การเข้ารหัสด้วยรูปแบบ: การวาดรูปทรงช่วยปกป้องไฟล์ของคุณอย่างไร

Vaultaire แปลงรูปร่างที่วาดบนตาราง 5×5 เป็นข้อมูลอนุกรม แล้วประมวลผลด้วย PBKDF2-HMAC-SHA512 วนซ้ำ 600,000 รอบ และ salt ระดับอุปกรณ์ที่เก็บใน iOS Keychain ผลลัพธ์ 256 บิตคือคีย์ห้องนิรภัย ซึ่งใช้เข้ารหัสดัชนีห้องนิรภัยและแกะคีย์หลักแบบสุ่มอีกตัวที่ AES-256-GCM ใช้กับเนื้อหาไฟล์และเมตาดาตา

การเข้ารหัสด้วยรูปแบบคืออะไร

แอปห้องนิรภัยส่วนใหญ่ป้องกันด้วย PIN หรือรหัสผ่าน คุณพิมพ์ตัวเลขสี่หลัก แล้วรูปภาพก็ปรากฏขึ้น ฟังดูปลอดภัยพอแล้วใช่ไหม

ปัญหาคือ PIN สี่หลักมีชุดตัวเลขที่เป็นไปได้เพียง 10,000 ชุด คอมพิวเตอร์ลองได้ครบทุกชุดในเวลาไม่ถึงวินาที หกหลักล่ะ ก็แค่หนึ่งล้านชุด ซึ่งยังเร็วมากสำหรับฮาร์ดแวร์สมัยใหม่ แม้แต่รหัสผ่านแปดตัวอักษรที่ใช้แค่ตัวพิมพ์เล็กก็มีความเป็นไปได้ราว 200,000 ล้านแบบ ฟังดูเยอะ จนกว่าคุณจะรู้ว่าแล็ปท็อปทั่วไปทดสอบแฮชรหัสผ่านได้หลายพันล้านครั้งต่อวินาที

การเข้ารหัสด้วยรูปแบบใช้แนวทางที่ต่างออกไปโดยพื้นฐาน แทนการพิมพ์อักขระลงในช่อง คุณวาดรูปทรงเรขาคณิตบนตารางจุด เส้นทางที่คุณลาก ทั้งจุดที่แตะ ลำดับ และรูปทรง กลายเป็นอินพุตของฟังก์ชันสร้างคีย์จากรหัสผ่าน อินเทอร์เฟซไม่ได้แค่ตรวจผลลัพธ์ ผลลัพธ์ต้องปลดล็อกดัชนีที่เข้ารหัสและตรวจสอบความถูกต้องได้ รวมถึงคีย์หลักแบบสุ่มในดัชนีนั้น

ความแตกต่างนี้สำคัญ เมื่อคุณป้อน PIN ในบางแอป แอปจะตรวจแค่ว่าคุณพิมพ์ตัวเลขถูกหรือไม่ ถ้าถูกก็เปิด แม้ไฟล์อาจได้รับการปกป้องด้วยการควบคุมการเข้าถึงเป็นหลัก Vaultaire นำรูปแบบที่วาดเข้า PBKDF2 เพื่อสร้างคีย์ห้องนิรภัย 256 บิตแทน คีย์นั้นต้องตรวจสอบความถูกต้องและถอดรหัสดัชนีห้องนิรภัยได้ก่อน จึงจะแกะคีย์หลักแบบสุ่มที่ใช้กับไฟล์ได้ รูปแบบที่ไม่รู้จักจะแสดงเป็นห้องนิรภัยว่าง แต่การตรวจสอบความถูกต้องของ AES-GCM เบื้องหลังยังแยกคีย์ที่ถูกออกจากคีย์ที่ผิดได้

วิธีการทำงานทีละขั้นตอน

นี่คือสิ่งที่เกิดขึ้นตั้งแต่นิ้วของคุณแตะหน้าจอ จนถึงตอนที่ไฟล์ของคุณกลายเป็นสิ่งที่คนอื่นอ่านไม่ได้

ขั้นตอนที่ 1: คุณวาดรูปแบบของคุณ

Vaultaire แสดงตารางจุดขนาด 5×5 คุณวาดเส้นทางต่อเนื่องที่เชื่อมอย่างน้อย 6 จุด และเปลี่ยนทิศทางอย่างน้อยหนึ่งครั้ง แอปบันทึกว่าคุณผ่านจุดใดบ้างและผ่านตามลำดับใด ลำดับนี้คือรูปแบบของคุณ

