Chế độ ép buộc: Gỡ quyền truy cập các két khác

Chế độ ép buộc trong Vaultaire cho phép bạn chỉ định một két làm két mồi. Vẽ mẫu hình của két đó sẽ mở két như bình thường, đồng thời xóa chỉ mục của các két khác và dữ liệu ánh xạ khôi phục cục bộ khỏi thiết bị hiện tại. Bản sao lưu iCloud đã mã hóa hiện có và bản sao trên thiết bị của người nhận được cố ý giữ nguyên.

Chế độ ép buộc là gì?

Chế độ ép buộc là tuyến phòng thủ cuối cùng. Đó là một tính năng mà bạn hy vọng mình không bao giờ cần, được thiết kế cho thời điểm mà mọi thứ khác đều không thành công, khi ai đó đứng trước bạn, yêu cầu quyền truy cập vào các tệp riêng tư của bạn và bạn không có lựa chọn nào khác ngoài việc tuân thủ.

Cách hoạt động như sau: bạn chỉ định một két làm két mồi. Bạn đặt vào đó nội dung trông hợp lý: vài tấm ảnh vô hại, vài tài liệu bình thường. Sau đó bạn gán cho két một mẫu hình, như mọi két khác. Trong giao diện mở khóa thông thường, két này trông và mở như một két bình thường; bằng chứng trong hệ thống tệp và trên đám mây nằm ngoài phạm vi hẹp của lời khẳng định về giao diện đó.

Khác biệt nằm ở những gì xảy ra khi bạn vẽ mẫu hình đó. Mẫu hình của một két bình thường mở két của nó. Mẫu hình ép buộc cũng làm vậy và hiện nội dung của két đã chỉ định trên màn hình, nhưng đồng thời kích hoạt việc xóa chỉ mục cục bộ và dữ liệu ánh xạ khôi phục vốn giúp mở các két khác trên thiết bị đó.

Không có hộp thoại xác nhận nào. Không có âm thanh cảnh báo nào. Người đang theo dõi bạn chỉ thấy một két mở ra và các tệp trong đó. Giao diện không báo rằng chỉ mục của các két khác đã bị xóa, dữ liệu ánh xạ khôi phục cục bộ đã bị xóa, các tác vụ sao lưu đang chờ đã dừng, và thiết bị phải dùng cách khôi phục bằng cụm từ trước khi các két đã bị gỡ có thể quay lại.

Cách hoạt động bên trong

Cần hiểu cơ chế này vì Chế độ ép buộc có phạm vi hẹp hơn một lời hứa xóa sạch mọi thứ. Nó thay đổi trạng thái trên thiết bị hiện tại; nó không hứa xóa dữ liệu trên CloudKit, trên thiết bị khác, lịch sử hệ thống tệp hay bằng chứng mà kẻ tấn công đã thu thập.

Bước 1: Bạn vẽ mẫu hình ép buộc

Khi bạn vẽ mẫu hình đã gán cho két mồi, Vaultaire nhận ra đó là tín hiệu ép buộc. Ứng dụng bắt đầu hai việc cùng lúc: giải mã và hiện nội dung của két đã chỉ định, và dọn chỉ mục cục bộ cùng dữ liệu ánh xạ khôi phục của mọi két khác.

Bước 2: Xóa trạng thái truy cập trên máy

Vaultaire dùng một muối chung cho cả thiết bị, lưu trong Keychain, để tạo khóa từ mẫu hình trên máy, không dùng muối riêng cho từng két. Chế độ ép buộc không hủy muối dùng chung đó. Thay vào đó, nó xóa cơ sở dữ liệu khôi phục cục bộ đã mã hóa và xóa mọi chỉ mục két, trừ chỉ mục của két đã chỉ định. Vì mỗi chỉ mục chứa khóa chính ngẫu nhiên đã bọc và bản đồ tệp của két tương ứng, xóa chỉ mục sẽ đưa các két khác ra khỏi trạng thái dùng được trên máy của ứng dụng.

