Режим принуждения: удаление доступа к другим сейфам
Вас заставляют разблокировать телефон. Кто-то смотрит. Вы рисуете узор на сетке, и назначенный вами сейф открывается как обычно. За этим обычным экраном Vaultaire удаляет локальные индексы и данные для восстановления остальных сейфов на этом устройстве и не дает синхронизации автоматически разнести это удаление.
Режим принуждения в Vaultaire позволяет назначить один сейф триггером принуждения. Если нарисовать узор этого сейфа, он открывается как обычно, а с текущего устройства удаляются индексы остальных сейфов и локальные данные для их восстановления. Существующие зашифрованные резервные копии в iCloud и копии на других устройствах намеренно остаются нетронутыми.
Что такое режим принуждения?
Режим принуждения — последняя линия защиты. Это функция, которая, как вы надеетесь, никогда не понадобится. Она создана для момента, когда всё остальное уже не помогло: кто-то стоит над вами, требует доступа к вашим личным файлам, и у вас нет другого выбора, кроме как подчиниться.
Вот как это работает: вы назначаете один сейф ложным. Вы наполняете его правдоподобным содержимым — несколькими безобидными фотографиями, парой обычных документов. Затем задаете ему узор, как и любому другому сейфу. На обычном экране разблокировки он выглядит и открывается как обычный сейф; следы в файловой системе и в облаке остаются за пределами этого узкого представления.
Разница в том, что происходит, когда вы рисуете этот узор. Обычный узор открывает свой сейф. Узор принуждения делает то же самое и показывает на экране содержимое назначенного сейфа, но при этом запускает локальную очистку индексов и данных для восстановления, благодаря которым остальные сейфы доступны на этом устройстве.
Окно подтверждения не появляется. Предупреждающий сигнал не звучит. Наблюдающий за вами человек увидит, как открывается сейф и появляются его файлы. Интерфейс не сообщает, что локальные индексы остальных сейфов удалены, локальные данные для восстановления очищены, ожидающие задачи резервного копирования остановлены и что удаленный сейф теперь можно вернуть только явным восстановлением по фразе.
Режим принуждения — это разрушительная локальная мера для тех, кто решил, что лишить устройство доступа к сейфу безопаснее, чем раскрыть его под давлением. Локальная очистка выполняется немедленно, и отменить ее нельзя. Восстановление — отдельный процесс, для которого нужны ранее созданная зашифрованная резервная копия и фраза восстановления сейфа.
Как это работает изнутри
Механику важно понимать, потому что режим принуждения делает меньше, чем обещание стереть всё. Он меняет состояние текущего устройства; он не обещает стереть данные в CloudKit, на другом устройстве, в истории файловой системы или доказательства, которые злоумышленник уже собрал.
Шаг 1. Вы рисуете узор принуждения
Когда вы рисуете узор, назначенный ложному сейфу, Vaultaire распознает его как триггер принуждения. Приложение одновременно запускает две операции: начинает расшифровывать и показывать содержимое назначенного сейфа и запускает локальную очистку индексов и данных для восстановления всех остальных сейфов.
Шаг 2. Локальные данные доступа удаляются
Для вывода ключа из узора Vaultaire использует одну общую для устройства соль в iOS Keychain, а не отдельную соль для каждого сейфа. Режим принуждения эту общую соль не уничтожает. Вместо этого он очищает зашифрованную локальную базу данных восстановления и удаляет индексы всех сейфов, кроме назначенного. Каждый индекс содержит обернутый случайный главный ключ и карту файлов своего сейфа, поэтому после удаления индекса остальные сейфы больше нельзя открыть в приложении на этом устройстве.
Зашифрованный пул BLOB-объектов может остаться, поскольку это хранилище общее для всех сейфов. Без удаленного индекса у Vaultaire нет ни карты файлов, ни обернутого главного ключа, чтобы открыть удаленный сейф локально. Приложение также очищает локальные данные для восстановления, поэтому обычный экран восстановления не может сразу перечислить или восстановить эти сейфы.
