Nátlakový režim: Tiché vymazání místního trezoru

Režim nátlaku ve Vaultaire vám umožňuje určit jeden trezor jako spouštěč donucení. Nakreslením vzoru tohoto vaultu se normálně otevře a zároveň odstraní nenátlakové indexy trezoru a místní mapování obnovy z aktuálního zařízení. Stávající zašifrované iCloud zálohy a kopie rovnocenných zařízení jsou záměrně ponechány beze změny.

Co je režim nátlaku?

Režim nátlaku je poslední obranná linie. Je to funkce, o které doufáte, že ji nikdy nebudete potřebovat, navržená pro okamžik, kdy vše ostatní selhalo: kdy někdo stojí nad vámi, požaduje přístup k vašim soukromým souborům a vy nemáte jinou možnost než vyhovět.

Funguje to takto: určíte jeden trezor jako svůj nátlakový trezor. Naplníte ho obsahem, který vypadá věrohodně – pár neškodných fotek, nějaké všední dokumenty. Poté mu přiřadíte vzor, ​​stejně jako každému jinému trezoru. V běžném odemykacím rozhraní vypadá a otevírá se jako normální trezor; Důkazy o souborovém systému a cloudu zůstávají mimo toto úzké prezentační tvrzení.

Rozdíl je v tom, co se stane, když tento vzor nakreslíte. Normální vzor trezoru otevírá svůj vlastní trezor. Vzor nátlaku to také dělá, zobrazuje obsah určeného trezoru na obrazovce, ale také spouští místní vymazání indexů a mapování obnovy, které zpřístupňují ostatní trezory na tomto zařízení.

Nezobrazí se žádný dialog pro potvrzení. Nehraje se žádný varovný zvuk. Osoba, která vás sleduje, vidí otevřený trezor a jeho soubory. Co rozhraní neoznamuje, je, že byly odstraněny další místní indexy vaultu, byla vymazána mapování místní obnovy, byla zastavena čekající zálohovací práce a zařízení musí použít explicitní obnovení na základě fráze, než se bude moci vrátit vymazaný vault.

Jak to funguje pod pokličkou

Na pochopení mechaniky záleží, protože režim Duress má užší hranici než univerzální nárok na vymazání. Změní stav na aktuálním zařízení; neslibuje vymazání CloudKit, jiné zařízení, historii souborového systému nebo důkazy, které již útočník shromáždil.

Krok 1: Nakreslíte vzor nátlaku

Když nakreslíte vzor přiřazený k vašemu nátlakovému trezoru, Vaultaire jej rozpozná jako spouštěč nátlaku. Aplikace zahájí dvě operace současně: spustí dešifrování a zobrazení obsahu určeného trezoru a zahájí místní čištění indexů a mapování obnovy pro každý druhý trezor.

Krok 2: Stav místního přístupu je odstraněn

Vaultaire používá jedno zařízení pro celé zařízení Keychain sůl pro místní odvození vzoru, nikoli samostatná sůl pro každou klenbu. Režim Duress nezničí sdílenou sůl. Místo toho vymaže šifrovanou místní databázi obnovení a odstraní všechny indexy úložiště kromě indexu určeného úložiště. Protože každý index obsahuje zalomený náhodný hlavní klíč a mapu souborů pro daný trezor, jeho odstraněním se trezor bez nátlaku dostane z použitelného místního stavu aplikace.

Šifrovaný fond objektů blob může zůstat, protože úložiště sdílejí toto úložiště. Bez odstraněného indexu nemá Vaultaire žádnou mapu souboru ani zabalený hlavní klíč, pomocí kterého by bylo možné odstraněný vault lokálně otevřít. Aplikace také vymaže místní mapování obnovy, takže běžná obrazovka obnovy nemůže okamžitě vyjmenovat nebo obnovit tyto trezory.

Krok 3: Cloud Recovery je zachován, ale izolovaný

Stávající zašifrované iCloud záloha je záměrně zachována jako cesta obnovy. Zařízení se resetuje čekající na zálohování a vstoupí do hranice izolace, takže místní vymazání není nahráno jako běžné smazání a skryté vaulty nejsou automaticky staženy. Pozdější obnova je explicitní, jeden vault po druhém, a vyžaduje frázi obnovy tohoto vaultu, nikoli pouze vzor zveřejněný pod nátlakem.

