Modalità coercizione: rimuovi l'accesso alle altre casseforti

In Vaultaire la modalità coercizione ti permette di designare una cassaforte come attivatore di coercizione. Disegnando la sua sequenza la cassaforte si apre normalmente, mentre dal dispositivo vengono rimossi gli indici e i dati di ripristino locali delle altre casseforti. I backup iCloud cifrati esistenti e le copie sugli altri dispositivi restano volutamente invariati.

Cos'è la modalità Coercizione?

Modalità Coercizione è l'ultima linea di difesa. È una funzionalità di cui speri di non aver mai bisogno, progettata per il momento in cui tutto il resto ha fallito, quando qualcuno ti sta addosso, chiedendo l'accesso ai tuoi file privati ​​e non hai altra scelta che obbedire.

Funziona così: designi una cassaforte come cassaforte esca. La riempi con contenuti credibili: qualche foto innocua, qualche documento banale. Poi le assegni una sequenza, come a qualsiasi altra cassaforte. Nell'interfaccia di sblocco normale compare e si apre come una cassaforte qualunque; le tracce nel file system e nel cloud restano fuori da questa affermazione, che riguarda solo ciò che si vede.

La differenza sta in cosa succede quando disegni quella sequenza. Una sequenza normale apre la propria cassaforte. Anche la sequenza di coercizione lo fa, e mostra sullo schermo il contenuto della cassaforte designata, ma avvia anche una cancellazione locale degli indici e dei dati di ripristino che rendono accessibili le altre casseforti su quel dispositivo.

Non compare alcuna finestra di conferma. Non suona alcun avviso. Chi ti osserva vede una cassaforte aperta e i suoi file. Ciò che l'interfaccia non annuncia è che gli altri indici locali sono stati eliminati, i dati di ripristino locali cancellati, il backup in sospeso interrotto, e che il dispositivo dovrà usare un ripristino esplicito tramite frase prima che una cassaforte rimossa possa tornare.

Come funziona internamente

Capire il meccanismo è importante perché la modalità coercizione ha un perimetro più ristretto di una promessa di cancellazione totale. Cambia lo stato del dispositivo corrente; non promette di cancellare CloudKit, un altro dispositivo, la cronologia del file system o prove già raccolte da un aggressore.

Passaggio 1: disegnare il modello di coercizione

Quando disegni la sequenza assegnata alla cassaforte esca, Vaultaire la riconosce come attivatore. L'app avvia due operazioni insieme: comincia a decifrare e mostrare il contenuto della cassaforte designata e avvia la pulizia locale degli indici e dei dati di ripristino di tutte le altre casseforti.

Passaggio 2: lo stato di accesso locale viene rimosso

Per la derivazione locale della sequenza Vaultaire usa un salt Keychain comune a tutto il dispositivo, non un salt distinto per ogni cassaforte. La modalità coercizione non distrugge il salt condiviso. Cancella invece il database di ripristino locale cifrato ed elimina ogni indice tranne quello della cassaforte designata. Poiché ogni indice contiene la chiave master casuale incapsulata e la mappa dei file della sua cassaforte, eliminarlo toglie quella cassaforte dallo stato locale utilizzabile dell'app.

Il pool di blob cifrati può restare perché le casseforti condividono quello spazio di archiviazione. Senza l'indice eliminato, Vaultaire non ha una mappa dei file né una chiave master con cui aprire in locale la cassaforte rimossa. L'app cancella anche i dati di ripristino locali, così la normale schermata di ripristino non può elencare né ripristinare subito quelle casseforti.

Passaggio 3: il ripristino nel cloud viene preservato ma isolato

Il backup iCloud cifrato esistente viene conservato di proposito come via di ripristino. Il dispositivo azzera il backup in sospeso ed entra in uno stato di isolamento, così la cancellazione locale non viene caricata come una normale eliminazione e le casseforti nascoste non vengono ripristinate in automatico. Il ripristino successivo è esplicito, una cassaforte alla volta, e richiede la frase di ripristino di quella cassaforte, non solo la sequenza rivelata sotto coercizione.

Passaggio 4: la cassaforte anti-coercizione si apre normalmente

Mentre la pulizia locale è in corso, la cassaforte designata si apre nell'interfaccia normale. Vaultaire sospende le statistiche prima di iniziare, prova a revocare le condivisioni attive create da quella cassaforte, ne rigenera la frase di ripristino e poi rimuove la designazione di coercizione. L'app non mostra conferme né messaggi di completamento, ma la durata dipende dal lavoro locale e dalle eventuali revoche via rete; Vaultaire non promette un tempo universale inferiore al secondo.

