Mode de coacció: treure l’accés a les altres caixes fortes

El mode de coacció de Vaultaire et permet designar una caixa forta com a activador de coacció. Dibuixar el patró d’aquesta caixa forta l’obre amb normalitat mentre elimina del dispositiu actual els índexs de les caixes fortes que no són de coacció, els seus fitxers d’emmagatzematge i les associacions de recuperació locals. Les còpies de seguretat xifrades d’iCloud existents i les còpies d’altres dispositius es deixen expressament sense canvis.

Què és el mode de coacció?

El mode de coacció és l’última línia de defensa. És una funció que esperes no necessitar mai, pensada per al moment en què tota la resta ha fallat: quan algú és davant teu, t’exigeix accés als teus fitxers privats i no tens més remei que obeir.

Funciona així: designes una caixa forta com a caixa forta de coacció. L’omples amb contingut que sembli creïble: unes quantes fotos inofensives, alguns documents banals. Després li assignes un patró, com a qualsevol altra caixa forta. A la interfície normal de desbloqueig, té l’aspecte d’una caixa forta normal i s’obre com una; les proves al sistema de fitxers i al núvol queden fora d’aquesta afirmació limitada a la presentació.

La diferència és què passa quan dibuixes aquest patró. El patró d’una caixa forta normal obre la seva caixa forta. El patró de coacció també ho fa, i mostra a la pantalla el contingut de la caixa forta designada, però a més activa una neteja local dels índexs i de les associacions de recuperació que fan accessibles les altres caixes fortes en aquell dispositiu.

No apareix cap diàleg de confirmació. No sona cap avís. La persona que t’observa veu com s’obre una caixa forta i n’apareixen els fitxers. El que la interfície no anuncia és que s’han esborrat els altres índexs locals de caixes fortes, s’han netejat les associacions de recuperació locals, s’ha aturat la còpia de seguretat pendent i el dispositiu haurà de fer servir una recuperació explícita amb la frase abans que una caixa forta retirada pugui tornar.

Com funciona per dins

Entendre el mecanisme importa perquè el mode de coacció té un límit més estret que una promesa d’esborrat universal. Canvia l’estat del dispositiu actual; no promet esborrar CloudKit, un altre dispositiu, l’historial del sistema de fitxers ni les proves que un atacant ja hagi recollit.

Pas 1: Dibuixes el patró de coacció

Quan dibuixes el patró assignat a la caixa forta de coacció, Vaultaire el reconeix com un activador de coacció. L’app comença dues operacions alhora: desxifra i mostra el contingut de la caixa forta designada, i inicia la neteja local dels índexs i de les associacions de recuperació de totes les altres caixes fortes.

Pas 2: S’elimina l’estat d’accés local

Vaultaire fa servir una sal del Clauer comuna a tot el dispositiu per a la derivació local del patró, no una sal separada per a cada caixa forta. El mode de coacció no destrueix aquesta sal compartida. En canvi, buida la base de dades de recuperació local xifrada i esborra tots els índexs de caixa forta excepte el de la caixa forta designada, juntament amb els fitxers d’emmagatzematge de les altres caixes fortes. Com que cada índex conté la clau mestra aleatòria embolcallada i el mapa de fitxers d’aquella caixa forta, eliminar-lo treu la caixa forta que no és de coacció de l’estat local utilitzable de l’app.

La coacció elimina les pàgines i les arenes de les altres caixes fortes de la carpeta d’emmagatzematge compartida amb un esborrat simple, sense sobreescriptura, de manera que la memòria flash encara pot contenir blocs antics. Sense l’índex esborrat, Vaultaire no té cap mapa de fitxers ni cap clau mestra embolcallada per obrir en local la caixa forta eliminada. L’app també neteja les associacions de recuperació locals perquè la pantalla de recuperació normal no pugui llistar ni restaurar aquestes caixes fortes immediatament.

Pas 3: La recuperació des del núvol es conserva però queda aïllada

La còpia de seguretat xifrada d’iCloud existent es conserva expressament com a via de recuperació. El dispositiu reinicia la feina de còpia pendent i entra en un límit d’aïllament perquè la neteja local no es pugi com un esborrat normal i les caixes fortes amagades no es tornin a baixar automàticament. La recuperació posterior és explícita, una caixa forta cada vegada, i necessita la frase de recuperació d’aquella caixa forta, no només el patró revelat sota coacció.

