Negação plausível e cofres separados por padrões

O recurso de negação plausível do Vaultaire usa padrões separados para lidar com índices de cofre criptografados separados sem mostrar uma lista de todos os cofres. Isso pode ocultar outros cofres durante a inspeção comum da interface, mas o layout no disco expõe a contagem de cofres a um examinador com acesso ao contêiner do aplicativo.

O Que Realmente Significa Negação Plausível

No seu sentido criptográfico mais forte, a negação plausível significa que o armazenamento observável não prova a existência de conteúdo protegido adicional. Na linguagem cotidiana do produto, a frase também é usada para credenciais falsas que revelam uma visão enquanto ocultam outra. Esses são padrões diferentes, e a implementação atual do Vaultaire atende ao objetivo de compartimentalização da interface, e não à negação no sentido da teoria da informação.

A maioria dos apps de cofre oferece um cofre atrás de uma senha. Se alguém te forçar a abri-lo, tudo fica exposto. Alguns apps oferecem um “modo isca” onde você pode definir uma segunda senha que mostra uma tela falsa. Mas essas implementações geralmente são cosméticas. Um examinador forense consegue olhar os dados do app, ver flags de configuração, notar que o tamanho dos dados criptografados não corresponde aos arquivos visíveis, ou encontrar metadados que denunciam a existência de uma camada oculta.

Vaultaire adota uma abordagem baseada em padrões. Cada padrão válido na grade 5×5 deriva uma chave de cofre candidata diferente. O aplicativo faz o hash dessa chave para calcular um nome de arquivo de índice criptografado esperado e, em seguida, abre e autentica esse índice, se ele existir. Ele não mantém um registro em texto simples que associe padrões a cofres nem nomes de cofre visíveis para o usuário, embora os próprios arquivos de índice criptografados possam ser enumerados e contados.

Se o índice derivado existir e a autenticação AES-GCM for bem-sucedida, você verá os arquivos desse cofre. Caso contrário, o Vaultaire apresenta um estado vazio e pode criar um novo cofre para esse padrão. Não há erro na tela de bloqueio ao nomear outro cofre ou ao mostrar uma lista. Essa interface silenciosa ajuda durante a inspeção casual, mas não apaga as evidências do sistema de arquivos descritas abaixo.

Como Funciona Internamente

A base técnica combina endereçamento derivado de padrões com criptografia autenticada. Diferentes padrões produzem diferentes chaves candidatas e nomes de arquivos. Em seguida, o AES-GCM fornece uma verificação de integridade explícita: uma chave correta autentica o índice criptografado, enquanto uma chave incorreta falha. Esse resultado de autenticação é útil para segurança, mas também significa que os dados copiados permitem verificar palpites offline.

Padrões Diferentes, Chaves Diferentes

Quando você desenha um padrão, o Vaultaire serializa a sequência de pontos e o tamanho da grade e, em seguida, executa 600.000 rodadas de PBKDF2-HMAC-SHA512 com um sal aleatório do Keychain válido para todo o dispositivo. A função gera uma chave de cofre de 256 bits. Espera-se que entradas de padrões diferentes produzam uma chave não relacionada, mas a segurança da credencial permanece limitada pela adivinhação do padrão. Uma saída de 256 bits não dá 256 bits de entropia a um padrão escolhido por uma pessoa.

Cada Chave Descriptografa Seu Próprio Blob

O Vaultaire armazena o mapa de arquivos de cada cofre e a chave mestra aleatória encapsulada em um índice criptografado com AES-256-GCM. Quando você desenha um padrão, o aplicativo deriva a chave do cofre candidata e verifica o nome do arquivo de impressão digital da chave correspondente. Se o arquivo existir, a descriptografia autenticada será bem-sucedida ou falhará; o AES-GCM não aceita um texto simples sem sentido. Se nenhum índice válido for aberto, a interface do usuário oferece um estado vazio sem listar outros cofres.

Nenhum catálogo de cofres em texto simples

O Vaultaire não mantém uma tabela de banco de dados voltada para o usuário que mapeie padrões para nomes legíveis de cofres. O fluxo comum de desbloqueio chega a um único índice por meio da chave derivada. No disco, cada cofre tem um arquivo raiz `vault_index_<locator>.bin` em um conjunto preenchido até faixas de 64 com arquivos de cobertura aleatórios, além de um diretório de armazenamento nomeado com o mesmo localizador. O próprio aplicativo enumera esses itens para manutenção de armazenamento. Os localizadores não revelam os padrões de origem, mas a contagem de diretórios revela o número de cofres e mostra quais arquivos raiz são reais.

