Tryb przymusu: ciche czyszczenie lokalnego skarbca

Tryb przymusu w Vaultaire pozwala wyznaczyć jeden skarbiec jako wyzwalacz przymusu. Narysowanie wzorca tego skarbca otwiera go normalnie, usuwając indeksy skarbca bez przymusu i lokalne mapowania odzyskiwania z bieżącego urządzenia. Istniejące zaszyfrowane iCloud kopie zapasowe i kopie na urządzeniach równorzędnych celowo pozostawia się niezmienione.

Co to jest Tryb przymusu?

Tryb przymusu to ostatnia linia obrony. Jest to funkcja, której, mam nadzieję, nigdy nie będziesz potrzebować, zaprojektowana z myślą o chwili, gdy wszystko inne zawiodło, gdy ktoś stoi nad tobą i żąda dostępu do twoich prywatnych plików, a ty nie masz innego wyjścia, jak tylko się zgodzić.

Oto jak to działa: wyznaczasz jeden skarbiec jako skarbiec przymusowy. Wypełniasz go treścią, która wygląda wiarygodnie – kilkoma nieszkodliwymi zdjęciami, kilkoma przyziemnymi dokumentami. Następnie przypisujesz mu wzór, tak jak w przypadku każdego innego skarbca. W zwykłym interfejsie odblokowania wygląda i otwiera się jak normalny skarbiec; system plików i dowody w chmurze pozostają poza tym wąskim roszczeniem dotyczącym prezentacji.

Różnica polega na tym, co się stanie, gdy narysujesz ten wzór. Normalny wzór skarbca otwiera własny skarbiec. Wzorzec przymusu również to robi, pokazując zawartość wyznaczonego skarbca na ekranie, ale wyzwala także lokalne czyszczenie indeksów i map odzyskiwania, dzięki którym inne skarbce są dostępne na tym urządzeniu.

Nie pojawia się żadne okno dialogowe potwierdzenia. Nie odtwarza się żaden dźwięk ostrzegawczy. Osoba obserwująca Cię widzi otwarty skarbiec i pojawiają się w nim pliki. Interfejs nie informuje, że inne lokalne indeksy skarbca zostały usunięte, lokalne mapowania odzyskiwania zostały wyczyszczone, oczekujące prace nad tworzeniem kopii zapasowych zostały zatrzymane, a urządzenie musi użyć jawnego odzyskiwania opartego na frazach, zanim wyczyszczony skarbiec będzie mógł powrócić.

Jak to działa Pod maską

Zrozumienie mechaniki ma znaczenie, ponieważ tryb przymusu ma węższe granice niż uniwersalne roszczenie o usunięcie. Zmienia stan bieżącego urządzenia; nie obiecuje wymazać CloudKit, inne urządzenie, historia systemu plików lub dowody zebrane już przez osobę atakującą.

Krok 1: Narysuj wzór przymusu

Kiedy narysujesz wzór przypisany do skarbca przymusu, Vaultaire rozpoznaje go jako wyzwalacz przymusu. Aplikacja rozpoczyna jednocześnie dwie operacje: rozpoczyna odszyfrowywanie i wyświetlanie zawartości wyznaczonego skarbca oraz inicjuje lokalne czyszczenie indeksów i mapowanie odzyskiwania dla każdego innego skarbca.

Krok 2: Stan dostępu lokalnego został usunięty

Vaultaire korzysta z jednego urządzenia na całym urządzeniu Keychain sól do lokalnego wyprowadzania wzorców, a nie osobna sól dla każdego skarbca. Tryb przymusu nie niszczy tej wspólnej soli. Zamiast tego czyści zaszyfrowaną lokalną bazę danych odzyskiwania i usuwa każdy indeks skarbca z wyjątkiem indeksu wyznaczonego skarbca. Ponieważ każdy indeks zawiera opakowany losowy klucz główny i mapę plików dla tego skarbca, usunięcie go powoduje, że skarbiec bez przymusu wychodzi z użytecznego stanu lokalnego aplikacji.