Vaultaire ใช้ตาราง 5×5 ต่างจากตาราง 3×3 ที่หน้าจอล็อก Android มักใช้ นี่ไม่ใช่เรื่องหน้าตา ตำแหน่ง 25 จุดรองรับเส้นทาง การตัดกัน การข้ามจุด และการเปลี่ยนทิศได้มากกว่า 9 จุดมาก พื้นที่ทางทฤษฎีที่ใหญ่ขึ้นช่วยได้ แต่ความปลอดภัยจริงยังขึ้นกับว่าเส้นทางที่คุณเลือกคาดเดายากแค่ไหน ตัวอักษรที่คุ้นเคยหรือรูปทรงง่ายๆ ยังเดาได้ แม้ตารางจะสร้างทางเลือกได้หลายพันล้านแบบ

ขั้นตอนที่ 2: รูปแบบสร้างคีย์ห้องนิรภัย

รูปแบบที่คุณวาดจะถูกแปลงเป็นข้อมูลอนุกรมพร้อมขนาดตาราง แล้วป้อนเข้า PBKDF2 (Password-Based Key Derivation Function 2) พร้อม HMAC-SHA512 วนซ้ำ 600,000 รอบ และ salt แบบสุ่มระดับอุปกรณ์ salt เป็นค่าที่ไม่เป็นความลับ เก็บใน iOS Keychain เป็นรายการแบบ WhenUnlockedThisDeviceOnly ทำให้การสร้างคีย์ในเครื่องผูกกับอุปกรณ์ salt นี้ไม่ได้แยกตามห้องนิรภัย และไม่ได้เพิ่มเอนโทรปีให้รูปแบบที่มนุษย์เลือก

กระบวนการสร้างคีย์ถูกออกแบบให้ใช้ทรัพยากรมากโดยตั้งใจ PBKDF2 รัน HMAC-SHA512 600,000 รอบสำหรับรูปแบบที่ลองเดาแต่ละแบบ ทำให้การโจมตีแบบเดามีต้นทุนสูงขึ้น วิธีนี้ไม่ได้เปลี่ยนรูปแบบที่มีเอนโทรปีต่ำให้มีความปลอดภัย 256 บิต และเวลาโจมตีขึ้นกับฮาร์ดแวร์ของผู้โจมตี เป้าหมายของมันแคบกว่าและวัดได้ คือทำให้การเดาแต่ละครั้งแพงกว่าแฮชธรรมดามาก

ขั้นตอนที่ 3: ไฟล์ของคุณได้รับการเข้ารหัส

เมื่อสร้างห้องนิรภัยครั้งแรก Vaultaire จะสร้างคีย์หลักแบบสุ่มขนาด 256 บิต คีย์ห้องนิรภัยที่สร้างจากรูปแบบใช้เข้ารหัสดัชนีและห่อคีย์หลักนั้น โดยไม่ได้เข้ารหัสทุกไฟล์โดยตรง คีย์หลักใช้กับ AES-256-GCM สำหรับส่วนหัวของไฟล์ เนื้อหา ภาพขนาดย่อ และเมตาดาตาที่เกี่ยวข้อง nonce ใหม่ทุกครั้งทำให้ข้อความธรรมดาที่ซ้ำกันไม่สร้างไซเฟอร์เท็กซ์ซ้ำภายใต้คีย์เดียวกัน

โหมด GCM เพิ่มชั้นสำคัญอีกชั้น คือการตรวจสอบความถูกต้อง นอกจากทำให้ข้อมูลอ่านไม่ออกแล้ว ยังสร้างแท็กที่ตรวจจับการแก้ไขทุกรูปแบบ ถ้าไฟล์ที่เข้ารหัสถูกแก้เพียงบิตเดียว การถอดรหัสจะล้มเหลว ไม่มีใครแก้ไฟล์ของคุณได้โดยที่คุณไม่รู้

ขั้นตอนที่ 4: ล้างสถานะคีย์ที่ใช้งานอยู่

เมื่อ Vaultaire ล็อก แอปจะล้างสถานะของห้องนิรภัยและคีย์หลักที่ใช้งานอยู่ และต้องปลดล็อกใหม่อีกครั้งก่อนแสดงไฟล์ ขณะที่ห้องนิรภัยเปิดอยู่ ไบต์ของคีย์สมมาตรเหล่านั้นต้องอยู่ในโปรเซสของแอป เพื่อให้ CryptoKit ทำงาน AES-GCM ได้ Vaultaire ยังเก็บข้อมูลกู้คืน รวมถึงรูปแบบและซองกู้คืนที่เข้ารหัสด้วยวลี ไว้ในฐานข้อมูลที่เข้ารหัสด้วย AES-GCM ใน iOS Keychain ซึ่งต่างอย่างมากจากการอ้างว่าไม่มีการเก็บรูปแบบหรือสำเนาคีย์ไว้ที่ใดเลย

