Tvångsläge: Ta bort åtkomst till andra valv

Tvångsläget i Vaultaire låter dig utse ett valv som en tvångsutlösare. Genom att rita valvets mönster öppnas det normalt samtidigt som man tar bort index för valv som inte är tvångsvalv, deras lagringsfiler och lokala återställningsmappningar från den aktuella enheten. Befintliga krypterade iCloud-säkerhetskopior och kopior på andra enheter lämnas avsiktligt oförändrade.

Vad är Tvångsläge?

Tvångsläge är den sista försvarslinjen. Det är en funktion som du hoppas att du aldrig behöver, designad för det ögonblick då allt annat har misslyckats, när någon står över dig och kräver tillgång till dina privata filer och du inte har något annat val än att följa.

Så här fungerar det: du anger ett valv som ditt tvångsvalv. Du fyller det med innehåll som ser trovärdigt ut - några ofarliga foton, några vardagliga dokument. Sedan tilldelar du det ett mönster, precis som alla andra valv. I det vanliga upplåsningsgränssnittet ser det ut och öppnas som ett vanligt valv; filsystem och molnbevis förblir utanför det smala presentationsanspråket.

Skillnaden är vad som händer när du ritar det mönstret. Ett normalt valvmönster öppnar sitt eget valv. Tvångsmönstret gör det också, och visar det angivna valvets innehåll på skärmen, men det utlöser också en lokal rensning av indexen och återställningsmappningarna som gör de andra valven tillgängliga på den enheten.

Ingen bekräftelsedialogruta visas. Inget varningsljud spelas upp. Personen som tittar på dig ser ett valv öppet och dess filer visas. Vad gränssnittet inte meddelar är att andra lokala valvindex har raderats, lokala återställningsmappningar har rensats, pågående säkerhetskopieringsarbete har stoppats och enheten måste använda explicit frasbaserad återställning innan ett borttaget valv kan återvända.

Hur det fungerar Under huven

Att förstå mekaniken är viktigt eftersom tvångsläget har en smalare gräns än ett universellt raderingspåstående. Det ändrar tillstånd på den aktuella enheten; det lovar inte att radera CloudKit, en annan enhet, filsystemhistorik eller bevis som redan samlats in av en angripare.

Steg 1: Du ritar tvångsmönstret

När du ritar mönstret som är tilldelat ditt tvångsvalv känner Vaultaire igen det som en tvångsutlösare. Appen startar två operationer samtidigt: den börjar dekryptera och visa det angivna valvets innehåll, och den initierar lokal rensning av index och återställningsmappningar för alla andra valv.

Steg 2: Lokal åtkomststatus tas bort

Vaultaire använder ett enhetsomfattande Keychain-salt för lokal mönsterhärledning, inte ett separat salt för varje valv. Tvångsläget förstör inte det delade saltet. I stället rensar det den krypterade lokala återställningsdatabasen och tar bort alla valvindex utom det angivna valvets index, tillsammans med de andra valvens lagringsfiler. Eftersom varje index innehåller den omslutna slumpmässiga huvudnyckeln och filkartan för det valvet, tas valvet som inte är tvångsvalv bort ur appens användbara lokala tillstånd när indexet raderas.

Tvångsläget tar bort de andra valvens sidor och arenor från den delade lagringsmappen med vanlig radering utan överskrivning, så flashlagringen kan fortfarande innehålla gamla block. Utan det borttagna indexet har Vaultaire ingen filkarta eller omsluten huvudnyckel för att öppna det borttagna valvet lokalt. Appen rensar också lokala återställningsmappningar så att den vanliga återställningsskärmen inte omedelbart kan räkna upp eller återställa dessa valv.

Steg 3: Molnåterställning är bevarad men isolerad

Befintlig krypterad iCloud-säkerhetskopiering bevaras medvetet som en återställningsväg. Enheten nollställer väntande säkerhetskopieringsarbete och går in i en isoleringsgräns så att den lokala raderingen inte laddas upp som en vanlig radering och dolda valv inte hämtas tillbaka automatiskt. Senare återställning är explicit, ett valv i taget, och kräver valvets återställningsfras snarare än bara mönstret som avslöjas under tvång.

Steg 4: Tvångsvalvet öppnas normalt

Medan den lokala rensningen körs, öppnas det utsedda valvet genom det normala gränssnittet. Vaultaire stänger av analyser innan den startar och håller dem avstängda tills du slår på dem igen, försöker återkalla aktiva delningar som skapats från valvet, återskapar dess återställningsfras och rensar tvångsbeteckningen efteråt. Appen presenterar ingen tvångsbekräftelse eller slutförandemeddelande, men slutförandetiden beror på lokalt arbete och eventuella återkallelser över nätverket; Vaultaire lovar ingen universell tidsgräns under en sekund.