Zaszyfrowana pula obiektów BLOB może pozostać, ponieważ skarbce współdzielą ten magazyn. Bez usuniętego indeksu Vaultaire nie ma mapy plików ani opakowanego klucza głównego, za pomocą którego można lokalnie otworzyć usunięty skarbiec. Aplikacja czyści także lokalne mapowania odzyskiwania, więc na zwykłym ekranie odzyskiwania nie można od razu wyliczyć ani przywrócić tych skarbców.

Krok 3: Odzyskiwanie w chmurze jest zachowywane, ale izolowane

Istniejące zaszyfrowane iCloud kopia zapasowa jest celowo zachowywana jako ścieżka odzyskiwania. Urządzenie resetuje oczekujące prace nad kopią zapasową i wchodzi w granicę izolacji, więc lokalne czyszczenie nie jest przesyłane jako zwykłe usunięcie, a ukryte skarbce nie są automatycznie przywracane. Późniejsze odzyskiwanie jest jawne, po jednym skarbcu na raz i wymaga frazy odzyskiwania tego skarbca, a nie tylko wzorca ujawnionego w ramach przymusu.

Krok 4: Skarbiec przymusu otwiera się normalnie

Podczas czyszczenia lokalnego wybrany skarbiec otwiera się poprzez normalny interfejs. Vaultaire blokuje analizę przed uruchomieniem, próbuje unieważnić aktywne udziały utworzone w tym skarbcu, ponownie generuje frazę odzyskiwania, a następnie usuwa oznaczenie przymusu. Aplikacja nie wyświetla potwierdzenia ani komunikatu o zakończeniu pod przymusem, ale czas zakończenia zależy od pracy lokalnej i wszelkich odwołań sieciowych; Vaultaire nie obiecuje uniwersalnego terminu poniżej sekundy.

Dlaczego nikt nie może powiedzieć

Bezpośredni interfejs zaprojektowano tak, aby uniknąć ogłaszania trybu przymusu osobie obserwującej Cię przez ramię. Jest to przydatna właściwość prezentacji, a nie dowód na to, że każdy obserwator medycyny sądowej widzi identyczny stan urządzenia. artefakty systemu plików, CloudKit nagrania, inne zsynchronizowane urządzenie lub wcześniejszy dostęp do telefonu mogą wykraczać poza to, co aplikacja może ukryć.

Brak okna dialogowego potwierdzenia

Większość destrukcyjnych działań w oprogramowaniu kończy się ostrzeżeniem: „Czy jesteś pewien?” Tryb przymusu nie ma takiego ostrzeżenia. Okno dialogowe z potwierdzeniem byłoby martwym prezentem. Akcja zostaje podjęta w momencie narysowania wzoru. Nie możesz go przypadkowo uruchomić, chyba że przypadkowo narysujesz konkretny, złożony wzór na siatce 5×5, co nie dzieje się przypadkowo.

Brak oddzielnego ekranu opóźnienia

Aplikacja otwiera wyznaczony skarbiec podczas wykonywania lokalnego czyszczenia i unieważniania udziałów. Przepływ nie został zaprojektowany tak, aby dodawać oddzielny ekran ostrzegawczy, ale wydajność urządzenia, stan skarbca i warunki sieciowe są różne. Vaultaire nie twierdzi, że równość czasowa jest czymś, czego obserwator dysponujący instrumentami nigdy nie byłby w stanie rozróżnić.

Brak powiadomienia o czyszczeniu w aplikacji

Vaultaire wyłącza analizę przed czyszczeniem i nie wyświetla powiadomienia o usunięciu skarbców. Na tym urządzeniu zachowany skarbiec to ten, który pozostaje dostępny za pośrednictwem aplikacji. Nie powoduje to usunięcia dowodów poza bieżącym stanem lokalnym aplikacji i nie należy tego traktować jako obietnicy niewykrywalności podczas badań kryminalistycznych.

