Dwangmodus: Stil lokaal wissen van de kluis

Met de dwangmodus in Vaultaire kunt u één kluis aanwijzen als dwangtrigger. Door het patroon van die kluis te tekenen, wordt deze normaal geopend, terwijl de kluisindexen en lokale hersteltoewijzingen van het huidige apparaat worden verwijderd. Bestaande gecodeerd iCloud back-ups en kopieën van peer-apparaten worden opzettelijk ongewijzigd gelaten.

Wat is Dwangmodus?

Dwangmodus is de laatste verdedigingslinie. Het is een functie die je hoopt nooit nodig te hebben, ontworpen voor het moment waarop al het andere heeft gefaald wanneer iemand over je heen staat en toegang tot je privébestanden eist, en je geen andere keuze hebt dan hieraan te voldoen.

Zo werkt het: u wijst één kluis aan als uw dwangkluis. Je vult het met inhoud die er geloofwaardig uitziet: een paar onschuldige foto's, een paar alledaagse documenten. Vervolgens wijst u er een patroon aan toe, net als elke andere kluis. In de gewone ontgrendelingsinterface ziet en opent deze als een normale kluis; bestandssysteem- en cloudbewijs blijven buiten deze enge presentatieclaim.

Het verschil is wat er gebeurt als je dat patroon tekent. Een normaal kluispatroon opent zijn eigen kluis. Het dwangpatroon doet dat ook, waarbij de inhoud van de aangewezen kluis op het scherm wordt weergegeven, maar het activeert ook een lokale verwijdering van de indexen en hersteltoewijzingen die de andere kluizen toegankelijk maken op dat apparaat.

Er verschijnt geen bevestigingsvenster. Er wordt geen waarschuwingsgeluid afgespeeld. De persoon die naar u kijkt, ziet een kluis openstaan ​​en de bestanden daarin verschijnen. Wat de interface niet aankondigt, is dat andere lokale kluisindexen zijn verwijderd, lokale hersteltoewijzingen zijn gewist, het lopende back-upwerk is gestopt en het apparaat expliciet op zinsdelen gebaseerd herstel moet gebruiken voordat een gewiste kluis kan terugkeren.

Hoe het werkt Onder de motorkap

Het begrijpen van de mechanismen is van belang omdat de dwangmodus een smallere grens heeft dan een universele wisclaim. Het verandert de status op het huidige apparaat; het belooft niet te wissen CloudKit, een ander apparaat, de geschiedenis van het bestandssysteem of bewijsmateriaal dat al door een aanvaller is verzameld.

Stap 1: U tekent het dwangpatroon

Wanneer u het patroon tekent dat aan uw dwangkluis is toegewezen, herkent Vaultaire dit als een dwangtrigger. De app begint tegelijkertijd met twee bewerkingen: hij begint met het ontsleutelen en weergeven van de inhoud van de aangewezen kluis, en hij initieert het lokaal opschonen van de indexen en hersteltoewijzingen voor elke andere kluis.

Stap 2: Lokale toegangsstatus wordt verwijderd

Vaultaire gebruikt één apparaatbreed Keychain salt voor lokale patroonafleiding, geen afzonderlijk salt voor elke kluis. De dwangmodus vernietigt dat gedeelde zout niet. In plaats daarvan wordt de gecodeerde lokale hersteldatabase gewist en wordt elke kluisindex verwijderd, behalve de aangewezen kluisindex. Omdat elke index de ingepakte willekeurige hoofdsleutel en de bestandsmap voor die kluis bevat, wordt door het verwijderen ervan de kluis zonder dwang uit de bruikbare lokale status van de app gehaald.

De versleutelde blobpool kan blijven bestaan omdat kluizen die opslag delen. Zonder de verwijderde index heeft Vaultaire geen bestandsoverzicht of ingepakte hoofdsleutel waarmee de verwijderde kluis lokaal kan worden geopend. De app wist ook lokale hersteltoewijzingen, zodat het gewone herstelscherm deze kluizen niet onmiddellijk kan opsommen of herstellen.

Stap 3: Cloudherstel blijft behouden maar geïsoleerd

Bestaande gecodeerd iCloud back-up wordt bewust bewaard als herstelpad. Het apparaat wordt in afwachting van back-upwerk gereset en gaat een isolatiegrens binnen, zodat het lokale wissen niet als een gewone verwijdering wordt geüpload en verborgen kluizen niet automatisch worden teruggetrokken. Later herstel is expliciet, kluis voor kluis, en vereist de herstelzin van die kluis in plaats van alleen het patroon dat onder dwang wordt onthuld.

