脅迫模式：移除其他保險庫的存取權

Vaultaire 的脅迫模式讓你指定一個保險庫作為脅迫觸發點。畫出該保險庫的圖形會正常開啟它，同時從目前裝置刪除其他保險庫的索引、儲存檔案和本機復原對應。現有的加密 iCloud 備份和其他裝置上的副本則刻意保持不變。

什麼是脅迫模式？

脅迫模式是最後一道防線。這是你希望永遠用不到的功能，專為其他防護都已失效的時刻設計：有人站在你面前，要求查看你的私密檔案，而你別無選擇，只能配合。

運作方式如下：你指定一個保險庫作為脅迫保險庫，放進看起來可信的內容，例如幾張無害的照片、一些平凡的文件。然後像其他保險庫一樣，為它設定一個圖形。在一般的解鎖介面中，它的外觀和開啟方式都和普通保險庫一樣；這項說法只涵蓋介面呈現，不包括檔案系統和雲端上的證據。

差別在於你畫出這個圖形之後發生的事。一般的保險庫圖形只會開啟自己的保險庫。脅迫圖形同樣會在螢幕上顯示指定保險庫的內容，但也會觸發本機清除，刪除讓其他保險庫能在該裝置上存取的索引和復原對應。

不會出現確認對話框，也不會發出警告音。旁觀的人只會看到一個保險庫開啟、裡面的檔案出現。介面不會透露其他本機保險庫索引已被刪除、本機復原對應已被清除、待處理的備份工作已停止，也不會透露裝置必須主動用片語復原，已移除的保險庫才能回來。

底層運作方式

了解這些機制很重要，因為脅迫模式的作用範圍比「全面清除」窄得多。它改變的是目前裝置的狀態，並不保證清除 CloudKit、其他裝置、檔案系統歷史紀錄，或攻擊者已經蒐集到的證據。

步驟一：你畫出脅迫圖形

當你畫出指定給脅迫保險庫的圖形時，Vaultaire 會將它辨識為脅迫觸發。App 會同時進行兩件事：開始解密並顯示指定保險庫的內容，同時啟動本機清理，移除其他每個保險庫的索引和復原對應。

步驟二：刪除本機存取狀態

Vaultaire 在本機由圖形推導金鑰時，使用一個全裝置共用、存放在 Keychain 的 salt，而不是每個保險庫各有一個 salt。脅迫模式不會銷毀這個共用 salt，而是清除加密的本機復原資料庫，並刪除指定保險庫以外的所有保險庫索引，以及其他保險庫的儲存檔案。每個索引都包含被包裝的隨機主金鑰和該保險庫的檔案對應，刪除索引後，這些保險庫就不再屬於 App 可用的本機狀態。

脅迫模式會以一般刪除的方式，從共用儲存資料夾移除其他保險庫的頁面和 arena，不做覆寫，因此快閃記憶體可能仍留有舊的區塊。少了被刪除的索引，Vaultaire 就沒有檔案對應，也沒有被包裝的主金鑰，無法在本機開啟已移除的保險庫。App 也會清除本機復原對應，讓一般的復原畫面無法立即列出或還原這些保險庫。

步驟三：保留雲端復原，但加以隔離

現有的加密 iCloud 備份會刻意保留，作為復原途徑。裝置會重設待處理的備份工作並進入隔離狀態，因此本機清除不會被當成一般刪除上傳，隱藏的保險庫也不會被自動拉回。之後的復原必須主動進行，一次一個保險庫，而且需要該保險庫的復原片語，光有在脅迫下交出的圖形並不夠。

步驟四：脅迫保險庫正常開啟

本機清理進行時，指定的保險庫會透過一般介面開啟。Vaultaire 在開始前會關閉分析，並保持關閉直到你重新開啟，接著嘗試撤銷從該保險庫建立的有效分享，重新產生它的復原片語，之後再清除脅迫指定。App 不會顯示脅迫確認或完成訊息，但完成時間取決於本機工作量和網路撤銷作業；Vaultaire 不保證在任何情況下都能於一秒內完成。

靜默介面能隱藏什麼、不能隱藏什麼

當下的介面設計成不讓在你身旁盯著的人察覺脅迫模式。這是介面呈現上的實用特性，但不代表每位鑑識人員看到的裝置狀態都一樣。檔案系統殘留、CloudKit 記錄、其他同步裝置，或先前對手機的存取，都可能超出 App 能隱藏的範圍。

沒有確認對話框

軟體中大多數破壞性操作都會先警告：「你確定嗎？」脅迫模式沒有這種警告，因為確認對話框等於直接露餡。你畫出圖形的那一刻，操作就已執行。除非你剛好在 5×5 網格上畫出一個特定又複雜的圖形，否則不會誤觸，而這種事不會偶然發生。

沒有額外的等待畫面

App 在執行本機清理和撤銷分享的同時開啟指定的保險庫。這個流程設計成不額外顯示警告畫面，但裝置效能、保險庫狀態和網路狀況各有不同。Vaultaire 並不宣稱時間表現完全一致，到了使用儀器量測的觀察者也無法分辨的程度。

App 內沒有清除通知

Vaultaire 會在清除前關閉分析，也不會顯示「保險庫已刪除」通知。重新啟動 App 後，分析仍保持關閉，直到你重新開啟。脅迫設定是一個 Keychain 項目，所以能存取 Keychain 的檢查者可以看出設定過脅迫保險庫。在該裝置上，只有被保留的保險庫仍能透過 App 存取。這不會清除 App 目前本機狀態以外的證據，也不應視為在鑑識檢查下無法被察覺的保證。

