Ukryte skarbce bez widocznej listy skarbców

Ukryte skarbce w Vaultaire to interfejs i właściwość routingu kluczy: aplikacja nie wyświetla listy skarbców w postaci zwykłego tekstu i otwiera skarbiec dopiero po pobraniu klucza ze wzorca. Na dysku pozostają przeliczalne oddzielne zaszyfrowane pliki indeksu, więc taki projekt nie sprawia, że ​​liczba skarbców jest niewidoczna z punktu widzenia śledczego.

Co właściwie oznacza „Ukryte sejfy”?

Większość aplikacji skarbcowych działa jak szafki na dokumenty. Otwórz aplikację, a zobaczysz listę swoich skarbców. Może mają imiona. Może pokażą licznik. Być może obok każdego z nich znajduje się mała ikona kłódki. Aplikacja wie dokładnie, ile masz skarbców, a informacja ta jest widoczna dla każdego, kto otworzy aplikację, lub sprawdzi urządzenie.

Vaultaire działa inaczej w interfejsie. Nie ma ekranu z listą nazw skarbców ani pytaniem, który z nich odblokować. Kiedy rysujesz wzór, aplikacja generuje 256-bitowy klucz skarbca PBKDF2, miesza ten klucz, tworząc oczekiwaną nazwę pliku indeksu, i podejmuje próbę uwierzytelnionego odszyfrowania tego zaszyfrowanego indeksu. Jeśli indeks istnieje i jego AES-GCM tag sprawdza, Vaultaire rozpakowuje losowy klucz główny i otwiera pliki. W przeciwnym razie przedstawia stan pusty.

Ten routing jest częścią architektury pamięci masowej, ale jego ochrona ma ograniczenia. Vaultaire nie prowadzi rejestru głównego mapującego skarbce w postaci zwykłego tekstu na wzorce lub etykiety. Tworzy dokładnie 1 zaszyfrowany plik indeksu dla każdego skarbca, a aplikacja ma ścieżki konserwacji, które wyliczają te pliki. Badacz systemu plików może zatem policzyć zaszyfrowane indeksy, nawet jeśli nie może odczytać zawartości indeksu bez klucza.

To nie jest „ukryty folder”

Wyrażenie „ukryty skarbiec” może przywodzić na myśl aplikacje, które ukrywają folder w miejscu, w którym nie można go łatwo zobaczyć. Być może nazwa folderu zawiera przedrostek z kropką, więc nie pojawia się w przeglądarce plików. Być może aplikacja używa przebrania „kalkulatora”, aby ukryć swój prawdziwy cel. Są to sztuczki kamuflażowe, ale wszystkie mają tę samą fatalną wadę: ukryte dane nadal tam są, w znanej lokalizacji i czekają na odnalezienie.

Specjalista medycyny sądowej mający dostęp do Twojego urządzenia może w prosty sposób znaleźć ukryty folder. Narzędzia systemu plików wyświetlają listę wszystkich katalogów. Analizatory pamięci pokazują, gdzie jest przydzielone miejsce na dysku. Nawet średnio obeznany z technologią znajomy, który ma pięć minut i wyszukiwarkę, jest w stanie zlokalizować większość „ukrytych” folderów.

Vaultaire nie opiera się na ukrytym folderze ani skórce kalkulatora. Wewnątrz kontenera aplikacji przechowuje zaszyfrowane indeksy skarbca oraz zaszyfrowane pliki obiektów BLOB. Zawartość indeksu ukrywa nazwy plików użytkownika, MIME typy, daty, mapy plików i opakowany klucz główny AES-256-GCM. Zawartość ta nie stanie się czytelna, dopóki prawidłowy klucz oparty na wzorcu nie uwierzytelni indeksu.