Stap 4: De dwangkluis wordt normaal geopend

Terwijl de lokale opruiming wordt uitgevoerd, wordt de aangewezen kluis geopend via de normale interface. Vaultaire onderdrukt analyses voordat het begint, probeert actieve shares in te trekken die vanuit die kluis zijn gemaakt, genereert de herstelzin opnieuw en wist daarna de dwangaanduiding. De app geeft geen dwangbevestiging of voltooiingsbericht weer, maar de voltooiingstijd is afhankelijk van lokale werkzaamheden en eventuele netwerkintrekkingen; Vaultaire belooft geen universele deadline van minder dan een seconde.

Waarom niemand het weet

De directe interface is ontworpen om te voorkomen dat de dwangmodus wordt aangekondigd aan iemand die over uw schouder meekijkt. Dat is een nuttige presentatie-eigenschap, en geen bewijs dat elke forensische waarnemer een identieke apparaatstatus ziet. Bestandssysteemartefacten, CloudKit gegevens, een ander gesynchroniseerd apparaat of eerdere toegang tot de telefoon kunnen buiten het bereik van de app vallen.

Geen bevestigingsdialoogvenster

De meeste destructieve acties in software gaan gepaard met een waarschuwing: "Weet je het zeker?" Dwangmodus kent een dergelijke waarschuwing niet. Een bevestigingsdialoog zou een dode weggeefactie zijn. Op het moment dat u het patroon tekent, wordt de actie ondernomen. Je kunt het niet per ongeluk activeren, tenzij je per ongeluk een specifiek, complex patroon tekent op een 5×5 raster, wat niet iets is dat toevallig gebeurt.

Geen apart vertragingsscherm

De app opent de aangewezen kluis terwijl deze lokale opschoon- en share-intrekkingswerkzaamheden uitvoert. De stroom is ontworpen om geen afzonderlijk waarschuwingsscherm toe te voegen, maar de prestaties van het apparaat, de kluisstatus en de netwerkomstandigheden variëren. Vaultaire claimt geen gelijkheid in timing die een waarnemer met instrumenten nooit zou kunnen onderscheiden.

Geen in-app wismelding

Vaultaire schakelt analyses vóór het wissen uit en toont geen melding 'kluizen verwijderd'. Op dat apparaat blijft de bewaarde kluis toegankelijk via de app. Hiermee wordt geen bewijsmateriaal buiten de huidige lokale staat van de app gewist, en het mag niet worden behandeld als een belofte van onopspoorbaarheid bij forensisch onderzoek.

Welke lokale staat wordt verwijderd

Precisie is hier belangrijk. De dwangmodus verwijdert specifieke lokale structuren die nodig zijn om niet-dwangkluizen te vinden en te openen, terwijl de gedeelde gecodeerde blobopslag en eventuele gecodeerde kluizen behouden blijven. iCloud back-up. Het gaat om het wissen van de lokale toegangsstatus, en niet om de bewering dat elke fysieke kopie is overschreven.

De gecodeerde hersteldatabase

De lokale hersteldatabase wijst herstelzinnen en verouderde patroonvelden toe aan kluistoegang. De dwangmodus wist die database en maakt vervolgens alleen een nieuw herstelitem voor de aangewezen kluis. Hierdoor worden lokale hersteltoewijzingen voor de andere kluizen verwijderd, zonder te doen alsof Vaultaire voor elke kluizen een afzonderlijk zout heeft gebruikt of vernietigd.

De niet-dwangkluisindexen

Elke gecodeerde kluisindex bevat de bestandsrecords en de willekeurige hoofdsleutel die is omhuld door de van een patroon afgeleide sleutel van die kluis. De dwangmodus verwijdert elke index behalve de aangewezen kluis. De PBKDF2 algoritme en iteratietelling zijn publieke implementatieparameters; de veiligheid hangt niet af van het wissen ervan.

De gecodeerde gegevens

De gedeelde gecodeerde blob-pool blijft behouden omdat deze ook de inhoud van de aangewezen kluis bevat. Gegevens die alleen tot verwijderde indexen behoorden, kunnen via de app onbereikbaar worden, maar Vaultaire claimt geen veilige fysieke overschrijving van elk flash-opslagblok. Verwijderde indexen of een eerdere status kunnen ook blijven bestaan ​​in opslaglagen waarover de app geen controle heeft.

Wanneer moet u Dwangmodus gebruiken?

De dwangmodus is ontworpen voor situaties waarin u te maken krijgt met fysieke dwang of juridische dwang en u hebt besloten dat het verwijderen van de toegang tot de lokale kluis de voorkeur verdient boven het blootleggen ervan. Dit is een persoonlijke beslissing met ernstige gevolgen, en Vaultaire biedt u de tool zonder de beslissing voor u te nemen.

Grensovergangen

De bevoegdheden om de grenzen te doorzoeken en de verplichtingen van reizigers variëren per land en omstandigheid. Als u het dwangpatroon tekent voordat u uw telefoon overhandigt, blijft één kluis toegankelijk in de interface en worden andere lokale toegangsstatussen verwijderd, maar het kan niet garanderen dat een onderzoeker geen bestandssysteemartefacten, gecodeerde back-ups, peer-kopieën of eerder bewijsmateriaal vindt.