Cosa nasconde e cosa non nasconde l’interfaccia silenziosa

L'interfaccia è pensata per non rivelare la modalità coercizione a chi guarda da sopra la tua spalla. È una proprietà utile di ciò che si vede, non una prova che ogni analista forense veda uno stato identico del dispositivo. Artefatti del file system, record CloudKit, un altro dispositivo sincronizzato o un accesso precedente al telefono possono sfuggire a ciò che l'app riesce a nascondere.

Nessuna finestra di dialogo di conferma

La maggior parte delle azioni distruttive nel software sono accompagnate da un avviso: "Sei sicuro?" Modalità Coercizione non presenta tale avviso. Una finestra di dialogo di conferma sarebbe un indizio morto. Nel momento in cui disegni il modello, l'azione viene eseguita. Non puoi attivarlo accidentalmente a meno che non disegni accidentalmente uno schema specifico e complesso su una griglia 5×5, il che non è qualcosa che accade per caso.

Nessuna schermata di attesa separata

L'app apre la cassaforte designata mentre esegue la pulizia locale e la revoca delle condivisioni. Il flusso è pensato per non aggiungere una schermata di avviso separata, ma le prestazioni del dispositivo, lo stato delle casseforti e le condizioni di rete variano. Vaultaire non afferma che i tempi siano identici al punto che un osservatore con strumenti adeguati non possa mai distinguerli.

Nessun avviso di cancellazione in-app

Vaultaire disattiva le statistiche prima della cancellazione e non mostra l'avviso "casseforti eliminate". Su quel dispositivo, la cassaforte protetta è quella che resta accessibile nell'app. Questo non cancella le prove al di fuori dello stato locale dell'app e non va inteso come una promessa di non rilevabilità durante un'analisi forense.

Quale stato locale viene rimosso

Qui la precisione conta. La modalità coercizione rimuove le strutture locali necessarie per trovare e aprire le altre casseforti, mentre conserva lo storage condiviso dei blob cifrati e l'eventuale backup iCloud cifrato. È una cancellazione locale dello stato di accesso, non l'affermazione che ogni copia fisica sia stata sovrascritta.

Il database di ripristino cifrato

Il database di ripristino locale collega le frasi di ripristino e i vecchi campi della sequenza all'accesso alle casseforti. La modalità coercizione cancella il database, poi crea una nuova voce di ripristino solo per la cassaforte designata. Così rimuove i dati di ripristino locali delle altre casseforti, senza fingere che Vaultaire abbia usato o distrutto un salt distinto per ciascuna.

Gli indici delle altre casseforti

Ogni indice cifrato contiene i record dei file e la chiave master casuale incapsulata con la chiave derivata dalla sequenza di quella cassaforte. La modalità coercizione elimina tutti gli indici tranne quello della cassaforte designata. L'algoritmo PBKDF2 e il numero di iterazioni sono parametri pubblici dell'implementazione; la sicurezza non dipende dalla loro cancellazione.

I dati crittografati

Il pool condiviso di blob cifrati viene conservato perché contiene anche il contenuto della cassaforte designata. I dati che appartenevano solo agli indici eliminati possono diventare irraggiungibili dall'app, ma Vaultaire non afferma di sovrascrivere in modo sicuro ogni blocco della memoria flash. Gli indici eliminati o lo stato precedente possono persistere anche in livelli di archiviazione fuori dal controllo dell'app.

Quando usare la modalità Coercizione

La modalità coercizione è pensata per situazioni di coercizione fisica o di costrizione legale in cui hai deciso che rimuovere l'accesso alla cassaforte locale è preferibile a esporla. È una decisione personale con conseguenze serie, e Vaultaire ti dà lo strumento senza decidere al posto tuo.

Valichi di frontiera

I poteri di perquisizione alle frontiere e gli obblighi dei viaggiatori variano a seconda del paese e delle circostanze. Disegnare la sequenza di coercizione prima di consegnare il telefono lascia accessibile nell'interfaccia una sola cassaforte e rimuove il resto dello stato di accesso locale, ma non garantisce che un esaminatore non trovi artefatti del file system, backup cifrati, copie su altri dispositivi o prove precedenti.

