Режим примусу: видалення доступу до інших сховищ

Режим примусу у Vaultaire дає змогу призначити одне сховище тригером примусу. Якщо намалювати візерунок цього сховища, воно відкривається звичайним способом, а з поточного пристрою водночас видаляються індекси інших сховищ, їхні файли зберігання і локальні зіставлення відновлення. Наявні зашифровані резервні копії iCloud та копії однорангових пристроїв навмисно залишено без змін.

Що таке режим примусу?

Режим примусу: це останній рубіж захисту. Функція, яку ви сподіваєтеся ніколи не використовувати, розроблена для моменту, коли все інше вже не допоможе: коли хтось стоїть над вами, вимагаючи доступу до ваших приватних файлів, і у вас немає іншого виходу, крім як підкоритися.

Ось як це працює: ви призначаєте одне сховище як своє сховище для примусу. Ви наповнюєте його вмістом, який виглядає правдоподібно — кількома нешкідливими фотографіями, кількома буденними документами. Потім ви призначаєте йому візерунок, як і будь-якому іншому сховищу. У звичайному інтерфейсі розблокування він виглядає та відкривається як звичайне сховище; сліди у файловій системі та в хмарі виходять за межі цієї вузької обіцянки щодо вигляду інтерфейсу.

Різниця полягає в тому, що відбувається, коли ви малюєте цей візерунок. Звичайний візерунок сховища відкриває власне сховище. Візерунок примусу також робить це, показуючи вміст призначеного сховища на екрані, але він також запускає локальне стирання індексів і зіставлення відновлення, завдяки яким інші сховища доступні на цьому пристрої.

Діалогове вікно підтвердження не з’являється. Попереджувальний звук не відтворюється. Людина, яка спостерігає за вами, бачить, як сховище відкривається і з’являються його файли. Інтерфейс не повідомляє про те, що інші локальні індекси сховища видалено, локальні зіставлення відновлення очищено, роботу резервного копіювання, що очікує, зупинено, і пристрій має пройти явне відновлення за фразою, перш ніж видалене сховище зможе повернутися.

Як це працює зсередини

Розуміння механіки має значення, оскільки режим примусу має вужчі межі, ніж універсальна обіцянка стирання. Він змінює стан на поточному пристрої; він не обіцяє стерти CloudKit, інший пристрій, історію файлової системи чи докази, які вже зібрав зловмисник.

Крок 1: Ви малюєте візерунок примусу

Коли ви малюєте візерунок, призначений для вашого сховища примусу, Vaultaire розпізнає його як тригер примусу. Застосунок одночасно запускає дві операції: розшифровує й показує вміст призначеного сховища та запускає локальне очищення індексів і зіставлень відновлення для кожного іншого сховища.

Крок 2: стан локального доступу видалено

Vaultaire використовує одну сіль Keychain рівня пристрою для виведення ключа з візерунка, а не окрему сіль для кожного сховища. Режим примусу не знищує спільну сіль. Замість цього він очищає зашифровану локальну базу даних відновлення та видаляє всі індекси сховища, крім призначеного індексу сховища, разом із файлами зберігання інших сховищ. Оскільки кожен індекс містить загорнутий випадковий головний ключ і карту файлів для цього сховища, його видалення виводить інші сховища з придатного для використання локального стану застосунку.

Режим примусу видаляє сторінки та арени інших сховищ зі спільної папки зберігання звичайним видаленням, без перезапису, тому флеш-пам’ять ще може містити старі блоки. Без видаленого індексу Vaultaire не має карти файлів або загорнутого головного ключа, за допомогою якого можна відкрити видалене сховище локально. Застосунок також очищає локальні зіставлення відновлення, тому звичайний екран відновлення не може одразу перелічити або відновити ці сховища.

Крок 3: Хмарне відновлення збережено, але ізольовано

Наявна зашифрована резервна копія iCloud навмисно зберігається як шлях відновлення. Пристрій скидає незавершену роботу резервного копіювання та переходить в ізоляцію, тому локальне стирання не вивантажується в хмару як звичайне видалення, а приховані сховища не відновлюються автоматично. Пізніше відновлення є явним, одне сховище за раз, і вимагає фрази відновлення цього сховища, а не лише візерунка, розкритого під примусом.

