ห้องนิรภัยที่ซ่อนอยู่ โดยไม่มีรายการห้องนิรภัยให้เห็น

ห้องนิรภัยที่ซ่อนอยู่ใน Vaultaire เป็นคุณสมบัติของอินเทอร์เฟซและการเลือกเส้นทางด้วยคีย์ แอปไม่แสดงรายการห้องนิรภัยแบบข้อความธรรมดา และจะเปิดห้องนิรภัยหลังจากสร้างคีย์จากรูปแบบแล้วเท่านั้น บนดิสก์ ไดเรกทอรีจัดเก็บของแต่ละห้องนิรภัยยังนับได้ การออกแบบนี้จึงไม่ได้ทำให้จำนวนห้องนิรภัยมองไม่เห็นทางนิติวิทยาศาสตร์

"ห้องนิรภัยซ่อน" หมายถึงอะไรกันแน่

แอปห้องนิรภัยส่วนใหญ่ทำงานเหมือนกับตู้เก็บเอกสาร เปิดแอปแล้วคุณจะเห็นรายการห้องนิรภัยของคุณ บางทีพวกเขาอาจมีชื่อ บางทีพวกเขาอาจจะแสดงการนับ อาจมีไอคอนแม่กุญแจเล็กๆ อยู่ข้างๆ แต่ละอัน แอปรู้แน่ชัดว่าคุณมีห้องนิรภัยจำนวนเท่าใด และข้อมูลดังกล่าวจะปรากฏแก่ใครก็ตามที่เปิดแอป, หรือตรวจสอบอุปกรณ์

อินเทอร์เฟซของ Vaultaire ทำงานต่างออกไป ไม่มีหน้าจอที่แสดงชื่อห้องนิรภัยหรือถามว่าจะปลดล็อกห้องไหน เมื่อคุณวาดรูปแบบ แอปจะสร้างคีย์ห้องนิรภัย 256 บิตด้วย PBKDF2 แฮชคีย์นั้นเพื่อได้ชื่อไฟล์ดัชนีที่ควรมี แล้วลองถอดรหัสดัชนีที่เข้ารหัสนั้นพร้อมตรวจสอบความถูกต้อง หากดัชนีมีอยู่และแท็ก AES-GCM ผ่านการตรวจสอบ Vaultaire จะแกะคีย์หลักแบบสุ่มและเปิดไฟล์ หากไม่ผ่าน แอปจะแสดงสถานะว่าง

การเลือกเส้นทางนี้เป็นส่วนหนึ่งของสถาปัตยกรรมการจัดเก็บ แต่การป้องกันมีข้อจำกัด Vaultaire ไม่มีทะเบียนหลักแบบข้อความธรรมดาที่จับคู่ห้องนิรภัยกับรูปแบบหรือชื่อ แอปเก็บดัชนีหลักที่เข้ารหัสของแต่ละห้องนิรภัยไว้ในพูลที่เติมให้ครบช่วงละ 64 ช่องด้วยไฟล์ปลอมแบบสุ่ม แต่ห้องนิรภัยจริงแต่ละห้องยังมีไดเรกทอรีจัดเก็บหนึ่งไดเรกทอรีที่ตั้งชื่อด้วยตัวระบุตำแหน่งเดียวกัน และแอปมีขั้นตอนบำรุงรักษาที่ไล่ดูไดเรกทอรีเหล่านั้น ผู้ตรวจสอบระบบไฟล์จึงนับจำนวนห้องนิรภัยและแยกไฟล์ดัชนีจริงออกจากไฟล์ปลอมได้ แม้จะอ่านเนื้อหาดัชนีไม่ได้หากไม่มีคีย์

นี่ไม่ใช่ "โฟลเดอร์ที่ซ่อนอยู่"

วลี "ห้องนิรภัยที่ซ่อนอยู่" อาจทำให้คุณนึกถึงแอปที่ซ่อนโฟลเดอร์ไว้ซึ่งคุณไม่สามารถมองเห็นได้ง่าย บางทีโฟลเดอร์อาจตั้งชื่อด้วยคำนำหน้าจุด ดังนั้นจึงไม่ปรากฏในไฟล์เบราว์เซอร์ บางทีแอปอาจใช้ "เครื่องคิดเลข" ปลอมตัวเพื่อปกปิดจุดประสงค์ที่แท้จริง สิ่งเหล่านี้เป็นเทคนิคการพรางตัว และทั้งหมดมีข้อบกพร่องร้ายแรงเหมือนกัน นั่นคือข้อมูลที่ซ่อนไว้ยังคงอยู่ในตำแหน่งที่ทราบ กำลังรอการค้นพบ

