強迫モード: サイレント ローカル Vault ワイプ

Vaultaire の強制モードでは、1 つの Vault を強制トリガーとして指定できます。そのボールトのパターンを描画すると、現在のデバイスから非強制ボールト インデックスとローカル リカバリ マッピングを削除しながら、ボールトが通常どおり開きます。既存の暗号化 iCloud バックアップとピアデバイスのコピーは意図的に変更されないまま残されます。

緊急モードとは何か

緊急モードは最後の防衛ラインだ。使わずに済むことを願う機能であり、すべてが失敗した瞬間——誰かがあなたの上に立ち、プライベートなファイルへのアクセスを要求し、従う以外に選択肢がない瞬間——のために設計されている。

その仕組みは次のとおりです。1 つの保管庫を強制保管庫として指定します。そこには、無害な写真やありふれた文書など、信憑性があるように見えるコンテンツを詰め込むことができます。次に、他のボールトと同様に、パターンを割り当てます。通常のロック解除インターフェイスでは、通常の金庫のように見え、開きます。ファイルシステムとクラウドの証拠は、その狭い表現上の主張の範囲外に残っています。

違いは、そのパターンを描いたときに何が起こるかです。通常のボールト パターンは、独自のボールトを開きます。強迫パターンもこれを行い、指定されたボールトの内容を画面に表示しますが、インデックスとリカバリ マッピングのローカル ワイプもトリガーして、そのデバイス上の他のボールトにアクセスできるようにします。

確認ダイアログは表示されません。警告音は鳴りません。あなたを見ている人は、Vault が開き、そのファイルが表示されるのを見ます。インターフェイスが通知しないのは、他のローカル ボールト インデックスが削除され、ローカル リカバリ マッピングがクリアされ、保留中のバックアップ作業が停止され、ワイプされたボールトが戻る前にデバイスが明示的なフレーズ ベースのリカバリを使用する必要があることです。

内部の仕組み

強迫モードの境界は普遍的な消去要求よりも狭いため、仕組みを理解することが重要です。現在のデバイスの状態を変更します。消去することを約束するものではありません CloudKit、別のデバイス、ファイルシステム履歴、または攻撃者によってすでに収集された証拠。

ステップ1：緊急パターンを描く

強迫ボールトに割り当てられたパターンを描画すると、Vaultaire はそれを強迫トリガーとして認識します。アプリは 2 つの操作を同時に開始します。指定されたボールトの内容の復号化と表示を開始し、他のすべてのボールトのインデックスとリカバリ マッピングのローカル クリーンアップを開始します。

ステップ 2: ローカル アクセス状態が削除される

Vaultaire はデバイス全体で 1 つのデバイスを使用します Keychain ボールトごとに個別のソルトではなく、ローカル パターン導出用のソルトです。 Duress Mode はその共有塩を破壊しません。代わりに、暗号化されたローカル回復データベースをクリアし、指定されたボールトのインデックスを除くすべてのボールト インデックスを削除します。各インデックスには、ラップされたランダム マスター キーとそのボールトのファイル マップが含まれているため、それを削除すると、非強制ボールトはアプリの使用可能なローカル状態から外れます。

暗号化された BLOB プールは、コンテナーがそのストレージを共有するため、残すことができます。インデックスが削除されていない場合、Vaultaire には、削除されたボールトをローカルで開くためのファイル マップやラップされたマスター キーがありません。また、アプリはローカルの回復マッピングもクリアするため、通常の回復画面ではそれらのコンテナーをすぐに列挙したり復元したりできなくなります。

ステップ 3: クラウド復旧は維持されるが分離される

既存の暗号化 iCloud バックアップは回復パスとして意図的に保存されます。デバイスは保留中のバックアップ作業をリセットし、分離境界に入るため、ローカル ワイプは通常の削除としてアップロードされず、非表示のコンテナーは自動的に取り戻されません。その後の回復は明示的に行われ、一度に 1 つのボールトごとに行われ、強制によって開示されたパターンのみではなく、そのボールトの回復フレーズが必要になります。