คณิตศาสตร์เบื้องหลัง (อธิบายแบบภาษาง่าย ๆ)

คุณไม่ต้องมีปริญญาวิทยาการคอมพิวเตอร์ก็เข้าใจได้ว่าทำไมวิธีนี้จึงได้ผล ความปลอดภัยขึ้นอยู่กับตัวเลขสามตัว คือจำนวนรูปแบบที่เป็นไปได้ เวลาที่ใช้ในการเดาแต่ละครั้ง และจำนวนครั้งที่ผู้โจมตีเดาได้

เอนโทรปี: การวัดความไม่แน่นอน

เอนโทรปีเป็นคำเรียกหรู ๆ ของ “สิ่งนี้เดายากแค่ไหน” การโยนเหรียญมีเอนโทรปี 1 บิต (ผลลัพธ์ 2 แบบ) PIN สี่หลักมีเอนโทรปีราว 13 บิต (ผลลัพธ์ 10,000 แบบ) รูปแบบที่เลือกมาดีบนตาราง 5×5 ซึ่งเชื่อม 8 จุดขึ้นไป มีเอนโทรปีเกิน 30 บิตได้ หรือมากกว่า 1,000 ล้านรูปแบบที่เป็นไปได้

เอนโทรปีของรูปแบบกำหนดเพดานของการโจมตีแบบเดา PBKDF2 สร้างเอนโทรปีที่ท่าทางไม่มีอยู่ไม่ได้ แต่ทำให้การทดสอบแต่ละรูปแบบที่ลองเดาแพงขึ้นมาก

การสร้างคีย์: ทำให้การเดาแต่ละครั้งมีต้นทุนสูง

PBKDF2 รับรูปแบบที่แปลงเป็นอนุกรมแล้ว และรัน HMAC-SHA512 600,000 รอบ การประเมินการโจมตีต้องใช้ต้นทุนที่วัดได้จริงบนฮาร์ดแวร์ที่ใช้เดา หากใช้ 1 มิลลิวินาทีพอดีต่อการลองหนึ่งครั้ง การลอง 1,000 ล้านครั้งจะใช้ 1 ล้านวินาที หรือประมาณ 11.6 วัน บนเครื่องทำงานหนึ่งเครื่อง ถ้าวัดได้ว่าช้ากว่านี้ เวลาก็เพิ่มขึ้น ฮาร์ดแวร์แบบขนานทำให้เวลาลดลง ความยาวเอาต์พุต 256 บิตไม่ได้เปลี่ยนขนาดพื้นที่ค้นหาของรูปแบบ

salt ระดับอุปกรณ์เก็บอยู่ใน Keychain และไม่ได้ออกแบบให้เป็นความลับ Keychain และ Data Protection ของ iOS อาจทำให้ดึงข้อมูลออกได้ยากขึ้นเมื่ออุปกรณ์ถูกยึด แต่การวิเคราะห์ด้านการเข้ารหัสต้องถือว่าผู้ตรวจสอบที่ได้ไฟล์ที่เข้ารหัสไปอาจได้ salt ไปด้วย salt ป้องกันการคำนวณล่วงหน้าข้ามอุปกรณ์ แต่ใช้แทนรูปแบบที่แข็งแรงไม่ได้

AES-256: มาตรฐานสาธารณะที่ผ่านการศึกษามาอย่างดี

AES-256 เป็นรหัสลับมาตรฐานที่แข็งแกร่ง ซึ่ง NIST เผยแพร่เป็น FIPS 197 “256” อ้างถึงความยาวของคีย์ในหน่วยบิต คีย์ 256 บิตมี 2²⁵⁶ ค่าที่เป็นไปได้ มากเกินกว่าจะลองทีละค่าได้ ผู้โจมตีจึงโจมตีรูปแบบแทน นี่คือเหตุผลที่ Vaultaire ยืดรูปแบบด้วย PBKDF2 600,000 รอบ

