โหมดบีบบังคับ: ยกเลิกการเข้าถึงห้องนิรภัยอื่น

โหมดบีบบังคับใน Vaultaire ให้คุณกำหนดห้องนิรภัยหนึ่งห้องเป็นตัวกระตุ้นเมื่อถูกบีบบังคับ การวาดรูปแบบของห้องนิรภัยนั้นจะเปิดห้องตามปกติ พร้อมลบดัชนีของห้องนิรภัยอื่นและข้อมูลจับคู่การกู้คืนในเครื่องออกจากอุปกรณ์ปัจจุบัน ข้อมูลสำรอง iCloud ที่เข้ารหัสซึ่งมีอยู่แล้วและสำเนาบนอุปกรณ์อื่นจะไม่ถูกแตะต้องโดยเจตนา

โหมดบีบบังคับคืออะไร

โหมดบีบบังคับคือแนวป้องกันด่านสุดท้าย เป็นฟีเจอร์ที่คุณหวังว่าจะไม่ต้องใช้ ออกแบบมาสำหรับช่วงเวลาที่วิธีอื่นล้มเหลวหมดแล้ว เมื่อมีคนยืนค้ำหัวคุณ เรียกร้องให้เปิดไฟล์ส่วนตัว และคุณไม่มีทางเลือกนอกจากต้องทำตาม

วิธีการทำงานคือ คุณกำหนดห้องนิรภัยหนึ่งห้องเป็นห้องนิรภัยลวง ใส่เนื้อหาที่ดูน่าเชื่อ เช่น รูปภาพธรรมดาสองสามรูปและเอกสารทั่วไป แล้วตั้งรูปแบบให้เหมือนห้องนิรภัยอื่น ในหน้าจอปลดล็อกปกติ ห้องนี้ดูและเปิดเหมือนห้องนิรภัยธรรมดา ส่วนหลักฐานในระบบไฟล์และบนคลาวด์อยู่นอกขอบเขตของคำกล่าวอ้างเรื่องการแสดงผลนี้

ความต่างอยู่ที่สิ่งที่เกิดขึ้นเมื่อคุณวาดรูปแบบนั้น รูปแบบของห้องนิรภัยปกติจะเปิดห้องนิรภัยของตัวเอง รูปแบบการบีบบังคับก็ทำเช่นนั้นเหมือนกัน โดยแสดงเนื้อหาของห้องนิรภัยที่กำหนดบนหน้าจอ แต่ยังสั่งล้างดัชนีและข้อมูลจับคู่การกู้คืนในเครื่องที่ทำให้เข้าถึงห้องนิรภัยอื่นบนอุปกรณ์นั้นได้

ไม่มีกล่องยืนยันปรากฏขึ้น ไม่มีเสียงเตือน คนที่จ้องดูคุณจะเห็นห้องนิรภัยเปิดขึ้นพร้อมไฟล์ข้างใน สิ่งที่หน้าจอไม่ได้บอกคือ ดัชนีของห้องนิรภัยอื่นในเครื่องถูกลบแล้ว ข้อมูลจับคู่การกู้คืนในเครื่องถูกล้างแล้ว งานสำรองข้อมูลที่ค้างอยู่ถูกหยุด และอุปกรณ์ต้องกู้คืนอย่างชัดแจ้งด้วยวลีก่อนที่ห้องนิรภัยที่ถูกนำออกจะกลับมาได้

เบื้องหลังการทำงาน

การเข้าใจกลไกนี้สำคัญ เพราะโหมดบีบบังคับมีขอบเขตแคบกว่าคำกล่าวอ้างว่าลบทุกอย่าง โหมดนี้เปลี่ยนสถานะบนอุปกรณ์ปัจจุบัน และไม่ได้สัญญาว่าจะลบ CloudKit อุปกรณ์อื่น ประวัติในระบบไฟล์ หรือหลักฐานที่ผู้โจมตีเก็บไปแล้ว

