Tajna fraza: Linia ratunkowa odzyskiwania sejfu

Vaultaire generuje własną frazę z dziewięciu słów zamiast 12 lub 24 słów mnemonika BIP-39. PBKDF2-HMAC-SHA512 przetwarza znormalizowaną frazę przez 800 000 iteracji, aby wyprowadzić klucz odzyskiwania. Ten klucz otwiera zaszyfrowaną AES-GCM kopertę, która lokalnie zawiera klucz sejfu, a przy przywracaniu zaszyfrowanej kopii zapasowej iCloud klucz sejfu i klucz kopii zapasowej.

Co to jest Tajna fraza?

Każdy sejf Vaultaire ma warstwową hierarchię kluczy. Twój wzór wyprowadza klucz sejfu, który otwiera zaszyfrowany indeks, a indeks zawiera opakowany losowy klucz główny używany do szyfrowania plików. Ale co się stanie, jeśli zapomnisz swój wzór? Co, jeśli miną miesiące i pamięć mięśniowa zawiedzie? Bez oddzielnej ścieżki odzyskiwania klucz sejfu pozostałby poza zasięgiem.

Tu pojawia się tajna fraza. Kiedy tworzysz nowy sejf, Vaultaire generuje zdanie gramatyczne zawierające dziewięć zwykłych angielskich słów — słowa wybrane z kilku list specyficznych dla roli przy użyciu kryptograficznie bezpiecznej losowości. To własny format odzyskiwania, a nie BIP-39. Słowa nie kodują klucza sejfu wyprowadzonego ze wzoru. Zamiast tego znormalizowane zdanie staje się daną wejściową PBKDF2, a powstały klucz odzyskiwania odszyfrowuje kopertę zawierającą klucz sejfu.

Pomyśl o tym w ten sposób: wzór i fraza odzyskiwania to dwa poświadczenia, które mogą otwierać różne opakowania tego samego materiału dostępu do sejfu. Wzór to poświadczenie, którego używasz na co dzień. Fraza odzyskiwania otwiera kopertę awaryjną, którą przechowujesz na wypadek awarii pamięci mięśniowej lub gdy nowe urządzenie będzie musiało znaleźć zaszyfrowaną kopię zapasową.

Jak działa Tajna fraza

Tajna fraza to oddzielne poświadczenie, a zatem odrębna droga ataku lub odzyskania sejfu. Nie jest innym zapisem klucza wyprowadzonego ze wzoru. Z frazy wyprowadzany jest jej własny 256-bitowy klucz odzyskiwania, który uwierzytelnia i odszyfrowuje małą kopertę zawierającą klucz sejfu. Dzięki temu oddzieleniu fraza pozostaje przenośna, podczas gdy normalny lokalny klucz sejfu pozostaje powiązany z solą urządzenia w Keychain.

Generacja

Kiedy tworzysz sejf, Vaultaire wybiera słowa z kryptograficznie bezpieczną losowością i umieszcza je w jednym z kilku szablonów gramatycznych. Domyślne wygenerowane zdanie ma dziewięć słów i jest sprawdzane przez wbudowany w aplikację test siły frazy. Możesz także podać własną frazę z co najmniej 6 różnych słów, jeśli przejdzie weryfikację. Fraza jest normalizowana, przetwarzana w 800 000 iteracjach PBKDF2-HMAC-SHA512 i używana do szyfrowania przenośnej koperty odzyskiwania.

Wyświetlanie

Vaultaire wyświetla frazę podczas tworzenia sejfu i prosi o potwierdzenie, że ją zapisałeś. Przechowuje ją też w zaszyfrowanej AES-GCM bazie danych odzyskiwania w iOS Keychain, aby można ją było później wyświetlić w ustawieniach sejfu i użyć do opublikowania zaszyfrowanego manifestu odzyskiwania, gdy kopia zapasowa iCloud jest włączona. Vaultaire nie otrzymuje frazy na serwer firmy ani nie uwzględnia jej w analityce.

Odzyskiwanie

Jeśli zapomnisz wzór, otwórz Vaultaire i wybierz opcję odzyskiwania. Na oryginalnym urządzeniu zaszyfrowana baza danych odzyskiwania przypisuje frazę do koperty. Przy odzyskiwaniu z zaszyfrowanej kopii iCloud deterministyczny lokalizator znajduje manifest odzyskiwania przypisany do frazy. W obu przypadkach uwierzytelnione odszyfrowanie AES-GCM weryfikuje klucz wyprowadzony z frazy, zanim udostępni materiał dostępu do sejfu. Następnie możesz otworzyć sejf i ustawić nowy wzór.