Coercizione fisica

Se qualcuno ti costringe a sbloccare il telefono sotto minaccia, ti serve un modo per limitare ciò che rivela l'interfaccia normale. La modalità coercizione ti permette di disegnare una sequenza che sembra collaborazione. Chi ti costringe vede aprirsi la cassaforte designata, mentre l'interfaccia non annuncia la pulizia locale, in contemporanea, dello stato di accesso alle altre casseforti.

Sequestro del dispositivo

Se hai motivo di credere che il tuo dispositivo verrà sequestrato, la modalità coercizione può rimuovere dall'installazione corrente dell'app l'accesso alle altre casseforti prima della consegna. Non garantisce che un analista forense non trovi nulla da esaminare, soprattutto se il dispositivo era già compromesso o se esistono altre copie e artefatti di sistema.

Giornalista e Protezione della Fonte

Giornalisti che lavorano in ambienti ostili, attivisti che operano sotto sorveglianza e chiunque i cui dati potrebbero mettere in pericolo se stessi o gli altri. Modalità Coercizione trasforma un momento di vulnerabilità in un momento di protezione.

Configurazione della cassaforte anti-coercizione

La configurazione di Modalità Coercizione richiede circa due minuti. Farlo bene, renderlo convincente, richiede un po' più di riflessione.

Designare la cassaforte

Nelle impostazioni di Vaultaire, designi una cassaforte come cassaforte esca. Questa cassaforte sarà quello che si aprirà quando verrà disegnato il modello di coercizione, quindi dovrà contenere contenuti che sembrino reali e soddisfino le aspettative dell'osservatore. Una cassaforte vuota è sospetto. Una cassaforte con contenuti chiaramente falsi è sospetto. Una cassaforte con una manciata di foto personali dall'aspetto normale è perfetto.

Riempilo di contenuti credibili

Metti nella tua cassaforte esca contenuti che qualcuno si aspetterebbe di trovare in una cassaforte privata: alcune foto personali, magari la scansione di un documento, alcuni file che sembrano sufficientemente privati da giustificare il blocco ma sufficientemente innocui da sopravvivere a un esame accurato. L'obiettivo non è ingannare un'indagine forense, ma soddisfare la persona che hai di fronte in quel momento.

Scegli un motivo naturale

La sequenza di coercizione deve essere qualcosa che riesci a disegnare sotto stress, in fretta e senza esitare. Se disegni un'altra sequenza valida, puoi invece aprire un'altra cassaforte o uno stato vuoto. Prova l'attivatore in una configurazione di prova sicura. Come ogni sequenza di Vaultaire, deve collegare almeno sei punti e cambiare direzione almeno una volta.

Provalo

Prima di averne bisogno, prova Modalità Coercizione in un ambiente sicuro. Crea alcune casseforti di prova, designa una cassaforte esca e attivalo. Verifica che le altre casseforti non si aprano più su quel dispositivo. Verificare che la cassaforte esca si sia aperto normalmente. Quindi configuralo davvero.

Non è possibile annullare

Va detto chiaramente: una volta attivata la modalità coercizione, la cancellazione locale non ha alcun pulsante di annullamento. Il supporto di Vaultaire non può ricostruire la tua sequenza né la tua frase di ripristino. Se il backup iCloud cifrato (attivo per impostazione predefinita) era ancora attivo e hai conservato la frase di ripristino, in seguito puoi ripristinare una cassaforte alla volta. Senza entrambi, lo stato di accesso locale eliminato può impedire il ripristino della cassaforte protetta.

Gli altri indici e i dati di ripristino locali non fanno più parte dello stato attivo dell'app. La cancellazione non riguarda il salt del dispositivo né il pool condiviso di blob cifrati, e i backup cloud cifrati vengono conservati. Il limite è voluto: toglie l'accesso dal dispositivo sotto coercizione e lascia al proprietario un percorso di ripristino controllato dalla frase.

La modalità coercizione è pensata per chi comprende questo compromesso e ha deciso in anticipo che preferisce togliere l'accesso immediato dal dispositivo attuale piuttosto che esporre la cassaforte sotto coercizione. Se non puoi conservare in modo sicuro la frase di ripristino e un backup cifrato, considera che la cancellazione locale potrebbe costarti l'accesso a quella cassaforte.

Il compromesso è preciso, non assoluto. La cancellazione locale parte senza conferma, mentre il ripristino successivo è possibile solo tramite il percorso separato del cloud e della frase di ripristino. Prova la funzione con dati non sensibili prima di decidere se questo comportamento corrisponde al tuo modello di minaccia.