ความปลอดภัยของ AES-256 ไม่ได้ขึ้นกับการเก็บอัลกอริทึมเป็นความลับ แต่ระบบทั้งหมดไม่ได้รับการปกป้องจากพื้นที่คีย์ของ AES เพียงอย่างเดียว ขอบเขตการเดาในทางปฏิบัติมาจากเอนโทรปีของรูปแบบ ปัจจัยงานของ PBKDF2 และการปกป้อง salt ของอุปกรณ์กับพื้นที่จัดเก็บที่เข้ารหัส AES-256-GCM ให้การเข้ารหัสที่ตรวจสอบความถูกต้องได้อย่างแข็งแรง เมื่อปลดล็อกคีย์หลักแบบสุ่มที่ถูกต้องแล้ว

สิ่งที่ผู้โจมตีต้องฝ่าไปให้ได้

มาดูวิธีหลักที่ผู้อื่นอาจใช้พยายามเข้าถึงไฟล์ที่เข้ารหัสของคุณ สิ่งที่ Vaultaire ทำเพื่อเพิ่มต้นทุน และข้อจำกัดที่ยังมีอยู่

การเดาทุกรูปแบบ (Brute Force)

PBKDF2 ทำให้การลองรูปแบบแต่ละครั้งต้องจ่ายต้นทุน HMAC-SHA512 600,000 รอบ นี่เป็นการป้องกันที่มีความหมาย แต่ไม่ใช่คำสัญญาว่าจะใช้เวลาเป็นจำนวนปีที่แน่นอน ผลลัพธ์ขึ้นกับการเลือกรูปแบบ ความเร็วการสร้างคีย์ที่วัดได้ การประมวลผลแบบขนาน และผู้ตรวจสอบได้ salt ของอุปกรณ์ไปหรือไม่ เส้นทางที่ยาวและคาดเดายากกว่าจึงสำคัญ เพราะ PBKDF2 เพิ่มต้นทุนการเดา แต่ไม่ได้สร้างเอนโทรปีใหม่

การดูรอยนิ้วบนหน้าจอ (Smudge Attack)

บนตาราง 3×3 รอยนิ้วบนหน้าจอช่วยตัดรูปแบบที่เป็นไปได้ให้เหลือน้อยลงมาก แต่บนตาราง 5×5 รอยนิ้วบอกได้แค่ว่าจุดใดถูกแตะ ไม่บอกลำดับ ทิศทาง หรือการเชื่อมระหว่างจุด จำนวนความเป็นไปได้ที่พุ่งสูงขึ้นทำให้วิธีนี้ใช้ไม่ได้ในทางปฏิบัติ

การแอบมองข้ามไหล่: ดูคุณวาด

รูปแบบที่วาดอย่างรวดเร็วบนหน้าจอโทรศัพท์ขนาดเล็กจำได้ยากมากจากการมอง โดยเฉพาะบนตาราง 5×5 งานวิจัยพบว่าผู้สังเกตทำซ้ำรูปแบบที่ซับซ้อนได้ยากกว่าการจำ PIN หรือรหัสผ่านที่ได้ยินคนพูดออกมามาก

การยึดอุปกรณ์: เมื่อมีคนเอาโทรศัพท์ของคุณไป

หากมีคนเอาโทรศัพท์ของคุณไป เนื้อหาไฟล์และดัชนีของ Vaultaire ยังเป็นไซเฟอร์เท็กซ์ AES-GCM จนกว่าจะมีคีย์ที่ต้องใช้ แอปไม่ได้เก็บระเบียนตรวจสอบรหัสผ่านแบบทั่วไป แต่นั่นไม่ได้ตัดการตรวจสอบแบบออฟไลน์ออกไป ชื่อไฟล์ของดัชนีห้องนิรภัยที่เข้ารหัสแต่ละไฟล์มีแฮชแบบตัดสั้นของคีย์ห้องนิรภัย และการถอดรหัสแบบตรวจสอบความถูกต้องของ AES-GCM ก็สำเร็จหรือล้มเหลวตามคีย์ที่ลอง การปกป้องอุปกรณ์และความแข็งแรงของรูปแบบจึงยังเป็นส่วนหนึ่งของโมเดลภัยคุกคาม

การเลือกรูปแบบที่แข็งแกร่ง

การเข้ารหัสแข็งแรงได้เท่ากับรูปแบบที่คุณเลือกเท่านั้น วิธีต่อไปนี้ช่วยเพิ่มความปลอดภัยได้มากโดยใช้ความพยายามน้อย