Крок 4: Сховище примусу відкривається нормально

Під час виконання локального очищення призначене сховище відкривається через звичайний інтерфейс. Vaultaire вимикає аналітику перед запуском і не вмикає її, доки ви не ввімкнете її знову, намагається відкликати активні спільні доступи, створені з цього сховища, повторно генерує свою фразу відновлення та очищає позначення примусу після цього. Застосунок не показує під примусом ні підтвердження, ні повідомлення про завершення, але час завершення залежить від локальної роботи та мережевих відкликань; Vaultaire не обіцяє універсального субсекундного терміну.

Що тихий інтерфейс приховує, а що ні

Видимий інтерфейс розроблено так, щоб не повідомляти про режим примусу комусь, хто стежить за вашим плечем. Це корисна властивість представлення, а не доказ того, що кожен криміналіст бачить ідентичний стан пристрою. Артефакти файлової системи, записи CloudKit, інший синхронізований пристрій або попередній доступ до телефону можуть виходити за межі того, що застосунок може приховати.

Без діалогу підтвердження

Більшість деструктивних дій у програмному забезпеченні супроводжуються попередженням: «Ви впевнені?» Режим примусу не має такого попередження. Діалог підтвердження розкрив би все. Щойно ви намалюєте візерунок, дія відбувається. Ви не можете випадково активувати його, якщо тільки не намалюєте випадково конкретний складний візерунок на сітці 5×5, що просто так не трапляється.

Немає окремого екрана затримки

Застосунок відкриває призначене сховище й водночас виконує локальне очищення та відкликання спільних доступів. Процес побудовано так, щоб не додавати окремого екрана попередження, але продуктивність пристрою, стан сховища та умови мережі відрізняються. Vaultaire не стверджує, що час виконання однаковий настільки, що спостерігач із вимірювальними приладами ніколи не помітить різниці.

Немає повідомлень про стирання у застосунку

Vaultaire вимикає аналітику перед стиранням і не показує сповіщення «сховища видалено». Після перезапуску аналітика лишається вимкненою, доки ви не ввімкнете її знову. Налаштування примусу зберігається як елемент Keychain, тому експерт із доступом до Keychain може побачити, що сховище примусу було задано. На цьому пристрої збережене сховище залишається доступним через застосунок. Це не стирає докази за межами поточного локального стану застосунку, і це не слід розглядати як обіцянку неможливості виявлення під час криміналістичної експертизи.

Який локальний стан видалено

Тут важлива точність. Режим примусу видаляє певні локальні структури, необхідні для пошуку та відкриття інших сховищ, і їхні файли зберігання, зберігаючи при цьому сіль пристрою і будь-які зашифровані резервні копії iCloud. Він видаляє файли без перезапису, тому це не твердження про те, що кожна фізична копія була перезаписана.

Зашифрована база даних відновлення

Локальна база даних відновлення зіставляє фрази відновлення та застарілі поля візерунків із доступом до сховищ. Режим примусу очищає цю базу даних, а потім створює новий запис відновлення лише для призначеного сховища. Це видаляє локальні зіставлення відновлення для інших сховищ, не вдаючи, що Vaultaire використав або знищив окрему сіль для кожного з них.

Індекси інших сховищ

Кожен зашифрований індекс сховища містить свої записи файлів і випадковий головний ключ, обгорнутий ключем, отриманим із візерунка цього сховища. Режим примусу видаляє всі індекси, крім призначеного сховища. Алгоритм PBKDF2 і кількість ітерацій є параметрами публічної реалізації; безпека не залежить від їх стирання.

Зашифровані дані

Режим примусу видаляє зі спільної папки зберігання зашифровані сторінки та арени інших сховищ, а також арени-прикриття, а потім створює для збереженого сховища нові файли-прикриття. Це звичайне видалення без перезапису, і Vaultaire не стверджує, що фізично перезаписує кожен блок флеш-пам’яті. Видалені індекси або попередній стан також можуть зберігатися на рівнях зберігання поза контролем застосунку.

Коли використовувати режим примусу

Режим примусу створено для ситуацій, коли ви стикаєтеся з фізичним чи юридичним примусом і вирішили, що краще видалити доступ до локального сховища, ніж розкрити його. Це особисте рішення з серйозними наслідками, і Vaultaire надає вам інструмент, не приймаючи рішення за вас.

Перетин кордонів

Повноваження прикордонного обшуку та зобов’язання мандрівників залежать від країни та обставин. Якщо намалювати візерунок примусу перед передачею телефону, в інтерфейсі лишиться доступним одне сховище, а інший локальний стан доступу буде видалено, але це не гарантує, що перевіряючий не знайде артефактів файлової системи, зашифрованих резервних копій, однорангових копій або попередніх доказів.

