Tryb przymusu: usuwanie dostępu do innych sejfów

Tryb przymusu w Vaultaire pozwala wyznaczyć jeden sejf jako wyzwalacz przymusu. Narysowanie wzoru tego sejfu otwiera go normalnie, usuwając indeksy sejfu bez przymusu i lokalne mapowania odzyskiwania z bieżącego urządzenia. Istniejące zaszyfrowane iCloud kopie zapasowe i kopie na innych urządzeniach celowo pozostawia się niezmienione.

Co to jest Tryb przymusu?

Tryb przymusu to ostatnia linia obrony. Jest to funkcja, której, mam nadzieję, nigdy nie będziesz potrzebować, zaprojektowana z myślą o chwili, gdy wszystko inne zawiodło, gdy ktoś stoi nad tobą i żąda dostępu do twoich prywatnych plików, a ty nie masz innego wyjścia, jak tylko się zgodzić.

Oto jak to działa: wyznaczasz jeden sejf jako sejf-wabik. Wypełniasz go treścią, która wygląda wiarygodnie – kilkoma nieszkodliwymi zdjęciami, kilkoma przyziemnymi dokumentami. Następnie przypisujesz mu wzór, tak jak w przypadku każdego innego sejfu. W zwykłym interfejsie odblokowania wygląda i otwiera się jak normalny sejf; system plików i dowody w chmurze pozostają poza tym wąskim roszczeniem dotyczącym prezentacji.

Różnica polega na tym, co się stanie, gdy narysujesz ten wzór. Normalny wzór sejfu otwiera własny sejf. Wzór przymusu również to robi, pokazując zawartość wyznaczonego sejfu na ekranie, ale wyzwala także lokalne czyszczenie indeksów i map odzyskiwania, dzięki którym inne sejfy są dostępne na tym urządzeniu.

Nie pojawia się żadne okno dialogowe potwierdzenia. Nie odtwarza się żaden dźwięk ostrzegawczy. Osoba obserwująca Cię widzi otwarty sejf i pojawiają się w nim pliki. Interfejs nie informuje, że inne lokalne indeksy sejfu zostały usunięte, lokalne mapowania odzyskiwania zostały wyczyszczone, oczekujące prace nad tworzeniem kopii zapasowych zostały zatrzymane, a urządzenie musi użyć jawnego odzyskiwania opartego na frazach, zanim usunięty sejf będzie mógł powrócić.

Jak to działa od środka

Zrozumienie mechaniki ma znaczenie, ponieważ tryb przymusu ma węższe granice niż uniwersalne roszczenie o usunięcie. Zmienia stan bieżącego urządzenia; nie obiecuje wymazać CloudKit, inne urządzenie, historia systemu plików lub dowody zebrane już przez osobę atakującą.

Krok 1: Narysuj wzór przymusu

Kiedy narysujesz wzór przypisany do sejfu-wabika, Vaultaire rozpoznaje go jako wyzwalacz przymusu. Aplikacja rozpoczyna jednocześnie dwie operacje: rozpoczyna odszyfrowywanie i wyświetlanie zawartości wyznaczonego sejfu oraz inicjuje lokalne czyszczenie indeksów i mapowanie odzyskiwania dla każdego innego sejfu.

Krok 2: Stan dostępu lokalnego został usunięty

Vaultaire korzysta z jednego urządzenia na całym urządzeniu sól w Keychain do lokalnego wyprowadzania wzorów, a nie osobna sól dla każdego sejfu. Tryb przymusu nie niszczy tej wspólnej soli. Zamiast tego czyści zaszyfrowaną lokalną bazę danych odzyskiwania i usuwa każdy indeks sejfu z wyjątkiem indeksu wyznaczonego sejfu. Ponieważ każdy indeks zawiera opakowany losowy klucz główny i mapę plików dla tego sejfu, usunięcie go powoduje, że sejf bez przymusu wychodzi z użytecznego stanu lokalnego aplikacji.

