidamente sullo schermo di un piccolo telefono sono estremamente difficili da memorizzare mediante l'osservazione, soprattutto su una griglia 5×5. La ricerca mostra che gli osservatori hanno molto più difficoltà a replicare schemi complessi rispetto a sentire un PIN o una password pronunciati ad alta voce.

Sequestro del dispositivo: sequestro del telefono

Se qualcuno prende il tuo telefono, i contenuti e gli indici dei file di Vaultaire restano testo cifrato AES-GCM finché non sono disponibili le chiavi necessarie. L'app non salva un classico record di verifica della password, ma questo non elimina la verifica offline. Il nome del file di ogni indice cifrato contiene un hash troncato della chiave della cassaforte, e anche la decifratura autenticata AES-GCM riesce o fallisce per una chiave candidata. La protezione del dispositivo e la forza della sequenza restano quindi parte del modello di minaccia.

Scelta di un modello forte

La crittografia è forte quanto il modello scelto. Ecco come massimizzare la tua sicurezza con il minimo sforzo.

Ciò che rende forte un modello

• Utilizza più punti.Collega almeno 8 dei 25 punti disponibili. Ogni punto aggiuntivo moltiplica il numero di modelli possibili.
• Incrocia la tua strada.I modelli che eseguono il loopback, saltano punti o cambiano direzione inaspettatamente sono molto più difficili da riprodurre dalla memoria o dall'osservazione.
• Evitare forme evidenti.Lettere (L, Z, S), forme geometriche semplici (quadrati, triangoli) e linee rette sono le prime cose che un utente malintenzionato proverebbe.
• Utilizza la griglia completa.I modelli che rimangono in un angolo o lungo un bordo sprecano l'entropia disponibile. Distribuisciti.

Cosa evitare

• Sequenze di lunghezza minima. Vaultaire richiede almeno 6 punti e un cambio di direzione, ma rispettare il minimo non rende il percorso imprevedibile. Usa una parte più ampia della griglia, purché tu riesca a ricordare il risultato con sicurezza.
• Forme geometriche semplici.Una forma a L, uno zigzag o una linea diagonale diritta sono gli equivalenti del modello di “password123.”
• Partire ogni volta dalla stessa curva.La ricerca sui modelli di blocco Android mostra che la maggior parte delle persone inizia dal punto in alto a sinistra. Gli aggressori lo sanno.

Il punto debole

Uno schema che collega 8–12 punti con almeno due cambi di direzione offre un'eccellente sicurezza pur rimanendo facile da ricordare attraverso la memoria muscolare. Non è necessario memorizzarla come una password, la tua mano ricorda il movimento, nello stesso modo in cui ricorda come scrivere la tua firma.

Perché dovresti sentirti sicuro

In Vaultaire la cifratura con sequenza non è solo un tastierino PIN più carino. Il gesto viene elaborato da una vera funzione di derivazione della chiave e deve sbloccare dati cifrati e autenticati. La sua forza dipende comunque dal gesto che scegli, quindi Vaultaire unisce la griglia più grande a un fattore di lavoro PBKDF2 elevato, invece di presentare l'output a 256 bit come 256 bit di entropia umana segreta.

La sequenza e la chiave della cassaforte locale non vengono inviate a Vaultaire. Con il backup attivo, come da impostazione predefinita, una chiave di backup separata derivata dalla sequenza cifra i record CloudKit, e un manifest di ripristino cifrato permette alla frase di ripristino di recuperare la chiave della cassaforte e la chiave di backup. Vaultaire non ha una chiave del fornitore che decifri quei record, ma il dispositivo e le credenziali di ripristino restano parti critiche della sicurezza del progetto.

Si disegna una forma. Quella forma protegge i tuoi file. I calcoli fanno il resto.