สิ่งที่ทำให้รูปแบบมีความแข็งแกร่ง

• ใช้จุดให้มากขึ้น เชื่อมอย่างน้อย 8 จาก 25 จุด ทุกจุดที่เพิ่มขึ้นจะคูณจำนวนรูปแบบที่เป็นไปได้
• ลากตัดเส้นทางของตัวเอง รูปแบบที่วนกลับ ข้ามจุด หรือเปลี่ยนทิศทางแบบคาดไม่ถึง ทำซ้ำจากความจำหรือจากการแอบดูได้ยากกว่ามาก
• หลีกเลี่ยงรูปทรงที่เดาง่าย ตัวอักษร (L, Z, S), รูปทรงเรขาคณิตง่ายๆ (สี่เหลี่ยม, สามเหลี่ยม) และเส้นตรงเป็นสิ่งแรกที่ผู้โจมตีจะพยายาม
• ใช้ทั้งตาราง รูปแบบที่อยู่แค่มุมเดียวหรือเลียบขอบด้านเดียวทำให้เสียเอนโทรปีที่มีอยู่ไปเปล่า ๆ ให้กระจายไปทั่วตาราง

สิ่งที่ควรหลีกเลี่ยง

• รูปแบบความยาวขั้นต่ำ Vaultaire กำหนดให้ใช้อย่างน้อย 6 จุดและเปลี่ยนทิศทางหนึ่งครั้ง แต่การทำแค่ขั้นต่ำไม่ได้ทำให้เส้นทางคาดเดายาก ใช้พื้นที่ตารางมากขึ้นและเปลี่ยนทิศทางหลายครั้ง ถ้าคุณยังจำผลลัพธ์ได้แม่นยำ
• รูปทรงเรขาคณิตง่าย ๆ รูปตัว L ซิกแซก หรือเส้นทแยงตรง ๆ เทียบได้กับรหัสผ่าน “password123” ในโลกของรูปแบบ
• เริ่มจากมุมเดิมทุกครั้ง งานวิจัยเกี่ยวกับรูปแบบการล็อกของ Android แสดงให้เห็นว่าคนส่วนใหญ่เริ่มต้นจากจุดบนซ้าย ผู้โจมตีรู้เรื่องนี้

จุดที่พอดี

รูปแบบที่เชื่อม 8–12 จุดและเปลี่ยนทิศทางหลายครั้งเดายากขึ้น แต่ยังจำง่ายด้วยความจำของกล้ามเนื้อ คุณไม่ต้องท่องจำแบบรหัสผ่าน มือของคุณจำการเคลื่อนไหวได้เอง เหมือนที่จำวิธีเซ็นชื่อของตัวเอง

ทำไมคุณควรรู้สึกปลอดภัย

การเข้ารหัสด้วยรูปแบบใน Vaultaire ไม่ใช่แค่แผง PIN ที่สวยกว่า ท่าทางถูกประมวลผลด้วยฟังก์ชันสร้างคีย์จริง และต้องปลดล็อกข้อมูลที่เข้ารหัสและตรวจสอบความถูกต้องได้ ความแข็งแรงยังขึ้นกับท่าทางที่คุณเลือก Vaultaire จึงใช้ตารางที่ใหญ่กว่าร่วมกับปัจจัยงาน PBKDF2 ที่สูง แทนที่จะนำเสนอเอาต์พุตยาว 256 บิตว่าเป็นเอนโทรปีลับของมนุษย์ 256 บิต

รูปแบบและคีย์ห้องนิรภัยในเครื่องของคุณไม่ถูกส่งไปยัง Vaultaire ขณะที่การสำรองข้อมูลเปิดอยู่ ซึ่งเป็นค่าเริ่มต้น คีย์สำรองข้อมูลแยกต่างหากที่สร้างจากรูปแบบจะเข้ารหัสระเบียน CloudKit และรายการกู้คืนที่เข้ารหัสช่วยให้วลีกู้คืนกู้คีย์ห้องนิรภัยและคีย์สำรองข้อมูลคืนได้ Vaultaire ไม่มีคีย์ผู้ให้บริการที่ถอดรหัสระเบียนเหล่านั้นได้ แต่อุปกรณ์และข้อมูลกู้คืนยังเป็นส่วนสำคัญด้านความปลอดภัยของการออกแบบ

คุณวาดรูปทรง รูปร่างนั้นช่วยปกป้องไฟล์ของคุณ คณิตศาสตร์ทำส่วนที่เหลือ