Praktyczna różnica polega na tym, że folder tajny ma prostą nazwę, a uwierzytelniony, zaszyfrowany kontener wybrany na podstawie nazwy pliku opartej na kluczu. Osoba badająca urządzenie może sprawdzić, czy kontener istnieje. Bez prawidłowego uwierzytelnienia nie otrzymają czytelnej mapy plików ani zawartości.

Co ujawnia układ przechowywania

Nawet bez listy skarbców sprytny przeciwnik może spróbować innego podejścia: analizy wykorzystania dysku. Jeśli Vaultaire wykorzystuje dzisiaj 500 MB pamięci, a jutro 800 MB, być może dodałeś skarbiec. Jeśli usunięcie zdjęć z jednego skarbca zmniejsza ilość miejsca na dysku dokładnie o 200 MB, być może istnieje korelacja, którą można wykorzystać.

Vaultaire nie utrzymuje stałego obszaru pamięci lokalnej. Dodawanie plików zużywa pamięć, usunięcie skarbca może zwolnić miejsce, a dla każdego skarbca istnieje jeden zaszyfrowany plik indeksu. Szyfrowanie chroni zawartość i integralność, ale nie usuwa z systemu plików wszystkich informacji o rozmiarze, liczbie i czasie.

Obserwator mający dostęp do kontenera aplikacji może powiązać liczbę plików, rozmiary i czasy modyfikacji z aktywnością. iOS Ochrona danych może ograniczyć dostęp, gdy urządzenie jest zablokowane, a zaszyfrowane ładunki pozostają poufne bez kluczy, ale Vaultaire nie reklamuje odporności na analizę lokalnego ruchu.

Gdzie używana jest wyściółka

Vaultaire używa dopełnienia w określonych formatach. Zaszyfrowane nagłówki plików rezerwują stały rozmiar nagłówka, więc zwykłe nazwy plików i MIME typy nie są ujawniane w postaci zwykłego tekstu. Zaszyfrowane iCloud kopia zapasowa wykorzystuje stałe rekordy o rozmiarze 10 MB i fragmenty wabika. Tych elementów sterujących nie należy mylić z lokalną pulą pamięci o stałym rozmiarze.

Lokalne indeksy skarbca i pliki obiektów BLOB nadal mają rozpoznawalne nazwy i rozmiary plików na poziomie aplikacji. AES-GCM ukrywa ich tekst jawny i wykrywa modyfikacje; nie sprawia to, że każdy bajt lub artefakt systemu plików będzie nie do odróżnienia od dowolnych losowych sektorów dysku.

Opór kryminalistyczny: co się dzieje, gdy zabiorą Ci telefon

Określmy szczegółowo model zagrożenia. Osoba przeglądająca aplikację nie widzi katalogu skarbca. Osoba uzyskująca dostęp do kontenera aplikacji za pośrednictwem zhakowanego lub odblokowanego urządzenia ma lepszy pogląd i może sprawdzać nazwy plików, liczbę, rozmiary, znaczniki czasu, Keychain dostępność i zaszyfrowane ładunki.

Co widzą narzędzia kryminalistyczne

Ekspert kryminalistyczny może sprawdzić, czy Vaultaire jest zainstalowany, ile wykorzystuje pamięci, ile istnieje plików `vault_index_*.bin`, ich kluczowe odciski palców, zaszyfrowane pliki BLOB i metadane modyfikacji. Egzaminator może również skopiować tekst zaszyfrowany w celu odgadnięcia wzorca w trybie offline.

Jakie szyfrowanie nadal chroni

• Czytelne etykiety skarbców i mapy plików. Zaszyfrowany indeks chroni rekordy plików i opakowany losowy klucz główny.
• Oryginalne nazwy plików i MIME typy. Pola te znajdują się w uwierzytelnionych, zaszyfrowanych nagłówkach plików, a nie w nazwach katalogów w postaci zwykłego tekstu.
• Zawartość zdjęć, filmów i dokumentów. Używane są ładunki plików AES-256-GCM pod losowym kluczem głównym skarbca.
• Sam wzór. Vaultaire nie przechowuje tego jako preferencji w postaci zwykłego tekstu, chociaż zaszyfrowana lokalna baza danych odzyskiwania zawiera materiał wzorców i fraz podczas normalnego użytkowania urządzenia.
• Skrót dotyczący zgadywania. PBKDF2 podnosi koszt każdego kandydata, ale skopiowana nazwa pliku indeksu i AES-GCM tag nadal pozwala atakującemu weryfikować domysły w trybie offline.