ステップ4：緊急ボールトが通常通り開く

ローカル クリーンアップの実行中、指定されたボールトが通常のインターフェイスを通じて開きます。 Vaultaire は開始前に分析を抑制し、その Vault から作成されたアクティブな株式の取り消しを試み、回復フレーズを再生成し、その後強迫指定を解除します。アプリには強制的な確認メッセージや完了メッセージは表示されませんが、完了時間はローカル作業とネットワークの取り消しによって異なります。 Vaultaire は、普遍的な 1 秒未満の期限を約束するものではありません。

なぜ誰にもわからないのか

即時インターフェイスは、肩越しに見ている人に強迫モードを知らせることを避けるように設計されています。これは有益なプレゼンテーション特性であり、すべての法医学観察者が同一のデバイス状態を確認していることを証明するものではありません。ファイルシステムのアーティファクト、 CloudKit 記録、同期された別のデバイス、または電話への以前のアクセスは、アプリが隠すことができる範囲外になる可能性があります。

確認ダイアログなし

ほとんどのソフトウェアの破壊的な操作には「本当によろしいですか？」という警告が伴う。緊急モードにはそのような警告はない。確認ダイアログは明らかな手がかりになる。パターンを描いた瞬間に操作が行われる。5×5グリッド上の特定の複雑なパターンを偶然描くのでなければ、誤ってトリガーすることはできない——それは偶然に起きることではない。

個別の遅延画面なし

アプリは、ローカルのクリーンアップと共有の取り消し作業を実行しながら、指定されたコンテナーを開きます。このフローは別個の警告画面を追加しないように設計されていますが、デバイスのパフォーマンス、ボールトの状態、ネットワークの状態は変化します。 Vaultaire は、計測器を持った観察者が決して区別できないようなタイミングの平等性を主張していません。

アプリ内ワイプ通知なし

Vaultaire はワイプの前に分析を無効にし、「保管庫が削除されました」通知を表示しません。そのデバイス上では、保存されたコンテナーがアプリを通じてアクセス可能なままになります。これは、アプリの現在のローカル状態以外の証拠を消去するものではなく、フォレンジック検査で検出されないという約束として扱うべきではありません。

削除されるローカル状態

ここでは精度が重要です。 Duress モードは、共有の暗号化された BLOB ストレージと暗号化されたデータを保持しながら、非強制コンテナーを見つけて開くために必要な特定のローカル構造を削除します。 iCloud バックアップ。これはローカルのアクセス状態のワイプであり、すべての物理コピーが上書きされたという主張ではありません。

暗号化された回復データベース

ローカル リカバリ データベースは、リカバリ フレーズとレガシー パターン フィールドをボールト アクセスにマッピングします。 Duress Mode はそのデータベースをクリアし、指定されたボールトに対してのみ新しいリカバリ エントリを作成します。これにより、Vaultaire が各ボールトに対して個別のソルトを使用または破壊したように見せかけることなく、他のボールトのローカル リカバリ マッピングが削除されます。

Non-Duress Vault インデックス

暗号化された各ボールト インデックスには、そのファイル レコードと、そのボールトのパターン派生キーでラップされたランダム マスター キーが含まれています。 Duress モードは、指定されたボールトを除くすべてのインデックスを削除します。の PBKDF2 アルゴリズムと反復回数は公開実装パラメータです。セキュリティはそれらを消去することに依存しません。

暗号化データ

共有の暗号化 BLOB プールには、指定されたコンテナーのコンテンツも含まれるため、保持されます。削除されたインデックスのみに属していたデータはアプリからアクセスできなくなる可能性がありますが、Vaultaire はすべてのフラッシュ ストレージ ブロックの安全な物理上書きを主張していません。削除されたインデックスまたは以前の状態は、アプリの制御を超えてストレージ層に残る場合もあります。

緊急モードを使う場面

Duress モードは、物理的強制または法的強制に直面し、ローカル Vault へのアクセスを公開するよりも削除する方が望ましいと判断した状況向けに設計されています。これは重大な影響を伴う個人的な決定であり、Vaultaire はユーザーに代わって決定を下すことなくツールを提供します。

国境越え

国境捜索権限と旅行者の義務は国や状況によって異なります。電話機を引き渡す前に強迫パターンを描くと、インターフェイス内で 1 つの保管庫にアクセスできる状態が残り、他のローカル アクセス状態は削除されますが、審査官がファイル システムのアーティファクト、暗号化されたバックアップ、ピア コピー、または事前の証拠を発見しないことを保証することはできません。

