脅迫モード：他の保管庫へのアクセスを削除

Vaultaireの脅迫モードでは、1つの保管庫を脅迫用のトリガーに指定できます。その保管庫のパターンを描くと、保管庫は通常どおり開き、同時にほかの保管庫のインデックスとローカルのリカバリー用対応情報が現在のデバイスから削除されます。既存の暗号化されたiCloudバックアップとほかのデバイス上のコピーは、意図的にそのまま残します。

脅迫モードとは何か

脅迫モードは最後の防衛ラインだ。使わずに済むことを願う機能であり、すべてが失敗した瞬間——誰かがあなたの上に立ち、プライベートなファイルへのアクセスを要求し、従う以外に選択肢がない瞬間——のために設計されている。

仕組みはこうです。1つの保管庫を脅迫用保管庫に指定します。中には、当たり障りのない写真やありふれた書類など、本物らしく見えるコンテンツを入れておけます。次に、ほかの保管庫と同じようにパターンを割り当てます。通常のロック解除画面では、普通の保管庫として見え、普通に開きます。ただし、ファイルシステムやクラウドに残る痕跡は、この限られた見せ方の範囲外です。

違いは、そのパターンを描いたときに起きることです。通常のパターンは、それぞれの保管庫を開くだけです。脅迫パターンも指定した保管庫を開いて中身を表示しますが、同時にインデックスとリカバリー用対応情報のローカル消去を始め、そのデバイス上のほかの保管庫にアクセスできなくします。

確認ダイアログは出ません。警告音も鳴りません。見ている人には、保管庫が開いてファイルが表示される様子しか見えません。画面に出ないのは、ほかのローカルの保管庫インデックスが削除され、ローカルのリカバリー用対応情報が消去され、保留中のバックアップ処理が止まり、削除した保管庫を戻すにはフレーズによる明示的な復元が必要になった、という事実です。

内部の仕組み

脅迫モードが消去する範囲は「すべてを消す」という主張より狭いため、仕組みを正しく理解しておくことが大切です。脅迫モードが変えるのは現在のデバイスの状態です。CloudKit、ほかのデバイス、ファイルシステムの履歴、攻撃者がすでに入手した証拠まで消去するとは約束しません。

ステップ1：脅迫パターンを描く

脅迫用保管庫に割り当てたパターンを描くと、Vaultaireはそれを脅迫のトリガーとして認識します。アプリは2つの処理を同時に始めます。指定した保管庫の復号と表示、そしてほかのすべての保管庫のインデックスとリカバリー用対応情報のローカル消去です。

ステップ2：ローカルのアクセス情報を削除

Vaultaireは、パターンから鍵を導出するためのソルトとして、保管庫ごとではなくデバイス全体で1つのソルトをKeychainに保存しています。脅迫モードはこの共有ソルトを破壊しません。代わりに、暗号化されたローカルのリカバリーデータベースを消去し、指定した保管庫以外のすべての保管庫インデックスを削除します。各インデックスにはラップされたランダムなマスターキーとその保管庫のファイル対応表が入っているため、これを削除すると、ほかの保管庫はアプリから使えるローカル状態ではなくなります。

暗号化データの共有プールは、保管庫どうしで同じストレージを使っているため、残る場合があります。インデックスが削除されると、Vaultaireには削除された保管庫をローカルで開くためのファイル対応表もラップされたマスターキーもなくなります。さらにローカルのリカバリー用対応情報も消去するため、通常の復元画面でそれらの保管庫をすぐに一覧表示したり復元したりすることもできません。

ステップ3：クラウドからの復元手段は残し、切り離す

既存の暗号化されたiCloudバックアップは、復元手段として意図的に残します。デバイスは保留中のバックアップ処理をリセットして切り離された状態になるため、ローカルの消去が通常の削除としてアップロードされることはなく、隠れた保管庫が自動的に戻ることもありません。後から復元する場合は保管庫ごとに明示的な操作が必要で、脅迫下で明かしたパターンだけではなく、その保管庫のリカバリーフレーズが必要です。