ขั้นตอนที่ 1: คุณวาดรูปแบบการบีบบังคับ

เมื่อคุณวาดรูปแบบที่ตั้งไว้ให้ห้องนิรภัยลวง Vaultaire จะรู้ว่าเป็นตัวกระตุ้นการบีบบังคับ แอปเริ่มงานสองอย่างพร้อมกัน คือ ถอดรหัสและแสดงเนื้อหาของห้องนิรภัยที่กำหนด และเริ่มล้างดัชนีในเครื่องและข้อมูลจับคู่การกู้คืนของห้องนิรภัยอื่นทุกห้อง

ขั้นตอนที่ 2: สถานะการเข้าถึงภายในเครื่องจะถูกลบออก

Vaultaire ใช้ salt ใน Keychain ค่าเดียวทั้งอุปกรณ์สำหรับสร้างคีย์จากรูปแบบในเครื่อง ไม่ได้ใช้ salt แยกสำหรับแต่ละห้องนิรภัย โหมดบีบบังคับไม่ทำลาย salt ที่ใช้ร่วมกันนี้ แต่จะล้างฐานข้อมูลการกู้คืนในเครื่องที่เข้ารหัส และลบดัชนีของทุกห้องนิรภัย ยกเว้นดัชนีของห้องนิรภัยที่กำหนด ดัชนีแต่ละรายการเก็บคีย์หลักแบบสุ่มที่ห่อไว้และแผนผังไฟล์ของห้องนิรภัยนั้น การลบดัชนีจึงทำให้ห้องนิรภัยที่ไม่ใช่ห้องนิรภัยลวงหลุดออกจากสถานะในเครื่องที่แอปใช้งานได้

พูล blob ที่เข้ารหัสยังคงอยู่ได้ เพราะห้องนิรภัยทุกห้องใช้พื้นที่เก็บนี้ร่วมกัน เมื่อไม่มีดัชนีที่ถูกลบ Vaultaire ก็ไม่มีแผนผังไฟล์หรือคีย์หลักที่ห่อไว้สำหรับเปิดห้องนิรภัยที่ถูกลบในเครื่อง แอปยังล้างข้อมูลจับคู่การกู้คืนในเครื่องด้วย หน้าจอกู้คืนปกติจึงแสดงรายการหรือกู้คืนห้องนิรภัยเหล่านั้นทันทีไม่ได้

ขั้นตอนที่ 3: ช่องทางกู้คืนบนคลาวด์ยังอยู่ แต่ถูกแยกไว้

ข้อมูลสำรอง iCloud ที่เข้ารหัสซึ่งมีอยู่แล้วจะถูกเก็บไว้โดยเจตนาเพื่อเป็นช่องทางกู้คืน อุปกรณ์จะรีเซ็ตงานสำรองข้อมูลที่ค้างอยู่และเข้าสู่ขอบเขตการแยก เพื่อไม่ให้การล้างในเครื่องถูกอัปโหลดเป็นการลบปกติ และไม่ให้ห้องนิรภัยที่ซ่อนอยู่ถูกดึงกลับมาโดยอัตโนมัติ การกู้คืนในภายหลังต้องทำอย่างชัดแจ้ง ทีละห้องนิรภัย และต้องใช้วลีกู้คืนของห้องนั้น ไม่ใช่แค่รูปแบบที่ถูกบังคับให้เปิดเผย

ขั้นตอนที่ 4: ห้องนิรภัยลวงเปิดขึ้นตามปกติ

ระหว่างที่การล้างข้อมูลในเครื่องทำงาน ห้องนิรภัยที่กำหนดจะเปิดผ่านหน้าจอปกติ Vaultaire ปิดการวิเคราะห์การใช้งานสำหรับเซสชันปัจจุบันก่อนเริ่ม พยายามเพิกถอนการแชร์ที่ยังใช้งานอยู่ซึ่งสร้างจากห้องนิรภัยนั้น สร้างวลีกู้คืนใหม่ และยกเลิกสถานะห้องนิรภัยลวงหลังจากนั้น แอปไม่แสดงข้อความยืนยันหรือข้อความว่าเสร็จสิ้น แต่เวลาที่ใช้ขึ้นอยู่กับงานในเครื่องและการเพิกถอนผ่านเครือข่าย Vaultaire ไม่ได้สัญญาว่าจะเสร็จภายในเสี้ยววินาทีในทุกกรณี