Vùng khối dữ liệu mã hóa dùng chung có thể vẫn còn, vì các két dùng chung vùng lưu trữ đó. Không có chỉ mục đã xóa, Vaultaire không có bản đồ tệp hay khóa chính đã bọc để mở các két đã bị xóa trên máy. Ứng dụng cũng xóa dữ liệu ánh xạ khôi phục cục bộ, để màn hình khôi phục thông thường không thể liệt kê hay khôi phục ngay các két đó.

Bước 3: Bản khôi phục trên đám mây được giữ lại nhưng bị cách ly

Bản sao lưu iCloud đã mã hóa hiện có được cố ý giữ lại làm đường khôi phục. Thiết bị đặt lại các tác vụ sao lưu đang chờ và chuyển sang trạng thái cách ly, để việc xóa trên máy không bị tải lên như một thao tác xóa thông thường và các két ẩn không bị tự động kéo về. Việc khôi phục sau này phải làm chủ động, từng két một, và cần cụm từ khôi phục của két đó chứ không chỉ mẫu hình đã bị lộ khi bị ép buộc.

Bước 4: Két mồi mở bình thường

Trong lúc dọn dẹp trên máy, két đã chỉ định mở qua giao diện bình thường. Vaultaire tắt phân tích cho phiên hiện tại trước khi bắt đầu, cố gắng thu hồi các lượt chia sẻ đang hoạt động từ két đó, tạo lại cụm từ khôi phục, rồi gỡ thiết lập ép buộc. Ứng dụng không hiện thông báo hoàn tất hay yêu cầu xác nhận, nhưng thời gian hoàn tất phụ thuộc vào khối lượng việc trên máy và mọi thao tác thu hồi qua mạng; Vaultaire không hứa mọi trường hợp đều xong trong chưa đến một giây.

Giao diện im lặng che giấu điều gì và không che giấu điều gì

Giao diện mở ngay được thiết kế để không để lộ Chế độ ép buộc với người đang theo dõi bạn. Đó là một đặc tính hữu ích của giao diện, không phải bằng chứng rằng mọi người giám định pháp y đều thấy trạng thái thiết bị giống hệt nhau. Dấu vết trong hệ thống tệp, bản ghi CloudKit, các thiết bị đồng bộ khác hoặc việc ai đó từng truy cập điện thoại trước đó có thể nằm ngoài những gì ứng dụng che giấu được.

Không có hộp thoại xác nhận

Hầu hết các thao tác hủy dữ liệu trong phần mềm đều kèm cảnh báo: "Bạn có chắc không?" Chế độ ép buộc không có cảnh báo như vậy. Một hộp thoại xác nhận sẽ lộ ngay mọi chuyện. Ngay khi bạn vẽ mẫu hình, thao tác được thực hiện. Bạn không thể kích hoạt nhầm, trừ khi bạn tình cờ vẽ đúng một mẫu hình phức tạp, cụ thể trên lưới 5×5, và điều đó không xảy ra do ngẫu nhiên.

Không có màn hình chờ riêng

Ứng dụng mở két đã chỉ định trong khi dọn dẹp trên máy và thu hồi chia sẻ. Luồng được thiết kế để không thêm màn hình cảnh báo riêng, nhưng hiệu năng thiết bị, trạng thái két và điều kiện mạng sẽ khác nhau. Vaultaire không khẳng định rằng thời gian xử lý giống hệt đến mức người quan sát có công cụ không bao giờ phân biệt được.

Không có thông báo xóa trong ứng dụng

Vaultaire tắt phân tích cho phiên hiện tại trước khi xóa và không hiện thông báo "đã xóa két". Nếu cài đặt đang bật, phân tích hoạt động lại ở lần mở ứng dụng tiếp theo. Cài đặt ép buộc là một mục Keychain, nên người kiểm tra có quyền truy cập Keychain có thể thấy một Két mồi đã được đặt. Trên thiết bị đó, két được giữ lại là két duy nhất còn mở được qua ứng dụng. Cách này không xóa bằng chứng nằm ngoài trạng thái hiện tại của ứng dụng trên máy, và không nên hiểu là lời hứa rằng giám định pháp y sẽ không phát hiện ra.