Krok 4: Trezor nátlaku se otevře normálně

Zatímco probíhá místní čištění, určený trezor se otevře přes normální rozhraní. Vaultaire před spuštěním potlačí analýzu, pokusí se zrušit aktivní sdílené položky vytvořené z tohoto vaultu, obnoví jeho frázi pro obnovení a následně vymaže označení pod nátlakem. Aplikace nepředstavuje žádné nátlakové potvrzení nebo zprávu o dokončení, ale doba dokončení závisí na místní práci a případných síťových odvoláních; Vaultaire neslibuje univerzální subsekundový termín.

Proč to nikdo nepozná

Okamžité rozhraní je navrženo tak, aby se zabránilo oznamování režimu nátlaku někomu, kdo vás sleduje přes rameno. To je užitečná prezentační vlastnost, nikoli důkaz, že každý forenzní pozorovatel vidí stejný stav zařízení. Artefakty souborového systému, CloudKit záznamy, jiné synchronizované zařízení nebo předchozí přístup k telefonu mohou spadat mimo to, co může aplikace skrýt.

Žádný potvrzovací dialog

Většina destruktivních akcí v softwaru přichází s varováním: "Jste si jistý?" Režim nátlaku takové varování nemá. Potvrzovací dialog by byl prozrazením. V okamžiku, kdy nakreslíte vzor, je akce provedena. Nemůžete ho spustit náhodně, pokud náhodně nenakreslíte specifický, složitý vzor na mřížce 5×5, což se nestane náhodou.

Žádná samostatná obrazovka zpoždění

Aplikace otevře určený trezor, zatímco provádí místní čištění a práci se zrušením sdílení. Tok je navržen tak, aby nepřidal samostatnou obrazovku s varováním, ale liší se výkon zařízení, stav trezoru a podmínky sítě. Vaultaire si nenárokuje časovou rovnost, kterou by pozorovatel s přístroji nikdy nedokázal rozlišit.

Žádné upozornění na vymazání v aplikaci

Vaultaire deaktivuje analýzu před vymazáním a nezobrazuje oznámení „smazané trezory“. Na tomto zařízení je uložený trezor ten, který zůstává přístupný prostřednictvím aplikace. To nevymaže důkazy mimo aktuální místní stav aplikace a nemělo by to být považováno za příslib nezjistitelnosti při forenzním zkoumání.

Jaký místní stát je odstraněn

Tady záleží na přesnosti. Nátlakový režim odstraňuje specifické místní struktury potřebné k nalezení a otevření nenátlakových trezorů, přičemž zachovává sdílené šifrované úložiště objektů blob a veškeré šifrované iCloud zálohování. Jde o místní vymazání stavu přístupu, nikoli tvrzení, že každá fyzická kopie byla přepsána.

Databáze šifrované obnovy

Lokální obnovovací databáze mapuje obnovovací fráze a starší pole vzorů na přístup k trezoru. Nátlakový režim vymaže tuto databázi a poté vytvoří novou položku obnovy pouze pro určený trezor. Tím se odstraní místní mapování obnovy pro ostatní vaulty, aniž by se předstíralo, že Vaultaire použil nebo zničil samostatnou sůl pro každý z nich.

Indexy trezoru bez nátlaku

Každý zašifrovaný index úložiště obsahuje záznamy o svých souborech a náhodný hlavní klíč zabalený do klíče odvozeného ze vzoru úložiště. Nátlakový režim smaže všechny indexy kromě určených vaultů. The PBKDF2 algoritmus a počet iterací jsou veřejné implementační parametry; bezpečnost nezávisí na jejich vymazání.

Zašifrovaná data

Sdílený šifrovaný fond objektů blob je zachován, protože obsahuje také obsah určeného úložiště. Data, která patřila pouze smazaným indexům, se mohou prostřednictvím aplikace stát nedostupnými, ale Vaultaire nenárokuje bezpečné fyzické přepsání každého bloku flash úložiště. Smazané indexy nebo předchozí stav mohou také přetrvávat ve vrstvách úložiště mimo kontrolu aplikace.

Kdy použít režim nátlaku

Režim nátlaku je navržen pro situace, kdy čelíte fyzickému nátlaku nebo právnímu nátlaku a rozhodli jste se, že je lepší odstranit přístup k místnímu trezoru než jej odhalit. Toto je osobní rozhodnutí se závažnými důsledky a Vaultaire vám poskytuje nástroj, aniž by rozhodoval za vás.

Hraniční přechody

Pravomoci prohledávání hranic a povinnosti cestujících se liší podle země a okolností. Nakreslení nátlakového vzoru před předáním telefonu ponechává jeden trezor přístupný v rozhraní a odstraňuje další stav místního přístupu, ale nemůže zaručit, že zkoušející nenajde žádné artefakty souborového systému, šifrované zálohy, kopie kolegů nebo předchozí důkazy.

