Modul de constrângere: eliminarea accesului la celelalte seifuri

Modul de constrângere din Vaultaire îți permite să desemnezi un seif ca declanșator de constrângere. Desenarea modelului seifului îl deschide în mod normal, în timp ce se elimină indecșii celorlalte seifuri și mapările locale de recuperare de pe dispozitivul curent. Backup-urile iCloud criptate existente și copiile de pe dispozitivele peer sunt lăsate intenționat neschimbate.

Ce este modul constrângere?

Modul constrângere este ultima linie de apărare. Este funcția pe care speri că nu va trebui să o folosești niciodată, concepută pentru momentul în care totul a eșuat: când cineva stă deasupra ta, cerând acces la fișierele tale private, și nu ai altă opțiune decât să cedezi.

Iată cum funcționează: desemnezi un seif ca seif de constrângere. Îl umpli cu conținut care pare credibil — câteva fotografii inofensive, câteva documente banale. Apoi îi atribui un model, la fel ca orice alt seif. În interfața obișnuită de deblocare, arată și se deschide ca un seif normal; sistemul de fișiere și dovezile din cloud rămân în afara acestei promisiuni restrânse de prezentare.

Diferența este ceea ce se întâmplă atunci când desenezi acel model. Un model de seif obișnuit își deschide propriul seif. Modelul de constrângere face și asta, arătând conținutul seifului desemnat pe ecran, dar declanșează și o ștergere locală a indecșilor și a mapărilor de recuperare care fac celelalte seifuri accesibile pe acel dispozitiv.

Nu apare niciun dialog de confirmare. Nu se aude niciun sunet de avertizare. Persoana care te urmărește vede un seif deschis și apar fișierele acestuia. Ceea ce nu anunță interfața este că indecșii locali ai altor seifuri au fost șterși, mapările locale de recuperare au fost șterse, munca de rezervă în așteptare a fost oprită și dispozitivul trebuie să utilizeze recuperarea explicită pe bază de frază înainte ca un seif eliminat să poată reveni.

Cum funcționează sub capotă

Înțelegerea mecanicii contează, deoarece modul de constrângere are o limită mai îngustă decât o afirmație de ștergere universală. Schimbă starea pe dispozitivul curent; nu promite ștergerea din CloudKit, alt dispozitiv, istoric al sistemului de fișiere sau dovezi deja colectate de un atacator.

Pasul 1: Desenează modelul de constrângere

Când desenezi modelul atribuit seifului tău de constrângere, Vaultaire îl recunoaște ca declanșator de constrângere. Aplicația începe două operațiuni simultan: începe decriptarea și afișarea conținutului seifului desemnat și inițiază curățarea locală a indexurilor și mapărilor de recuperare pentru fiecare alt seif.

Pasul 2: Starea de acces local este eliminată

Vaultaire folosește o singură sare Keychain la nivelul dispozitivului pentru derivarea modelului local, nu o sare separată pentru fiecare seif. Modul de constrângere nu distruge acea sare comună. În schimb, șterge baza de date locală de recuperare criptată și șterge fiecare index al seifului, cu excepția indexului seifului desemnat. Deoarece fiecare index conține cheia principală aleatorie împachetată și harta fișierelor pentru acel seif, eliminarea acestuia scoate seiful obișnuit din starea locală utilizabilă a aplicației.

Pool-ul de bloburi criptate poate rămâne deoarece seifurile partajează spațiul de stocare. Fără indexul șters, Vaultaire nu are o hartă de fișiere sau cheie principală împachetată cu care să deschidă seiful eliminat la nivel local. Aplicația șterge, de asemenea, mapările locale de recuperare, astfel încât ecranul obișnuit de recuperare nu poate enumera sau restaura imediat acele seifuri.

Pasul 3: Recuperarea cloud este păstrată, dar izolată

Backupul iCloud criptat existent este păstrat în mod deliberat ca cale de recuperare. Dispozitivul anulează lucrările de backup în așteptare și intră într-o limită de izolare, astfel încât ștergerea locală nu este încărcată ca o ștergere obișnuită și seifurile ascunse nu sunt readuse automat. Recuperarea ulterioară este explicită, câte un seif la un moment dat și necesită fraza de recuperare a acelui seif, mai degrabă decât modelul dezvăluit sub constrângere.

