Cụm từ Bí mật: Dây cứu sinh cho két của bạn

Vaultaire tạo một câu khôi phục tùy chỉnh gồm 9 từ khác nhau thay vì bộ từ ghi nhớ BIP-39 gồm 12 hoặc 24 từ. PBKDF2-HMAC-SHA512 xử lý cụm từ đã chuẩn hóa trong 800.000 vòng lặp để lấy khóa khôi phục. Khóa đó mở một phong bì mã hóa bằng AES-GCM chứa khóa két trên máy, hoặc chứa khóa két và khóa sao lưu khi khôi phục từ bản sao lưu iCloud đã mã hóa.

Cụm từ Bí mật là gì?

Mỗi két Vaultaire có một hệ thống phân cấp khóa nhiều lớp. Mẫu hình của bạn tạo ra khóa két, khóa két mở chỉ mục đã mã hóa, và chỉ mục chứa khóa chính ngẫu nhiên đã bọc dùng để mã hóa tệp. Nhưng nếu bạn quên mẫu hình thì sao? Nếu nhiều tháng trôi qua và trí nhớ cơ tay phai dần thì sao? Nếu không có một đường khôi phục riêng, khóa két sẽ nằm ngoài tầm với.

Đó là lúc cụm từ bí mật phát huy tác dụng. Khi bạn tạo két mới, Vaultaire tạo một câu đúng ngữ pháp gồm chín từ tiếng Anh thông dụng, chọn từ nhiều danh sách theo vai trò ngữ pháp bằng nguồn ngẫu nhiên an toàn về mật mã. Đây là định dạng khôi phục tùy chỉnh, không phải BIP-39. Các từ này không mã hóa khóa két tạo từ mẫu hình. Thay vào đó, câu đã chuẩn hóa trở thành đầu vào cho PBKDF2, và khóa khôi phục tạo ra sẽ giải mã một phong bì chứa khóa két.

Hãy hình dung thế này: mẫu hình và cụm từ khôi phục là hai thông tin xác thực mở hai lớp bọc khác nhau quanh cùng một dữ liệu truy cập két. Mẫu hình là thông tin xác thực bạn dùng hằng ngày. Cụm từ khôi phục mở phong bì khẩn cấp, để dành cho ngày trí nhớ cơ tay không còn giúp được bạn hoặc một thiết bị mới cần tìm bản sao lưu đã mã hóa.

Cụm từ Bí mật hoạt động như thế nào

Cụm từ bí mật là một thông tin xác thực riêng, nên cũng là một đường riêng để tấn công hoặc khôi phục két. Nó không phải là một cách viết khác của khóa tạo từ mẫu hình. Cụm từ tạo ra khóa khôi phục 256 bit của riêng nó, và khóa đó xác thực rồi giải mã một phong bì nhỏ chứa khóa két. Sự tách biệt này giúp cụm từ dùng được trên thiết bị khác, còn khóa két thông thường trên máy vẫn gắn với muối trong Keychain của thiết bị.

Thế hệ

Khi bạn tạo két, Vaultaire chọn các từ bằng nguồn ngẫu nhiên an toàn về mật mã và xếp chúng vào một trong vài khuôn ngữ pháp. Câu được tạo thường gồm 9 từ khác nhau và được kiểm tra bằng bộ ước tính độ mạnh cụm từ của ứng dụng. Bạn cũng có thể dùng cụm từ tùy chỉnh gồm ít nhất 6 từ khác nhau nếu nó qua được bước kiểm tra. Cụm từ được chuẩn hóa, xử lý qua 800.000 vòng PBKDF2-HMAC-SHA512 và dùng để mã hóa phong bì khôi phục di động.

Màn hình

Vaultaire hiện cụm từ khi tạo két và yêu cầu bạn xác nhận đã lưu nó. Ứng dụng cũng lưu cụm từ trong một cơ sở dữ liệu khôi phục mã hóa bằng AES-GCM trong Keychain của iOS, để sau này có thể hiện lại trong cài đặt của két và dùng để đăng bản kê khôi phục đã mã hóa khi sao lưu iCloud được bật. Vaultaire không nhận cụm từ trên máy chủ của công ty và không đưa nó vào phân tích.

Phục hồi

Nếu quên mẫu hình, bạn mở Vaultaire và chọn tùy chọn khôi phục. Trên thiết bị gốc, cơ sở dữ liệu khôi phục đã mã hóa liên kết cụm từ với phong bì của nó. Khi khôi phục từ iCloud đã mã hóa, một bộ định vị cố định tìm bản kê khôi phục theo địa chỉ lấy từ cụm từ. Trong cả hai trường hợp, việc giải mã có xác thực AES-GCM kiểm tra khóa tạo từ cụm từ trước khi trả lại dữ liệu truy cập két. Sau đó bạn có thể mở két và đặt mẫu hình mới.

