Verborgen kluizen zonder zichtbare kluislijst

Verborgen kluizen in Vaultaire zijn een eigenschap van de interface en van de manier waarop sleutels een kluis vinden: de app toont geen leesbare lijst met alle kluizen en opent een kluis pas nadat de sleutel uit het patroon is afgeleid. Op schijf heeft elke kluis een eigen telbare opslagmap, dus dit ontwerp maakt het aantal kluizen forensisch niet onzichtbaar.

Wat betekent "Verborgen kluizen" eigenlijk?

De meeste kluis-apps werken als archiefkasten. Open de app en je ziet een lijst met je kluizen. Misschien hebben ze namen. Misschien laten ze een telling zien. Misschien staat er naast elk slot een klein slotje. De app weet precies hoeveel kluizen je hebt en die informatie is zichtbaar voor iedereen die de app opent of het apparaat onderzoekt.

Vaultaire werkt anders in de interface. Er is geen scherm met de namen van uw kluizen dat vraagt welke u wilt ontgrendelen. Tekent u een patroon, dan leidt de app met PBKDF2 een 256-bits kluissleutel af, leidt uit die sleutel een locator af die het verwachte indexbestand benoemt, en probeert die versleutelde index geauthenticeerd te ontsleutelen. Bestaat de index en klopt de AES-GCM-tag, dan pakt Vaultaire de willekeurige hoofdsleutel uit en opent de bestanden. Anders toont het een lege kluis.

Deze werkwijze hoort bij de opslagarchitectuur, maar de bescherming heeft grenzen. Vaultaire houdt geen leesbaar hoofdregister bij dat kluizen aan patronen of labels koppelt. Het bewaart de versleutelde root-index van elke kluis in een pool die met willekeurige dekbestanden is aangevuld tot blokken van 64 plaatsen, maar elke echte kluis heeft ook één opslagmap met dezelfde locatornaam, en de app heeft onderhoudsroutines die deze mappen doorlopen. Wie het bestandssysteem onderzoekt, kan daarom kluizen tellen en echte root-bestanden van dekbestanden onderscheiden, ook zonder de indexinhoud te kunnen lezen.

Dit is geen "verborgen map"

De uitdrukking "verborgen kluis" doet u misschien denken aan apps die een map opbergen waar u deze niet gemakkelijk kunt zien. Misschien heeft de map een puntvoorvoegsel, zodat deze niet in een bestandsbrowser verschijnt. Misschien gebruikt de app een 'rekenmachine'-vermomming om het werkelijke doel ervan te verbergen. Dit zijn camouflagetrucs en ze delen allemaal hetzelfde fatale gebrek: de verborgen gegevens zijn er nog steeds, op een bekende locatie, wachtend om gevonden te worden.

Een forensisch onderzoeker met toegang tot uw apparaat kan heel eenvoudig een verborgen map vinden. Hulpprogramma's voor bestandssysteem geven een overzicht van elke map. Opslaganalysatoren laten zien waar schijfruimte wordt toegewezen. Zelfs een redelijk technisch onderlegde vriend met vijf minuten en een zoekmachine kan de meeste "verborgen" mappen vinden.

Vaultaire rekent niet op een vermomde map of een rekenmachine-uiterlijk. De app-container bevat versleutelde kluisindexen en versleutelde opslagbestanden. De index verbergt bestandsnamen, MIME-typen, datums, bestandsoverzichten en de omhulde hoofdsleutel achter AES-256-GCM. Die inhoud wordt pas leesbaar als de juiste, van het patroon afgeleide sleutel de index verifieert.

In de praktijk is het verschil dat tussen een geheime map met een duidelijke naam en een geauthenticeerde versleutelde container die wordt gevonden via een bestandsnaam die van een sleutel is afgeleid. Wie het apparaat onderzoekt, kan zien dat de container bestaat. Zonder het juiste patroon krijgt die de leesbare indeling of inhoud niet.

Wat de indeling van de opslag onthult

Zelfs zonder kluislijst zou een slimme tegenstander een andere aanpak kunnen proberen: het analyseren van schijfgebruik. Als Vaultaire vandaag 500 MB opslagruimte gebruikt en morgen 800 MB, hebt u misschien een kluis toegevoegd. Als het verwijderen van foto's uit één kluis de opslagruimte met precies 200 MB vermindert, is er misschien een verband dat kan worden misbruikt.

Vaultaire houdt de lokale opslagvoetafdruk niet constant. Bestanden toevoegen kost opslagruimte, een kluis verwijderen kan ruimte vrijmaken en elke kluis heeft één opslagmap. Versleuteling beschermt inhoud en integriteit, maar wist niet alle informatie over grootte, aantal en tijdstippen in het bestandssysteem.

Iemand met toegang tot de app-container kan het aantal bestanden, hun grootte en wijzigingstijden koppelen aan activiteit. iOS-gegevensbescherming kan de toegang beperken terwijl het apparaat vergrendeld is, en de versleutelde inhoud blijft zonder sleutels vertrouwelijk, maar Vaultaire belooft geen bescherming tegen lokale analyse van zulke patronen.

Waar opvulling wordt gebruikt

Vaultaire gebruikt opvulling in bepaalde formaten. Versleutelde bestandsheaders hebben een vaste grootte, zodat bestandsnamen en MIME-typen niet als leesbare tekst verschijnen. Versleutelde iCloud-back-up gebruikt vaste records van 10 MB plus lokblokken. Verwar deze maatregelen niet met een lokale opslag van constante grootte.

