Dwangmodus: toegang tot andere kluizen verwijderen

Met de dwangmodus in Vaultaire kunt u één kluis aanwijzen als dwangtrigger. Wie het patroon van die kluis tekent, opent haar normaal, terwijl de andere kluisindexen en lokale herstelkoppelingen van het huidige apparaat worden verwijderd. Bestaande versleutelde iCloud-back-ups en kopieën op apparaten van andere deelnemers blijven bewust ongewijzigd.

Wat is Dwangmodus?

Dwangmodus is de laatste verdedigingslinie. Het is een functie die u hoopt nooit nodig te hebben, bedoeld voor het moment waarop al het andere heeft gefaald: iemand staat over u heen, eist toegang tot uw privébestanden en u hebt geen andere keuze dan te gehoorzamen.

Zo werkt het: u wijst één kluis aan als uw lokkluis. U vult haar met inhoud die er geloofwaardig uitziet: een paar onschuldige foto's, een paar alledaagse documenten. Vervolgens geeft u haar een patroon, net als elke andere kluis. In het gewone ontgrendelscherm ziet ze eruit als een normale kluis en gaat ze ook zo open; sporen in het bestandssysteem en de cloud vallen buiten deze beperkte belofte.

Het verschil zit in wat er gebeurt als u dat patroon tekent. Een normaal kluispatroon opent zijn eigen kluis. Het dwangpatroon doet dat ook en toont de inhoud van de aangewezen kluis, maar het start tegelijk de lokale verwijdering van de indexen en herstelkoppelingen die de andere kluizen op dat apparaat toegankelijk maken.

Er verschijnt geen bevestigingsvenster. Er wordt geen waarschuwingsgeluid afgespeeld. Wie naar u kijkt, ziet een kluis opengaan en de bestanden erin verschijnen. Wat de interface niet meldt: de andere lokale kluisindexen zijn verwijderd, de lokale herstelkoppelingen gewist, lopende back-ups gestopt, en het apparaat heeft nu een bewust herstel met de herstelzin nodig voordat een verwijderde kluis kan terugkomen.

Hoe het onder de motorkap werkt

Het is belangrijk te begrijpen hoe dit werkt, omdat de dwangmodus minder belooft dan een volledige wisfunctie. Hij verandert de toestand op het huidige apparaat; hij belooft niet CloudKit, een ander apparaat, de geschiedenis van het bestandssysteem of bewijs dat een aanvaller al heeft verzameld te wissen.

Stap 1: U tekent het dwangpatroon

Wanneer u het patroon tekent dat aan uw lokkluis is toegewezen, herkent Vaultaire dit als een dwangtrigger. De app begint tegelijkertijd met twee bewerkingen: hij ontsleutelt en toont de inhoud van de aangewezen kluis, en hij start het lokaal opruimen van de indexen en herstelkoppelingen van elke andere kluis.

Stap 2: Lokale toegang wordt verwijderd

Vaultaire gebruikt één salt per apparaat in de sleutelhanger (Keychain) voor de lokale afleiding van patronen, geen aparte salt per kluis. De dwangmodus vernietigt die gedeelde salt niet. In plaats daarvan wordt de versleutelde lokale hersteldatabase gewist en wordt elke kluisindex verwijderd, behalve die van de aangewezen kluis. Elke index bevat de omhulde willekeurige hoofdsleutel en het bestandsoverzicht van die kluis, dus door de index te verwijderen is die kluis lokaal niet meer bruikbaar in de app.

Versleutelde bestandsgegevens kunnen op de schijf blijven staan. Zonder de verwijderde index heeft Vaultaire geen bestandsoverzicht of omhulde hoofdsleutel om die kluis lokaal te openen. De app wist ook de lokale herstelkoppelingen, zodat het gewone herstelscherm deze kluizen niet meteen kan tonen of herstellen.

Stap 3: Cloudherstel blijft bestaan, maar afgeschermd

Een bestaande versleutelde iCloud-back-up blijft bewust bewaard als weg naar herstel. Wachtende back-uptaken worden gestopt en het apparaat wordt afgeschermd, zodat het lokale wissen niet als gewone verwijdering wordt geüpload en verborgen kluizen niet automatisch terugkomen. Later herstel gebeurt bewust, kluis voor kluis, en vereist de herstelzin van die kluis, niet alleen het patroon dat onder dwang is prijsgegeven.

Stap 4: De lokkluis wordt normaal geopend

Terwijl de lokale opruiming wordt uitgevoerd, wordt de aangewezen kluis geopend via de normale interface. Vaultaire schakelt eerst analyses uit voor de huidige sessie, probeert actieve deelacties vanuit die kluis in te trekken, maakt een nieuwe herstelzin aan en verwijdert daarna de dwangmarkering. De app toont geen dwangbevestiging of melding dat het klaar is, maar hoe lang het duurt hangt af van het lokale werk en eventuele intrekkingen via het netwerk; Vaultaire belooft geen universele deadline van minder dan een seconde.

