Режим принуждения: бесшумная очистка локального хранилища

Режим принуждения в Vaultaire позволяет вам назначить одно хранилище в качестве триггера принуждения. При рисовании шаблона этого хранилища оно открывается в обычном режиме, при этом удаляются индексы хранилища без принуждения и сопоставления локального восстановления с текущего устройства. Существующие зашифрованные iCloud резервные копии и копии одноранговых устройств намеренно оставлены без изменений.

Что такое Режим принуждения?

Режим принуждения, последняя линия защиты. Это функция, которая, как вы надеетесь, вам никогда не понадобится, разработана для того момента, когда все остальное не помогло, когда кто-то стоит над вами и требует доступа к вашим личным файлам, и у вас нет другого выбора, кроме как подчиниться.

Вот как это работает: вы назначаете одно хранилище своим хранилищем для принуждения. Вы наполняете его контентом, который выглядит правдоподобно — несколько безобидных фотографий, несколько обыденных документов. Затем вы назначаете ему шаблон, как и любому другому хранилищу. В обычном интерфейсе разблокировки он выглядит и открывается как обычное хранилище; файловая система и облачные доказательства остаются за пределами этого узкого представления.

Разница в том, что происходит, когда вы рисуете этот узор. Обычный шаблон хранилища открывает собственное хранилище. Шаблон принуждения делает то же самое, показывая содержимое назначенного хранилища на экране, но он также запускает локальную очистку индексов и сопоставлений восстановления, которые делают другие хранилища доступными на этом устройстве.

Диалоговое окно подтверждения не появляется. Предупреждающий звуковой сигнал не воспроизводится. Наблюдающий за вами человек увидит открытое хранилище и появление его файлов. Интерфейс не сообщает о том, что другие локальные индексы хранилища были удалены, локальные сопоставления восстановления очищены, ожидающие работы по резервному копированию остановлены и устройство должно использовать явное восстановление на основе фраз, прежде чем очищенное хранилище сможет вернуться.

Как это работает Под капотом

Понимание механики важно, потому что режим принуждения имеет более узкие границы, чем требование универсального стирания. Он меняет состояние текущего устройства; оно не обещает стереть CloudKit, другое устройство, историю файловой системы или доказательства, уже собранные злоумышленником.

Шаг 1. Вы рисуете шаблон принуждения

Когда вы рисуете шаблон, присвоенный вашему хранилищу принуждения, Vaultaire распознает его как триггер принуждения. Приложение одновременно запускает две операции: начинает расшифровывать и отображать содержимое назначенного хранилища, а также инициирует локальную очистку индексов и сопоставлений восстановления для каждого другого хранилища.

Шаг 2. Состояние локального доступа удалено

Vaultaire использует одно устройство для всего устройства Keychain соль для получения локального шаблона, а не отдельная соль для каждого хранилища. Режим принуждения не уничтожает эту общую соль. Вместо этого он очищает зашифрованную локальную базу данных восстановления и удаляет все индексы хранилища, кроме индекса назначенного хранилища. Поскольку каждый индекс содержит завернутый случайный главный ключ и карту файлов для этого хранилища, его удаление выводит хранилище без принуждения из пригодного для использования локального состояния приложения.

Зашифрованный пул BLOB-объектов может остаться, поскольку хранилища совместно используют это хранилище. Без удаленного индекса у Vaultaire нет карты файлов или упакованного главного ключа, с помощью которого можно было бы открыть удаленное хранилище локально. Приложение также очищает локальные сопоставления восстановления, поэтому обычный экран восстановления не может немедленно перечислить или восстановить эти хранилища.

Шаг 3. Облачное восстановление сохраняется, но изолировано

Существующие зашифрованные iCloud резервная копия намеренно сохраняется как путь восстановления. Устройство сбрасывает ожидающие операции резервного копирования и переходит в границу изоляции, поэтому локальная очистка не загружается как обычное удаление, а скрытые хранилища не извлекаются автоматически. Дальнейшее восстановление является явным, по одному хранилищу за раз, и требует фразы восстановления этого хранилища, а не только шаблона, раскрываемого при принудительном использовании.