Co ulega zniszczeniu

Precyzja ma tutaj znaczenie. Tryb przymusu usuwa określone struktury lokalne potrzebne do wyszukiwania i otwierania skarbców niewymagających przymusu, zachowując jednocześnie współdzielony zaszyfrowany magazyn obiektów BLOB i wszelkie zaszyfrowane iCloud kopia zapasowa. Jest to lokalne czyszczenie stanu dostępu, a nie twierdzenie, że każda fizyczna kopia została nadpisana.

Zaszyfrowana baza danych odzyskiwania

Lokalna baza danych odzyskiwania mapuje frazy odzyskiwania i pola starszych wzorców na dostęp do skarbca. Tryb przymusu czyści tę bazę danych, a następnie tworzy nowy wpis odzyskiwania tylko dla wyznaczonego skarbca. Spowoduje to usunięcie lokalnych map odzyskiwania dla innych skarbców bez udawania, że ​​Vaultaire użył lub zniszczył oddzielną sól dla każdego z nich.

Indeksy skarbca bez przymusu

Każdy zaszyfrowany indeks skarbca zawiera rekordy plików i losowy klucz główny owinięty kluczem wyprowadzonym ze wzorca skarbca. Tryb przymusu usuwa każdy indeks z wyjątkiem wyznaczonego skarbca. The PBKDF2 algorytm i liczba iteracji są publicznymi parametrami implementacyjnymi; bezpieczeństwo nie zależy od ich usunięcia.

Zaszyfrowane dane

Udostępniona zaszyfrowana pula obiektów BLOB zostaje zachowana, ponieważ zawiera również zawartość wyznaczonego skarbca. Dane należące wyłącznie do usuniętych indeksów mogą stać się niedostępne za pośrednictwem aplikacji, ale Vaultaire nie zapewnia bezpiecznego fizycznego nadpisania każdego bloku pamięci flash. Usunięte indeksy lub poprzedni stan mogą również pozostać w warstwach pamięci poza kontrolą aplikacji.

Kiedy używać Tryb przymusu

Tryb przymusu jest przeznaczony do stosowania w sytuacjach, w których spotykasz się z przymusem fizycznym lub przymusem prawnym i zdecydowałeś, że lepsze będzie usunięcie dostępu do lokalnego skarbca niż jego ujawnienie. Jest to osobista decyzja o poważnych konsekwencjach, a Vaultaire udostępnia Ci narzędzie, nie podejmując decyzji za Ciebie.

Przejścia graniczne

Uprawnienia w zakresie przeszukania granic i obowiązki podróżnych różnią się w zależności od kraju i okoliczności. Narysowanie wzorca przymusu przed oddaniem telefonu pozostawia jeden skarbiec dostępny w interfejsie i usuwa inny stan dostępu lokalnego, ale nie może zagwarantować, że egzaminator nie znajdzie żadnych artefaktów systemu plików, zaszyfrowanych kopii zapasowych, kopii równorzędnych ani wcześniejszych dowodów.

Przymus fizyczny

Jeśli ktoś w obliczu zagrożenia zmusza Cię do odblokowania telefonu, potrzebujesz sposobu na ograniczenie tego, co ujawnia zwykły interfejs. Tryb przymusu pozwala narysować wzór przypominający współpracę. Osoba wymuszająca widzi otwarcie wyznaczonego skarbca, podczas gdy interfejs nie ogłasza jednoczesnego lokalnego czyszczenia stanu dostępu do innego skarbca.

Zajęcie urządzenia

Jeśli masz powody sądzić, że Twoje urządzenie zostanie skonfiskowane, tryb przymusu może uniemożliwić dostęp do skarbca z bieżącej instalacji aplikacji przed przekazaniem. Nie może zagwarantować, że analityk kryminalistyczny nie ma nic do zbadania, zwłaszcza jeśli bezpieczeństwo urządzenia zostało już przejęte lub istnieją inne kopie lub artefakty systemowe.

Dziennikarz i ochrona źródeł

Dziennikarze pracujący we wrogim środowisku, aktywiści działający pod obserwacją i wszyscy, których dane mogą stanowić zagrożenie dla nich samych lub innych. Tryb przymusu zamienia chwilę bezbronności w chwilę ochrony.

