Modo de coação: remover o acesso aos outros cofres

O modo de coação no Vaultaire permite designar um cofre como gatilho de coerção. Desenhar o padrão desse cofre o abre normalmente e, ao mesmo tempo, remove do dispositivo atual os índices dos cofres que não são de coação e os mapeamentos de recuperação locais. Os backups criptografados existentes do iCloud e as cópias de dispositivos peer são intencionalmente deixados inalterados.

O Que É o Modo de Coação?

O Modo de coação é a última linha de defesa. É uma função que você espera nunca precisar, projetada para o momento em que tudo mais falhou — quando alguém está em cima de você, exigindo acesso aos seus arquivos privados, e você não tem escolha a não ser obedecer.

Funciona assim: você designa um cofre como seu cofre de coação. Você o preenche com conteúdo que parece verossímil – algumas fotos inofensivas, alguns documentos mundanos. Em seguida, você atribui um padrão a ele, como qualquer outro cofre. Na interface de desbloqueio comum, ele se parece e abre como um cofre normal; as evidências no sistema de arquivos e na nuvem ficam fora dessa promessa, que vale só para a apresentação.

A diferença é o que acontece quando você desenha esse padrão. Um padrão de cofre normal abre seu próprio cofre. O padrão de coação também faz isso, mostrando o conteúdo do cofre designado na tela, mas também aciona uma limpeza local dos índices e mapeamentos de recuperação que tornam os outros cofres acessíveis naquele dispositivo.

Nenhum diálogo de confirmação aparece. Nenhum som de aviso toca. A pessoa que observa você vê um cofre abrir e os arquivos aparecerem. O que a interface não anuncia é que outros índices de cofre locais foram excluídos, os mapeamentos de recuperação locais foram limpos, o trabalho de backup pendente foi interrompido e o dispositivo precisa passar por uma recuperação explícita com a frase antes que um cofre removido possa voltar.

Como Funciona Internamente

Entender a mecânica importa porque o Modo de Coação tem um limite mais estreito do que uma promessa de apagamento universal. Ele muda o estado do dispositivo atual; não promete apagar o CloudKit, outro dispositivo, o histórico do sistema de arquivos nem evidências que um invasor já tenha coletado.

Passo 1: você desenha o padrão de coação

Quando você desenha o padrão atribuído ao seu cofre de coação, o Vaultaire o reconhece como um gatilho de coação. O aplicativo inicia duas operações ao mesmo tempo: começa a descriptografar e exibir o conteúdo do cofre designado e inicia a limpeza local dos índices e dos mapeamentos de recuperação de todos os outros cofres.

Passo 2: o estado de acesso local é removido

O Vaultaire usa um único sal do Keychain, válido para todo o dispositivo, na derivação local do padrão, e não um sal separado para cada cofre. O Modo de coação não destrói esse sal compartilhado. Em vez disso, ele limpa o banco de dados local de recuperação criptografado e exclui todos os índices de cofre, exceto o do cofre designado. Como cada índice contém a chave mestra aleatória encapsulada e o mapa de arquivos daquele cofre, removê-lo tira o cofre que não é de coação do estado local utilizável do aplicativo.

O conjunto de blobs criptografados pode permanecer porque os cofres compartilham esse armazenamento. Sem o índice apagado, o Vaultaire não tem mapa de arquivos nem chave mestra encapsulada para abrir localmente o cofre removido. O aplicativo também limpa os mapeamentos de recuperação locais, para que a tela de recuperação comum não consiga listar nem restaurar esses cofres de imediato.

Passo 3: a recuperação na nuvem é preservada, mas isolada

O backup criptografado existente no iCloud é preservado de propósito como caminho de recuperação. O dispositivo descarta o trabalho de backup pendente e entra em isolamento, para que a limpeza local não seja enviada como uma exclusão comum e os cofres ocultos não sejam baixados de volta automaticamente. A recuperação posterior é explícita, um cofre por vez, e exige a frase de recuperação daquele cofre, e não apenas o padrão revelado sob coação.