Шаг 3. Восстановление из облака сохраняется, но изолировано
Существующая зашифрованная резервная копия в iCloud намеренно сохраняется как путь для восстановления. Устройство сбрасывает ожидающие задачи резервного копирования и переходит в режим изоляции, поэтому локальная очистка не выгружается в облако как обычное удаление, а скрытые сейфы не загружаются обратно автоматически. Последующее восстановление выполняется явно, по одному сейфу за раз, и требует фразы восстановления этого сейфа, а не только узора, раскрытого под давлением.
Шаг 4. Ложный сейф открывается как обычно
Пока идет локальная очистка, назначенный сейф открывается через обычный интерфейс. Перед началом Vaultaire отключает аналитику на текущий сеанс, пытается отозвать активные публикации этого сейфа, создает для него новую фразу восстановления и после этого снимает с него статус ложного. Приложение не показывает никаких подтверждений или сообщений о завершении, но время работы зависит от объема локальных операций и отзыва публикаций по сети; Vaultaire не обещает, что всё всегда займет меньше секунды.
Что тихий интерфейс скрывает, а что нет
Интерфейс устроен так, чтобы не выдать режим принуждения тому, кто смотрит вам через плечо. Это полезное свойство отображения, а не доказательство того, что любой криминалист увидит на устройстве то же самое. Следы в файловой системе, записи CloudKit, другое синхронизированное устройство или прежний доступ к телефону могут оказаться вне того, что приложение способно скрыть.
Нет диалогового окна подтверждения
Большинство разрушительных действий в программах сопровождаются предупреждением: «Вы уверены?» В режиме принуждения такого предупреждения нет. Окно подтверждения сразу выдало бы вас. Действие выполняется в тот момент, когда вы рисуете узор. Случайно запустить его нельзя, если только вы случайно не нарисуете конкретный сложный узор на сетке 5×5, а такое само собой не происходит.
Нет отдельного экрана ожидания
Приложение открывает назначенный сейф, параллельно выполняя локальную очистку и отзыв публикаций. Отдельного экрана с предупреждением в этом процессе нет, но производительность устройства, состояние сейфа и условия сети бывают разными. Vaultaire не утверждает, что время выполнения невозможно отличить с помощью инструментов.
Приложение не сообщает об очистке
Vaultaire отключает аналитику на текущий сеанс перед очисткой и не показывает уведомление «сейфы удалены». На этом устройстве в приложении остается доступен только сохраненный сейф. Это не удаляет следы за пределами текущего локального состояния приложения, и это не следует считать обещанием, что криминалистическая экспертиза ничего не обнаружит.
Какие локальные данные удаляются
Здесь важна точность. Режим принуждения удаляет определенные локальные структуры, которые нужны, чтобы найти и открыть остальные сейфы, но сохраняет общее зашифрованное хранилище BLOB-объектов и все зашифрованные резервные копии в iCloud. Это локальная очистка данных доступа, а не утверждение, что каждая физическая копия перезаписана.
Зашифрованная база данных восстановления
Локальная база данных восстановления связывает фразы восстановления и устаревшие поля узоров с доступом к сейфам. Режим принуждения очищает эту базу, а затем создает новую запись восстановления только для назначенного сейфа. Так удаляются локальные данные для восстановления остальных сейфов, и при этом Vaultaire не делает вид, что использовал или уничтожил отдельную соль для каждого из них.
Индексы остальных сейфов
Каждый зашифрованный индекс сейфа содержит записи о файлах и случайный главный ключ, обернутый ключом, полученным из узора этого сейфа. Режим принуждения удаляет все индексы, кроме индекса назначенного сейфа. Алгоритм PBKDF2 и число итераций — открытые параметры реализации; безопасность не зависит от их удаления.
Зашифрованные данные
Общий зашифрованный пул BLOB-объектов сохраняется, поскольку в нем также лежит содержимое назначенного сейфа. Данные, которые принадлежали только удаленным индексам, могут стать недоступны через приложение, но Vaultaire не утверждает, что надежно перезаписывает каждый блок флеш-памяти. Удаленные индексы или прежнее состояние также могут сохраниться на уровнях хранения, которые приложение не контролирует.