Шаг 4. Хранилище под принуждением открывается нормально

Во время локальной очистки назначенное хранилище открывается через обычный интерфейс. Vaultaire подавляет аналитику перед запуском, пытается отозвать активные общие ресурсы, созданные из этого хранилища, повторно генерирует фразу восстановления и впоследствии очищает обозначение принуждения. Приложение не отображает подтверждения или сообщения о завершении принуждения, но время завершения зависит от локальной работы и любых сетевых аннулирований; Волтер не обещает универсального срока менее секунды.

Что делает и не скрывает бесшумный интерфейс

Непосредственный интерфейс разработан таким образом, чтобы избежать объявления о режиме принуждения тому, кто наблюдает за вами через плечо. Это полезное свойство представления, а не доказательство того, что каждый судебный наблюдатель видит одинаковое состояние устройства. Артефакты файловой системы, CloudKit записи, другое синхронизированное устройство или предыдущий доступ к телефону могут выходить за рамки того, что приложение может скрыть.

Нет диалогового окна подтверждения

Большинство деструктивных действий в программном обеспечении сопровождаются предупреждением: «Вы уверены?» Режим принуждения не имеет такого предупреждения. Диалог подтверждения будет пустой тратой времени. В тот момент, когда вы рисуете узор, происходит действие. Вы не можете случайно активировать его, если только вы случайно не нарисуете конкретный сложный узор на сетке 5×5, что не происходит случайно.

Нет отдельного экрана задержки

Приложение открывает назначенное хранилище, одновременно выполняя локальную очистку и отзыв общего доступа. В потоке не предусмотрено добавление отдельного экрана с предупреждением, но производительность устройства, состояние хранилища и условия сети различаются. Волтер не претендует на равенство времени, которое наблюдатель с инструментами никогда бы не смог различить.

Нет уведомления об удалении данных из приложения

Vaultaire отключает аналитику перед очисткой и не отображает уведомление об удалении хранилищ. На этом устройстве сохраненное хранилище остается доступным через приложение. Это не удаляет доказательства за пределами текущего локального состояния приложения, и это не следует рассматривать как обещание необнаружимости при судебно-медицинской экспертизе.

Какое локальное состояние удалено

Здесь важна точность. Режим принуждения удаляет определенные локальные структуры, необходимые для поиска и открытия хранилищ без принуждения, сохраняя при этом общее зашифрованное хранилище BLOB-объектов и все зашифрованные файлы. iCloud резервное копирование. Это локальная очистка состояния доступа, а не утверждение о том, что каждая физическая копия была перезаписана.

Зашифрованная база данных восстановления

Локальная база данных восстановления сопоставляет фразы восстановления и поля устаревших шаблонов с доступом к хранилищу. Режим принуждения очищает эту базу данных, а затем создает новую запись восстановления только для назначенного хранилища. При этом удаляются локальные сопоставления восстановления для других хранилищ, не создавая иллюзии, что Vaultaire использовал или уничтожил отдельную соль для каждого из них.

Индексы хранилища без принуждения

Каждый зашифрованный индекс хранилища содержит свои файловые записи и случайный главный ключ, завернутый в ключ, полученный из шаблона этого хранилища. В режиме принуждения удаляются все индексы, кроме назначенных хранилищ. PBKDF2 алгоритм и количество итераций являются общедоступными параметрами реализации; безопасность не зависит от их стирания.

Зашифрованные данные

Общий зашифрованный пул больших двоичных объектов сохраняется, поскольку он также содержит содержимое назначенного хранилища. Данные, которые принадлежали только удаленным индексам, могут стать недоступными через приложение, но Vaultaire не требует безопасной физической перезаписи каждого блока флэш-памяти. Удаленные индексы или предыдущее состояние также могут сохраняться на уровнях хранения вне контроля приложения.

Когда использовать Режим принуждения

Режим принуждения предназначен для ситуаций, когда вы сталкиваетесь с физическим или юридическим принуждением и решили, что удаление доступа к локальному хранилищу предпочтительнее, чем его раскрытие. Это личное решение, имеющее серьезные последствия, и Волтер дает вам инструмент, не принимая решения за вас.

Пограничные переходы

Полномочия по досмотру границ и обязанности путешественников различаются в зависимости от страны и обстоятельств. Нанесение шаблона принуждения перед передачей телефона оставляет одно хранилище доступным в интерфейсе и удаляет другое состояние локального доступа, но не может гарантировать, что проверяющий не обнаружит артефактов файловой системы, зашифрованных резервных копий, одноранговых копий или предыдущих доказательств.