Fysieke dwang

Als iemand je onder bedreiging dwingt je telefoon te ontgrendelen, heb je een manier nodig om te beperken wat de gewone interface onthult. Met de dwangmodus kun je een patroon tekenen dat op samenwerking lijkt. De dwangbeambte ziet de aangewezen kluis open, terwijl de interface niet de gelijktijdige lokale opruiming van andere toegangsstatussen voor de kluis aankondigt.

Apparaatbeslag

Als u reden heeft om aan te nemen dat uw apparaat in beslag wordt genomen, kan de dwangmodus de toegang tot de kluis zonder dwang uit de huidige app-installatie verwijderen voordat deze wordt overgedragen. Het kan niet garanderen dat een forensisch analist niets hoeft te onderzoeken, vooral als het apparaat al is gecompromitteerd of als er andere kopieën en systeemartefacten bestaan.

Journalist en bronbescherming

Journalisten die in vijandige omgevingen werken, activisten die onder toezicht opereren en iedereen wiens gegevens zichzelf of anderen in gevaar kunnen brengen. Dwangmodus verandert een moment van kwetsbaarheid in een moment van bescherming.

Uw dwangkluis instellen

Het configureren van Dwangmodus duurt ongeveer twee minuten. Als je het goed doet, het overtuigend maken, vergt wat meer nadenken.

Geef de kluis aan

In de instellingen van Vaultaire wijst u één kluis aan als de dwangkluis. Deze kluis zal degene zijn die wordt geopend wanneer het dwangpatroon wordt getekend, dus deze moet inhoud bevatten die er echt uitziet en voldoet aan de verwachtingen van een waarnemer. Een lege kluis is verdacht. Een kluis met duidelijk nep-inhoud is verdacht. Een kluis met een handvol normaal uitziende persoonlijke foto's is perfect.

Voorraad met geloofwaardige inhoud

Plaats inhoud in uw dwangkluis die iemand zou verwachten in een privékluis aan te treffen: een paar persoonlijke foto's, misschien een scan van een document, enkele bestanden die er privé genoeg uitzien om vergrendeling te rechtvaardigen, maar onschadelijk genoeg om nauwkeurig onderzoek te overleven. Het doel is niet om een ​​forensisch onderzoek, voor de gek te houden, maar om de persoon die op dat moment voor u staat tevreden te stellen.

Kies een natuurlijk patroon

Het dwangpatroon moet iets zijn dat je onder stress snel en zonder aarzeling kunt tekenen. Als u een ander geldig patroon tekent, kunt u in plaats daarvan een andere kluis of een lege status openen. Oefen de trigger in een veilige testopstelling. Zoals elk Vaultaire-patroon moet het minimaal zes punten verbinden en minimaal twee richtingsveranderingen maken.

Test het

Test Dwangmodus in een veilige omgeving voordat u het ooit nodig heeft. Maak een aantal testkluizen, wijs een dwangkluis aan en activeer deze. Controleer of de andere kluizen verdwenen zijn. Controleer of de dwangkluis normaal is geopend. Stel het dan echt in.

Er is geen mogelijkheid tot ongedaan maken

Dit moet duidelijk worden gezegd: zodra de dwangmodus wordt geactiveerd, is er geen knop voor ongedaan maken voor het lokale wissen. Vaultaire-ondersteuning kan uw patroon of herstelzin niet reconstrueren. Als u gecodeerd hebt ingeschakeld iCloud vooraf een back-up hebt gemaakt en de herstelzin hebt behouden, kunt u later kluis voor kluis herstellen. Zonder beide kan het zijn dat u door de verwijderde lokale toegangsstatus de kluis niet kunt herstellen.

De andere indexen en lokale hersteltoewijzingen zijn verdwenen uit de actieve app-status. De apparaatbrede salt en de gedeelde gecodeerde blobpool zijn niet het wisdoel, en gecodeerde cloudback-ups blijven behouden. Deze grens is doelbewust: het verwijdert de toegang van het gedwongen apparaat, terwijl een door zin gecontroleerd herstelpad voor de eigenaar behouden blijft.

De dwangmodus is ontworpen voor mensen die deze afweging begrijpen en van tevoren hebben besloten dat ze liever onmiddellijke toegang van het huidige apparaat willen verwijderen dan de kluis onder dwang bloot te leggen. Als u de herstelzin en een gecodeerde back-up niet veilig kunt bewaren, neem dan aan dat het lokaal wissen u toegang tot die kluis kan kosten.

De afweging is eerder specifiek dan absoluut. Lokale verwijdering begint zonder bevestiging, terwijl later herstel alleen mogelijk is via het afzonderlijke cloud- en herstelzinpad. Test de functie met niet-gevoelige gegevens voordat u beslist of dat gedrag overeenkomt met uw bedreigingsmodel.