Vad gränssnittet inte visar

Det omedelbara gränssnittet är utformat för att undvika att meddela tvångsläge för någon som tittar över din axel. Det är en användbar presentationsegenskap, inte bevis på att varje kriminalteknisk observatör ser ett identiskt enhetstillstånd. Filsystemartefakter, CloudKit-poster, en annan synkroniserad enhet eller tidigare åtkomst till telefonen kan falla utanför vad appen kan dölja.

Ingen bekräftelsedialog

De flesta destruktiva åtgärderna i programvara kommer med en varning: "Är du säker?" Tvångsläge har ingen sådan varning. En bekräftelsedialog skulle avslöja vad som händer. I samma ögonblick som du ritar mönstret vidtas åtgärden. Du kan inte av misstag trigga den om du inte av misstag ritar ett specifikt, komplext mönster på ett 5×5 rutnät, vilket inte är något som händer av en slump.

Ingen separat fördröjningsskärm

Appen öppnar det angivna valvet medan den utför lokal rensning och återkallar delningar. Flödet är utformat för att inte lägga till en separat varningsskärm, men enhetens prestanda, valvtillstånd och nätverksförhållanden varierar. Vaultaire hävdar inte tidslikhet som en observatör med instrument aldrig skulle kunna urskilja.

Inget meddelande om rensning i appen

Vaultaire stänger av analyser före rensningen och visar inte ett meddelande om att valv har tagits bort. Analyserna förblir avstängda efter en omstart tills du slår på dem igen. Tvångsinställningen är en post i nyckelringen, så en granskare med åtkomst till nyckelringen kan se att ett tvångsvalv har angetts. På den enheten är det bevarade valvet det som förblir tillgängligt via appen. Detta raderar inte bevis utanför appens nuvarande lokala tillstånd, och det bör inte behandlas som ett löfte om oupptäckbarhet under kriminalteknisk undersökning.

Vilket lokalt tillstånd tas bort

Precision spelar roll här. Tvångsläge tar bort specifika lokala strukturer som behövs för att hitta och öppna valv utan tvång, och deras lagringsfiler, samtidigt som enhetens salt och eventuell krypterad iCloud-säkerhetskopia bevaras. Det raderar filer utan att skriva över dem, så det är inget påstående om att varje fysisk kopia har skrivits över.

Den krypterade återställningsdatabasen

Den lokala återställningsdatabasen mappar återställningsfraser och äldre mönsterfält till valvåtkomst. Tvångsläge rensar databasen och skapar sedan en ny återställningspost endast för det angivna valvet. Detta tar bort lokala återställningsmappningar för de andra valven utan att låtsas att Vaultaire använde eller förstörde ett separat salt för var och en.

Index för valv som inte är tvångsvalv

Varje krypterat valvindex innehåller dess filposter och den slumpmässiga huvudnyckeln omsluten av valvets mönsterhärledda nyckel. Tvångsläget tar bort alla index utom det angivna valvets. PBKDF2-algoritmen och iterationsantalet är offentliga implementeringsparametrar; säkerheten är inte beroende av att radera dem.

Krypterad fildata

Tvångsläget raderar de andra valvens krypterade sidor och arenor, och täckarenorna, från den delade lagringsmappen och ger sedan det kvarvarande valvet nya täckfiler. Raderingen är en vanlig borttagning utan överskrivning, och Vaultaire hävdar inte säker fysisk överskrivning av varje flash-lagringsblock. Raderade index eller tidigare tillstånd kan också finnas kvar i lagringslager utanför appens kontroll.

När ska Tvångsläge användas

Tvångsläget är utformat för situationer där du möter fysiskt tvång eller juridiskt tvång och har bestämt dig för att det är bättre att ta bort lokal valvåtkomst än att exponera den. Detta är ett personligt beslut med allvarliga konsekvenser, och Vaultaire ger dig verktyget utan att ta beslutet åt dig.

Gränsövergångar

Gränssökningsbefogenheter och resenärers skyldigheter varierar beroende på land och omständigheter. Att rita tvångsmönstret innan du lämnar över din telefon lämnar ett valv tillgängligt i gränssnittet och tar bort andra lokala åtkomsttillstånd, men det kan inte garantera att en granskare inte hittar några filsystemartefakter, krypterade säkerhetskopior, kopior hos andra eller tidigare bevis.