Ambos os cofres são igualmente reais. Ambos são criptografados com o mesmo algoritmo. Ambos produzem o mesmo tipo de saída criptografada. Não há flag, marcador nem metadado que rotule um como “real” e outro como “isca.” Do ponto de vista da matemática, são idênticos.

A Estratégia do Cofre Isca

A negação plausível só funciona se você tem algo para mostrar. Um cofre vazio é suspeito. Um cofre que obviamente não contém nada que valha a pena proteger é suspeito. A defesa mais forte é um cofre que parece exatamente o que alguém esperaria encontrar.

Configurando Sua Isca

Escolha um segundo padrão — um que você consiga desenhar rapidamente e naturalmente sob pressão. Crie um cofre com esse padrão. Preencha com conteúdo que faça sentido para alguém que usa um app de cofre: talvez algumas fotos pessoais que preferiria manter privadas mas que não são sensíveis, alguns documentos financeiros, algumas notas. O conteúdo deve ser crível e ligeiramente embaraçoso — suficiente para que alguém procurando no seu telefone pense que encontrou o que você estava ocultando.

Tornando Convincente

Um bom cofre isca tem algumas características. Deve conter um número razoável de arquivos — nem poucos demais (vazio de forma suspeita) nem muitos demais (por que você protegeria tanto conteúdo mundano?). Os arquivos devem ser recentes o suficiente para sugerir uso ativo. E idealmente, o conteúdo deve fornecer uma razão plausível de por que você instalou um app de cofre.

Quem está limitado à interface desbloqueada vê o cofre selecionado e nenhum seletor de todos os cofres. Isso pode reduzir a exposição casual. Quem tem acesso ao sistema de arquivos pode contar os cofres e saber que existe mais de um cofre local, mesmo sem conseguir ligar um índice a um padrão ou ler o conteúdo dele.

Sob Pressão

Se você for coagido a desbloquear seu dispositivo, desenhe o padrão isca. O cofre abre. Os arquivos aparecem. Na interface comum, não há menu oculto nem lista de todos os cofres para descobrir. Quem está com o seu telefone vê um cofre desbloqueado. Isso pode deixar a revelação coerente durante uma inspeção casual, mas um exame do sistema de arquivos ainda pode revelar índices criptografados adicionais.

Seu cofre sensível não aparece na interface a menos que o padrão dele seja desenhado. Ele não fica listado atrás de um menu oculto. O índice criptografado dele continua existindo no contêiner do aplicativo, então o recurso não deve ser apresentado como proteção contra toda forma de revelação forçada ou análise forense.

O Limite de Segurança, com Precisão

Vaultaire pode fazer afirmações fortes sobre o conteúdo criptografado e uma afirmação mais restrita sobre a interface. AES-GCM protege o que um índice e seus arquivos contêm. O roteamento pelo padrão mantém outros cofres fora do fluxo de desbloqueio visível. Nenhuma das propriedades torna invisível o número de arquivos de índice criptografados para um examinador que pode ler o contêiner do aplicativo.

O conteúdo criptografado permanece confidencial

AES-256-GCM foi projetado para ocultar texto simples e detectar modificações quando chaves e nonces são manipulados corretamente. Um examinador pode identificar os arquivos de índice e blob do Vaultaire a partir de seus nomes e localização, mas não pode ler o mapa de arquivos protegidos, a chave mestra encapsulada, os nomes de arquivos, os metadados, as miniaturas ou o conteúdo do arquivo sem as chaves relevantes.

Índices enumeráveis, sem mapa de padrões em texto simples

O sistema de arquivos pode responder quantos cofres estão presentes porque cada cofre possui seu próprio diretório de armazenamento. O que ele não fornece é um mapa em texto simples que ligue essas impressões digitais aos padrões que as geraram, rótulos de cofre voltados para o usuário ou conteúdos descriptografados. Esse é um limite útil, mas não é uma contagem oculta.

É possível verificar palpites offline

Um invasor que copia o sal do dispositivo e os dados criptografados do aplicativo pode derivar uma chave candidata de um padrão adivinhado. A impressão digital do índice correspondente informa ao invasor se existe um nome de arquivo correspondente e a descriptografia autenticada do AES-GCM confirma o palpite com confiança quase total. PBKDF2 torna cada palpite mais caro; ele não remove esse teste offline nem adiciona entropia a um padrão fraco.