Dlaczego Tajna fraza istnieje

Vaultaire nie oferuje usługi konta, która otrzymywałaby wzór, frazę odzyskiwania, klucz sejfu, klucz kopii zapasowej lub czytelną zawartość sejfu. Zaszyfrowane kopie zapasowe są przechowywane w Twojej prywatnej bazie danych CloudKit, a Vaultaire nie posiada osobnego klucza odzyskiwania dostawcy. Nie ma więc resetu hasła prowadzonego przez firmę: pomoc techniczna nie zastąpi utraconego wzoru ani frazy poświadczeniami konta.

Tajna fraza to odpowiedź Vaultaire na ten kompromis. Daje Ci czytelne dla człowieka poświadczenie do zaszyfrowanej kopii materiału dostępu do sejfu, a Vaultaire nie dostaje przy tym klucza deszyfrującego. Fraza jest przechowywana lokalnie w chronionych danych Keychain; zapisz ją też w miejscu, nad którym masz kontrolę. Jeśli nie pozostanie ani Twój wzór, ani użyteczna kopia frazy, Vaultaire nie będzie mógł zresetować szyfrowania z konta firmowego.

są potężne i intuicyjne, ale opierają się na pamięci mięśniowej. Życie staje na przeszkodzie. Możesz nie otwierać sejfu przez sześć miesięcy. Możesz zmienić telefon i stracić fizyczną znajomość gestu. Być może cierpisz na jakąś chorobę, która wpływa na Twoją precyzyjną kontrolę motoryczną. Tajne zdanie gwarantuje, że żaden z tych scenariuszy nie będzie oznaczał trwałej utraty danych.

Bezpieczeństwo z Tajną frazą

Tajna fraza to jedno z najbardziej wrażliwych poświadczeń powiązanych z Twoim sejfem. Każdy, kto ma frazę i pasujące lokalne dane odzyskiwania lub pasującą zaszyfrowaną kopię zapasową iCloud, może odzyskać klucze sejfu i dostać się do danych. Dlatego Vaultaire przechowuje swoją lokalną kopię w zaszyfrowanym magazynie Keychain i dlatego trzeba chronić każdą kopię, którą zrobisz.

Pokazane podczas tworzenia i dostępne w Ustawieniach

Vaultaire wyświetla tę frazę podczas tworzenia sejfu, dzięki czemu można wykonać niezależną kopię. Aplikacja może także załadować i wyświetlić zapisaną frazę z ustawień otwartego sejfu. Ta wygoda zmienia model zagrożenia: ktoś, kto może odblokować sejf i uzyskać dostęp do jego ustawień, może być w stanie odczytać frazę, więc kod iPhone’a, wzór Vaultaire i fizyczna kontrola nad urządzeniem pozostają ważne.

Zaszyfrowane lokalnie, nie wysłane do Vaultaire

Fraza jest zapisywana w zaszyfrowanej bazie danych odzyskiwania zapisanej jako element Keychain WhenUnlockedThisDeviceOnly. Oddzielny losowy klucz w Keychain chroni tę bazę danych algorytmem AES-GCM. Gdy zaszyfrowana kopia zapasowa iCloud jest włączona, Vaultaire przesyła deterministyczny lokalizator frazy i zaszyfrowany AES-GCM manifest odzyskiwania; fraza w tekście jawnym nie jest umieszczana w tym rekordzie. Fraza jest wyłączona z analityki i Vaultaire jej nie otrzymuje.

Bez tego nie można odzyskać danych

Jeśli utracisz zarówno swój wzór, jak i każdą użyteczną kopię tajnej frazy, Vaultaire nie będzie miał resetu konta ani klucza posiadanego przez dostawcę, który mógłby odszyfrować sejf za Ciebie. To, czy lokalne odzyskiwanie będzie nadal możliwe, zależy od tego, co jest chronione Keychain a dane sejfu nadal pozostają na urządzeniu. Zaszyfrowana kopia zapasowa iCloud nadal wymaga frazy odzyskiwania lub odpowiedniego klucza kopii zapasowej wyprowadzonego ze wzoru.