Tại sao Cụm từ Bí mật tồn tại

Vaultaire không có dịch vụ tài khoản nào nhận mẫu hình, cụm từ khôi phục, khóa két, khóa sao lưu hay nội dung két đọc được của bạn. Bản sao lưu đã mã hóa nằm trong cơ sở dữ liệu CloudKit riêng tư của bạn, và Vaultaire không giữ khóa khôi phục riêng nào phía nhà cung cấp. Điều này loại bỏ cách đặt lại mật khẩu do công ty vận hành: bộ phận hỗ trợ không thể thay mẫu hình hay cụm từ bị mất bằng thông tin tài khoản.

Cụm từ bí mật là cách Vaultaire cân bằng sự đánh đổi này. Nó cho bạn một thông tin xác thực con người đọc được, mở một bản sao đã mã hóa của dữ liệu truy cập két, mà không trao cho Vaultaire khóa giải mã do nhà cung cấp giữ. Cụm từ được lưu trên máy trong dữ liệu Keychain được bảo vệ và bạn cũng nên giữ nó ở nơi bạn kiểm soát. Nếu cả mẫu hình lẫn mọi bản sao dùng được của cụm từ đều không còn, Vaultaire không thể đặt lại mã hóa từ tài khoản của công ty.

Mẫu hình rất mạnh mẽ và trực quan nhưng chúng dựa vào trí nhớ cơ bắp. Cuộc sống cản đường. Bạn có thể không mở một két trong sáu tháng. Bạn có thể chuyển đổi điện thoại và mất đi sự quen thuộc về mặt vật lý của cử chỉ. Bạn có thể gặp phải tình trạng bệnh lý ảnh hưởng đến khả năng kiểm soát vận động tinh của bạn. Cụm từ bí mật đảm bảo rằng không có trường hợp nào trong số này có nghĩa là dữ liệu của bạn sẽ bị mất vĩnh viễn.

Bảo mật của Cụm từ Bí mật

Cụm từ bí mật là một trong những thông tin xác thực nhạy cảm nhất gắn với két của bạn. Bất kỳ ai có cụm từ cùng dữ liệu khôi phục trên máy hoặc bản sao lưu iCloud đã mã hóa phù hợp đều có thể lấy lại khóa két và truy cập dữ liệu của bạn. Đó là lý do Vaultaire giữ bản sao trên máy trong vùng lưu trữ Keychain đã mã hóa, và là lý do bạn nên bảo vệ mọi bản sao bạn tự tạo.

Hiện khi tạo két và có trong Cài đặt

Vaultaire hiện cụm từ khi tạo két để bạn chép ra một bản riêng. Ứng dụng cũng có thể tải và hiện cụm từ đã lưu từ cài đặt của két đang mở. Sự tiện lợi đó thay đổi mô hình đe dọa: người mở được két và vào được cài đặt của nó có thể đọc cụm từ, nên mật mã iPhone, mẫu hình Vaultaire và việc kiểm soát thiết bị vẫn quan trọng.

Mã hóa trên máy, không gửi tới Vaultaire

Cụm từ được lưu trong một cơ sở dữ liệu khôi phục đã mã hóa, cất dưới dạng mục Keychain WhenUnlockedThisDeviceOnly. Một khóa Keychain ngẫu nhiên riêng bảo vệ cơ sở dữ liệu đó bằng AES-GCM. Khi sao lưu iCloud mã hóa được bật, Vaultaire tải lên một bộ định vị cố định lấy từ cụm từ và một bản kê khôi phục mã hóa bằng AES-GCM; cụm từ dạng bản rõ không nằm trong bản ghi đó. Cụm từ không được đưa vào phân tích và Vaultaire không nhận nó.

Không thể phục hồi nếu không có nó

Nếu bạn mất cả mẫu hình lẫn mọi bản sao dùng được của cụm từ bí mật, Vaultaire không có cách đặt lại tài khoản hay khóa do nhà cung cấp giữ để giải mã két cho bạn. Việc khôi phục trên máy còn làm được hay không phụ thuộc vào dữ liệu Keychain được bảo vệ và dữ liệu két nào còn lại trên thiết bị. Một bản sao lưu iCloud đã mã hóa vẫn cần cụm từ khôi phục hoặc khóa sao lưu tạo từ đúng mẫu hình.