Wat de stille interface wel en niet verbergt

De directe interface is ontworpen om te voorkomen dat de dwangmodus wordt aangekondigd aan iemand die over uw schouder meekijkt. Dat is nuttig voor wat er op het scherm te zien is, maar geen bewijs dat elke forensische onderzoeker hetzelfde apparaat aantreft. Sporen in het bestandssysteem, CloudKit-gegevens, een ander gesynchroniseerd apparaat of eerdere toegang tot de telefoon kunnen buiten het bereik van de app vallen.

Geen bevestigingsvenster

De meeste destructieve acties in software gaan gepaard met een waarschuwing: "Weet je het zeker?" Dwangmodus kent een dergelijke waarschuwing niet. Een bevestigingsvenster zou u meteen verraden. Op het moment dat u het patroon tekent, wordt de actie uitgevoerd. U activeert het niet per ongeluk, tenzij u per ongeluk een specifiek, complex patroon op een 5×5-raster tekent, en dat gebeurt niet zomaar.

Geen apart vertragingsscherm

De app opent de aangewezen kluis terwijl hij lokaal opruimt en deelacties intrekt. Het verloop is zo ontworpen dat er geen apart waarschuwingsscherm verschijnt, maar de snelheid van het apparaat, de toestand van de kluis en het netwerk verschillen. Vaultaire beweert niet dat een waarnemer met meetapparatuur nooit een verschil in timing zou kunnen zien.

Geen wismelding in de app

Vaultaire schakelt analyses vóór het wissen uit voor de huidige sessie en toont geen melding 'kluizen verwijderd'. Staat de instelling aan, dan gaan analyses bij de volgende start weer aan. De dwanginstelling is een item in de sleutelhanger, dus een onderzoeker met toegang tot de sleutelhanger kan zien dat er een lokkluis is ingesteld. Op dat apparaat blijft de bewaarde kluis toegankelijk via de app. Bewijs buiten de huidige lokale toestand van de app wordt hiermee niet gewist, en het is geen belofte dat forensisch onderzoek niets kan vinden.

Wat er lokaal wordt verwijderd

Precisie is hier belangrijk. De dwangmodus verwijdert specifieke lokale structuren die nodig zijn om de andere kluizen te vinden en te openen, maar laat de versleutelde bestandsgegevens en een eventuele versleutelde iCloud-back-up staan. Het gaat om het wissen van lokale toegang, niet om de bewering dat elke fysieke kopie is overschreven.

De versleutelde hersteldatabase

De lokale hersteldatabase koppelt herstelzinnen en oudere patroonvelden aan kluistoegang. De dwangmodus wist die database en maakt daarna alleen een nieuw herstelitem voor de aangewezen kluis. Zo verdwijnen de lokale herstelkoppelingen van de andere kluizen, zonder te doen alsof Vaultaire voor elke kluis een aparte salt gebruikte of vernietigde.

De indexen van de andere kluizen

Elke versleutelde kluisindex bevat de bestandsrecords en de willekeurige hoofdsleutel, omhuld door de van het patroon afgeleide sleutel van die kluis. De dwangmodus verwijdert elke index behalve die van de aangewezen kluis. Het PBKDF2-algoritme en het aantal iteraties zijn openbare parameters; de veiligheid hangt niet af van het wissen ervan.

De versleutelde gegevens

Versleutelde bestandsgegevens blijven op de schijf staan. Gegevens die alleen bij verwijderde indexen hoorden, worden via de app onbereikbaar, maar Vaultaire beweert niet dat elk flashgeheugenblok veilig fysiek wordt overschreven. Verwijderde indexen of een eerdere toestand kunnen ook blijven bestaan in opslaglagen waar de app geen controle over heeft.

Wanneer moet u Dwangmodus gebruiken?

De dwangmodus is ontworpen voor situaties waarin u te maken krijgt met fysieke dwang of juridische dwang en u hebt besloten dat het verwijderen van de toegang tot de lokale kluis de voorkeur verdient boven het blootleggen ervan. Dit is een persoonlijke beslissing met ernstige gevolgen, en Vaultaire biedt u de tool zonder de beslissing voor u te nemen.

Grensovergangen

De bevoegdheden om aan de grens te doorzoeken en de plichten van reizigers verschillen per land en situatie. Tekent u het dwangpatroon voordat u uw telefoon afgeeft, dan blijft één kluis toegankelijk in de interface en wordt de lokale toegang tot de andere verwijderd, maar dat garandeert niet dat een onderzoeker geen sporen in het bestandssysteem, versleutelde back-ups, kopieën bij andere deelnemers of eerder bewijs vindt.