Zaszyfrowana pula obiektów blob może pozostać, ponieważ sejfy współdzielą ten magazyn. Bez usuniętego indeksu Vaultaire nie ma mapy plików ani opakowanego klucza głównego, za pomocą którego można lokalnie otworzyć usunięty sejf. Aplikacja czyści także lokalne mapowania odzyskiwania, więc na zwykłym ekranie odzyskiwania nie można od razu wyliczyć ani przywrócić tych sejfów.

Krok 3: Odzyskiwanie w chmurze jest zachowywane, ale izolowane

Istniejąca zaszyfrowana kopia zapasowa iCloud jest celowo zachowywana jako ścieżka odzyskiwania. Urządzenie resetuje oczekujące prace nad kopią zapasową i wchodzi w granicę izolacji, więc lokalne czyszczenie nie jest przesyłane jako zwykłe usunięcie, a ukryte sejfy nie są automatycznie przywracane. Późniejsze odzyskiwanie jest jawne, po jednym sejfie na raz i wymaga frazy odzyskiwania tego sejfu, a nie tylko wzoru ujawnionego w ramach przymusu.

Krok 4: Sejf-wabik otwiera się normalnie

Podczas czyszczenia lokalnego wybrany sejf otwiera się poprzez normalny interfejs. Vaultaire blokuje analizę przed uruchomieniem, próbuje unieważnić aktywne udziały utworzone w tym sejfie, ponownie generuje frazę odzyskiwania, a następnie usuwa oznaczenie przymusu. Aplikacja nie wyświetla potwierdzenia ani komunikatu o zakończeniu pod przymusem, ale czas zakończenia zależy od pracy lokalnej i wszelkich odwołań sieciowych; Vaultaire nie obiecuje uniwersalnego terminu poniżej sekundy.

Dlaczego nikt nie może powiedzieć

Bezpośredni interfejs zaprojektowano tak, aby uniknąć ogłaszania trybu przymusu osobie obserwującej Cię przez ramię. Jest to przydatna właściwość prezentacji, a nie dowód na to, że każdy analityk śledczy widzi identyczny stan urządzenia. Artefakty systemu plików, rekordy CloudKit, inne zsynchronizowane urządzenie lub wcześniejszy dostęp do telefonu mogą wykraczać poza to, co aplikacja może ukryć.

Brak okna dialogowego potwierdzenia

Większość destrukcyjnych działań w oprogramowaniu kończy się ostrzeżeniem: „Czy jesteś pewien?” Tryb przymusu nie ma takiego ostrzeżenia. Okno dialogowe z potwierdzeniem byłoby martwym prezentem. Akcja zostaje podjęta w momencie narysowania wzoru. Nie możesz go przypadkowo uruchomić, chyba że przypadkowo narysujesz konkretny, złożony wzór na siatce 5×5, co nie dzieje się przypadkowo.

Brak oddzielnego ekranu opóźnienia

Aplikacja otwiera wyznaczony sejf i jednocześnie wykonuje lokalne czyszczenie oraz unieważnia udostępnienia. Przepływ nie został zaprojektowany tak, aby dodawać oddzielny ekran ostrzegawczy, ale szybkość urządzenia, stan sejfu i warunki sieciowe są różne. Vaultaire nie twierdzi, że obserwator z narzędziami pomiarowymi nigdy nie odróżni czasu działania.

Brak powiadomienia o czyszczeniu w aplikacji

Vaultaire wyłącza analitykę przed czyszczeniem i nie wyświetla powiadomienia o usunięciu sejfów. Na tym urządzeniu przez aplikację pozostaje dostępny tylko zachowany sejf. Nie powoduje to usunięcia dowodów poza bieżącym stanem lokalnym aplikacji i nie należy tego traktować jako obietnicy niewykrywalności podczas badań śledczych.

