Frase secreta: El cable de seguretat de la teva caixa

Vaultaire genera una frase personalitzada que conté 9 paraules de recuperació separades en lloc d'una frase de 12 o 24 paraules. BIP-39 mnemotècnica. PBKDF2-HMAC-SHA512 processa la frase normalitzada per a 800.000 iteracions per obtenir una clau de recuperació. Aquesta clau obre un AES-GCM sobre xifrat que conté la clau de la caixa de seguretat localment, o la clau de la caixa de seguretat i la clau de còpia de seguretat en restaurar un sobre encriptat. iCloud còpia de seguretat.

Què és la frase secreta?

Cada volta de Vaultaire té una jerarquia de claus en capes. El vostre patró obté una clau de volta, aquesta clau desbloqueja l'índex xifrat i l'índex conté una clau mestra aleatòria embolicada que s'utilitza per xifrar fitxers. Però què passa si oblideu el vostre patró? Què passa si passen els mesos i la memòria muscular s'esvaeix? Sense una ruta de recuperació independent, la clau de la volta romandria fora de l'abast.

Aquí és on entra la frase secreta. Quan creeu una volta nova, Vaultaire genera una frase gramatical que conté nou paraules en anglès ordinaris, paraules seleccionades de diverses llistes específiques de funció mitjançant l'aleatorietat criptogràficament segura. Aquest és un format de recuperació personalitzat, no BIP-39. Les paraules no codifiquen la clau de volta derivada del patró. En canvi, l'oració normalitzada es converteix en l'entrada a PBKDF2, i la clau de recuperació resultant desxifra un sobre que conté la clau de volta.

Penseu-ho d'aquesta manera: el patró i la frase de recuperació són dues credencials que poden obrir diferents embolcalls al voltant del mateix material d'accés a la volta. El patró és la credencial que utilitzeu cada dia. La frase de recuperació obre el sobre d'emergència que guardes per al dia que falla la memòria muscular o un dispositiu nou necessita trobar una còpia de seguretat xifrada.

Com funciona la frase secreta

La frase secreta és una credencial separada i, per tant, una manera separada d'atacar o recuperar la volta. No és una altra representació de la clau derivada del patró. La frase deriva la seva pròpia clau de recuperació de 256 bits, i aquesta clau autentica i desxifra un petit sobre que conté la clau de la volta. Aquesta separació permet que la frase es mantingui portàtil mentre la clau de volta local normal roman lligada a la del dispositiu Keychain sal.

Generació

Quan creeu una volta, Vaultaire selecciona paraules amb aleatorietat criptogràficament segura i les col·loca en una de les diverses plantilles gramaticals. La frase generada normalment conté 9 paraules separades i la verifica l'estimador de la força de la frase de l'aplicació. També podeu proporcionar una frase personalitzada d'almenys 6 paraules separades si supera la validació. La frase està normalitzada, processada a través de 800.000 PBKDF2-HMAC-SHA512 iteracions i s'utilitza per xifrar el sobre de recuperació portàtil.

Visualització

Vaultaire mostra la frase durant la creació de la volta i us demana que confirmeu que l'heu desat. També emmagatzema la frase dins d'un AES-GCM base de dades de recuperació xifrada al iOS Keychain de manera que la frase es pot mostrar més tard des de la configuració d'aquesta volta i utilitzar-la per publicar un manifest de recuperació xifrat quan iCloud la còpia de seguretat està habilitada. Vaultaire no rep la frase al servidor de l'empresa ni l'inclou a l'anàlisi.

Recuperació

Si oblideu el vostre patró, obriu Vaultaire i trieu l'opció de recuperació. Al dispositiu original, la base de dades de recuperació xifrada assigna la frase al seu sobre. Per a un xifrat iCloud restaurar, un localitzador determinista troba el manifest de recuperació adreçat a la frase. En qualsevol cas, AES-GCM el desxifrat autenticat verifica la clau derivada de la frase abans d'alliberar el material d'accés a la volta. A continuació, podeu obrir la volta i establir un patró nou.

Per què existeix la frase secreta

Vaultaire no té cap servei de comptes que rebi el vostre patró, frase de recuperació, clau de volta, clau de còpia de seguretat o contingut de volta llegible. Les còpies de seguretat xifrades viuen al vostre privat CloudKit base de dades i Vaultaire no té cap clau de recuperació del proveïdor independent. Això elimina una ruta de restabliment de la contrasenya operada per l'empresa: l'assistència no pot substituir un patró o frase perduts amb una credencial de compte.

La frase secreta és la resposta de Vaultaire a aquest compromís. Us proporciona una credencial llegible pels humans per a una còpia xifrada del material d'accés a la volta sense donar a Vaultaire una clau de desxifrat del proveïdor. La frase s'emmagatzema localment a protegit Keychain dades i també s'han de guardar en un lloc que controleu. Si no queda ni el vostre patró ni una còpia utilitzable de la frase, Vaultaire no pot restablir el xifratge des d'un compte d'empresa.

