Aannemelijke Ontkenning in Apps: Wat het Is en Waarom het Ertoe Doet

Aannemelijke ontkenning betekent dat het bestaan van verborgen data niet bewezen kan worden.

Aannemelijke ontkenning in versleuteling is de eigenschap die een gebruiker in staat stelt geloofwaardig het bestaan van bepaalde versleutelde data te ontkennen. De versleutelde opslag lijkt alleen de data te bevatten die de gebruiker kiest te onthullen. Een forensisch onderzoeker, een dwangende partij, of iedereen met fysieke toegang tot het apparaat kan niet bewijzen dat er extra verborgen data bestaat. Dit is geen verbergfunctie. Het is een wiskundige eigenschap van het versleutelingsschema zelf.

Deze handleiding legt uit hoe aannemelijke ontkenning werkt in apps, het verschil tussen echte cryptografische ontkenning en cosmetische lokmodussen, praktijkscenario's waarbij het ertoe doet, en hoe je ontkenbaarheidsbeweringen kunt evalueren.

Wat Aannemelijke Ontkenning Betekent in Versleuteling

In alledaags taalgebruik betekent aannemelijke ontkenning dat je iets geloofwaardig kunt ontkennen. In cryptografie betekent het dat het bestaan van verborgen data niet bewezen kan worden, zelfs niet door een expert met onbeperkte tijd en forensische tools.

Het concept is ontstaan in schijfversleuteling. TrueCrypt (en zijn opvolger VeraCrypt) pionierden het verborgen volume: een versleuteld volume binnen een ander versleuteld volume. Eén wachtwoord onthult het buitenste volume met onschuldige bestanden. Een ander wachtwoord onthult het binnenste verborgen volume met gevoelige bestanden. Een forensisch onderzoeker kan niet bepalen of een verborgen volume bestaat, omdat de ongebruikte ruimte in het buitenste volume gevuld is met willekeurige data die niet te onderscheiden is van versleutelde data.

Voor apps betekent aannemelijke ontkenning dat verschillende referenties (wachtwoorden, PIN-codes, patronen) verschillende datasets openen, en er is geen metadata, register, configuratieflag of structureel artefact dat het bestaan van extra datasets onthult.

Echte Ontkenning vs. Cosmetische Lokmodussen

Dit is het cruciale onderscheid dat de meeste apps fout maken.

Cosmetische Lokmodus (Geen Echte Ontkenning)

Veel kluis-apps bieden een "lokmodus" of "nep-PIN"-functie. Je stelt een secundaire PIN in die een aparte ruimte opent met andere foto's. Het probleem: deze apps slaan typisch een booleaanse vlag, een database-invoer, of een configuratiebestand op dat aangeeft dat een lokmodus bestaat en geconfigureerd is.

Een forensisch onderzoeker die de app begrijpt kan deze vlag vinden. Het vinden van een geconfigureerde lokmodus bewijst dat verborgen data bestaat. De ontkenning is cosmetisch -- het werkt tegen terloops besnuffelen maar faalt onder forensisch onderzoek.

Tekenen van cosmetische ontkenning:

• De app heeft een "lokmodus"-schakelaar in instellingen
• Een configuratiebestand slaat op of lokmodus is ingeschakeld
• Een databasetabel somt kluis-ID's op met type-indicatoren (primair/lokmodus)
• De opslagstructuur van de app verandert wanneer lokmodus is ingeschakeld
• De app verwijderen en opnieuw installeren onthult ander gedrag wanneer lokmodus was geconfigureerd

Echte Cryptografische Ontkenning

Echte ontkenning is een architecturale eigenschap, geen functieschakelaar. De versleutelde opslag moet zo ontworpen zijn dat:

1. Elke referentie opent een geldige dataset. Er is geen "verkeerd wachtwoord"-fout voor referenties die verborgen kluizen openen. Elke geldige patroon/wachtwoord-combinatie produceert een sleutel die iets ontsleutelt.

2. Er bestaat geen kluisregister. De app kan niet opsommen hoeveel kluizen er bestaan. Er is geen teller, geen index, geen lijst van kluis-ID's. Een forensisch onderzoeker die de opslag van de app onderzoekt vindt een ongedifferentieerde pool van versleutelde data.