Фізичний примус

Якщо хтось змушує вас розблокувати телефон під загрозою, вам потрібен спосіб обмежити те, що відкриває звичайний інтерфейс. Режим примусу дозволяє намалювати візерунок, який виглядає як співпраця. Той, хто примушує, бачить призначене сховище відкритим, тоді як інтерфейс не повідомляє про одночасне локальне очищення іншого стану доступу до сховища.

Вилучення пристрою

Якщо у вас є підстави вважати, що ваш пристрій буде конфісковано, режим примусу може видалити доступ до інших сховищ з поточної інсталяції застосунку перед передачею. Він не може гарантувати, що криміналісту не буде чого досліджувати, особливо якщо пристрій уже зламано або існують інші копії та системні артефакти.

Захист журналістів і джерел

Журналісти, що працюють у ворожому середовищі, активісти під наглядом, усі, чиї дані могли б поставити під загрозу їх самих або інших. Режим примусу перетворює момент вразливості на момент захисту.

Налаштування сховища примусу

Налаштування режиму примусу займає близько двох хвилин. Зробити його переконливим: трохи більше роздумів.

Призначте сховище

У налаштуваннях Vaultaire ви призначаєте одне сховище як сховище примусу. Саме це сховище відкриватиметься при малюванні візерунка примусу, тому воно повинно містити правдоподібний вміст, що задовольнить очікування спостерігача. Порожнє сховище підозріло. Сховище з явно фальшивим вмістом підозріло. Сховище з кількома звичайними особистими фотографіями: ідеально.

Наповніть правдоподібним вмістом

Помістіть у сховище примусу вміст, який хтось очікував би знайти в приватному сховищі: кілька особистих фотографій, можливо, скан документа, деякі файли, які виглядають достатньо приватними, щоб виправдати блокування, але достатньо нешкідливими, щоб витримати перевірку. Мета: не обдурити криміналістичне розслідування, а задовольнити людину, що стоїть перед вами в цей момент.

Оберіть природний візерунок

Візерунок примусу має бути таким, що ви можете намалювати під час стресу, швидко, без вагань. Якщо ви намалюєте інший дійсний візерунок, замість цього ви можете відкрити інше сховище або порожній стан. Відпрацюйте тригер у безпечній тестовій установці. Як і будь-який візерунок Vaultaire, він повинен поєднувати принаймні шість крапок і робити принаймні одну зміну напрямку.

Протестуйте

Перш ніж він вам знадобиться, протестуйте режим примусу в безпечному середовищі. Створіть тестові сховища, призначте сховище примусу і активуйте його. Переконайтеся, що інші сховища більше не відкриваються на цьому пристрої. Переконайтеся, що сховище примусу відкрилося нормально. Потім налаштуйте все по-справжньому.

Скасування неможливе

Це потрібно чітко сказати: після запуску режиму примусу скасувати локальне стирання неможливо. Служба підтримки Vaultaire не може відновити ваш візерунок або фразу відновлення. Якщо зашифрована резервна копія iCloud (ввімкнена за замовчуванням) заздалегідь залишалася ввімкненою і ви зберегли фразу відновлення, пізніше ви зможете відновлювати одне сховище за раз. Без обох видалений стан локального доступу може призвести до того, що ви не зможете відновити сховище.

Інші індекси та локальні зіставлення відновлення вийшли з активного стану застосунку. Їхні файли зберігання видалено без перезапису. Сіль на рівні пристрою не є метою стирання, і зашифровані хмарні резервні копії зберігаються. Ця межа є навмисною: вона прибирає доступ на пристрої, відкритому під примусом, зберігаючи шлях відновлення, керований фразою, для власника.

Режим примусу призначений для людей, які розуміють цей компроміс і заздалегідь вирішили, що краще негайно відкликати доступ на поточному пристрої, ніж відкрити сховище під примусом. Якщо ви не можете безпечно зберегти фразу відновлення та зашифровану резервну копію, припустіть, що локальне стирання може призвести до втрати доступу до цього сховища.

Компроміс є конкретним, а не абсолютним. Локальне видалення починається без підтвердження, тоді як подальше відновлення можливе лише окремим хмарним шляхом відновлення. Перевірте функцію з неконфіденційними даними, перш ніж вирішити, чи відповідає ця поведінка вашій моделі загрози.