สิ่งที่หน้าจอแบบเงียบซ่อนได้และซ่อนไม่ได้

หน้าจอที่แสดงทันทีออกแบบมาไม่ให้บอกคนที่จ้องอยู่ข้างหลังว่าโหมดบีบบังคับทำงาน นี่เป็นคุณสมบัติด้านการแสดงผลที่มีประโยชน์ แต่ไม่ได้พิสูจน์ว่าผู้ตรวจทางนิติวิทยาศาสตร์ทุกคนจะเห็นสถานะอุปกรณ์เหมือนเดิม ร่องรอยในระบบไฟล์ ระเบียน CloudKit อุปกรณ์อื่นที่ซิงค์กัน หรือการเข้าถึงโทรศัพท์ก่อนหน้านี้ อาจอยู่นอกเหนือสิ่งที่แอปปกปิดได้

ไม่มีกล่องโต้ตอบการยืนยัน

การกระทำที่ลบข้อมูลในซอฟต์แวร์ส่วนใหญ่มีคำเตือนว่า "คุณแน่ใจหรือไม่" โหมดบีบบังคับไม่มีคำเตือนแบบนั้น เพราะกล่องยืนยันจะเปิดโปงทุกอย่างทันที เมื่อคุณวาดรูปแบบ การทำงานก็เริ่มขึ้น คุณจะเปิดใช้โดยไม่ตั้งใจได้ก็ต่อเมื่อบังเอิญวาดรูปแบบที่ซับซ้อนและเฉพาะเจาะจงบนตาราง 5×5 ซึ่งแทบไม่มีทางเกิดขึ้นโดยบังเอิญ

ไม่มีหน้าจอหน่วงเวลาแยกต่างหาก

แอปเปิดห้องนิรภัยที่กำหนดในขณะที่ล้างข้อมูลในเครื่องและเพิกถอนการแชร์ ขั้นตอนนี้ออกแบบมาไม่ให้มีหน้าจอเตือนแยก แต่ประสิทธิภาพของอุปกรณ์ สถานะของห้องนิรภัย และสภาพเครือข่ายแตกต่างกันไป Vaultaire ไม่ได้อ้างว่าเวลาที่ใช้จะเท่ากันจนผู้สังเกตที่มีเครื่องมือแยกไม่ออก

ไม่มีการแจ้งเตือนการล้างข้อมูลในแอป

Vaultaire ปิดการวิเคราะห์การใช้งานสำหรับเซสชันปัจจุบันก่อนล้างข้อมูล และไม่แสดงการแจ้งเตือนว่า “ห้องนิรภัยถูกลบแล้ว” หากการตั้งค่าเปิดอยู่ การวิเคราะห์จะกลับมาทำงานเมื่อเปิดแอปครั้งถัดไป การตั้งค่าโหมดบีบบังคับเป็นรายการใน Keychain ผู้ตรวจสอบที่เข้าถึง Keychain จึงเห็นได้ว่ามีการตั้งห้องนิรภัยลวงไว้ บนอุปกรณ์นั้น ห้องนิรภัยที่ถูกเก็บไว้คือห้องเดียวที่ยังเข้าถึงได้ผ่านแอป การทำงานนี้ไม่ได้ลบหลักฐานที่อยู่นอกสถานะในเครื่องปัจจุบันของแอป และไม่ควรถือเป็นสัญญาว่าการตรวจทางนิติวิทยาศาสตร์จะตรวจไม่พบ