3. Geen configuratieflags onthullen verborgen kluizen. Er is geen booleaan, geen database-invoer, geen voorkeurenbestand dat aangeeft of extra kluizen bestaan.

4. Opslag is geopvuld. De totale verbruikte opslag verandert niet op basis van het aantal kluizen of bestanden. Zonder opvulling kan een onderzoeker het aantal kluizen schatten uit de totale versleutelde dataomvang versus de zichtbare inhoud.

5. Versleutelde data is niet te onderscheiden van willekeurige ruis. Er zijn geen bestandsgrenzen, geen headers, geen structurele markers die onthullen waar de data van één kluis eindigt en die van een andere begint.

Praktijkscenario's Waarbij Dit Ertoe Doet

Aannemelijke ontkenning is geen theoretische zorg. Het adresseert gedocumenteerde, terugkerende praktijksituaties.

Grensovergangen

In de Verenigde Staten kan de Customs and Border Protection legaal apparaattoegang afdwingen aan de grens. Rechtbanken hebben geoordeeld dat grensagenten wachtwoorden voor apparaatinspectie kunnen eisen. In dit scenario kan een gebruiker met echte aannemelijke ontkenning een patroon/wachtwoord opgeven dat een kluis opent met onschuldige inhoud. De onderzoeker kan niet bewijzen dat andere kluizen bestaan.

Huiselijk Geweld en Dwingende Relaties

Iemand in een mishandelende relatie moet misschien bewijs opslaan (foto's van verwondingen, bedreigende berichten, juridische documenten) op een apparaat dat de mishandelaar controleert. Als de mishandelaar eist de kluis te zien, kan de gebruiker een kluis openen met niet-gevoelige inhoud. Zonder echte ontkenning zou een "lokmodus"-vlag in de app-configuratie het bestaan van verborgen inhoud onthullen.

Apparaatdiefstal

Een dief met technische vaardigheden kan proberen data te extraheren van een gestolen telefoon. Met echte ontkenning onthult de versleutelde datapool niets over het aantal kluizen, hun inhoud, of hun doel.

Juridische en Journalistieke Bescherming

Journalisten die bronnen beschermen, advocaten die cliëntbestanden beschermen, en activisten in autoritaire regimes staan voor scenario's waarbij apparaatinhoud afgedwongen kan worden. Echte ontkenning biedt een geloofwaardige verdediging tegen gegevensbeslag.

Hoe Vaultaire Aannemelijke Ontkenning Implementeert

Vaultaire bereikt echte cryptografische aannemelijke ontkenning door architecturaal ontwerp:

Elk patroon opent een andere kluis. Het 5x5-raster produceert een sleutel via PBKDF2. Een ander patroon produceert een andere sleutel. Er is geen hoofdsleutel, geen kluislijst, en geen manier voor de app om bestaande kluizen op te sommen. Het tekenen van een patroon zonder bijbehorende kluis opent gewoon een lege kluisruimte -- er is geen "verkeerd patroon"-fout.

Geen kluisregister. De app heeft geen database met kluizen, kluis namen of kluisaantallen. Alle versleutelde data bestaat in één ongedifferentieerde opslagpool. Een forensisch onderzoeker met onbeperkte toegang tot het apparaatbestandssysteem vindt versleutelde blokken zonder structurele markers die kluis grenzen aangeven.

Opslagopvulling. De totale opslagomvang blijft constant ongeacht het aantal kluizen of bestanden, waardoor schijfgebruiksanalyse wordt verslagen.

Geen configuratieflags. Er is geen instellingenbestand, geen voorkeursinvoer, en geen databaserecord dat onthult hoeveel kluizen er bestaan of of een specifiek patroon is gebruikt.

Dwangmodus. Gebruikers kunnen één kluis aanwijzen als een dwangkluis. Het tekenen van dat patroon opent de kluis normaal terwijl tegelijkertijd en stilletjes de cryptografische salts voor alle andere kluizen worden vernietigd. De vernietiging is onomkeerbaar, laat geen forensisch spoor achter en duurt minder dan één seconde.