Pasul 4: Seiful de constrângere se deschide normal

În timp ce curățarea locală rulează, seiful desemnat se deschide prin interfața normală. Vaultaire suprimă analizele înainte de a începe, încearcă să revoce partajările active create din acel seif, regenerează fraza de recuperare și șterge desemnarea de constrângere după aceea. Aplicația nu prezintă nicio confirmare de constrângere sau mesaj de finalizare, dar timpul de finalizare depinde de activitatea locală și de orice revocări prin rețea; Vaultaire nu promite un termen limită universal sub o secundă.

De ce nimeni nu va observa

Interfața imediată este concepută pentru a evita anunțarea modului de constrângere pentru cineva care veghează peste umărul tău. Aceasta este o proprietate utilă de prezentare, nu o dovadă că fiecare observator criminalistic vede starea identică a dispozitivului. Artefacte ale sistemului de fișiere, înregistrările CloudKit, un alt dispozitiv sincronizat sau accesul anterior la telefon pot fi în afara a ceea ce aplicația poate ascunde.

Niciun dialog de confirmare

Majoritatea acțiunilor distructive din software vin cu un avertisment: „Ești sigur?" Modul constrângere nu are unul. Un dialog de confirmare ar fi o deconspirare. În momentul în care desenezi modelul, acțiunea este executată. Nu îl poți declanșa accidental decât dacă desenezi accidental un model specific și complex pe o grilă 5×5, ceea ce nu se întâmplă prin accident.

Fără ecran de întârziere separat

Aplicația deschide seiful desemnat în timp ce efectuează lucrări locale de curățare și revocare a partajării. Fluxul este conceput pentru a nu adăuga un ecran de avertizare separat, dar performanța dispozitivului, starea seifului și condițiile rețelei variază. Vaultaire nu pretinde o egalitate de timp pe care un observator cu instrumente nu ar putea să o distingă niciodată.

Nicio notificare de ștergere în aplicație

Vaultaire dezactivează analiza înainte de ștergere și nu afișează o notificare „seifuri șterse”. Pe acel dispozitiv, seiful păstrat este cel care rămâne accesibil prin aplicație. Acest lucru nu șterge dovezile din afara stării locale curente a aplicației și nu ar trebui tratat ca o promisiune de nedetectabilitate în cadrul examinării criminalistice.

Ce stare locală este eliminată

Precizia contează aici. Modul de constrângere elimină structurile locale specifice necesare pentru a găsi și deschide celelalte seifuri, păstrând în același timp stocarea partajată de bloburi criptate și orice backup iCloud criptat. Este o ștergere locală a stării de acces, nu o pretenție că fiecare copie fizică a fost suprascrisă.

Baza de date de recuperare criptată

Baza de date locală de recuperare mapează frazele de recuperare și câmpurile de model moștenite pentru accesul la seif. Modul de constrângere șterge acea bază de date, apoi creează o nouă intrare de recuperare numai pentru seiful desemnat. Acest lucru elimină mapările locale de recuperare pentru celelalte seifuri, fără a pretinde că Vaultaire a folosit sau a distrus o sare separată pentru fiecare.

Indecșii celorlalte seifuri

Fiecare index de seif criptat conține înregistrările sale de fișiere și cheia principală aleatorie împachetată de cheia derivată din model a seifului respectiv. Modul de constrângere șterge fiecare index, cu excepția seifului desemnat. Algoritmul PBKDF2 și numărul de iterații sunt parametri publici de implementare; securitatea nu depinde de ștergerea lor.

Datele criptate

Pool-ul partajat de bloburi criptate este păstrat deoarece conține și conținutul seifului desemnat. Datele care aparțineau doar indecșilor șterși pot deveni inaccesibile prin intermediul aplicației, dar Vaultaire nu pretinde suprascriere fizică sigură a fiecărui bloc de stocare flash. Indecșii șterși sau starea anterioară pot persista și în straturile de stocare dincolo de controlul aplicației.

Când să folosești modul constrângere

Modul de constrângere este conceput pentru situațiile în care te confrunți cu constrângere fizică sau constrângere legală și ai decis că eliminarea accesului la seif local este preferabilă expunerii acestuia. Aceasta este o decizie personală cu implicații serioase, iar Vaultaire îți oferă instrumentul fără a lua decizia în locul tău.

Trecerea frontierelor

Competențele de percheziție la frontieră și obligațiile călătorilor variază în funcție de țară și circumstanță. Desenarea modelului de constrângere înainte de a preda telefonul lasă un seif accesibil în interfață și elimină starea de acces local a celorlalte seifuri, dar nu poate garanta că un examinator nu găsește artefacte ale sistemului de fișiere, backupuri criptate, copii peer-to-peer sau dovezi anterioare.