Co ulega zniszczeniu

Precyzja ma tutaj znaczenie. Tryb przymusu usuwa określone struktury lokalne potrzebne do wyszukiwania i otwierania pozostałych sejfów, ale zachowuje współdzielony zaszyfrowany magazyn obiektów blob i wszystkie zaszyfrowane kopie zapasowe iCloud. Jest to lokalne czyszczenie stanu dostępu, a nie twierdzenie, że każda fizyczna kopia została nadpisana.

Zaszyfrowana baza danych odzyskiwania

Lokalna baza danych odzyskiwania mapuje frazy odzyskiwania i pola starszych wzorów na dostęp do sejfu. Tryb przymusu czyści tę bazę danych, a następnie tworzy nowy wpis odzyskiwania tylko dla wyznaczonego sejfu. Spowoduje to usunięcie lokalnych map odzyskiwania dla innych sejfów bez udawania, że Vaultaire użył lub zniszczył oddzielną sól dla każdego z nich.

Indeksy pozostałych sejfów

Każdy zaszyfrowany indeks sejfu zawiera rekordy plików i losowy klucz główny opakowany kluczem wyprowadzonym ze wzoru sejfu. Tryb przymusu usuwa każdy indeks z wyjątkiem wyznaczonego sejfu. Algorytm PBKDF2 i liczba iteracji są publicznymi parametrami implementacyjnymi; bezpieczeństwo nie zależy od ich ukrycia.

Zaszyfrowane dane

Współdzielona zaszyfrowana pula obiektów blob zostaje zachowana, ponieważ zawiera również zawartość wyznaczonego sejfu. Dane należące wyłącznie do usuniętych indeksów mogą stać się niedostępne za pośrednictwem aplikacji, ale Vaultaire nie zapewnia bezpiecznego fizycznego nadpisania każdego bloku pamięci flash. Usunięte indeksy lub poprzedni stan mogą również pozostać w warstwach pamięci poza kontrolą aplikacji.

Kiedy używać Tryb przymusu

Tryb przymusu jest przeznaczony do stosowania w sytuacjach, w których grozi Ci przymus fizyczny lub prawny i uznajesz, że lepsze będzie usunięcie dostępu do lokalnego sejfu niż jego ujawnienie. Jest to osobista decyzja o poważnych konsekwencjach, a Vaultaire udostępnia Ci narzędzie, nie podejmując decyzji za Ciebie.

Przejścia graniczne

Uprawnienia w zakresie przeszukania granic i obowiązki podróżnych różnią się w zależności od kraju i okoliczności. Narysowanie wzoru przymusu przed oddaniem telefonu pozostawia jeden sejf dostępny w interfejsie i usuwa inny stan dostępu lokalnego, ale nie może zagwarantować, że analityk śledczy nie znajdzie żadnych artefaktów systemu plików, zaszyfrowanych kopii zapasowych, kopii na innych urządzeniach ani wcześniejszych dowodów.

Przymus fizyczny

Jeśli ktoś groźbą zmusza Cię do odblokowania telefonu, potrzebujesz sposobu na ograniczenie tego, co ujawnia zwykły interfejs. Tryb przymusu pozwala narysować wzór, który wygląda na współpracę. Osoba wymuszająca widzi otwarcie wyznaczonego sejfu, a interfejs nie informuje o jednoczesnym lokalnym czyszczeniu dostępu do innych sejfów.

Zajęcie urządzenia

Jeśli masz powody sądzić, że Twoje urządzenie zostanie skonfiskowane, tryb przymusu może uniemożliwić dostęp do sejfu z bieżącej instalacji aplikacji przed przekazaniem. Nie może zagwarantować, że analityk śledczy nie ma nic do zbadania, zwłaszcza jeśli urządzenie zostało już przejęte lub istnieją inne kopie lub artefakty systemowe.

Dziennikarz i ochrona źródeł

Dziennikarze pracujący we wrogim środowisku, aktywiści działający pod obserwacją i wszyscy, których dane mogą stanowić zagrożenie dla nich samych lub innych. Tryb przymusu zamienia chwilę bezbronności w chwilę ochrony.