Konfigurowanie skarbca przymusu

Konfiguracja Tryb przymusu zajmuje około dwóch minut. Zrób to dobrze, aby było przekonująco, wymaga nieco więcej przemyślenia.

Wskaż skarbiec

W ustawieniach Vaultaire wyznaczasz jeden skarbiec jako skarbiec przymusowy. Skarbiec ten będzie tym, który zostanie otwarty po narysowaniu wzoru przymusu, dlatego musi zawierać treść wyglądającą realnie i spełniającą oczekiwania obserwatora. Pusty skarbiec jest podejrzany. Skarbiec zawierający wyraźnie fałszywą zawartość jest podejrzany. Skarbiec z garstką normalnie wyglądających osobistych zdjęć jest idealny.

Zaopatrz się w wiarygodną zawartość

Umieść w swoim skarbcu przymusowym zawartość, którą ktoś spodziewałby się znaleźć w skarbcu prywatnym: kilka osobistych zdjęć, może skan dokumentu, kilka plików, które wyglądają na wystarczająco prywatne, aby uzasadnić zamknięcie, ale na tyle nieszkodliwe, aby przetrwać kontrolę. Celem nie jest oszukanie śledztwa kryminalistycznego, lecz zadowolenie osoby stojącej przed tobą w tej chwili.

Wybierz naturalny wzór

Wzór przymusu powinien być czymś, co można narysować pod wpływem stresu, szybko i bez wahania. Jeśli narysujesz inny prawidłowy wzór, możesz zamiast tego otworzyć inny skarbiec lub pusty stan. Przećwicz działanie spustu w bezpiecznej konfiguracji testowej. Jak każdy wzór Vaultaire'a, musi łączyć co najmniej sześć kropek i dokonywać co najmniej dwóch zmian kierunku.

Przetestuj

Zanim będziesz go potrzebować, przetestuj Tryb przymusu w bezpiecznym środowisku. Utwórz kilka skarbców testowych, wyznacz skarbiec przymusowy i uruchom go. Sprawdź, czy inne skarbce zniknęły. Sprawdź, czy skarbiec przymusowy otworzył się normalnie. Następnie skonfiguruj to naprawdę.

Nie można cofnąć

Trzeba to jasno powiedzieć: po uruchomieniu trybu przymusu nie ma przycisku cofania dla lokalnego czyszczenia. Zespół pomocy Vaultaire nie może zrekonstruować Twojego wzoru ani frazy odzyskiwania. Jeśli włączyłeś szyfrowanie iCloud wykonaj wcześniej kopię zapasową i zachowaj frazę odzyskiwania, możesz później przywrócić pojedynczy skarbiec na raz. Bez obu usunięty stan dostępu lokalnego może uniemożliwić odzyskanie skarbca.

Inne indeksy i lokalne mapowania odzyskiwania zniknęły ze stanu aktywnej aplikacji. Pula soli obejmująca całe urządzenie i udostępniona zaszyfrowana pula obiektów BLOB nie są celem czyszczenia, a zaszyfrowane kopie zapasowe w chmurze są zachowywane. Ta granica jest zamierzona: usuwa dostęp z wymuszonego urządzenia, zachowując jednocześnie ścieżkę odzyskiwania kontrolowaną frazą dla właściciela.

Tryb przymusu jest przeznaczony dla osób, które rozumieją ten kompromis i z wyprzedzeniem zdecydowały, że wolą usunąć natychmiastowy dostęp z bieżącego urządzenia, niż narażać skarbiec pod przymusem. Jeśli nie możesz bezpiecznie zachować frazy odzyskiwania i zaszyfrowanej kopii zapasowej, załóż, że lokalne czyszczenie może kosztować Cię dostęp do tego skarbca.

Kompromis jest konkretny, a nie absolutny. Lokalne usuwanie rozpoczyna się bez potwierdzenia, natomiast późniejsze odzyskiwanie jest możliwe tylko poprzez oddzielną chmurę i ścieżkę odzyskiwania. Przed podjęciem decyzji, czy dane zachowanie pasuje do Twojego modelu zagrożenia, przetestuj tę funkcję na danych niewrażliwych.