После режима принуждения приложение показывает сохраненный сейф и не хранит открытого списка всех сейфов. Это ограничивает то, что видно в обычном интерфейсе. Но это не доказывает, что криминалист не сможет сделать вывод о прежних сейфах по удаленным индексам, снимкам файловой системы, объему занятого места, CloudKit, другим устройствам или доказательствам, собранным до очистки.
Когда использовать режим принуждения
Режим принуждения предназначен для ситуаций, когда вы столкнулись с физическим или юридическим принуждением и решили, что лучше лишить устройство доступа к локальным сейфам, чем раскрыть их. Это личное решение с серьезными последствиями, и Vaultaire дает вам инструмент, не принимая решение за вас.
Пограничные переходы
Полномочия пограничного досмотра и обязанности путешественников зависят от страны и обстоятельств. Если нарисовать узор принуждения перед тем, как отдать телефон, в интерфейсе останется доступен один сейф, а остальные локальные данные доступа будут удалены. Но это не гарантирует, что проверяющий не найдет следов в файловой системе, зашифрованных резервных копий, копий на других устройствах или более ранних доказательств.
Физическое принуждение
Если кто-то под угрозой заставляет вас разблокировать телефон, вам нужен способ ограничить то, что покажет обычный интерфейс. Режим принуждения позволяет нарисовать узор, который выглядит как согласие. Тот, кто вас принуждает, видит, как открывается назначенный сейф, а интерфейс никак не показывает, что одновременно идет локальная очистка доступа к остальным сейфам.
Захват устройства
Если у вас есть основания полагать, что устройство конфискуют, режим принуждения может удалить доступ к остальным сейфам из текущей установки приложения до передачи устройства. Он не гарантирует, что криминалисту нечего будет исследовать, особенно если устройство уже было скомпрометировано или существуют другие копии и системные следы.
Журналист и защита источников
Журналисты, работающие во враждебной среде, активисты, действующие под наблюдением, а также все, чьи данные могут поставить под угрозу их самих или других. Режим принуждения превращает момент уязвимости в момент защиты.
Настройка ложного сейфа
Настройка режима принуждения занимает около двух минут. Чтобы сделать ее хорошо, то есть убедительно, нужно подумать немного дольше.
Выберите сейф
В настройках Vaultaire вы назначаете один сейф ложным. Именно он откроется, когда вы нарисуете узор принуждения, поэтому в нем должно быть содержимое, которое выглядит настоящим и оправдывает ожидания наблюдателя. Пустой сейф вызывает подозрения. Сейф с явно поддельным содержимым вызывает подозрения. Сейф с несколькими обычными личными фотографиями подойдет идеально.
Наполните его правдоподобным контентом
Положите в ложный сейф то, что кто-то ожидал бы найти в личном сейфе: несколько личных фотографий, может быть, скан документа, несколько файлов, которые выглядят достаточно личными, чтобы их запирать, но достаточно безобидными, чтобы выдержать проверку. Цель не в том, чтобы обмануть криминалистическую экспертизу, а в том, чтобы удовлетворить человека, который стоит перед вами в этот момент.
Выбирайте естественный узор
Узор принуждения должен быть таким, чтобы вы могли нарисовать его в состоянии стресса, быстро и без колебаний. Если вы нарисуете другой действительный узор, то вместо этого можете открыть другой сейф или пустое состояние. Потренируйтесь запускать его в безопасной тестовой настройке. Как и любой узор в Vaultaire, он должен соединять не менее шести точек и хотя бы один раз менять направление.
Проверьте
Задолго до того, как он вам понадобится, проверьте режим принуждения в безопасной обстановке. Создайте несколько тестовых сейфов, назначьте ложный сейф и запустите режим. Убедитесь, что остальные сейфы больше не открываются на этом устройстве. Убедитесь, что ложный сейф открылся как обычно. После этого настройте всё по-настоящему.