Физическое принуждение

Если кто-то под угрозой заставляет вас разблокировать телефон, вам нужен способ ограничить то, что показывает обычный интерфейс. Режим принуждения позволяет вам нарисовать шаблон, похожий на сотрудничество. Принудитель видит, что назначенное хранилище открыто, в то время как интерфейс не объявляет об одновременной локальной очистке состояния доступа к другому хранилищу.

Захват устройства

Если у вас есть основания полагать, что ваше устройство будет конфисковано, режим принуждения может удалить доступ к хранилищу без принуждения из текущей установки приложения перед передачей. Он не может гарантировать, что судебному аналитику нечего будет исследовать, особенно если устройство уже было скомпрометировано или существуют другие копии и системные артефакты.

Журналист и защита источников

Журналисты, работающие во враждебной среде, активисты, действующие под наблюдением, а также все, чьи данные могут поставить под угрозу их самих или других. Режим принуждения превращает момент уязвимости в момент защиты.

Настройка хранилища принуждения

Настройка Режим принуждения занимает около двух минут. Чтобы сделать это хорошо, и убедить, нужно немного больше подумать.

Укажите хранилище

В настройках Vaultaire вы назначаете одно хранилище как хранилище принуждения. Это хранилище будет открываться при рисовании шаблона принуждения, поэтому оно должно содержать контент, который выглядит реальным и удовлетворяет ожидания наблюдателя. Пустое хранилище вызывает подозрения. Хранилище с явно поддельным содержимым вызывает подозрения. Хранилище с несколькими обычными личными фотографиями подойдет идеально.

Наполните его правдоподобным контентом

Поместите в свое хранилище содержимое, которое кто-то ожидал бы найти в частном хранилище: несколько личных фотографий, возможно, скан документа, несколько файлов, которые выглядят достаточно конфиденциальными, чтобы оправдать блокировку, но достаточно безобидными, чтобы выдержать проверку. Цель состоит не в том, чтобы обмануть судебно-медицинское расследование, а в том, чтобы удовлетворить человека, стоящего перед вами в данный момент.

Выбирайте естественный узор

Схема принуждения должна быть такой, которую вы можете нарисовать в состоянии стресса, быстро и без колебаний. Если вы нарисуете другой действительный шаблон, вместо этого вы можете открыть другое хранилище или пустое состояние. Попрактикуйтесь в использовании триггера в безопасной тестовой установке. Как и любой паттерн Vaultaire, он должен соединять как минимум шесть точек и совершать как минимум две смены направления.

Проверьте это

Прежде чем он вам понадобится, протестируйте Режим принуждения в безопасной среде. Создайте несколько тестовых хранилищ, назначьте хранилище принуждения и активируйте его. Убедитесь, что другие хранилища исчезли. Убедитесь, что хранилище принуждения открылось нормально. Тогда настройте его по-настоящему.

Нет возможности отмены

Это нужно сказать четко: как только срабатывает режим принуждения, нет кнопки отмены локального стирания. Служба поддержки Vaultaire не сможет восстановить ваш шаблон или фразу восстановления. Если вы включили шифрование iCloud Если вы сделали резервную копию заранее и сохранили фразу восстановления, позже вы сможете восстанавливать по одному хранилищу за раз. Без того и другого состояние удаленного локального доступа может лишить вас возможности восстановить хранилище.

Другие индексы и сопоставления локального восстановления исчезли из активного состояния приложения. Соль на уровне устройства и общий пул зашифрованных больших двоичных объектов не являются целью очистки, а зашифрованные облачные резервные копии сохраняются. Эта граница является преднамеренной: она блокирует доступ к принудительному устройству, сохраняя при этом путь восстановления, управляемый фразами, для владельца.

Режим принуждения предназначен для людей, которые понимают этот компромисс и заранее решили, что они предпочтут немедленно удалить доступ с текущего устройства, чем подвергать хранилище принуждению. Если вы не можете безопасно сохранить фразу восстановления и зашифрованную резервную копию, предположим, что локальная очистка может стоить вам доступа к этому хранилищу.

Компромисс является конкретным, а не абсолютным. Локальное удаление начинается без подтверждения, а позднее восстановление возможно только через отдельное облако и путь к фразе восстановления. Прежде чем решить, соответствует ли такое поведение вашей модели угроз, протестируйте эту функцию на неконфиденциальных данных.