สถานะในเครื่องที่ถูกลบ

ต้องพูดให้แม่นยำตรงนี้ โหมดบีบบังคับลบโครงสร้างในเครื่องบางส่วนที่ใช้ค้นหาและเปิดห้องนิรภัยที่ไม่ใช่ห้องนิรภัยลวง แต่ยังเก็บพื้นที่เก็บ blob ที่เข้ารหัสซึ่งใช้ร่วมกันและข้อมูลสำรอง iCloud ที่เข้ารหัสไว้ นี่คือการล้างสถานะการเข้าถึงในเครื่อง ไม่ใช่คำกล่าวอ้างว่าสำเนาทางกายภาพทุกชุดถูกเขียนทับแล้ว

ฐานข้อมูลการกู้คืนที่เข้ารหัส

ฐานข้อมูลการกู้คืนในเครื่องจับคู่วลีกู้คืนและฟิลด์รูปแบบแบบเดิมเข้ากับการเข้าถึงห้องนิรภัย โหมดบีบบังคับล้างฐานข้อมูลนี้ แล้วสร้างรายการกู้คืนใหม่เฉพาะสำหรับห้องนิรภัยที่กำหนด วิธีนี้ลบข้อมูลจับคู่การกู้คืนในเครื่องของห้องนิรภัยอื่น โดยไม่แสร้งว่า Vaultaire ใช้หรือทำลาย salt แยกของแต่ละห้อง

ดัชนีของห้องนิรภัยที่ไม่ใช่ห้องนิรภัยลวง

ดัชนีห้องนิรภัยที่เข้ารหัสแต่ละรายการเก็บระเบียนไฟล์และคีย์หลักแบบสุ่มที่ห่อด้วยคีย์ซึ่งสร้างจากรูปแบบของห้องนิรภัยนั้น โหมดบีบบังคับลบทุกดัชนี ยกเว้นดัชนีของห้องนิรภัยที่กำหนด อัลกอริทึม PBKDF2 และจำนวนรอบเป็นพารามิเตอร์การใช้งานที่เปิดเผยต่อสาธารณะ ความปลอดภัยจึงไม่ได้ขึ้นอยู่กับการลบค่าเหล่านี้

ข้อมูลที่เข้ารหัส

พูล blob ที่เข้ารหัสซึ่งใช้ร่วมกันจะถูกเก็บไว้ เพราะมีเนื้อหาของห้องนิรภัยที่กำหนดอยู่ด้วย ข้อมูลที่เป็นของดัชนีที่ถูกลบเท่านั้นอาจเข้าถึงผ่านแอปไม่ได้อีก แต่ Vaultaire ไม่ได้อ้างว่าเขียนทับทุกบล็อกของหน่วยความจำแฟลชอย่างปลอดภัย ดัชนีที่ถูกลบหรือสถานะก่อนหน้าอาจยังคงอยู่ในชั้นพื้นที่เก็บข้อมูลที่อยู่นอกการควบคุมของแอป

ควรใช้โหมดบีบบังคับเมื่อใด

โหมดบีบบังคับออกแบบมาสำหรับสถานการณ์ที่คุณถูกบีบบังคับทางกายภาพหรือถูกบังคับตามกฎหมาย และได้ตัดสินใจแล้วว่าการลบการเข้าถึงห้องนิรภัยในเครื่องดีกว่าการเปิดเผย นี่เป็นการตัดสินใจส่วนตัวที่มีผลร้ายแรง และ Vaultaire ให้เครื่องมือกับคุณโดยไม่ตัดสินใจแทน

การข้ามชายแดน

อำนาจการตรวจค้นที่ชายแดนและหน้าที่ของผู้เดินทางแตกต่างกันไปตามประเทศและสถานการณ์ การวาดรูปแบบการบีบบังคับก่อนส่งโทรศัพท์ให้เจ้าหน้าที่ จะเหลือห้องนิรภัยหนึ่งห้องที่เข้าถึงได้ในหน้าจอ และลบสถานะการเข้าถึงในเครื่องอื่นๆ แต่ไม่สามารถรับประกันได้ว่าผู้ตรวจจะไม่พบร่องรอยในระบบไฟล์ ข้อมูลสำรองที่เข้ารหัส สำเนาบนอุปกรณ์อื่น หรือหลักฐานก่อนหน้า