物理的強制

誰かが脅迫して携帯電話のロックを解除するよう強制した場合、通常のインターフェイスで明らかにされる内容を制限する方法が必要です。強迫モードでは、協力しているようなパターンを描くことができます。強制実行者は指定されたボールトが開いていることを確認しますが、インターフェイスは他のボールト アクセス状態の同時ローカル クリーンアップを通知しません。

デバイスの押収

デバイスが没収されると思われる理由がある場合、Duress Mode は引き継ぎの前に、現在のアプリのインストールから非強迫保管庫へのアクセスを削除できます。特にデバイスがすでに侵害されている場合、または他のコピーやシステム アーティファクトが存在する場合、フォレンジック アナリストが調査するものが何もないという保証はありません。

ジャーナリストと情報源の保護

敵対的な環境で働くジャーナリスト、監視下で活動する活動家、データが自分自身や他者を危険にさらす可能性のある人々。緊急モードは脆弱な瞬間を保護の瞬間に変える。

緊急ボールトの設定

緊急モードの設定には約2分かかる。うまく——説得力を持たせて——行うには、もう少し考える必要がある。

ボールトを指定する

Vaultaireの設定で、一つのボールトを緊急ボールトとして指定する。このボールトは緊急パターンが描かれたときに開くので、リアルに見え、観察者の期待を満たすコンテンツが必要だ。空のボールトは不審だ。明らかに偽のコンテンツのボールトも不審だ。普通に見える個人写真が数枚入ったボールトが完璧だ。

信憑性のあるコンテンツを入れる

プライベートなボールトに期待されるコンテンツを入れる：個人写真、ドキュメントのスキャン、ロックする理由があるほど個人的だが精査を耐えるほど無害なファイル。目標はフォレンジック調査を欺くことではなく——その瞬間目の前に立っている人物を満足させることだ。

自然なパターンを選ぶ

強迫のパターンは、ストレス下でもためらうことなく、素早く描けるものでなければなりません。別の有効なパターンを描画すると、代わりに別の保管庫または空の状態を開くことができます。安全なテスト設定でトリガーを練習してください。すべての Vaultaire パターンと同様に、少なくとも 6 つのドットを接続し、少なくとも 2 つの方向変更を行う必要があります。

テストする

必要になる前に、安全な環境で緊急モードをテストする。テストボールトをいくつか作り、緊急ボールトを指定してトリガーする。他のボールトが消えたことを確認する。緊急ボールトが正常に開いたことを確認する。それから本番用に設定する。

元に戻す方法はない

これは明確に言う必要があります。強迫モードがトリガーされると、ローカル ワイプには元に戻すボタンはありません。 Vaultaire サポートでは、パターンやリカバリ フレーズを再構築できません。暗号化を有効にした場合 iCloud 事前にバックアップを作成し、リカバリ フレーズを保持しておけば、後で一度に 1 つのボールトを復元できます。両方がないと、ローカル アクセス状態が削除されたため、ボールトを回復できなくなる可能性があります。

他のインデックスとローカル回復マッピングは、アクティブなアプリの状態から消えます。デバイス全体のソルトと共有暗号化 BLOB プールはワイプ ターゲットではなく、暗号化されたクラウド バックアップは保持されます。この境界は意図的に設けられており、所有者のためにフレーズ制御された回復パスを維持しながら、強制されたデバイスからのアクセスを削除します。

Duress モードは、このトレードオフを理解し、強制的にボールトを公開するよりも現在のデバイスからの即時アクセスを削除することを事前に決定しているユーザー向けに設計されています。リカバリ フレーズと暗号化されたバックアップを安全に保持できない場合は、ローカル ワイプによりそのコンテナーへのアクセスが犠牲になる可能性があると想定してください。

トレードオフは絶対的なものではなく、具体的なものです。ローカル削除は確認なしで開始されますが、その後の復元は別のクラウドと復元フレーズ パスを介してのみ可能です。その動作が脅威モデルに一致するかどうかを判断する前に、機密データ以外のデータを使用して機能をテストしてください。