Passo 4: o cofre de coação abre normalmente

Enquanto a limpeza local é executada, o cofre designado abre através da interface normal. O Vaultaire desativa a coleta de análises antes de começar, tenta revogar compartilhamentos ativos criados nesse cofre, regenera sua frase de recuperação e, posteriormente, limpa a designação de coação. O aplicativo não apresenta confirmação de coação ou mensagem de conclusão, mas o tempo de conclusão depende do trabalho local e de quaisquer revogações de rede; Vaultaire não promete um prazo universal inferior a um segundo.

O que a interface silenciosa esconde e o que não esconde

A interface imediata foi feita para não anunciar o Modo de Coação a quem está olhando por cima do seu ombro. Essa é uma propriedade útil de apresentação, não uma prova de que todo observador forense vê o dispositivo no mesmo estado. Artefatos do sistema de arquivos, registros do CloudKit, outro dispositivo sincronizado ou um acesso anterior ao celular podem ficar fora do que o aplicativo consegue ocultar.

Sem Diálogo de Confirmação

A maioria das ações destrutivas em software vem com um aviso: “Tem certeza?” O Modo de coação não tem esse aviso. Um diálogo de confirmação entregaria tudo. No momento em que você desenha o padrão, a ação acontece. Você não o aciona por acidente, a menos que desenhe por acidente um padrão específico e complexo numa grade 5×5, o que não acontece por acaso.

Sem tela de atraso separada

O aplicativo abre o cofre designado enquanto executa a limpeza local e a revogação dos compartilhamentos. O fluxo foi feito para não acrescentar uma tela de aviso separada, mas o desempenho do aparelho, o estado do cofre e as condições da rede variam. O Vaultaire não afirma que o tempo seja idêntico a ponto de um observador com instrumentos nunca conseguir distinguir.

Nenhum aviso de limpeza no aplicativo

O Vaultaire desativa a análise antes da limpeza e não mostra nenhuma notificação de “cofres excluídos”. Nesse dispositivo, o cofre preservado é o único que continua acessível pelo aplicativo. Isso não apaga evidências fora do estado local atual do aplicativo e não deve ser tratado como promessa de indetectabilidade sob exame forense.

Qual estado local é removido

A precisão importa aqui. O Modo de coação remove estruturas locais específicas, necessárias para encontrar e abrir os cofres que não são de coação, e preserva o armazenamento compartilhado de blobs criptografados e qualquer backup criptografado no iCloud. É uma limpeza do estado de acesso local, e não uma afirmação de que todas as cópias físicas foram sobrescritas.

O banco de dados de recuperação criptografado

O banco de dados local de recuperação associa frases de recuperação e campos de padrão legados ao acesso aos cofres. O Modo de coação limpa esse banco de dados e depois cria uma nova entrada de recuperação apenas para o cofre designado. Isso remove os mapeamentos locais de recuperação dos outros cofres, sem fingir que o Vaultaire usou ou destruiu um sal separado para cada um.

Os índices dos cofres que não são de coação

Cada índice de cofre criptografado contém os registros de arquivos e a chave mestra aleatória encapsulada pela chave derivada do padrão daquele cofre. O Modo de coação exclui todos os índices, exceto o do cofre designado. O algoritmo PBKDF2 e o número de iterações são parâmetros públicos da implementação; a segurança não depende de apagá-los.

Os dados criptografados

O conjunto compartilhado de blobs criptografados é mantido porque também guarda o conteúdo do cofre designado. Os dados que pertenciam só aos índices apagados podem ficar inacessíveis pelo aplicativo, mas o Vaultaire não afirma sobrescrever com segurança cada bloco da memória flash. Índices apagados ou estados anteriores também podem persistir em camadas de armazenamento fora do controle do aplicativo.

Quando Usar o Modo de Coação

O Modo de coação foi projetado para situações em que você enfrenta coerção física ou imposição legal e decidiu que remover o acesso local ao cofre é preferível a expô-lo. É uma decisão pessoal com implicações sérias, e o Vaultaire oferece a ferramenta sem tomar a decisão por você.

Travessias de Fronteira

Os poderes de revista na fronteira e as obrigações dos viajantes variam conforme o país e as circunstâncias. Desenhar o padrão de coação antes de entregar o celular deixa um cofre acessível na interface e remove o restante do estado de acesso local, mas não garante que um examinador não encontre artefatos do sistema de arquivos, backups criptografados, cópias em outros aparelhos ou evidências anteriores.