Seguretat de la frase secreta

La frase secreta és una de les credencials més sensibles associades a la vostra volta. Qualsevol persona que tingui la frase i les dades de recuperació local coincidents o encriptades iCloud és possible que la còpia de seguretat pugui recuperar les claus de la volta i accedir a les vostres dades. És per això que Vaultaire manté la seva còpia local dins xifrada Keychain emmagatzematge, i per què hauríeu de protegir qualsevol còpia que feu.

Mostrada una vegada, després desapareix

Vaultaire mostra la frase durant la creació de la volta perquè pugueu fer una còpia independent. L'aplicació també pot carregar i mostrar la frase desada des de la configuració de la volta oberta. Aquesta comoditat canvia el model d'amenaça: algú que pugui desbloquejar la volta i arribar a la seva configuració pot llegir la frase, de manera que el iPhone La contrasenya, el patró de Vaultaire i el control físic del dispositiu segueixen sent importants.

Mai emmagatzemada, mai transmesa

La frase es desa en una base de dades de recuperació xifrada emmagatzemada com a WhenUnlockedThisDeviceOnly Keychain element. Un aleatori separat Keychain clau protegeix aquesta base de dades amb AES-GCM. Quan està xifrat iCloud la còpia de seguretat està habilitada, Vaultaire carrega un localitzador de frases deterministes i un AES-GCM manifest de recuperació xifrat; la frase de text pla no es col·loca en aquest registre. La frase està exclosa de l'anàlisi i Vaultaire no la rep.

Sense recuperació

Si perdeu tant el vostre patró com totes les còpies utilitzables de la frase secreta, Vaultaire no té cap restabliment del compte ni clau del proveïdor que us pugui desxifrar la volta. Si la recuperació local segueix sent possible, depèn del que es protegeixi Keychain i les dades de la caixa forta encara sobreviuen al dispositiu. Un xifrat iCloud la còpia de seguretat encara requereix la seva frase de recuperació o la clau de còpia de seguretat derivada del patró coincident.

Bones pràctiques per a la frase secreta

La teva frase secreta és la còpia de seguretat definitiva de les teves dades més privades. Tracta-la en conseqüència.

Escriu-la en paper

Usa ploma i paper. Escriu cada paraula clarament, en ordre, numerada. El paper no es pot piratear remotament. El programari maliciós no el pot comprometre. Un tros de paper en un lloc segur és la forma d'emmagatzematge de còpia de seguretat més resistent que mai s'ha inventat.

No la guardes mai digitalment

No col·loqueu una còpia sense protecció en una aplicació de notes, una biblioteca de captures de pantalla o un compte de correu electrònic. Cada còpia digital addicional crea un altre lloc on la frase podria quedar exposada per programari maliciós, una violació de dades o un compromís del compte. Vaultaire ja manté una còpia local protegida per a la recuperació i la visualització de la configuració; qualsevol còpia addicional s'ha de protegir segons el risc de les dades que esteu protegint.

Guarda-la en un lloc segur

Desa el paper en un lloc segur i privat. Una caixa forta domèstica, una caixa de seguretat o un calaix tancat al qual només tu tens accés. Considera les mateixes precaucions que prendries per a un document legal important o un certificat de naixement.

Com funciona la recuperació

El procés de recuperació és senzill, però val la pena entendre què passa en cada pas.

Pas 1: Obre la pantalla de recuperació

Quan obres Vaultaire i apareix el missatge per introduir el patró, veuràs una opció de recuperació. Toca-la i l'aplicació mostrarà la interfície d'introducció de paraules.

Pas 2: Introdueix la frase

Introduïu la frase completa en el mateix ordre de paraules en què s'ha desat. Vaultaire normalitza les majúscules i els espais en blanc, però les paraules i el seu ordre encara importen perquè esdevenen PBKDF2 entrada. El format generat és una frase que conté 9 paraules separades, no a BIP-39 llista i una frase personalitzada pot utilitzar un nombre diferent de paraules.

Pas 3: Regeneració de la clau

Un cop introduïda la frase, Vaultaire la normalitza i s'executa PBKDF2-HMAC-SHA512 per a 800.000 iteracions amb una sal derivada d'una frase determinista. La mateixa frase normalitzada produeix la mateixa clau de recuperació de 256 bits en un altre dispositiu. AES-GCM a continuació, verifica aquesta clau amb el sobre de recuperació local o el manifest de recuperació al núvol abans que s'accepti qualsevol clau de volta o còpia de seguretat.

Pas 4: Configura un patró nou

Després que la volta torni a ser accessible, Vaultaire pot establir un nou patró. La clau mestra de xifratge de fitxers aleatori es manté sense canvis, però el nou patró deriva una nova clau de volta local i una nova clau de còpia de seguretat determinista. Canviar el patró també genera una frase de recuperació i un sobre de substitució, de manera que heu de desar la frase nova abans de sortir del flux.