O que o estado vazio resolve

Na tela de bloqueio, o Vaultaire não anuncia “padrão errado” nem exibe quais outros cofres estão disponíveis. Um padrão sem correspondência leva a um estado vazio ou ao fluxo de criação; portanto, uma pessoa limitada a interagir com a interface não obtém nenhuma lista de cofres. Este benefício de apresentação não deve ser extrapolado para um invasor que copiou e analisou os arquivos subjacentes.

Quem Precisa de Negação Plausível

Você pode pensar que a negação plausível é apenas para espiões e denunciantes. Na realidade, milhões de pessoas comuns enfrentam situações onde a capacidade de proteger informações sob coerção não é um luxo — é uma necessidade.

Jornalistas e Suas Fontes

Jornalistas investigativos frequentemente carregam material sensível: identidades de fontes, documentos vazados, gravações de entrevistas. Em muitos países, jornalistas são rotineiramente detidos e seus dispositivos revistados em fronteiras, postos de controle ou durante operações policiais.

Ativistas e Organizadores

Ativistas políticos, organizadores sindicais e defensores dos direitos humanos podem operar em ambientes onde os seus telefones são alvos de vigilância. Padrões separados podem compartimentar o que aparece durante o uso normal do aplicativo, mas um telefone confiscado ou comprometido pode expor contagens de índice criptografado e permitir a adivinhação de padrões offline. A segurança operacional deve ir além do aplicativo.

Pessoas em Situações de Abuso

As pessoas que documentam o abuso podem precisar separar as evidências confidenciais do material que podem mostrar com segurança. Um segundo cofre pode reduzir a divulgação para alguém limitado à interface do aplicativo. Ele não pode garantir a segurança contra monitoramento de dispositivos, spyware, coerção ou exame de sistema de arquivos; portanto, os usuários em perigo devem seguir as orientações de uma organização de apoio local qualificada.

Viajantes que Cruzam Fronteiras

Os poderes de busca nas fronteiras e as obrigações dos viajantes variam. Desenhar um padrão no Vaultaire não exibe uma lista de todos os cofres, mas não torna outros índices criptografados completamente indetectáveis para uma inspeção forense. Minimize os dados confidenciais que você carrega e obtenha aconselhamento jurídico atualizado para sua rota e circunstâncias.

Qualquer Pessoa que Valorize a Privacidade

Você não precisa estar em perigo para merecer privacidade. Talvez você mantenha um diário privado. Talvez você tenha informações médicas que não deseja que ninguém encontre. Talvez você simplesmente acredite que nem todas as partes da sua vida digital deveriam ser acessíveis a qualquer pessoa que pegue seu telefone. Os cofres separados por padrões fortalecem a privacidade da interface, limitando o que um desbloqueio comum revela, enquanto a contagem do índice criptografado permanece visível para um examinador do sistema de arquivos.

Como Isto Se Compara a Outros Apps de Cofre

Muitos aplicativos de cofre tratam a segurança como um problema de controle de acesso: uma credencial bloqueia um contêiner visível. Alguns produtos adicionam um PIN falso ou um modo isca. A força desses recursos depende do design do armazenamento, não do rótulo de marketing; uma flag de configuração visível ou um banco de dados isca separado pode revelar que existe outro modo.

O Problema do Cofre Único

Um design de contêiner único tem um problema direto de coerção: assim que sua única credencial é revelada, todo o conteúdo por trás dessa credencial fica disponível. Os produtos diferem em seus conjuntos de recursos atuais, portanto, avalie o armazenamento real e a implementação da isca em vez de presumir que um concorrente nomeado usa um modelo fixo.

Modos de Isca Cosméticos

Um recurso de senha falsa pode ser útil contra inspeções casuais, mas seu valor forense depende se o dispositivo armazena uma flag de isca detectável, um segundo banco de dados ou tamanhos de arquivo distinguíveis. Sem um design ou uma auditoria publicados, o rótulo por si só não prova nem uma negação forte nem a falta dela.

A Abordagem do Vaultaire É Arquiteturalmente Diferente

O Vaultaire incorpora a separação por padrões ao caminho normal de desbloqueio. Nenhuma flag especial de PIN falso decide se um cofre é isca; cada padrão configurado abre um cofre criptografado comum. Os arquivos de índice separados continuam visíveis como contêineres criptografados, então a diferença de arquitetura pesa mais na interface e no isolamento do conteúdo do que na ocultação da contagem diante de uma perícia.

O resultado é uma experiência consistente: nenhum cofre é rotulado como “real” ou “falso”, e cada um exige seu próprio desbloqueio autenticado ou caminho de recuperação. Sem a chave do cofre e a chave mestra necessárias, o conteúdo criptografado continua inacessível. A existência do contêiner não é apagada criptograficamente.