會刪除哪些本機狀態

這裡必須說得精確。脅迫模式會刪除尋找和開啟其他保險庫所需的特定本機結構，也會刪除它們的儲存檔案，同時保留裝置 salt 和任何加密 iCloud 備份。刪除時不做覆寫，因此並不表示每一份實體副本都已被覆寫。

加密復原資料庫

本機復原資料庫把復原片語和舊版圖形欄位對應到保險庫存取。脅迫模式會清空這個資料庫，再只為指定的保險庫建立新的復原項目。這樣會移除其他保險庫的本機復原對應，而不必假裝 Vaultaire 為每個保險庫各用了一個 salt，或銷毀了它們。

其他保險庫的索引

每個加密的保險庫索引都包含它的檔案記錄，以及由該保險庫的圖形推導金鑰所包裝的隨機主金鑰。脅迫模式會刪除指定保險庫以外的所有索引。PBKDF2 演算法和迭代次數是公開的實作參數，安全性並不依賴於清除它們。

加密資料

脅迫模式會從共用儲存資料夾刪除其他保險庫的加密頁面和 arena，以及掩護用的 arena，然後為保留的保險庫建立新的掩護檔案。這是一般刪除，不做覆寫，Vaultaire 也不宣稱會安全覆寫每一個快閃記憶體區塊。已刪除的索引或先前的狀態，也可能留在 App 無法控制的儲存層中。

何時使用脅迫模式

脅迫模式是為這種情況設計的：你面臨人身脅迫或法律強制，並已判斷移除本機保險庫存取比交出內容更好。這是影響重大的個人決定，Vaultaire 提供工具，但不替你做決定。

過境檢查

邊境搜查權限和旅客義務因國家和情況而異。在交出手機前畫出脅迫圖形，介面上只會留下一個可存取的保險庫，並刪除其他本機存取狀態，但無法保證檢查人員找不到檔案系統殘留、加密備份、其他裝置上的副本或先前的證據。

人身脅迫

如果有人以威脅逼你解鎖手機，你需要一種方法限制一般介面顯示的內容。脅迫模式讓你畫出一個看似配合的圖形。脅迫者會看到指定的保險庫開啟，介面則不會透露其他保險庫的存取狀態正同時在本機被清除。

裝置沒收

如果你有理由相信裝置將被沒收，脅迫模式可以在交出前，從目前安裝的 App 中移除其他保險庫的存取。但這無法保證鑑識人員沒有東西可查，特別是裝置早已遭入侵，或還有其他副本和系統殘留時。

記者和消息來源保護

適用於在險惡環境中工作的記者、在監控下行動的社運人士，以及任何資料可能危及自己或他人的人。脅迫模式讓最脆弱的時刻，也能成為受保護的時刻。

設定你的脅迫保險庫

設定脅迫模式大約只需兩分鐘。但要設定得好、讓它看起來可信，就需要多花點心思。

指定保險庫

在 Vaultaire 的設定中，指定一個保險庫作為脅迫保險庫。畫出脅迫圖形時開啟的就是這個保險庫，所以裡面要放看起來真實、符合旁觀者預期的內容。空的保險庫很可疑，內容明顯是假的保險庫也很可疑。放幾張看起來普通的個人照片，就恰到好處。

放入可信的內容

在脅迫保險庫中放入別人預期會在私人保險庫裡看到的內容：幾張個人照片、也許一份文件的掃描檔，以及一些私密到值得上鎖、卻又無害到經得起檢查的檔案。目標不是騙過鑑識調查，而是讓當下站在你面前的人滿意。

選擇自然的圖形

脅迫圖形應該是你在壓力下也能快速、毫不猶豫畫出來的圖形。如果畫成另一個有效圖形，開啟的可能是另一個保險庫或空白狀態。請在安全的測試環境中練習觸發。和所有 Vaultaire 圖形一樣，它必須連接至少六個點，並至少轉一次方向。

測試它

在真正需要之前，先在安全環境中測試脅迫模式。建立幾個測試保險庫，指定一個脅迫保險庫，然後觸發它。確認其他保險庫在該裝置上已無法開啟，也確認脅迫保險庫正常開啟。之後再正式設定。

無法撤銷

這點必須說清楚：脅迫模式一旦觸發，本機清除就無法復原。Vaultaire 客服無法重建你的圖形或復原片語。如果加密 iCloud 備份（預設開啟）在事前仍保持開啟，而且你保留了復原片語，之後可以一次還原一個保險庫。兩者缺一，已刪除的本機存取狀態就可能讓你無法找回該保險庫。

其他索引和本機復原對應會從 App 的使用中狀態消失。它們的儲存檔案會被刪除，但不做覆寫。全裝置共用的 salt 不是清除對象，加密的雲端備份也會保留。這個範圍是刻意設計的：它移除被脅迫裝置上的存取，同時為擁有者保留一條由片語控制的復原途徑。

脅迫模式是為了解這項取捨、並事先決定寧可從目前裝置移除立即存取，也不願在脅迫下交出保險庫的人設計的。如果你無法安全保存復原片語和加密備份，請假設本機清除可能讓你從此無法存取該保險庫。

這項取捨有明確的範圍，並非全有或全無。本機刪除不經確認就會開始，而之後的復原只能透過獨立的雲端與復原片語途徑進行。在判斷這種行為是否符合你的威脅模型之前，請先用不敏感的資料測試這項功能。