Jak Ukryte sejfy Włącz Wiarygodne zaprzeczenie

Ukryte skarbce zapewniają podział interfejsu za Vaultaire wiarygodne zaprzeczenie funkcja. Połączenie i jego limit podczas badania systemu plików mają znaczenie przy ocenie roszczenia.

W interfejsie Vaultaire różne prawidłowe wzorce mogą otwierać różne rzeczywiste skarbce. Możesz wybrać jeden wzór dla delikatnego materiału i inny dla mniej wrażliwego skarbca. Obserwatorowi, który widzi tylko odblokowany interfejs, nie wyświetla się etykieta identyfikująca skarbiec jako „prawdziwy” lub „wabik”.

Może to ograniczyć ujawnianie informacji podczas przypadkowej kontroli lub surfowania po ramieniu, ale nie spełnia najsurowszej kryminalistycznej definicji wiarygodnego zaprzeczenia. Egzaminator mający dostęp do kontenera aplikacji może zliczać zaszyfrowane indeksy. Użyj tej funkcji jako podziału interfejsu, a nie jako dowodu na to, że nie istnieje żaden dodatkowy skarbiec.

Kompletny łańcuch

• Krok 1: Tworzysz wiele skarbców z różnymi wzorami: jeden na prawdziwe pliki, drugi na wabiki, tyle, ile chcesz.
• Krok 2:W przypadku nacisku rysujesz wzór wabika. Obserwator widzi skarbiec z nudnymi zdjęciami.
• Krok 3: Odblokowany interfejs nie wyświetla listy między skarbcami ani monitów o nadanie nazwy drugiemu skarbcowi.
• Krok 4: Należy pamiętać o oddzielnej granicy zagrożeń: dostęp do systemu plików może ujawnić liczbę zaszyfrowanych indeksów, nawet jeśli obserwator nie może odszyfrować zawartości.

Rezultatem jest praktyczny podział wewnątrz aplikacji, poparty szyfrowaniem treści. Nie jest matematyczną gwarancją, że osoba badająca urządzenie nie będzie w stanie wykryć dodatkowych zaszyfrowanych kontenerów.

Dlaczego to ma znaczenie

Można by pomyśleć, że opór kryminalistyczny brzmi ekstremalnie. Większości ludzi nie grozi konfiskata urządzeń ani nakazy sądowe. Ale zasada kryjąca się za ukrytymi skarbcami chroni Cię także w codziennych sytuacjach.

Osoba, która dotrze do ekranu blokady Vaultaire, nie otrzyma listy nazw skarbców, do których będzie kierowana. Współpracownik pożyczający Twoje urządzenie nie może przeglądać skarbców za pomocą selektora. Złodziej nadal wie, że Vaultaire jest zainstalowany i może zaatakować aplikację lub urządzenie, ale zaszyfrowana zawartość pozostaje chroniona wzorcem, PBKDF2 koszt, AES-GCM, i okolice iOS granicę bezpieczeństwa.

Ukryte skarbce odpowiadają na węższe pytanie dotyczące prywatności: czy otwarcie jednego skarbca ujawnia katalog pozostałych? W normalnym interfejsie odpowiedź brzmi: nie. To, czy silniejszy egzaminator będzie w stanie wykryć zaszyfrowane kontenery, zależy od stanu urządzenia i poziomu dostępu oraz bezpośrednio ograniczających dokumenty Vaultaire.