Lokale kluisindexen en opslagbestanden hebben op app-niveau nog steeds herkenbare namen en groottes. AES-GCM verbergt hun inhoud en detecteert wijzigingen, maar maakt niet elk byte- of bestandssysteemspoor ononderscheidbaar van willekeurige schijfsectoren.

Forensische weerstand: wat er gebeurt als ze uw telefoon afpakken

Laten we precies zijn over het dreigingsmodel. Wie door de app bladert, ziet geen overzicht van kluizen. Wie via een gecompromitteerd of ontgrendeld apparaat toegang krijgt tot de app-container, ziet meer: bestandsnamen, aantallen, groottes, tijdstempels, de beschikbaarheid van de sleutelhanger en versleutelde inhoud.

Wat forensische tools kunnen zien

Een forensisch onderzoeker kan zien dat Vaultaire is geïnstalleerd, hoeveel opslagruimte het gebruikt, hoeveel opslagmappen per kluis er bestaan, bij welke `vault_index_*.bin`-rootbestanden die horen, de versleutelde arena-bestanden en de wijzigingsmetadata. De onderzoeker kan de versleutelde gegevens ook kopiëren om offline patronen te raden.

Wat versleuteling nog steeds beschermt

• Leesbare kluislabels en bestandsoverzichten. De versleutelde index beschermt bestandsrecords en de omhulde willekeurige hoofdsleutel.
• Oorspronkelijke bestandsnamen en MIME-typen. Deze velden staan in geauthenticeerde versleutelde bestandsheaders, niet in leesbare mapnamen.
• Foto-, video- en documentinhoud. Bestandsinhoud wordt versleuteld met AES-256-GCM onder de willekeurige hoofdsleutel van de kluis.
• Het patroon zelf. Vaultaire slaat het niet op als leesbare voorkeur, al bevat de versleutelde lokale hersteldatabase bij normaal gebruik wel materiaal van patroon en zin.
• Geen kortere weg om het raden heen. PBKDF2 maakt elke poging duurder, maar met een gekopieerde indexbestandsnaam en AES-GCM-tag kan een aanvaller gokken nog steeds offline controleren.

Hoe Verborgen kluizen Plausibele ontkenning inschakelen

Verborgen kluizen zorgen voor de scheiding in de interface waarop de functie plausibele ontkenning van Vaultaire steunt. Wie die claim beoordeelt, moet zowel dat verband kennen als de grens ervan bij onderzoek van het bestandssysteem.

In de interface van Vaultaire kunnen verschillende geldige patronen verschillende echte kluizen openen. U kunt één patroon kiezen voor gevoelig materiaal en een ander patroon voor een minder gevoelige kluis. Een waarnemer die alleen de ontgrendelde interface ziet, krijgt geen label te zien dat de kluis als ‘echt’ of ‘lokkluis’ aanwijst.

Dit beperkt wat iemand ziet bij een vluchtige controle of door over je schouder mee te kijken, maar voldoet niet aan de strengste forensische definitie van plausibele ontkenning. Een examinator met toegang tot de app-container kan kluizen tellen. Gebruik deze functie als scheiding in de interface, niet als bewijs dat er geen extra kluis bestaat.

De complete ketting

• Stap 1: U maakt meerdere kluizen met verschillende patronen: één voor echte bestanden en één als lokkluis. Het gratis abonnement staat 3 kluizen toe, Pro meer.
• Stap 2: Als je onder druk wordt gezet, teken je het lokpatroon. De waarnemer ziet een kluis met saaie foto's.
• Stap 3: De ontgrendelde interface toont geen lijst met alle kluizen en vraagt niet naar de naam van de andere kluis.
• Stap 4: Houd de andere dreiging in gedachten: toegang tot het bestandssysteem kan het aantal versleutelde indexen verraden, ook als de waarnemer de inhoud niet kan ontsleutelen.

Het resultaat is een praktische scheiding binnen de app, gesteund door versleuteling van de inhoud. Het is geen wiskundige garantie dat iemand die het apparaat onderzoekt geen extra versleutelde containers kan vinden.

Waarom dit belangrijk is

Forensische weerstand klinkt misschien extreem. De meeste mensen worden niet geconfronteerd met inbeslagnames van apparaten of rechterlijke bevelen. Maar het principe achter verborgen kluizen beschermt u ook in alledaagse situaties.

Een persoon die het vergrendelingsscherm van Vaultaire bereikt, ontvangt geen lijst met kluisnamen waarop hij zich kan richten. Een collega die uw apparaat leent, kan niet tussen kluizen bladeren via een kiezer. Een dief weet nog steeds dat Vaultaire is geïnstalleerd en kan de app of het apparaat aanvallen, maar de versleutelde inhoud blijft beschermd door het patroon, de kosten van PBKDF2, AES-GCM en de beveiligingsgrens van iOS eromheen.

Verborgen kluizen beantwoorden een beperktere privacyvraag: onthult het openen van één kluis een catalogus van de andere? In de normale interface is het antwoord nee. Of een sterkere onderzoeker versleutelde containers kan vinden, hangt af van de toestand van het apparaat en het toegangsniveau. Vaultaire beschrijft die grens openlijk.