ผู้ตรวจสอบทางนิติเวชที่สามารถเข้าถึงอุปกรณ์ของคุณสามารถค้นหาโฟลเดอร์ที่ซ่อนอยู่ได้เล็กน้อย เครื่องมือระบบไฟล์แสดงรายการทุกไดเร็กทอรี ตัววิเคราะห์พื้นที่เก็บข้อมูลจะแสดงตำแหน่งที่จัดสรรพื้นที่ดิสก์ แม้แต่เพื่อนที่เชี่ยวชาญด้านเทคโนโลยีในระดับปานกลางโดยใช้เวลาห้านาทีและเครื่องมือค้นหาก็สามารถค้นหาโฟลเดอร์ที่ "ซ่อน" ได้ส่วนใหญ่

Vaultaire ไม่ได้พึ่งโฟลเดอร์อำพรางหรือหน้าตาแบบเครื่องคิดเลข ภายในคอนเทนเนอร์ของแอป Vaultaire เก็บดัชนีห้องนิรภัยที่เข้ารหัสและไฟล์ blob ที่เข้ารหัส เนื้อหาในดัชนีซ่อนชื่อไฟล์ของผู้ใช้ ประเภท MIME วันที่ แผนผังไฟล์ และคีย์หลักที่ห่อไว้ ด้วย AES-256-GCM เนื้อหาเหล่านั้นจะอ่านได้ก็ต่อเมื่อคีย์ที่สร้างจากรูปแบบที่ถูกต้องยืนยันความถูกต้องของดัชนีแล้ว

ความต่างในทางปฏิบัติคือ โฟลเดอร์ลับที่ตั้งชื่อไว้ตรงๆ กับคอนเทนเนอร์เข้ารหัสที่ตรวจสอบความถูกต้องได้ ซึ่งเลือกด้วยชื่อไฟล์ที่สร้างจากคีย์ ผู้ตรวจสอบอุปกรณ์เห็นได้ว่ามีคอนเทนเนอร์อยู่ แต่หากไม่มีข้อมูลยืนยันตัวตนที่ถูกต้อง ก็จะไม่ได้แผนผังไฟล์หรือเนื้อหาที่อ่านได้

รูปแบบการจัดเก็บเปิดเผยอะไรบ้าง

แม้ว่าจะไม่มีรายการ ห้องนิรภัย แต่ฝ่ายตรงข้ามที่ฉลาดอาจลองใช้วิธีอื่น: วิเคราะห์การใช้งานดิสก์ หาก Vaultaire ใช้พื้นที่เก็บข้อมูล 500 MB ในวันนี้และ 800 MB พรุ่งนี้ คุณอาจเพิ่มห้องนิรภัย หากการลบรูปภาพออกจากห้องนิรภัยหนึ่งจะลดพื้นที่เก็บข้อมูลลง 200 MB พอดี อาจมีความเกี่ยวข้องในการใช้ประโยชน์

Vaultaire ไม่ได้ทำให้ขนาดพื้นที่จัดเก็บในเครื่องคงที่ การเพิ่มไฟล์ใช้พื้นที่ การลบห้องนิรภัยคืนพื้นที่ได้ และห้องนิรภัยแต่ละห้องมีไดเรกทอรีจัดเก็บหนึ่งไดเรกทอรี การเข้ารหัสปกป้องเนื้อหาและความสมบูรณ์ แต่ไม่ได้ลบข้อมูลเรื่องขนาด จำนวน และเวลาออกจากระบบไฟล์ทั้งหมด

ผู้ที่เข้าถึงคอนเทนเนอร์ของแอปได้อาจเชื่อมโยงจำนวนไฟล์ ขนาด และเวลาแก้ไขเข้ากับกิจกรรมของคุณ Data Protection ของ iOS จำกัดการเข้าถึงได้ขณะอุปกรณ์ล็อกอยู่ และเพย์โหลดที่เข้ารหัสยังเป็นความลับหากไม่มีคีย์ แต่ Vaultaire ไม่ได้อ้างว่าต้านการวิเคราะห์รูปแบบการใช้งานในเครื่องได้