Constrângere fizică

Dacă cineva te forțează să-ți deblochezi telefonul sub amenințare, ai nevoie de o modalitate de a limita ceea ce dezvăluie interfața obișnuită. Modul de constrângere îți permite să desenezi un model care arată ca o cooperare. Persoana care te constrânge vede seiful desemnat deschis, în timp ce interfața nu anunță curățarea locală simultană a stării de acces a celorlalte seifuri.

Confiscarea dispozitivului

Dacă ai motive să crezi că dispozitivul tău va fi confiscat, Modul de constrângere poate elimina accesul la celelalte seifuri din instalarea curentă a aplicației înainte de transfer. Nu poate garanta că un analist criminalistic nu are nimic de examinat, mai ales dacă dispozitivul a fost deja compromis sau există alte copii și artefacte de sistem.

Protecția jurnaliștilor și a surselor

Jurnaliști care lucrează în medii ostile, activiști care operează sub supraveghere și oricine ale cărui date i-ar putea pune în pericol pe ei sau pe alții. Modul constrângere transformă un moment de vulnerabilitate într-un moment de protecție.

Configurarea seifului de constrângere

Configurarea modului constrângere durează aproximativ două minute. A-l face bine și credibil necesită puțin mai multă gândire.

Desemnează seiful

În setările Vaultaire desemnezi un seif ca seif de constrângere. Acel seif se va deschide când desenezi modelul de constrângere, deci trebuie să conțină conținut care arată autentic și satisface așteptările unui observator. Un seif gol este suspect. Un seif cu conținut evident fals este suspect. Un seif cu câteva fotografii personale cu aspect normal este ideal.

Umple-l cu conținut credibil

Pune în seiful de constrângere conținut pe care cineva l-ar aștepta într-un seif privat: câteva fotografii personale, poate o scanare a unui document, câteva fișiere care par suficient de private pentru a fi încuiate, dar nevinovate pentru a rezista inspecției. Scopul nu este să înșeli o investigație criminalistică, ci să satisfaci persoana din fața ta în acel moment.

Alege un model natural

Modelul de constrângere ar trebui să fie ceva pe care îl poți desena sub stres, rapid, fără ezitare. Dacă desenezi un alt model valid, poți deschide un alt seif sau o stare goală. Exersează declanșatorul într-o configurare de testare sigură. Ca orice model Vaultaire, el trebuie să conecteze cel puțin șase puncte și să facă cel puțin o schimbare de direcție.

Testează-l

Înainte de a-l folosi, testează modul constrângere într-un mediu sigur. Creează seifuri de test, desemnează seiful de constrângere și declanșează-l. Verifică faptul că celelalte seifuri nu se mai deschid pe acel dispozitiv. Verifică faptul că seiful de constrângere s-a deschis normal. Apoi configurează totul pentru utilizare reală.

Nu poate fi anulat

Acest lucru trebuie spus clar: odată ce se declanșează modul de constrângere, nu există niciun buton de anulare pentru ștergerea locală. Asistența Vaultaire nu poate reconstrui modelul sau fraza de recuperare. Dacă backup-ul iCloud criptat (activat implicit) era încă pornit și ai păstrat fraza de recuperare, poți restaura ulterior câte un seif pe rând. Fără ambele, starea de acces local ștearsă te poate lăsa în imposibilitatea de a recupera seiful.

Ceilalți indecși și mapările locale de recuperare au dispărut din starea aplicației active. Sarea la nivelul întregului dispozitiv și pool-ul partajat de bloburi criptate nu sunt ținta ștergerii, iar backup-urile criptate în cloud sunt păstrate. Această limită este deliberată: elimină accesul de la dispozitivul forțat, păstrând în același timp o cale de recuperare controlată prin frază pentru proprietar.

Modul de constrângere este conceput pentru persoanele care înțeleg acest compromis și au decis, în prealabil, că ar prefera să elimine accesul imediat de la dispozitivul actual decât să expună seiful de constrângere. Dacă nu poți păstra în siguranță fraza de recuperare și o copie de rezervă criptată, presupune că ștergerea locală te poate costa accesul la acel seif.

Compromisul este specific, nu absolut. Ștergerea locală începe fără confirmare, în timp ce recuperarea ulterioară este posibilă numai prin backupul separat din cloud și prin fraza de recuperare. Testează caracteristica cu date nesensibile înainte de a decide dacă acel comportament se potrivește cu modelul tău de amenințare.