Режим принуждения: Экстренное разрушение хранилища
Вас заставляют разблокировать телефон. Кто-то смотрит. Вы рисуете узор на сетке, и открывается хранилище. Выглядит нормально. Но за кулисами все остальные хранилища на вашем устройстве были только что окончательно уничтожены. Ключи шифрования пропали. Данные теперь представляют собой случайный шум. И никто ничего не видел.
Режим принуждения в Vaultaire позволяет назначить хранилище в качестве триггера принуждения. При рисовании шаблона этого хранилища оно открывается в обычном режиме, но одновременно уничтожается криптографические соли для всех остальных хранилищ на устройстве, что делает их данные невозвратимыми.
Что такое Режим принуждения?
Режим принуждения, последняя линия защиты. Это функция, которая, как вы надеетесь, вам никогда не понадобится, разработана для того момента, когда все остальное не помогло, , когда кто-то стоит над вами и требует доступа к вашим личным файлам, и у вас нет другого выбора, кроме как подчиниться.
Вот как это работает: вы назначаете одно хранилище своим хранилищем для принуждения. Вы наполняете его контентом, который выглядит правдоподобно, , несколькими безобидными фотографиями, какими-то обыденными документами. Затем вы назначаете ему шаблон, как и любому другому хранилищу. Внешне он неотличим от обычного хранилища.
Разница в том, что происходит, когда вы рисуете этот узор. Обычный шаблон хранилища расшифровывает файлы внутри этого хранилища и ничего больше. Шаблон принуждения тоже делает это., он открывает хранилище принуждения, показывая его содержимое на экране. Но одновременно, незаметно, в фоновом режиме он запускает криптографическое уничтожение всех остальных хранилищ на вашем устройстве.
Диалоговое окно подтверждения не появляется. Предупреждающий звуковой сигнал не воспроизводится. Отсутствие индикатора загрузки указывает на то, что происходит что-то необычное. Человек, наблюдающий за вами, видит открытое хранилище. Они видят фотографии. Они видят именно то, что ожидали увидеть. Чего они не видят, так это того, что все остальные фрагменты зашифрованных данных на вашем устройстве стали невозможно восстановить.
Режим принуждения не является функцией конфиденциальности. Этофункция выживания. Оно существует потому, что бывают ситуации, когда стоимость доступа к вашим данным превышает стоимость их безвозвратной потери. Когда вы рисуете паттерн принуждения, вы совершаете эту сделку, намеренно, молча и необратимо.
Как это работает Под капотом
Понимание механики важно, потому что безопасность Режим принуждения зависит от того, будет ли его реализация действительно разрушительной,, , а не просто косметически скрытой.
Шаг 1. Вы рисуете шаблон принуждения
Когда вы рисуете шаблон, назначенный вашему хранилищу принуждения, Vaultaire распознает его как триггер принуждения. Приложение одновременно запускает две операции: оно начинает расшифровывать и отображать содержимое хранилища принуждения (приманку) и инициирует последовательность уничтожения для каждого другого хранилища.
Шаг 2. Удаление ключей шифрования
Каждое хранилище в Vaultaire зашифровано с помощью собственного уникального ключа, полученного на основе собственного уникального шаблона. Эти ключи не сохраняются в виде открытого текста, , они каждый раз заново генерируются из шаблона. Но в каждом хранилище также хранятся соль и метаданные, необходимые для процесса получения ключа. Режим принуждения не просто удаляет зашифрованные файлы. Он уничтожает криптографическую соль и параметры получения ключей для каждого хранилища без принуждения.
Без соли даже рисование правильного шаблона не сможет восстановить ключ. Математическая связь между вашим шаблоном и ключом шифрования разрывается навсегда.
Шаг 3. Зашифрованные данные становятся помехой
Сами зашифрованные файлы какое-то время все еще могут существовать на диске, но теперь они неотличимы от случайных данных. Без правильного ключа дешифрования, , который больше нельзя получить, поскольку соль исчезла,, , содержимое математически невозможно восстановить. Ни один судебно-медицинский инструмент, ни одно правительственное учреждение, никакая вычислительная мощность не смогут восстановить исходные данные.
Шаг 4. Хранилище под принуждением открывается нормально
Пока все это происходит, хранилище принуждения открывается на экране точно так же, как и любое другое хранилище. Человек, принуждающий вас, видит загрузку фотографий, появление файлов и обычный вид хранилища. Визуальных свидетельств того, что произошло что-то еще, нет. Вся последовательность уничтожения выполняется в фоновом режиме, обычно менее чем за секунду.
Почему никто не может сказать
Весь смысл Режим принуждения в том, что он невидим. Если злоумышленник сможет обнаружить разрушение, он сможет остановить его, обратить вспять или наказать вас за его инициирование. Vaultaire разработан таким образом, что не существует заметной разницы между открытием хранилища под принуждением и открытием обычного хранилища.
Нет диалогового окна подтверждения
Большинство деструктивных действий в программном обеспечении сопровождаются предупреждением: «Вы уверены?» Режим принуждения не имеет такого предупреждения. Диалог подтверждения будет пустой тратой времени. В тот момент, когда вы рисуете узор, происходит действие. Вы не можете случайно активировать его, если только вы случайно не нарисуете конкретный сложный узор на сетке 5×5, , что не происходит случайно.