การบังคับทางกายภาพ

หากมีคนข่มขู่บังคับให้คุณปลดล็อกโทรศัพท์ คุณต้องมีวิธีจำกัดสิ่งที่หน้าจอปกติเปิดเผย โหมดบีบบังคับให้คุณวาดรูปแบบที่ดูเหมือนยอมให้ความร่วมมือ ผู้บังคับจะเห็นห้องนิรภัยที่กำหนดเปิดขึ้น ขณะที่หน้าจอไม่ได้บอกว่ากำลังล้างสถานะการเข้าถึงของห้องนิรภัยอื่นในเครื่องไปพร้อมกัน

การยึดอุปกรณ์

หากคุณมีเหตุให้เชื่อว่าอุปกรณ์จะถูกยึด โหมดบีบบังคับลบการเข้าถึงห้องนิรภัยที่ไม่ใช่ห้องนิรภัยลวงออกจากแอปที่ติดตั้งอยู่ได้ก่อนส่งมอบอุปกรณ์ แต่ไม่สามารถรับประกันได้ว่านักวิเคราะห์ทางนิติวิทยาศาสตร์จะไม่มีอะไรให้ตรวจ โดยเฉพาะหากอุปกรณ์ถูกเจาะระบบอยู่แล้ว หรือมีสำเนาอื่นและร่องรอยของระบบอยู่

นักข่าวและการป้องกันแหล่งที่มา

ฟีเจอร์นี้เหมาะกับนักข่าวที่ทำงานในพื้นที่อันตราย นักเคลื่อนไหวที่ถูกเฝ้าติดตาม และทุกคนที่ข้อมูลอาจทำให้ตัวเองหรือผู้อื่นตกอยู่ในอันตราย โหมดบีบบังคับเปลี่ยนช่วงเวลาที่คุณเสี่ยงที่สุดให้เป็นช่วงเวลาที่คุณยังปกป้องข้อมูลได้

การตั้งค่าห้องนิรภัยลวงของคุณ

การตั้งค่าโหมดบีบบังคับใช้เวลาราวสองนาที แต่การตั้งให้ดีและน่าเชื่อต้องคิดเพิ่มอีกหน่อย

กำหนดห้องนิรภัย

ในการตั้งค่าของ Vaultaire คุณกำหนดห้องนิรภัยหนึ่งห้องเป็นห้องนิรภัยลวง ห้องนี้จะเปิดขึ้นเมื่อวาดรูปแบบการบีบบังคับ จึงต้องมีเนื้อหาที่ดูจริงและตรงกับที่ผู้สังเกตคาดไว้ ห้องนิรภัยที่ว่างเปล่าน่าสงสัย ห้องนิรภัยที่มีเนื้อหาปลอมชัดเจนก็น่าสงสัย ห้องนิรภัยที่มีรูปส่วนตัวธรรมดาสักจำนวนหนึ่งจึงเหมาะที่สุด

ใส่เนื้อหาที่ดูน่าเชื่อ

ใส่เนื้อหาที่คนทั่วไปคาดว่าจะเจอในห้องนิรภัยส่วนตัวลงในห้องนิรภัยลวง เช่น รูปส่วนตัวสองสามรูป อาจมีเอกสารสแกน และไฟล์ที่ดูเป็นส่วนตัวพอจะมีเหตุผลให้ล็อก แต่ไม่มีพิษภัยพอจะผ่านการตรวจดูได้ เป้าหมายไม่ใช่การหลอกการตรวจทางนิติวิทยาศาสตร์ แต่คือการทำให้คนที่ยืนอยู่ตรงหน้าคุณพอใจในตอนนั้น