Fysieke dwang

Als iemand u onder bedreiging dwingt uw telefoon te ontgrendelen, hebt u een manier nodig om te beperken wat de gewone interface onthult. Met de dwangmodus tekent u een patroon dat op meewerken lijkt. Wie u dwingt, ziet de aangewezen kluis opengaan, terwijl de interface niet meldt dat de lokale toegang tot de andere kluizen tegelijk wordt opgeruimd.

Apparaatbeslag

Als u reden heeft om aan te nemen dat uw apparaat in beslag wordt genomen, kan de dwangmodus de toegang tot de andere kluizen uit de huidige app-installatie verwijderen voordat u het apparaat afgeeft. Het kan niet garanderen dat een forensisch analist niets te onderzoeken heeft, vooral als het apparaat al is gecompromitteerd of als er andere kopieën en systeemartefacten bestaan.

Journalist en bronbescherming

Denk aan journalisten in vijandige omgevingen, activisten onder toezicht en iedereen wiens gegevens hemzelf of anderen in gevaar kunnen brengen. Dwangmodus verandert een moment van kwetsbaarheid in een moment van bescherming.

Uw lokkluis instellen

Dwangmodus instellen duurt ongeveer twee minuten. Het goed en overtuigend doen vraagt wat meer nadenken.

Wijs de kluis aan

In de instellingen van Vaultaire wijst u één kluis aan als de lokkluis. Deze kluis zal degene zijn die wordt geopend wanneer het dwangpatroon wordt getekend, dus deze moet inhoud bevatten die er echt uitziet en voldoet aan de verwachtingen van een waarnemer. Een lege kluis is verdacht. Een kluis met duidelijk nep-inhoud is verdacht. Een kluis met een handvol normaal uitziende persoonlijke foto's is perfect.

Vul haar met geloofwaardige inhoud

Plaats inhoud in uw lokkluis die iemand zou verwachten in een privékluis aan te treffen: een paar persoonlijke foto's, misschien een scan van een document, enkele bestanden die er privé genoeg uitzien om vergrendeling te rechtvaardigen, maar onschadelijk genoeg om nauwkeurig onderzoek te overleven. Het doel is niet om een forensisch onderzoek voor de gek te houden, maar om de persoon die op dat moment voor u staat tevreden te stellen.

Kies een natuurlijk patroon

U moet het dwangpatroon onder stress snel en zonder aarzelen kunnen tekenen. Als u een ander geldig patroon tekent, kunt u in plaats daarvan een andere kluis of een lege status openen. Oefen de trigger in een veilige testopstelling. Zoals elk Vaultaire-patroon moet het minimaal zes punten verbinden en minimaal één richtingsverandering maken.

Test het

Test Dwangmodus in een veilige omgeving voordat u het ooit nodig heeft. Maak een aantal testkluizen, wijs een lokkluis aan en activeer deze. Controleer of de andere kluizen niet meer opengaan op dat apparaat. Controleer of de lokkluis normaal is geopend. Stel het dan echt in.

Ongedaan maken kan niet

Dit moet duidelijk worden gezegd: zodra de dwangmodus wordt geactiveerd, is er geen knop voor ongedaan maken voor het lokale wissen. Vaultaire-ondersteuning kan uw patroon of herstelzin niet reconstrueren. Als de versleutelde iCloud-back-up (standaard aan) vooraf nog aan stond en u de herstelzin hebt bewaard, kunt u later kluis voor kluis herstellen. Zonder die twee kunt u de kluis na het verwijderen van de lokale toegang mogelijk niet meer herstellen.

De andere indexen en lokale herstelkoppelingen zijn uit de actieve app verdwenen. De salt van het apparaat en de versleutelde bestandsgegevens worden niet gewist, en versleutelde cloudback-ups blijven bestaan. Die grens is bewust gekozen: de toegang verdwijnt van het apparaat onder dwang, terwijl de eigenaar via de herstelzin nog kan herstellen.

De dwangmodus is ontworpen voor mensen die deze afweging begrijpen en van tevoren hebben besloten dat ze liever onmiddellijke toegang van het huidige apparaat willen verwijderen dan de kluis onder dwang bloot te leggen. Als u de herstelzin en een versleutelde back-up niet veilig kunt bewaren, neem dan aan dat het lokaal wissen u toegang tot die kluis kan kosten.

De afweging is specifiek, niet absoluut. Het lokale wissen begint zonder bevestiging, en later herstel kan alleen via de aparte route met de cloud en de herstelzin. Test de functie met niet-gevoelige gegevens voordat u beslist of dat gedrag overeenkomt met uw bedreigingsmodel.