Нет разницы во времени
Хранилище принуждения открывается с той же скоростью, что и любое другое хранилище. Уничтожение ключей других хранилищ происходит асинхронно, параллельно с расшифровкой содержимого хранилища принуждения. Наблюдатель с секундомером не заметит никакой задержки.
Никаких остаточных доказательств
После срабатывания Режим принуждения приложение не отображает записи о событии. Нет ни записи в журнале, ни уведомления «хранилища удалены», ни изменений в интерфейсе приложения. В следующий раз, когда приложение откроется, оно будет вести себя так, как будто хранилище принуждения, единственное хранилище, которое когда-либо существовало. Потому что функционально это так.
Что уничтожается
Здесь важна точность. Режим принуждения не выполняет театральное удаление, при котором файлы перемещаются в корзину. Он выполняет криптографическую очистку, что делает восстановление физически невозможным.
Криптографическая соль
Каждое хранилище имеет уникальную, случайно сгенерированную соль, используемую при создании ключа. Соль, это важнейший ингредиент, который связывает нарисованный шаблон с конкретным ключом шифрования. Когда Режим принуждения уничтожает соль, это соединение разрывается навсегда. Даже если вы помните шаблон любого другого хранилища, функция деривации ключей создаст другой неправильный ключ, без исходной соли.
Параметры деривации ключей
Помимо соли, в каждом хранилище хранятся параметры, необходимые для получения ключа: количество итераций, идентификаторы алгоритмов и векторы инициализации. Все это стирается. Без них восстановление ключа шифрования не просто сложно, , оно математически неопределенно.
Зашифрованные данные
Зашифрованные объекты на диске становятся потерянными. Это последовательности байтов, которые без правильного ключа неотличимы от данных, сгенерированных генератором случайных чисел. Криминалистический анализ диска обнаружит зашифрованные данные без соответствующего ключевого материала, соли и метаданных. Он выглядит точно так же, как сектора диска, которые когда-то использовались, а затем были освобождены, , и это именно то, что есть.
Судмедэксперт, анализирующий устройство после срабатывания Режим принуждения, обнаружит на диске одно хранилище с обычными данными и несколькими потерянными зашифрованными блоками. Естьнет возможности определитьбыли ли эти блоки из удаленных хранилищ, кэшированных данных приложения или обычного обновления файловой системы. Эксперт не может даже доказать, что когда-либо существовали дополнительные хранилища.
Когда использовать Режим принуждения
Режим принуждения предназначен для ситуаций, когда вы сталкиваетесь с физическим принуждением или юридическим принуждением и решили, что уничтожение данных предпочтительнее их раскрытия. Это личное решение, имеющее серьезные последствия, и Vaultaire предоставляет вам инструмент, не принимая решения за вас.
Пограничные переходы
Во многих странах пограничные агенты могут по закону потребовать от вас разблокировать устройство и передать его на проверку. Если вы откажетесь, вас могут задержать, отказать во въезде или конфисковать ваше устройство. Нарисовав шаблон принуждения перед передачей телефона, вы гарантируете, что, не найдется ничего, кроме одного хранилища с фотографиями из отпуска.
Физическое принуждение
Если кто-то под угрозой заставляет вас разблокировать телефон, вам нужен способ подчиниться, не давая на самом деле того, что они хотят. Режим принуждения позволяет нарисовать шаблон, похожий на сотрудничество. Принуждающий видит открытое хранилище. Они не видят одновременного разрушения всего остального.
Захват устройства
Если у вас есть основания полагать, что ваше устройство, будет конфисковано правительством, работодателем или кем-либо еще,, , вы можете активировать Режим принуждения заранее. К тому времени, как устройство попадает к судмедэксперту, анализировать уже нечего.
Журналист и защита источников
Журналисты, работающие во враждебной среде, активисты, действующие под наблюдением, а также все, чьи данные могут поставить под угрозу их самих или других. Режим принуждения превращает момент уязвимости в момент защиты.
Настройка хранилища принуждения
Настройка Режим принуждения занимает около двух минут. Чтобы сделать это хорошо,, и убедить, , нужно немного больше подумать.
Укажите хранилище
В настройках Vaultaire вы назначаете одно хранилище как хранилище принуждения. Это хранилище будет открываться при рисовании шаблона принуждения, поэтому оно должно содержать контент, который выглядит реальным и удовлетворяет ожидания наблюдателя. Пустое хранилище вызывает подозрения. Хранилище с явно поддельным содержимым вызывает подозрения. Хранилище с несколькими обычными личными фотографиями подойдет идеально.
Наполните его правдоподобным контентом
Поместите в свое хранилище содержимое, которое кто-то ожидал бы найти в частном хранилище: несколько личных фотографий, возможно, скан документа, несколько файлов, которые выглядят достаточно конфиденциальными, чтобы оправдать блокировку, но достаточно безобидными, чтобы выдержать проверку. Цель состоит не в том, чтобы обмануть судебно-медицинское расследование, а в том, чтобы удовлетворить человека, стоящего перед вами в данный момент.