Hoe Ontkenbaarheidsbeweringen te Evalueren

Wanneer een app aannemelijke ontkenning beweert, vraag dan:

1. Is er een "lokmodus"-schakelaar? Als ja, is het cosmetisch. Een forensisch onderzoeker kan de schakelaar vinden.
2. Heeft de app een kluislijst of database? Als ja, is kluisbestaan bewijsbaar.
3. Is er een "verkeerd wachtwoord"-fout? Als ja, kan de app onderscheid maken tussen geldige en ongeldige referenties, wat betekent dat het iets opslaat dat referenties valideert.
4. Verandert opslagverbruik met het aantal kluizen? Als ja, kan schijfanalyse het aantal kluizen schatten.
5. Kan de app kluizen opsommen? Als de app je een lijst van je kluizen kan tonen, bestaat die lijst op het apparaat en is deze vindbaar.

Veelgestelde Vragen

Is aannemelijke ontkenning legaal?

Het gebruik van versleuteling met aannemelijke ontkenning is legaal in de meeste democratieën. Er is geen wet tegen het hebben van versleutelde data op je apparaat waarvan het bestaan niet bewezen kan worden. In sommige jurisdicties (VK onder RIPA, Australië onder de Assistance and Access Act) kunnen autoriteiten onthulling van versleutelingssleutels afdwingen. De juridische vraag is of het afdwingen van onthulling van een sleutel voor data waarvan het bestaan niet bewezen kan worden afdwingbaar is. Dit blijft een zich ontwikkelend rechtsgebied.

Kunnen forensische tools aannemelijke ontkenning detecteren?

Professionele forensische tools (Cellebrite, GrayKey, Magnet AXIOM) kunnen detecteren dat Vaultaire is geïnstalleerd en dat versleutelde data bestaat. Ze kunnen niet bepalen hoeveel kluizen er bestaan, wat ze bevatten, of dat er extra kluizen bestaan naast de onthulde. De versleutelde data is niet te onderscheiden van willekeurige ruis. Dit is geverifieerd door ontwerp, niet beweerd door beleid.

Werkt aannemelijke ontkenning tegen een vastberaden natiestaat?

Tegen cryptanalyse (de versleuteling breken): ja. AES-256 is niet te breken door enige bekende natiestaat-capaciteit. Tegen dwang (je forceren patronen te onthullen): aannemelijke ontkenning betekent dat je één kluis kunt onthullen terwijl je geloofwaardig andere kluizen ontkent. Tegen apparaatexploitatie (een zero-day gebruiken om data te extraheren van een lopend apparaat): als het apparaat ontgrendeld is en de kluis open is, staat de ontsleutelde data in het geheugen en is theoretisch toegankelijk. Aannemelijke ontkenning beschermt data in rust, niet data in actief gebruik.

Wat is het verschil tussen aannemelijke ontkenning en verborgen kluizen?

Verborgen kluizen zijn kluizen die niet zichtbaar zijn in de interface van de app. Aannemelijke ontkenning is de eigenschap dat het bestaan van verborgen kluizen niet bewezen kan worden. Een app kan verborgen kluizen hebben zonder aannemelijke ontkenning (als een kluisregister of configuratieflag ze onthult). Vaultaire biedt beide: kluizen zijn standaard verborgen, en hun bestaan is door ontwerp onbewijsbaar.

Kan ik aannemelijke ontkenning gebruiken met cloud-back-ups?

In Vaultaire bevatten versleutelde iCloud-back-ups de volledige versleutelde opslagpool. De back-up is één versleutelde blob. Het behoudt aannemelijke ontkenning omdat de back-up zelf geen kluisniveau-structuur bevat -- het is dezelfde ongedifferentieerde versleutelde pool als de opslag op het apparaat.

Conclusie

Aannemelijke ontkenning in versleuteling betekent dat het bestaan van verborgen data niet bewezen kan worden, zelfs niet onder forensisch onderzoek. De meeste apps die deze functie beweren bieden cosmetische lokmodussen met vindbare configuratieflags. Echte ontkenning vereist geen kluisregister, geen configuratieflags, opslagopvulling en architecturaal niet te onderscheiden versleutelde data.

Vaultaire implementeert echte aannemelijke ontkenning als architecturale eigenschap: elk patroon opent een andere kluis, er is geen kluislijst, opslag is gevuld, en geen andere versleutelde kluis-app doet dit.