Trạng thái nào trên máy bị xóa

Chi tiết ở đây rất quan trọng. Chế độ ép buộc xóa những cấu trúc cục bộ cụ thể cần để tìm và mở các két khác, nhưng giữ lại vùng khối dữ liệu mã hóa dùng chung và mọi bản sao lưu iCloud đã mã hóa. Đây là việc xóa trạng thái truy cập trên máy, không phải lời khẳng định rằng mọi bản sao vật lý đã bị ghi đè.

Cơ sở dữ liệu khôi phục đã mã hóa

Cơ sở dữ liệu khôi phục cục bộ liên kết cụm từ khôi phục và các trường mẫu hình cũ với quyền truy cập két. Chế độ ép buộc xóa cơ sở dữ liệu đó, rồi chỉ tạo mục khôi phục mới cho két đã chỉ định. Việc này xóa dữ liệu ánh xạ khôi phục cục bộ của các két khác, và không giả vờ rằng Vaultaire dùng hay hủy một muối riêng cho từng két.

Chỉ mục của các két khác

Mỗi chỉ mục két đã mã hóa chứa danh sách tệp và khóa chính ngẫu nhiên, được bọc bởi khóa tạo từ mẫu hình của két đó. Chế độ ép buộc xóa mọi chỉ mục, trừ chỉ mục của két đã chỉ định. Thuật toán PBKDF2 và số vòng lặp là tham số triển khai công khai; bảo mật không phụ thuộc vào việc xóa chúng.

Dữ liệu được mã hóa

Vùng khối dữ liệu mã hóa dùng chung được giữ lại vì nó cũng chứa nội dung của két đã chỉ định. Dữ liệu chỉ thuộc về các chỉ mục đã xóa có thể không còn truy cập được qua ứng dụng, nhưng Vaultaire không tuyên bố ghi đè an toàn mọi khối bộ nhớ flash. Chỉ mục đã xóa hoặc trạng thái trước đó cũng có thể còn trong các lớp lưu trữ nằm ngoài tầm kiểm soát của ứng dụng.

Khi nào nên sử dụng Chế độ ép buộc

Chế độ ép buộc được thiết kế cho tình huống bạn bị ép buộc về thể chất hoặc pháp lý và đã quyết định rằng xóa quyền truy cập két trên máy thì tốt hơn để lộ nó. Đây là một quyết định cá nhân có hệ quả nghiêm trọng, và Vaultaire đưa bạn công cụ chứ không quyết định thay bạn.

Cửa khẩu biên giới

Quyền kiểm tra ở biên giới và nghĩa vụ của người đi lại khác nhau tùy quốc gia và hoàn cảnh. Vẽ mẫu hình ép buộc trước khi giao điện thoại sẽ chỉ để lại một két mở được trong giao diện và xóa trạng thái truy cập cục bộ còn lại, nhưng không thể bảo đảm người kiểm tra không tìm thấy dấu vết hệ thống tệp, bản sao lưu đã mã hóa, bản sao ở người nhận hoặc bằng chứng có từ trước.

Cưỡng ép thân thể

Nếu ai đó đe dọa buộc bạn mở khóa điện thoại, bạn cần một cách để hạn chế những gì giao diện thông thường để lộ. Chế độ ép buộc cho phép bạn vẽ một mẫu hình trông như đang hợp tác. Người ép buộc thấy két đã chỉ định mở ra, còn giao diện không báo gì về việc trạng thái truy cập của các két khác đang bị dọn dẹp cùng lúc.

Thu giữ thiết bị

Nếu bạn có lý do tin rằng thiết bị sẽ bị thu giữ, Chế độ ép buộc có thể xóa quyền truy cập các két khác khỏi bản cài đặt ứng dụng hiện tại trước khi bạn giao máy. Nó không thể bảo đảm người phân tích pháp y không còn gì để kiểm tra, nhất là khi thiết bị đã bị xâm nhập hoặc vẫn còn bản sao và dấu vết hệ thống khác.

Nhà báo và bảo vệ nguồn tin

Nhà báo làm việc trong môi trường thù địch, nhà hoạt động bị giám sát, và bất kỳ ai có dữ liệu có thể gây nguy hiểm cho chính họ hoặc người khác. Chế độ ép buộc biến khoảnh khắc dễ bị tổn thương thành khoảnh khắc được bảo vệ.