เลือกรูปแบบที่เป็นธรรมชาติ

รูปแบบการบีบบังคับควรเป็นรูปแบบที่คุณวาดได้เร็วและไม่ลังเลแม้อยู่ภายใต้ความกดดัน หากคุณวาดรูปแบบอื่นที่ถูกต้อง คุณอาจเปิดห้องนิรภัยอื่นหรือหน้าว่างแทน ให้ฝึกเปิดใช้ในชุดทดสอบที่ปลอดภัย เช่นเดียวกับรูปแบบทุกแบบใน Vaultaire รูปแบบนี้ต้องเชื่อมอย่างน้อยหกจุดและเปลี่ยนทิศทางอย่างน้อยหนึ่งครั้ง

ทดสอบดู

ก่อนถึงวันที่ต้องใช้จริง ให้ทดสอบโหมดบีบบังคับในสภาพแวดล้อมที่ปลอดภัย สร้างห้องนิรภัยทดสอบสักสองสามห้อง กำหนดห้องนิรภัยลวง แล้วเปิดใช้ ตรวจว่าห้องนิรภัยอื่นเปิดในอุปกรณ์นั้นไม่ได้แล้ว และห้องนิรภัยลวงเปิดได้ตามปกติ จากนั้นจึงตั้งค่าใช้งานจริง

ไม่มีการเลิกทำ

ต้องพูดให้ชัดเจน: เมื่อโหมดบีบบังคับทำงานแล้ว การล้างข้อมูลในเครื่องไม่มีปุ่มเลิกทำ ฝ่ายสนับสนุนของ Vaultaire สร้างรูปแบบหรือวลีกู้คืนของคุณขึ้นใหม่ไม่ได้ หากการสำรองข้อมูล iCloud แบบเข้ารหัส (เปิดเป็นค่าเริ่มต้น) ยังเปิดอยู่ก่อนหน้านั้น และคุณเก็บวลีกู้คืนไว้ คุณจะกู้คืนได้ในภายหลังทีละห้องนิรภัย หากขาดอย่างใดอย่างหนึ่ง สถานะการเข้าถึงในเครื่องที่ถูกลบอาจทำให้คุณกู้คืนห้องนิรภัยไม่ได้

ดัชนีอื่นและข้อมูลจับคู่การกู้คืนในเครื่องหายไปจากสถานะของแอปที่ใช้งานอยู่ salt ทั้งอุปกรณ์และพูล blob ที่เข้ารหัสซึ่งใช้ร่วมกันไม่ใช่เป้าหมายของการล้าง และข้อมูลสำรองบนคลาวด์ที่เข้ารหัสยังถูกเก็บไว้ ขอบเขตนี้ตั้งใจไว้ คือเอาการเข้าถึงออกจากอุปกรณ์ที่ถูกบีบบังคับ และยังเหลือช่องทางกู้คืนที่ควบคุมด้วยวลีไว้ให้เจ้าของ

โหมดบีบบังคับออกแบบมาสำหรับผู้ที่เข้าใจข้อแลกเปลี่ยนนี้ และตัดสินใจล่วงหน้าแล้วว่ายอมลบการเข้าถึงทันทีออกจากอุปกรณ์ปัจจุบัน ดีกว่าเปิดเผยห้องนิรภัยเมื่อถูกบีบบังคับ หากคุณเก็บวลีกู้คืนและข้อมูลสำรองที่เข้ารหัสไว้อย่างปลอดภัยไม่ได้ ให้ถือว่าการล้างข้อมูลในเครื่องอาจทำให้คุณเสียการเข้าถึงห้องนิรภัยนั้น

ข้อแลกเปลี่ยนนี้เฉพาะเจาะจง ไม่ได้เด็ดขาด การลบในเครื่องเริ่มโดยไม่มีการยืนยัน ส่วนการกู้คืนในภายหลังทำได้ผ่านช่องทางคลาวด์และวลีกู้คืนที่แยกต่างหากเท่านั้น ทดสอบฟีเจอร์นี้ด้วยข้อมูลที่ไม่สำคัญก่อนตัดสินใจว่าการทำงานนี้ตรงกับแบบจำลองภัยคุกคามของคุณหรือไม่