Najlepsze praktyki dotyczące Twojego Tajna fraza

Twoje tajne zdanie to najlepsza kopia zapasowa Twoich najbardziej prywatnych danych. Traktuj to odpowiednio.

Zapisz to na papierze

Użyj pióra i papieru. Zapisz każde słowo wyraźnie, w odpowiedniej kolejności, ponumerowane. Papieru nie można zhakować zdalnie. Nie może zostać naruszony przez złośliwe oprogramowanie. Nie można go po cichu wyodrębnić z usługi w chmurze. Kawałek papieru w bezpiecznym miejscu to najbardziej odporna forma przechowywania kopii zapasowych, jaką kiedykolwiek wynaleziono.

Nigdy nie przechowuj tego w formie cyfrowej

Nie umieszczaj niezabezpieczonej kopii w aplikacji do notatek, bibliotece zrzutów ekranu ani na koncie e-mail. Każda dodatkowa kopia cyfrowa tworzy kolejne miejsce, w którym fraza może zostać ujawniona przez złośliwe oprogramowanie, wyciek danych lub przejęcie konta. Vaultaire już przechowuje chronioną kopię lokalną na potrzeby odzyskiwania i wyświetlania w ustawieniach; każdą dodatkową kopię zabezpiecz odpowiednio do wagi chronionych danych.

Przechowuj go w bezpiecznym miejscu

Przechowuj papier w bezpiecznym i prywatnym miejscu. Sejf domowy, sejf lub zamknięta szuflada, do której masz dostęp tylko Ty. Weź pod uwagę takie same środki ostrożności, jakie podjąłbyś w przypadku ważnego dokumentu prawnego lub aktu urodzenia. Jeśli masz wiele sejfów, wyraźnie oznacz każdą frazę, aby wiedzieć, do którego sejfu należy.

Weź pod uwagę osobę zaufaną

Jeśli coś Ci się stanie, czy ktoś powinien mieć dostęp do Twojego sejfu? Jeśli tak, możesz przekazać kopię tego wyrażenia zaufanemu członkowi rodziny lub umieścić go w zapieczętowanej kopercie wraz z dokumentami majątku. Jest to decyzja osobista, ale warto ją przemyśleć, zanim pytanie stanie się pilne.

Jak działa odzyskiwanie

Proces odzyskiwania jest prosty, ale warto zrozumieć, co dzieje się na każdym etapie, aby wiedzieć dokładnie, czego się spodziewać.

Krok 1: Otwórz ekran odzyskiwania

Po otwarciu Vaultaire i wyświetleniu monitu o podanie wzoru zobaczysz opcję odzyskiwania. Stuknij, a aplikacja wyświetli interfejs wprowadzania słów, w którym możesz wpisać lub wybrać każde słowo tajnej frazy.

Krok 2: Wpisz frazę

Wpisz całą frazę w tej samej kolejności słów, w jakiej została zapisana. Vaultaire normalizuje wielkość liter i białe znaki, ale słowa i ich kolejność nadal mają znaczenie, ponieważ stają się daną wejściową PBKDF2. Wygenerowany format to fraza z dziewięciu słów, a nie lista BIP-39, a własna fraza może mieć inną liczbę słów.

Krok 3: Regeneracja klucza

Po wprowadzeniu frazy Vaultaire normalizuje ją i uruchamia PBKDF2-HMAC-SHA512 w 800 000 iteracjach z deterministyczną solą wyprowadzoną z frazy. Ta sama znormalizowana fraza tworzy ten sam 256-bitowy klucz odzyskiwania na innym urządzeniu. Następnie AES-GCM weryfikuje ten klucz względem lokalnej koperty odzyskiwania lub manifestu odzyskiwania w chmurze, zanim aplikacja przyjmie jakikolwiek klucz sejfu lub klucz kopii zapasowej.

Krok 4: Ustaw nowy wzór

Gdy sejf znów jest dostępny, możesz ustawić w Vaultaire nowy wzór. Losowy klucz główny szyfrowania plików pozostaje niezmieniony, ale nowy wzór wyprowadza nowy lokalny klucz sejfu i nowy deterministyczny klucz kopii zapasowej. Zmiana wzoru generuje również zastępczą frazę odzyskiwania i kopertę, dlatego zapisz nową frazę, zanim opuścisz ten ekran.