Выбирайте естественный узор
Схема принуждения должна быть такой, которую вы можете нарисовать в состоянии стресса, быстро и без колебаний. Если вы нащупаете или нарисуете его неправильно, вы откроете не тот свод или вообще не откроете его. Практикуйте это до тех пор, пока не появится мышечная память. Сейчас не время для сложного 12-точечного узора. Лучше что-нибудь простое и быстрое., От 5 до 7 точек, форму, которую ваша рука может обвести, не задумываясь.
Проверьте это
Прежде чем он вам понадобится, протестируйте Режим принуждения в безопасной среде. Создайте несколько тестовых хранилищ, назначьте хранилище принуждения и активируйте его. Убедитесь, что другие хранилища исчезли. Убедитесь, что хранилище принуждения открылось нормально. Тогда настройте его по-настоящему.
Нет возможности отмены
Необходимо четко сказать: как только Режим принуждения сработает, разрушение будет постоянным. Никакого восстановления нет. Нет никакой страховочной сетки типа «Ой, я нарисовал неправильный узор». Где-то на сервере не хранится резервный ключ. Служба поддержки Vaultaire не может восстановить ваши данные.
Ключи шифрования пропали. Соли ушли. Данные представляют собой случайный шум. В этом вся суть. Если бы разрушение было обратимым, оно бы не скрывало разрушение, . А сокрытие, это то, что может отменить достаточно мотивированный противник.
Режим принуждения предназначен для людей, которые понимают этот компромисс и заранее решили, что они скорее потеряют свои данные навсегда, чем позволят кому-то другому получить к ним доступ. Если вы не уверены, что совершите такую сделку, не включайте Режим принуждения. Если вы уверены, это самая мощная защита, которую предлагает Vaultaire.
Необратимость не является недостатком. В этом вся суть. Деструктивное действие, которое можно отменить, не разрушительно, , оно театрально. Режим принуждения, это не театр. Это гарантия.
Часто задаваемые вопросы
Что произойдет, если я случайно нарисую шаблон принуждения?
Разрушение срабатывает немедленно и не может быть отменено. Вот почему Vaultaire требует, чтобы шаблон принуждения был преднамеренным, конкретным шаблоном в сетке 5×5. Случайное повторение, крайне маловероятно. Тем не менее, вы обязаны выбрать шаблон принуждения, который вы не нарисуете по ошибке. Никогда не используйте узор, похожий на один из ваших обычных узоров свода.
Могу ли я восстановить свои хранилища из резервной копии iCloud после запуска Режим принуждения?
Если до запуска Режим принуждения было включено зашифрованное резервное копирование iCloud, эти резервные копии по-прежнему содержат зашифрованные данные хранилища и параметры получения ключей. Восстановление из резервной копии, созданной до события принуждения, восстановит ваши хранилища. Однако если резервная копия синхронизируется после срабатывания Режим принуждения, резервная копия будет отражать уничтоженное состояние. Если вы ожидаете, что понадобится Режим принуждения, убедитесь, что ваша стратегия резервного копирования учитывает это.
Может ли судебный аналитик сказать, что Режим принуждения сработал?
Нет. После срабатывания Режим принуждения устройство отображает одно хранилище с нормальным содержимым. Нет ни журнала, ни записи, ни метаданных, указывающих на то, что другие хранилища существовали или были уничтожены. Потерянные зашифрованные блоки на диске неотличимы от обычных артефактов файловой системы. У судебно-медицинского аналитика не будет никаких доказательств того, что Режим принуждения когда-либо был включен, не говоря уже о срабатывании.
Само хранилище принуждения будет уничтожено?
Нет. Хранилище принуждения остается неповрежденным и полностью функциональным. Он открывается нормально, отображает свое содержимое и после события продолжает работать как обычное хранилище. Это очень важно., , если хранилище, которое вы только что «разблокировали», исчезло, человек, принуждающий вас, знал бы, что что-то произошло. Хранилище принуждения продолжает сохранять иллюзию нормальной работы.
Могу ли я иметь несколько хранилищ принуждения?
Нет. Вы назначаете ровно одно хранилище в качестве хранилища принуждения. Это ограничение является преднамеренным., наличие нескольких триггеров принуждения увеличит риск случайной активации и усложнит мысленную модель. Один свод, одна схема, один результат.
Законен ли Режим принуждения?
Vaultaire предоставляет инструменты для обеспечения безопасности данных. Как и когда вы используете эти инструменты, это ваше решение и ваша ответственность. Уничтожение ваших собственных данных, как правило, является законным в большинстве юрисдикций, но законы различаются, , особенно в отношении уничтожения доказательств в ходе судебного разбирательства. Если у вас есть вопросы по поводу вашей конкретной ситуации, проконсультируйтесь с юристом. Vaultaire не предоставляет юридических консультаций.
Готовьтесь к худшему
Настройте Режим принуждения сейчас, пока у вас есть время. Когда оно вам понадобится, времени на его настройку не будет.
Скачать Vaultaire Бесплатно