Thiết lập két mồi

Cấu hình Chế độ ép buộc mất khoảng hai phút. Làm cho tốt, tức là khiến két mồi trông thuyết phục, cần suy nghĩ thêm một chút.

Chỉ định két mồi

Trong cài đặt của Vaultaire, bạn chỉ định một két làm két mồi. Két này sẽ là nơi mở ra khi mẫu hình ép buộc được vẽ, vì vậy nó cần chứa nội dung trông giống thật và đáp ứng mong đợi của người quan sát. Một két trống là đáng ngờ. Một két có nội dung giả mạo rõ ràng là đáng ngờ. Một két với một số bức ảnh cá nhân trông bình thường là hoàn hảo.

Đưa nội dung đáng tin vào két

Hãy đặt vào két mồi những nội dung mà người khác sẽ nghĩ là có trong một két riêng tư: vài tấm ảnh cá nhân, có thể một bản quét tài liệu, vài tệp trông đủ riêng tư để có lý do khóa lại nhưng đủ vô hại để qua được việc xem xét. Mục tiêu không phải là đánh lừa một cuộc điều tra pháp y, mà là thỏa mãn người đang đứng trước mặt bạn lúc đó.

Chọn một mẫu hình tự nhiên

Mẫu hình ép buộc phải là thứ bạn vẽ được khi căng thẳng, nhanh và không do dự. Nếu bạn vẽ một mẫu hình hợp lệ khác, bạn có thể mở một két khác hoặc một màn hình trống. Hãy tập kích hoạt trong một thiết lập thử an toàn. Như mọi mẫu hình của Vaultaire, nó phải nối ít nhất sáu điểm và đổi hướng ít nhất một lần.

Thử trước

Trước khi bạn cần đến nó, hãy kiểm tra Chế độ ép buộc trong một môi trường an toàn. Tạo một số két thử nghiệm, chỉ định một két mồi và kích hoạt nó. Xác minh rằng các két khác không còn mở được trên thiết bị đó. Xác minh rằng két mồi đã mở bình thường. Sau đó thiết lập nó thực sự.

Không thể hoàn tác

Cần nói rõ: một khi Chế độ ép buộc đã kích hoạt, việc xóa trên máy không có nút hoàn tác. Bộ phận hỗ trợ của Vaultaire không thể dựng lại mẫu hình hay cụm từ khôi phục của bạn. Nếu sao lưu iCloud mã hóa (bật theo mặc định) vẫn bật và bạn còn giữ cụm từ khôi phục, sau này bạn có thể khôi phục từng két một. Nếu thiếu một trong hai, việc xóa trạng thái truy cập trên máy có thể khiến két không thể khôi phục.

Chỉ mục và dữ liệu ánh xạ khôi phục cục bộ của các két khác không còn trong trạng thái đang dùng của ứng dụng. Vùng khối dữ liệu mã hóa dùng chung và muối chung của thiết bị không phải đối tượng bị xóa, và các bản sao lưu đám mây đã mã hóa vẫn được giữ nguyên. Ranh giới này là có chủ ý: nó xóa quyền truy cập khỏi thiết bị bị ép buộc nhưng vẫn giữ cho chủ sở hữu một đường khôi phục cần đến cụm từ.

Chế độ ép buộc dành cho người hiểu sự đánh đổi này và đã quyết định từ trước rằng họ thà xóa ngay quyền truy cập khỏi thiết bị hiện tại còn hơn để lộ két khi bị ép buộc. Nếu bạn không thể cất giữ an toàn cụm từ khôi phục và bản sao lưu đã mã hóa, hãy coi như việc xóa trên máy có thể khiến bạn mất vĩnh viễn quyền truy cập két đó.

Sự đánh đổi này có giới hạn cụ thể, không tuyệt đối. Việc xóa trên máy bắt đầu mà không cần xác nhận, còn việc khôi phục sau này chỉ làm được qua một đường riêng, dùng cụm từ khôi phục và bản sao trên đám mây. Hãy thử tính năng này với dữ liệu không nhạy cảm trước khi quyết định nó có hợp với mô hình đe dọa của bạn hay không.