Konfigurowanie sejfu-wabika

Konfiguracja trybu przymusu zajmuje około dwóch minut. Dobra konfiguracja, czyli taka, która przekonuje, wymaga nieco więcej namysłu.

Wskaż sejf

W ustawieniach Vaultaire wyznaczasz jeden sejf jako sejf-wabik. Sejf ten będzie tym, który zostanie otwarty po narysowaniu wzoru przymusu, dlatego musi zawierać treść wyglądającą realnie i spełniającą oczekiwania obserwatora. Pusty sejf jest podejrzany. Sejf zawierający wyraźnie fałszywą zawartość jest podejrzany. Sejf z garstką normalnie wyglądających osobistych zdjęć jest idealny.

Zaopatrz się w wiarygodną zawartość

Umieść w swoim sejfie-wabiku zawartość, którą ktoś spodziewałby się znaleźć w sejfie prywatnym: kilka osobistych zdjęć, może skan dokumentu, kilka plików, które wyglądają na wystarczająco prywatne, aby uzasadnić zamknięcie, ale na tyle nieszkodliwe, aby przetrwać kontrolę. Celem nie jest oszukanie analizy śledczej, lecz zadowolenie osoby stojącej przed tobą w tej chwili.

Wybierz naturalny wzór

Wzór przymusu powinien być czymś, co można narysować pod wpływem stresu, szybko i bez wahania. Jeśli narysujesz inny prawidłowy wzór, możesz zamiast tego otworzyć inny sejf lub pusty stan. Przećwicz działanie spustu w bezpiecznej konfiguracji testowej. Jak każdy wzór Vaultaire'a, musi łączyć co najmniej sześć kropek i dokonywać co najmniej jednej zmiany kierunku.

Przetestuj

Zanim będziesz go potrzebować, przetestuj Tryb przymusu w bezpiecznym środowisku. Utwórz kilka sejfów testowych, wyznacz sejf-wabik i uruchom go. Sprawdź, czy inne sejfy nie otwierają się już na tym urządzeniu. Sprawdź, czy sejf-wabik otworzył się normalnie. Następnie skonfiguruj to naprawdę.

Nie można cofnąć

Trzeba to jasno powiedzieć: po uruchomieniu trybu przymusu nie ma przycisku cofania dla lokalnego czyszczenia. Zespół pomocy Vaultaire nie może zrekonstruować Twojego wzoru ani frazy odzyskiwania. Jeśli zaszyfrowana kopia zapasowa iCloud (domyślnie włączona) była wcześniej włączona i zachowałeś frazę odzyskiwania, możesz później przywracać sejfy pojedynczo. Bez obu usunięty stan dostępu lokalnego może uniemożliwić odzyskanie sejfu.

Inne indeksy i lokalne mapowania odzyskiwania zniknęły ze stanu aktywnej aplikacji. Sól urządzenia i współdzielona zaszyfrowana pula obiektów blob nie są celem czyszczenia, a zaszyfrowane kopie zapasowe w chmurze są zachowywane. Ta granica jest zamierzona: usuwa dostęp z urządzenia użytego pod przymusem, zachowując jednocześnie ścieżkę odzyskiwania kontrolowaną frazą dla właściciela.

Tryb przymusu jest przeznaczony dla osób, które rozumieją ten kompromis i z wyprzedzeniem zdecydowały, że wolą usunąć natychmiastowy dostęp z bieżącego urządzenia, niż narażać sejf pod przymusem. Jeśli nie możesz bezpiecznie zachować frazy odzyskiwania i zaszyfrowanej kopii zapasowej, załóż, że lokalne czyszczenie może kosztować Cię dostęp do tego sejfu.

Kompromis jest konkretny, a nie absolutny. Lokalne usuwanie rozpoczyna się bez potwierdzenia, natomiast późniejsze odzyskanie jest możliwe tylko przez oddzielną ścieżkę chmury i odzyskiwania. Przetestuj tę funkcję na mniej ważnych danych, zanim uznasz, że pasuje do Twojego modelu zagrożeń.