Fyzický nátlak

Pokud vás někdo pod hrozbou nutí odemykat telefon, potřebujete způsob, jak omezit to, co prozrazuje běžné rozhraní. Režim nátlaku vám umožní nakreslit vzor, ​​který vypadá jako spolupráce. Koercer vidí určený trezor otevřený, zatímco rozhraní neoznámí současné místní vyčištění jiného stavu přístupu k trezoru.

Zabavení zařízení

Pokud máte důvod se domnívat, že vaše zařízení bude zabaveno, nátlakový režim může z aktuální instalace aplikace před předáním odebrat nenátlakový přístup k trezoru. Nemůže zaručit, že forenzní analytik nemá co zkoumat, zvláště pokud již bylo zařízení kompromitováno nebo existují jiné kopie a systémové artefakty.

Ochrana novinářů a zdrojů

Novináři pracující v nepřátelském prostředí, aktivisté působící pod dohledem a kdokoliv, jehož data by mohla ohrozit je samotné nebo ostatní. Režim nátlaku proměňuje okamžik zranitelnosti v okamžik ochrany.

Nastavení trezoru nátlaku

Konfigurace režimu nátlaku trvá přibližně dvě minuty. Udělat to dobře a přesvědčivě vyžaduje trochu více přemýšlení.

Určete trezor

V nastavení Vaultaire označíte jeden trezor jako trezor nátlaku. Tento trezor se otevře při nakreslení vzoru nátlaku, takže musí obsahovat obsah, který vypadá skutečně a splní očekávání pozorovatele. Prázdný trezor je podezřelý. Trezor s zjevně falešným obsahem je podezřelý. Trezor s hrstkou normálně vypadajících osobních fotek je ideální.

Naplňte ho věrohodným obsahem

Vložte do trezoru nátlaku obsah, který by někdo očekával v soukromém trezoru: několik osobních fotek, možná sken dokumentu, nějaké soubory, které vypadají dostatečně soukromě pro uzamčení, ale nevinně pro obstání při kontrole. Cílem není oklamat forenzní vyšetřování, ale uspokojit osobu stojící před vámi v daný okamžik.

Zvolte přirozený vzor

Vzor nátlaku by měl být něco, co můžete nakreslit ve stresu, rychle a bez váhání. Pokud nakreslíte jiný platný vzor, ​​můžete místo něj otevřít jiný trezor nebo prázdný stav. Procvičte si spoušť v bezpečném testovacím nastavení. Jako každý vzor Vaultaire musí spojovat alespoň šest bodů a provést alespoň dvě změny směru.

Otestujte ho

Než ho budete potřebovat, otestujte režim nátlaku v bezpečném prostředí. Vytvořte testovací trezory, označte trezor nátlaku a spusťte ho. Ověřte, že ostatní trezory zmizely. Ověřte, že se trezor nátlaku otevřel normálně. Pak vše nastavte naostro.

Nelze vrátit

To je třeba říci jasně: jakmile se spustí režim nátlaku, neexistuje žádné tlačítko zpět pro místní vymazání. Podpora Vaultaire nemůže rekonstruovat váš vzor nebo frázi pro obnovení. Pokud jste povolili šifrování iCloud zálohovat předem a zachovat frázi pro obnovení, můžete později obnovit jeden vault najednou. Bez obou může stav odstraněného místního přístupu způsobit, že nebudete moci úložiště obnovit.

Ostatní indexy a místní mapování obnovy jsou pryč z aktivního stavu aplikace. Sůl pro celé zařízení a sdílený šifrovaný fond objektů blob nejsou cílem vymazání a šifrované cloudové zálohy jsou zachovány. Tato hranice je záměrná: odstraňuje přístup z vynuceného zařízení a zároveň ponechává vlastníkovi cestu obnovení řízenou frází.

Režim Duress je navržen pro lidi, kteří chápou tento kompromis a předem se rozhodli, že raději odeberou okamžitý přístup z aktuálního zařízení, než aby vystavili trezor pod nátlakem. Pokud nemůžete bezpečně zachovat frázi pro obnovení a šifrovanou zálohu, předpokládejte, že vás místní vymazání může stát přístup k tomuto trezoru.

Kompromis je spíše konkrétní než absolutní. Místní mazání začíná bez potvrzení, zatímco pozdější obnovení je možné pouze prostřednictvím samostatného cloudu a cesty fáze obnovení. Než se rozhodnete, zda toto chování odpovídá vašemu modelu hrozby, otestujte funkci s necitlivými daty.