Coerção Física

Se alguém está forçando você a desbloquear o celular sob ameaça, você precisa de um jeito de limitar o que a interface comum revela. O Modo de coação permite desenhar um padrão que parece cooperação. Quem coage vê o cofre designado abrir, e a interface não anuncia a limpeza local simultânea do acesso aos outros cofres.

Apreensão de Dispositivo

Se você tem motivos para acreditar que seu aparelho será confiscado, o Modo de coação pode remover da instalação atual do aplicativo o acesso aos cofres que não são de coação antes da entrega. Ele não garante que um analista forense não tenha nada para examinar, principalmente se o aparelho já estiver comprometido ou se existirem outras cópias e artefatos do sistema.

Proteção de Jornalistas e Fontes

Jornalistas que trabalham em ambientes hostis, ativistas sob vigilância e qualquer pessoa cujos dados possam colocar a si mesma ou a outras pessoas em perigo podem precisar disso. O Modo de coação transforma um momento de vulnerabilidade em um momento de proteção.

Configurando Seu Cofre de Coação

Configurar o Modo de coação leva cerca de dois minutos. Fazer isso bem, de forma convincente, exige um pouco mais de reflexão.

Designe o Cofre

Nas configurações do Vaultaire, você designa um cofre como o cofre de coação. Este cofre será o que abre quando o padrão de coação for desenhado, então precisa conter conteúdo que pareça real e satisfaça as expectativas de um observador. Um cofre vazio é suspeito. Um cofre com conteúdo claramente falso é suspeito. Um cofre com algumas fotos pessoais de aparência normal é perfeito.

Preencha com Conteúdo Verossímil

Coloque conteúdo no seu cofre de coação que alguém esperaria encontrar em um cofre privado: algumas fotos pessoais, talvez uma digitalização de documento, alguns arquivos que pareçam privados o suficiente para justificar o bloqueio mas inócuos o suficiente para resistir ao escrutínio. O objetivo não é enganar uma investigação forense — é satisfazer a pessoa à sua frente no momento.

Escolha um Padrão Natural

O padrão de coação deve ser algo que você consiga desenhar sob estresse, rápido e sem hesitar. Se você desenhar outro padrão válido, pode abrir outro cofre ou um estado vazio. Pratique o gatilho numa configuração de teste segura. Como todo padrão do Vaultaire, ele precisa ligar pelo menos seis pontos e mudar de direção pelo menos uma vez.

Teste

Antes de precisar, teste o Modo de coação em um ambiente seguro. Crie alguns cofres de teste, designe um cofre de coação e ative-o. Confirme que os outros cofres não abrem mais naquele dispositivo. Confirme que o cofre de coação abriu normalmente. Então configure de verdade.

Não Há Desfazer

Isso precisa ficar claro: depois que o Modo de coação é acionado, não existe botão de desfazer para a limpeza local. O suporte do Vaultaire não consegue reconstruir o seu padrão nem a sua frase de recuperação. Se o backup criptografado no iCloud (ativado por padrão) ainda estava ligado e você guardou a frase de recuperação, é possível restaurar depois um cofre por vez. Sem os dois, o estado de acesso local apagado pode deixar você sem como recuperar o cofre.

Os outros índices e mapeamentos de recuperação locais saíram do estado ativo do aplicativo. O sal do dispositivo e o conjunto compartilhado de blobs criptografados não são alvo da limpeza e os backups criptografados na nuvem são preservados. Esse limite é deliberado: ele remove o acesso do dispositivo coagido enquanto mantém um caminho de recuperação controlado por frase para o proprietário.

O Modo de coação foi projetado para pessoas que entendem essa compensação e decidiram, antecipadamente, que preferem remover o acesso imediato no dispositivo atual a expor o cofre sob coerção. Se você não conseguir guardar com segurança a frase de recuperação e um backup criptografado, presuma que a limpeza local pode custar seu acesso a esse cofre.

A compensação é específica, não absoluta. A exclusão local começa sem confirmação, enquanto a recuperação posterior só é possível pelo caminho separado da nuvem e da frase de recuperação. Teste o recurso com dados não confidenciais antes de decidir se esse comportamento corresponde ao seu modelo de ameaça.