Fysiskt tvång

Om någon tvingar dig att låsa upp din telefon under hot behöver du ett sätt att begränsa vad det vanliga gränssnittet avslöjar. Tvångsläge låter dig rita ett mönster som ser ut som samarbete. Tvingaren ser det angivna valvet öppet, medan gränssnittet inte tillkännager den samtidiga lokala rensningen av andra valvåtkomsttillstånd.

Enhetsbeslag

Om du har anledning att tro att din enhet kommer att konfiskeras, kan tvångsläget ta bort åtkomsten till valv som inte är tvångsvalv från den aktuella appinstallationen innan överlämnandet. Det kan inte garantera att en kriminalteknisk analytiker inte har något att undersöka, särskilt om enheten redan var komprometterad eller om det finns andra kopior och systemartefakter.

Journalist och källskydd

Journalister som arbetar i fientliga miljöer, aktivister som arbetar under övervakning och alla vars data kan utsätta sig själva eller andra för fara. Tvångsläge förvandlar ett ögonblick av sårbarhet till ett ögonblick av skydd.

Konfigurera ditt tvångsvalv

Att konfigurera Tvångsläge tar cirka två minuter. Att göra det bra, gör det övertygande, kräver lite mer eftertanke.

Ange valvet

I Vaultaires inställningar anger du ett valv som tvångsvalv. Detta valv kommer att vara det som öppnas när tvångsmönstret ritas, så det måste innehålla innehåll som ser verkligt ut och uppfyller en observatörs förväntningar. Ett tomt valv är misstänkt. Ett valv med tydligt falskt innehåll är misstänkt. Ett valv med en handfull normala personliga bilder är perfekt.

Förvara det med trovärdigt innehåll

Lägg innehåll i ditt tvångsvalv som någon skulle förvänta sig att hitta i ett privat valv: några personliga foton, kanske en skanning av ett dokument, några filer som ser tillräckligt privata ut för att motivera låsning men tillräckligt ofarliga för att överleva granskning. Målet är inte att lura en kriminalteknisk undersökning, det är att tillfredsställa personen som står framför dig i stunden.

Välj ett naturligt mönster

Tvångsmönstret ska vara något du kan rita under stress, snabbt och utan att tveka. Om du ritar ett annat giltigt mönster kan du öppna ett annat valv eller ett tomt tillstånd istället. Öva på utlösaren i en säker testmiljö. Som alla Vaultaire-mönster måste det ansluta minst sex punkter och göra minst en riktningsändring.

Testa det

Innan du behöver det, testa Tvångsläge i en säker miljö. Skapa några testvalv, utse ett tvångsvalv och utlös det. Kontrollera att de andra valven inte längre öppnas på den enheten. Kontrollera att tvångsvalvet öppnade normalt. Ställ sedan in det på riktigt.

Det finns ingen ångra

Detta måste sägas tydligt: när tvångsläget utlöses finns det ingen ångraknapp för den lokala rensningen. Vaultaire-support kan inte rekonstruera ditt mönster eller din återställningsfras. Om krypterad iCloud-säkerhetskopiering (på som standard) fortfarande var på i förväg och du behöll återställningsfrasen, kan du senare återställa ett valv i taget. Utan båda kan det borttagna lokala åtkomsttillståndet göra att du inte kan återställa valvet.

De andra indexen och lokala återställningsmappningarna är borta från det aktiva apptillståndet. Deras lagringsfiler tas bort utan överskrivning. Det enhetsomfattande saltet är inte raderingsmålet, och krypterade molnsäkerhetskopior bevaras. Denna gräns är avsiktlig: den tar bort åtkomst från enheten under tvång samtidigt som den behåller en fraskontrollerad återställningsväg för ägaren.

Tvångsläge är designat för personer som förstår denna avvägning och har bestämt sig i förväg att de hellre vill ta bort omedelbar åtkomst från den aktuella enheten än att exponera valvet under tvång. Om du inte säkert kan behålla återställningsfrasen och en krypterad säkerhetskopia, anta att den lokala rensningen kan kosta dig åtkomst till det valvet.

Avvägningen är specifik snarare än absolut. Lokal radering börjar utan bekräftelse, medan senare återställning endast är möjlig via den separata moln- och återställningsfrasvägen. Testa funktionen med okänslig data innan du bestämmer dig för om det beteendet matchar din hotmodell.