Thực hành tốt nhất cho Cụm từ bí mật của bạn

Cụm từ bí mật của bạn là bản sao lưu tối ưu cho dữ liệu riêng tư nhất của bạn. Hãy đối xử với nó cho phù hợp.

Viết nó ra giấy

Sử dụng bút và giấy. Viết rõ ràng từng chữ, theo thứ tự, đánh số. Giấy không thể bị hack từ xa. Nó không thể bị xâm phạm bởi phần mềm độc hại. Nó không thể được lọc âm thầm khỏi dịch vụ đám mây. Một mảnh giấy ở nơi an toàn là hình thức lưu trữ dự phòng linh hoạt nhất từng được phát minh.

Không bao giờ lưu trữ kỹ thuật số

Đừng để bản sao không được bảo vệ trong ứng dụng ghi chú, thư viện ảnh chụp màn hình hay tài khoản email. Mỗi bản sao số thêm vào là thêm một nơi mà cụm từ có thể bị lộ qua phần mềm độc hại, rò rỉ dữ liệu hay tài khoản bị xâm nhập. Vaultaire đã giữ một bản sao được bảo vệ trên máy để hiện trong cài đặt và dùng khi khôi phục; mọi bản sao thêm vào phải được bảo vệ tương xứng với mức rủi ro của dữ liệu bạn đang bảo vệ.

Giữ nó ở nơi an toàn

Lưu trữ giấy ở nơi an toàn và riêng tư. Một chiếc két an toàn tại nhà, một chiếc két an toàn hoặc một ngăn kéo có khóa mà chỉ bạn mới có thể sử dụng. Hãy cân nhắc các biện pháp phòng ngừa tương tự mà bạn sẽ thực hiện với một tài liệu pháp lý quan trọng hoặc giấy khai sinh. Nếu bạn có nhiều két, hãy dán nhãn rõ ràng cho từng cụm từ để bạn biết nó thuộc về két nào.

Xem xét một người đáng tin cậy

Nếu có chuyện gì xảy ra với bạn, liệu có ai đó có thể truy cập vào két của bạn không? Nếu vậy, bạn có thể đưa một bản sao của cụm từ này cho một thành viên đáng tin cậy trong gia đình hoặc cho nó vào phong bì dán kín cùng với giấy tờ di sản của bạn. Đây là một quyết định cá nhân nhưng đáng để suy nghĩ trước khi câu hỏi trở nên cấp bách.

Cách thức hoạt động của quá trình khôi phục

Quá trình khôi phục rất đơn giản nhưng bạn cần hiểu rõ điều gì xảy ra ở mỗi bước để biết chính xác điều gì sẽ xảy ra.

Bước 1: Mở màn hình khôi phục

Khi bạn mở Vaultaire và được nhắc về mẫu của mình, bạn sẽ thấy tùy chọn khôi phục. Nhấn vào nó và ứng dụng sẽ hiển thị giao diện nhập từ nơi bạn có thể nhập hoặc chọn từng từ trong cụm từ bí mật của mình.

Bước 2: Nhập cụm từ của bạn

Nhập đầy đủ cụm từ theo đúng thứ tự các từ như khi đã lưu. Vaultaire chuẩn hóa chữ hoa và khoảng trắng, nhưng các từ và thứ tự của chúng vẫn quan trọng vì chúng là đầu vào của PBKDF2. Định dạng được tạo là một câu gồm 9 từ khác nhau, không phải danh sách BIP-39, và cụm từ tùy chỉnh có thể dùng số từ khác.

Bước 3: Tái tạo khóa

Khi bạn nhập cụm từ, Vaultaire chuẩn hóa nó và chạy PBKDF2-HMAC-SHA512 với 800.000 vòng lặp và một muối cố định tạo từ cụm từ. Cùng một cụm từ đã chuẩn hóa sẽ tạo ra cùng một khóa khôi phục 256 bit trên thiết bị khác. Sau đó AES-GCM kiểm tra khóa đó với phong bì khôi phục trên máy hoặc bản kê khôi phục trên đám mây trước khi chấp nhận bất kỳ khóa két hay khóa sao lưu nào.

Bước 4: Đặt mẫu mới

Khi đã truy cập lại được két, Vaultaire có thể đặt mẫu hình mới. Khóa chính ngẫu nhiên dùng để mã hóa tệp không đổi, nhưng mẫu hình mới tạo ra khóa két mới trên máy và khóa sao lưu cố định mới. Đổi mẫu hình cũng tạo ra cụm từ khôi phục và phong bì thay thế, nên bạn phải lưu cụm từ mới trước khi rời khỏi luồng này.