ใช้การเติมขนาด (padding) ที่ไหนบ้าง

Vaultaire ใช้การเติมขนาดในบางรูปแบบ ส่วนหัวของไฟล์ที่เข้ารหัสจองขนาดส่วนหัวไว้คงที่ ชื่อไฟล์ทั่วไปและประเภท MIME จึงไม่ถูกเปิดเผยเป็นข้อความธรรมดา ข้อมูลสำรอง iCloud ที่เข้ารหัสใช้ระเบียนขนาดคงที่ 10 MB พร้อมชิ้นข้อมูลล่อ อย่าสับสนการควบคุมเหล่านี้กับพูลจัดเก็บในเครื่องที่มีขนาดคงที่

ดัชนีห้องนิรภัยในเครื่องและไฟล์ blob ยังมีชื่อไฟล์และขนาดระดับแอปที่จดจำได้ AES-GCM ซ่อนข้อความธรรมดาและตรวจจับการแก้ไข แต่ไม่ได้ทำให้ทุกไบต์หรือร่องรอยในระบบไฟล์แยกไม่ออกจากเซกเตอร์ดิสก์แบบสุ่ม

การต่อต้านทางนิติวิทยาศาสตร์: จะเกิดอะไรขึ้นเมื่อพวกเขาหยิบโทรศัพท์ของคุณไป

มาพูดถึงโมเดลภัยคุกคามให้ชัด คนที่เหลือบมองแอปจะไม่เห็นรายการห้องนิรภัย ส่วนคนที่เข้าถึงคอนเทนเนอร์ของแอปได้ผ่านอุปกรณ์ที่ถูกเจาะหรือปลดล็อกอยู่ จะเห็นได้มากกว่า และตรวจดูชื่อไฟล์ จำนวน ขนาด เวลาประทับ สถานะการเข้าถึง Keychain และเพย์โหลดที่เข้ารหัสได้

เครื่องมือทางนิติวิทยาศาสตร์สามารถมองเห็นอะไรได้บ้าง

ผู้ตรวจสอบทางนิติวิทยาศาสตร์อาจเห็นว่ามีการติดตั้ง Vaultaire ใช้พื้นที่เท่าใด มีไดเรกทอรีจัดเก็บของห้องนิรภัยกี่ไดเรกทอรี แต่ละไดเรกทอรีตรงกับไฟล์หลัก `vault_index_*.bin` ใด ไฟล์ arena ที่เข้ารหัส และเมตาดาตาการแก้ไข ผู้ตรวจสอบยังอาจคัดลอกไซเฟอร์เท็กซ์ไปเดารูปแบบแบบออฟไลน์ได้

สิ่งที่การเข้ารหัสยังคงปกป้องอยู่

• ชื่อห้องนิรภัยและแผนผังไฟล์ที่อ่านได้ ดัชนีที่เข้ารหัสปกป้องรายการไฟล์และคีย์หลักแบบสุ่มที่ห่อไว้
• ชื่อไฟล์ต้นฉบับและประเภท MIME ข้อมูลเหล่านี้อยู่ในส่วนหัวของไฟล์ที่เข้ารหัสและตรวจสอบความถูกต้องได้ ไม่ได้อยู่ในชื่อไดเรกทอรีแบบข้อความธรรมดา
• เนื้อหารูปภาพ วิดีโอ และเอกสาร เพย์โหลดของไฟล์ใช้ AES-256-GCM ภายใต้คีย์หลักแบบสุ่มของห้องนิรภัย
• ตัวรูปแบบเอง Vaultaire ไม่ได้เก็บรูปแบบเป็นค่าตั้งค่าแบบข้อความธรรมดา แต่ฐานข้อมูลการกู้คืนในเครื่องที่เข้ารหัสมีข้อมูลรูปแบบและวลีอยู่ขณะที่ใช้อุปกรณ์ตามปกติ
• ทางลัดข้ามการเดา PBKDF2 ทำให้การลองแต่ละครั้งมีต้นทุนสูงขึ้น แต่ชื่อไฟล์ดัชนีและแท็ก AES-GCM ที่คัดลอกไปยังให้ผู้โจมตีตรวจคำตอบที่เดาได้แบบออฟไลน์

ห้องนิรภัยซ่อนช่วยให้ปฏิเสธได้อย่างสมเหตุสมผลอย่างไร

ห้องนิรภัยที่ซ่อนอยู่คือการแบ่งส่วนอินเทอร์เฟซที่รองรับฟีเจอร์ การปฏิเสธที่น่าเชื่อได้ ของ Vaultaire ความเชื่อมโยงนี้และข้อจำกัดเมื่อถูกตรวจระบบไฟล์ เป็นสิ่งสำคัญเมื่อประเมินข้อกล่าวอ้างนั้น