Нет возможности отмены
Скажем прямо: после срабатывания режима принуждения локальную очистку нельзя отменить. Служба поддержки Vaultaire не может восстановить ваш узор или фразу восстановления. Если зашифрованное резервное копирование в iCloud (включено по умолчанию) оставалось включенным и вы сохранили фразу восстановления, позже вы сможете восстанавливать сейфы по одному. Без того и другого удаленные локальные данные доступа могут лишить вас возможности восстановить сейф.
Остальные индексы и локальные данные для восстановления исчезают из активного состояния приложения. Общая для устройства соль и общий зашифрованный пул BLOB-объектов не являются целью очистки, а зашифрованные резервные копии в облаке сохраняются. Эта граница выбрана намеренно: она лишает доступа устройство, оказавшееся под принуждением, и при этом оставляет владельцу путь восстановления по фразе.
Режим принуждения рассчитан на людей, которые понимают этот компромисс и заранее решили, что лучше сразу удалить доступ с текущего устройства, чем раскрыть сейф под давлением. Если вы не можете надежно сохранить фразу восстановления и зашифрованную резервную копию, считайте, что локальная очистка может стоить вам доступа к этому сейфу.
У этого компромисса четкие границы. Локальное удаление начинается без подтверждения, а восстановление потом возможно только отдельным путем: через облако и фразу восстановления. Прежде чем решить, подходит ли такое поведение вашей модели угроз, проверьте функцию на неважных данных.
Часто задаваемые вопросы
Что будет, если я случайно нарисую узор принуждения?
Локальная очистка начнется сразу и без подтверждения. Vaultaire удалит с этого устройства индексы всех сейфов, кроме ложного, и локальные данные для восстановления, а назначенный сейф сохранит. Если зашифрованное резервное копирование в iCloud оставалось включенным (по умолчанию оно включено), позже каждый сейф можно будет восстановить по его фразе восстановления. Выбирайте и проверяйте узор принуждения внимательно.
Можно ли восстановить сейфы из резервной копии в iCloud после срабатывания режима принуждения?
Да, если зашифрованная резервная копия существует. Режим принуждения действует только на текущем устройстве и намеренно сохраняет зашифрованные резервные копии в iCloud. После очистки устройство отключается от автоматической синхронизации, а для восстановления нужно явное действие с фразой восстановления, по одному сейфу за раз. Одного узора, раскрытого под давлением, недостаточно, чтобы вернуть удаленный сейф.
Может ли криминалист определить, что сработал режим принуждения?
Vaultaire отключает аналитику на текущий сеанс перед очисткой, не показывает подтверждений и сохраняет назначенный сейф, поэтому в приложении всё происходит намеренно тихо. Но это не гарантия от криминалистического обнаружения. Удаленные файлы, состояние файловой системы, записи CloudKit, другие устройства, резервные копии или уже скомпрометированное устройство могут показать, что другие данные существовали или изменились.
Уничтожается ли сам ложный сейф?
Нет. Назначенный сейф остается нетронутым, открывается как обычно и получает новую фразу восстановления. Затем с него снимается статус ложного, и после этого события он продолжает работать как обычный сейф.
Можно ли создать несколько ложных сейфов?
Нет. Ложным можно назначить ровно один сейф. Это ограничение намеренное: несколько триггеров принуждения повысили бы риск случайного срабатывания и усложнили бы понимание работы функции. Один сейф, один узор, один результат.
Законен ли режим принуждения?
Законы различаются в зависимости от юрисдикции и обстоятельств, особенно если устройство или его содержимое может быть доказательством или подлежит обязательному сохранению. Vaultaire не дает юридических консультаций. Прежде чем полагаться на разрушительную функцию, обсудите свою ситуацию с квалифицированным юристом.
Готовьтесь к худшему
Настройте режим принуждения сейчас, пока у вас есть время. Когда он понадобится, времени на настройку не будет.
Скачать Vaultaire бесплатно