ステップ4：脅迫用保管庫が通常通り開く

ローカルの消去が進む間、指定した保管庫は通常の画面で開きます。Vaultaireは処理の前に、このセッションの分析を停止し、その保管庫から作成された有効な共有の取り消しを試み、リカバリーフレーズを再生成してから、脅迫用の指定を解除します。アプリは脅迫用の確認メッセージも完了メッセージも表示しませんが、処理にかかる時間はローカルの作業量とネットワーク経由の取り消しによって変わります。Vaultaireは、どの環境でも1秒未満で終わるとは約束しません。

無言の画面が隠すもの、隠さないもの

この画面は、肩越しに見ている人に脅迫モードが作動したことを気づかせないように設計されています。これは画面上の見え方に関する特性であり、フォレンジック調査を行う誰が見てもデバイスの状態が同じに見えることを証明するものではありません。ファイルシステムの痕跡、CloudKitのレコード、同期された別のデバイス、以前にスマートフォンへアクセスされた形跡は、アプリが隠せる範囲の外にある場合があります。

確認ダイアログなし

ほとんどのソフトウェアの破壊的な操作には「本当によろしいですか？」という警告が伴う。脅迫モードにはそのような警告はない。確認ダイアログは明らかな手がかりになる。パターンを描いた瞬間に操作が行われる。5×5グリッド上の特定の複雑なパターンを偶然描くのでなければ、誤ってトリガーすることはできない——それは偶然に起きることではない。

別の待機画面なし

アプリは、ローカルの消去と共有の取り消しを実行しながら、指定した保管庫を開きます。この流れは別の警告画面を追加しないように設計されていますが、デバイスの性能、保管庫の状態、ネットワークの状況によって動作は変わります。計測機器を持つ観察者でも区別できないほど処理時間が一定だとは、Vaultaireは主張しません。

アプリ内の消去通知なし

Vaultaireは消去の前に、このセッションの分析を無効にし、「保管庫が削除されました」という通知も表示しません。そのデバイスでは、残した保管庫がアプリから引き続き使えます。ただし、アプリの現在のローカル状態以外の証拠を消すものではなく、フォレンジック調査で見つからないという約束として受け取るべきではありません。

削除されるローカルの状態

ここでは正確さが重要です。脅迫モードは、ほかの保管庫を見つけて開くのに必要な特定のローカル構造を削除します。一方で、共有の暗号化データ用ストレージと暗号化されたiCloudバックアップは残します。これはローカルのアクセス情報の消去であり、すべての物理的なコピーが上書きされたという主張ではありません。

暗号化されたリカバリーデータベース

ローカルのリカバリーデータベースは、リカバリーフレーズと旧形式のパターン情報を保管庫へのアクセスに対応付けています。脅迫モードはこのデータベースを消去し、指定した保管庫のためだけに新しいリカバリー項目を作成します。これにより、保管庫ごとに別のソルトを使っている、あるいはそれを破壊したかのように装うことなく、ほかの保管庫のローカルなリカバリー用対応情報を削除します。

脅迫用以外の保管庫インデックス

暗号化された各保管庫インデックスには、ファイルの記録と、その保管庫のパターンから導出した鍵でラップされたランダムなマスターキーが入っています。脅迫モードは、指定した保管庫以外のすべてのインデックスを削除します。PBKDF2のアルゴリズムと反復回数は公開された実装パラメータであり、セキュリティはそれらを消すことに依存していません。

暗号化データ

暗号化データの共有プールには指定した保管庫のコンテンツも含まれるため、残します。削除されたインデックスだけが参照していたデータはアプリから使えなくなる場合がありますが、Vaultaireはフラッシュストレージのすべてのブロックを物理的に安全に上書きするとは主張しません。削除されたインデックスや以前の状態が、アプリの管理外のストレージ層に残る場合もあります。

脅迫モードを使う場面

脅迫モードは、物理的な強要や法的な強制に直面し、ローカルの保管庫へのアクセスを明かすより削除するほうがよいと判断した場面のために設計されています。これは重大な結果を伴う個人の判断であり、Vaultaireはその判断を代わりに下すことなく、手段だけを提供します。

国境越え

国境での検査の権限や旅行者の義務は、国や状況によって異なります。スマートフォンを渡す前に脅迫パターンを描けば、画面上では1つの保管庫だけが開ける状態になり、ほかのローカルのアクセス情報は削除されます。ただし、検査官がファイルシステムの痕跡、暗号化されたバックアップ、ほかのデバイス上のコピー、以前の証拠を見つけないとは保証できません。