ในอินเทอร์เฟซของ Vaultaire รูปแบบที่ถูกต้องต่างกันเปิดห้องนิรภัยจริงต่างห้องกันได้ คุณเลือกรูปแบบหนึ่งสำหรับข้อมูลที่อ่อนไหว และอีกรูปแบบสำหรับห้องนิรภัยที่อ่อนไหวน้อยกว่าได้ ผู้ที่เห็นเฉพาะอินเทอร์เฟซที่ปลดล็อกแล้วจะไม่เห็นป้ายที่บอกว่าห้องไหน "ของจริง" หรือ "ตัวล่อ"

วิธีนี้ลดการเปิดเผยข้อมูลเมื่อถูกตรวจดูแบบผ่านๆ หรือถูกแอบมองได้ แต่ไม่ถึงนิยามทางนิติวิทยาศาสตร์ที่เข้มที่สุดของการปฏิเสธได้อย่างสมเหตุสมผล ผู้ตรวจสอบที่เข้าถึงคอนเทนเนอร์ของแอปได้นับจำนวนห้องนิรภัยได้ ใช้ฟีเจอร์นี้เพื่อแบ่งส่วนอินเทอร์เฟซ ไม่ใช่เป็นข้อพิสูจน์ว่าไม่มีห้องนิรภัยอื่นอีก

โซ่ที่สมบูรณ์

• ขั้นตอนที่ 1:คุณสร้าง ห้องนิรภัย หลายอันด้วยรูปแบบที่แตกต่างกัน, หนึ่งอันสำหรับไฟล์จริง หนึ่งอันสำหรับล่อ มากเท่าที่คุณต้องการ
• ขั้นตอนที่ 2:ถ้ากดดันก็วาดลายล่อ ผู้สังเกตเห็นห้องนิรภัยพร้อมรูปถ่ายที่น่าเบื่อ
• ขั้นตอนที่ 3: อินเทอร์เฟซที่ปลดล็อกแล้วไม่แสดงรายการห้องนิรภัยอื่น หรือข้อความที่ระบุชื่อห้องนิรภัยอีกห้อง
• ขั้นตอนที่ 4: คุณคำนึงถึงขอบเขตภัยคุกคามอีกแบบไว้เสมอ การเข้าถึงระบบไฟล์อาจเปิดเผยจำนวนดัชนีที่เข้ารหัส แม้ผู้สังเกตจะถอดรหัสเนื้อหาไม่ได้

ผลลัพธ์คือการแบ่งส่วนภายในแอปที่ใช้ได้จริง โดยมีการเข้ารหัสปกป้องเนื้อหา แต่ไม่ใช่การรับประกันทางคณิตศาสตร์ว่าผู้ตรวจสอบอุปกรณ์จะตรวจไม่พบคอนเทนเนอร์เข้ารหัสอื่นอีก

ทำไมสิ่งนี้ถึงสำคัญ

คุณอาจคิดว่าการต่อต้านทางนิติวิทยาศาสตร์ฟังดูรุนแรงมาก คนส่วนใหญ่ไม่ต้องเผชิญกับการยึดอุปกรณ์หรือคำสั่งศาล แต่หลักการเบื้องหลังห้องนิรภัยที่ซ่อนอยู่ก็ปกป้องคุณในสถานการณ์ประจำวันเช่นกัน

คนที่มาถึงหน้าล็อกของ Vaultaire จะไม่ได้รายชื่อห้องนิรภัยไว้เป็นเป้าหมาย เพื่อนร่วมงานที่ยืมอุปกรณ์ของคุณเปิดดูห้องนิรภัยอื่นผ่านตัวเลือกไม่ได้ ขโมยยังรู้ว่ามีการติดตั้ง Vaultaire และอาจเล็งเป้าไปที่แอปหรืออุปกรณ์ แต่เนื้อหาที่เข้ารหัสยังได้รับการปกป้องด้วยรูปแบบ ต้นทุนของ PBKDF2 AES-GCM และขอบเขตความปลอดภัยของ iOS

ห้องนิรภัยที่ซ่อนอยู่ตอบคำถามความเป็นส่วนตัวที่แคบกว่า คือการเปิดห้องนิรภัยหนึ่งห้องจะเผยรายการห้องอื่นหรือไม่ ในอินเทอร์เฟซปกติ คำตอบคือไม่ ส่วนผู้ตรวจสอบที่มีเครื่องมือมากกว่าจะตรวจพบคอนเทนเนอร์ที่เข้ารหัสได้หรือไม่ ขึ้นกับสถานะของอุปกรณ์และระดับการเข้าถึง และ Vaultaire บอกข้อจำกัดนี้ไว้ตรงๆ