Pas 4: La caixa forta de coacció s’obre amb normalitat

Mentre s’executa la neteja local, la caixa forta designada s’obre per la interfície normal. Vaultaire desactiva l’analítica abans de començar i la manté desactivada fins que la tornis a activar, intenta revocar les comparticions actives creades des d’aquella caixa forta, en regenera la frase de recuperació i després li treu la designació de coacció. L’app no mostra cap confirmació de coacció ni cap missatge de finalització, però el temps que triga depèn de la feina local i de les revocacions per xarxa; Vaultaire no promet un termini universal de menys d’un segon.

Què amaga i què no amaga la interfície silenciosa

La interfície immediata està pensada per no anunciar el mode de coacció a qui mira per sobre de la teva espatlla. És una propietat útil de presentació, no una prova que qualsevol observador forense vegi un estat del dispositiu idèntic. Els rastres al sistema de fitxers, els registres de CloudKit, un altre dispositiu sincronitzat o un accés previ al telèfon poden quedar fora del que l’app pot amagar.

Cap diàleg de confirmació

La majoria d’accions destructives al programari venen amb un avís: “N’estàs segur?” El mode de coacció no té cap avís així. Un diàleg de confirmació el delataria de seguida. En el moment que dibuixes el patró, l’acció es fa. No el pots activar per error si no dibuixes per error un patró concret i complex en una quadrícula de 5×5, cosa que no passa per casualitat.

Cap pantalla d’espera separada

L’app obre la caixa forta designada mentre fa la neteja local i revoca les comparticions. El flux està pensat per no afegir cap pantalla d’avís separada, però el rendiment del dispositiu, l’estat de la caixa forta i les condicions de la xarxa varien. Vaultaire no afirma que els temps siguin tan iguals que un observador amb instruments no els pugui distingir mai.

Cap avís de neteja dins de l’app

Vaultaire desactiva l’analítica abans de la neteja i no mostra cap notificació de “caixes fortes esborrades”. L’analítica es manté desactivada després de reiniciar l’app fins que la tornis a activar. L’ajust de coacció és un element del Clauer, així que un examinador amb accés al Clauer pot veure que s’havia configurat una caixa forta de coacció. En aquell dispositiu, la caixa forta conservada és l’única que continua accessible des de l’app. Això no esborra les proves que hi hagi fora de l’estat local actual de l’app, i no s’ha de prendre com una promesa que no es pugui detectar en un examen forense.

Quin estat local s’elimina

Aquí la precisió importa. El mode de coacció elimina estructures locals concretes que calen per trobar i obrir les caixes fortes que no són de coacció, i també els seus fitxers d’emmagatzematge, i conserva la sal del dispositiu i qualsevol còpia de seguretat xifrada d’iCloud. Esborra els fitxers sense sobreescriure’ls, així que no afirma que s’hagi sobreescrit cada còpia física.

La base de dades de recuperació xifrada

La base de dades de recuperació local associa les frases de recuperació i els camps de patró antics a l’accés a les caixes fortes. El mode de coacció buida aquesta base de dades i després crea una entrada de recuperació nova només per a la caixa forta designada. Això elimina les associacions de recuperació locals de les altres caixes fortes sense fingir que Vaultaire feia servir o destruïa una sal separada per a cadascuna.

Els índexs de les caixes fortes que no són de coacció

Cada índex xifrat de caixa forta conté els registres dels seus fitxers i la clau mestra aleatòria embolcallada amb la clau derivada del patró d’aquella caixa forta. El mode de coacció esborra tots els índexs excepte el de la caixa forta designada. L’algorisme PBKDF2 i el nombre d’iteracions són paràmetres públics de la implementació; la seguretat no depèn d’esborrar-los.

Les dades xifrades

La coacció elimina de la carpeta d’emmagatzematge compartida les pàgines i les arenes xifrades de les altres caixes fortes, i també les arenes de cobertura, i després dona fitxers de cobertura nous a la caixa forta conservada. L’esborrat és una eliminació simple sense sobreescriptura, i Vaultaire no afirma que sobreescrigui de manera segura cada bloc físic de la memòria flash. Els índexs esborrats o l’estat anterior també poden persistir en capes d’emmagatzematge que l’app no controla.

Quan fer servir el mode de coacció

El mode de coacció està pensat per a situacions en què pateixes coacció física o obligació legal i has decidit que és preferible treure l’accés local a la caixa forta que exposar-la. És una decisió personal amb conseqüències serioses, i Vaultaire et dona l’eina sense decidir per tu.