物理的強制

誰かに脅されてスマートフォンのロック解除を強要されたとき、通常の画面に表示される内容を限定する手段が必要です。脅迫モードなら、協力しているように見せながらパターンを描けます。相手には指定した保管庫が開く様子が見えますが、ほかの保管庫のアクセス情報が同時にローカルで消去されていることは画面に表示されません。

デバイスの押収

デバイスが押収されると考える理由がある場合、脅迫モードを使えば、引き渡す前に現在のアプリから脅迫用以外の保管庫へのアクセスを削除できます。ただし、フォレンジック分析官が何も見つけられないという保証はありません。デバイスがすでに侵害されている場合や、ほかのコピーやシステム上の痕跡がある場合は特にそうです。

ジャーナリストと情報源の保護

敵対的な環境で働くジャーナリスト、監視下で活動する活動家、データが自分自身や他者を危険にさらす可能性のある人々。脅迫モードは脆弱な瞬間を保護の瞬間に変える。

脅迫用保管庫の設定

脅迫モードの設定には約2分かかる。うまく——説得力を持たせて——行うには、もう少し考える必要がある。

保管庫を指定する

Vaultaireの設定で、一つの保管庫を脅迫用保管庫として指定する。この保管庫は脅迫パターンが描かれたときに開くので、リアルに見え、観察者の期待を満たすコンテンツが必要だ。空の保管庫は不審だ。明らかに偽のコンテンツの保管庫も不審だ。普通に見える個人写真が数枚入った保管庫が完璧だ。

信憑性のあるコンテンツを入れる

プライベートな保管庫に期待されるコンテンツを入れる：個人写真、ドキュメントのスキャン、ロックする理由があるほど個人的だが精査を耐えるほど無害なファイル。目標はフォレンジック調査を欺くことではなく——その瞬間目の前に立っている人物を満足させることだ。

自然なパターンを選ぶ

脅迫パターンは、ストレス下でもためらうことなく、素早く描けるものでなければなりません。別の有効なパターンを描画すると、代わりに別の保管庫または空の状態を開くことができます。安全なテスト設定でトリガーを練習してください。すべての Vaultaire パターンと同様に、少なくとも 6 つのドットを接続し、少なくとも 1 回の方向変更を行う必要があります。

テストする

必要になる前に、安全な環境で脅迫モードをテストする。テスト保管庫をいくつか作り、脅迫用保管庫を指定してトリガーする。そのデバイスで他の保管庫が開かなくなったことを確認する。脅迫用保管庫が正常に開いたことを確認する。それから本番用に設定する。

元に戻す方法はない

ここは明確にしておく必要があります。脅迫モードが作動すると、ローカルの消去を元に戻すボタンはありません。Vaultaireのサポートは、パターンもリカバリーフレーズも復元できません。暗号化されたiCloudバックアップ（初期設定でオン）をオンのままにしてリカバリーフレーズを保管しておけば、後から保管庫を1つずつ復元できます。どちらもない場合、ローカルのアクセス情報が削除されているため、保管庫を復元できないおそれがあります。

ほかのインデックスとローカルのリカバリー用対応情報は、アプリの有効な状態から消えます。デバイス全体で使うソルトと暗号化データの共有プールは消去の対象ではなく、暗号化されたクラウドバックアップも残ります。この範囲は意図的なもので、強要されたデバイスからはアクセスを取り除きつつ、持ち主にはフレーズによる復元手段を残します。

脅迫モードは、このトレードオフを理解したうえで、強要されて保管庫を見せるよりも現在のデバイスからのアクセスをすぐに削除すると事前に決めている人のための機能です。リカバリーフレーズと暗号化バックアップを安全に保管できない場合は、ローカルの消去によってその保管庫へのアクセスを失う可能性があると考えてください。

このトレードオフは絶対的なものではなく、具体的なものです。ローカルの削除は確認なしで始まり、その後の復元はクラウドとリカバリーフレーズを使う別の手順でしか行えません。この動作が自分の脅威モデルに合うかどうか判断する前に、機密ではないデータで機能を試してください。