Passos fronterers

Els poders d’escorcoll a la frontera i les obligacions dels viatgers varien segons el país i les circumstàncies. Dibuixar el patró de coacció abans de lliurar el telèfon deixa una caixa forta accessible a la interfície i elimina l’altre estat d’accés local, però no pot garantir que un examinador no trobi rastres al sistema de fitxers, còpies de seguretat xifrades, còpies en altres dispositius o proves anteriors.

Coacció física

Si algú t’obliga a desbloquejar el telèfon amb amenaces, necessites una manera de limitar el que revela la interfície normal. El mode de coacció et permet dibuixar un patró que sembla col·laboració. Qui et coacciona veu com s’obre la caixa forta designada, mentre la interfície no anuncia la neteja local simultània de l’estat d’accés de les altres caixes fortes.

Confiscació del dispositiu

Si tens motius per creure que et confiscaran el dispositiu, el mode de coacció pot treure l’accés a les caixes fortes que no són de coacció de la instal·lació actual de l’app abans de lliurar-lo. No pot garantir que un analista forense no tingui res per examinar, sobretot si el dispositiu ja estava compromès o hi ha altres còpies i rastres del sistema.

Protecció de periodistes i fonts

Periodistes que treballen en entorns hostils, activistes que actuen sota vigilància i qualsevol persona les dades de la qual la podrien posar en perill a ella o a altres. El mode de coacció converteix un moment de vulnerabilitat en un moment de protecció.

Com configurar la caixa forta de coacció

Configurar el mode de coacció porta uns dos minuts. Fer-ho bé, de manera convincent, demana pensar-hi una mica més.

Designa la caixa forta

A la configuració de Vaultaire, designes una caixa forta com a caixa forta de coacció. Aquesta caixa forta serà la que s’obrirà quan es dibuixi el patró de coacció, així que ha de tenir contingut que sembli real i que compleixi les expectatives de qui observa. Una caixa forta buida és sospitosa. Una caixa forta amb contingut clarament fals és sospitosa. Una caixa forta amb un grapat de fotos personals d’aspecte normal és perfecta.

Omple-la amb contingut creïble

Posa a la caixa forta de coacció contingut que algú esperaria trobar en una caixa forta privada: unes quantes fotos personals, potser un document escanejat, alguns fitxers que semblin prou privats per justificar el bloqueig però prou innocus per superar una revisió. L’objectiu no és enganyar una investigació forense, sinó convèncer la persona que tens al davant en aquell moment.

Tria un patró natural

El patró de coacció ha de ser un que puguis dibuixar sota estrès, de pressa i sense dubtar. Si dibuixes un altre patró vàlid, pots obrir una altra caixa forta o un estat buit. Practica l’activador en una configuració de prova segura. Com qualsevol patró de Vaultaire, ha de connectar almenys sis punts i canviar de direcció almenys una vegada.

Prova’l

Abans que el necessitis, prova el mode de coacció en un entorn segur. Crea algunes caixes fortes de prova, designa una caixa forta de coacció i activa-la. Comprova que les altres caixes fortes ja no s’obren en aquell dispositiu. Comprova que la caixa forta de coacció s’ha obert amb normalitat. Després configura-ho de debò.

No es pot desfer

Cal dir-ho clarament: un cop s’activa el mode de coacció, no hi ha cap botó per desfer la neteja local. L’assistència de Vaultaire no pot reconstruir el teu patró ni la teva frase de recuperació. Si la còpia de seguretat xifrada d’iCloud (activada per defecte) encara estava activada i conserves la frase de recuperació, després pots restaurar una caixa forta cada vegada. Sense totes dues coses, l’estat d’accés local esborrat pot fer que no puguis recuperar la caixa forta.

Els altres índexs i les associacions de recuperació locals han desaparegut de l’estat actiu de l’app. Els seus fitxers d’emmagatzematge s’eliminen sense sobreescriptura. La sal comuna del dispositiu no és l’objectiu de la neteja, i les còpies de seguretat xifrades al núvol es conserven. Aquest límit és deliberat: treu l’accés del dispositiu coaccionat i manté per al propietari una via de recuperació controlada per la frase.

El mode de coacció està pensat per a persones que entenen aquest compromís i han decidit per endavant que prefereixen treure l’accés immediat del dispositiu actual abans que exposar la caixa forta sota coacció. Si no pots conservar amb seguretat la frase de recuperació i una còpia de seguretat xifrada, compta que la neteja local et pot fer perdre l’accés a aquella caixa forta.

El compromís és concret, no absolut. L’esborrat local comença sense confirmació, i la recuperació posterior només és possible per la via separada del núvol i la frase de recuperació. Prova la funció amb dades no sensibles abans de decidir si aquest comportament encaixa amb el teu model d’amenaces.