Šifrování vzorem: Jak nakreslený tvar chrání vaše soubory

Vaultaire serializuje tvar nakreslený na mřížce 5×5 a zpracovává jej pomocí PBKDF2-HMAC-SHA512, 600 000 iterací a sůl pro celé zařízení uložená v iOS Keychain. 256bitový výsledek je klíč úschovny: zašifruje index úschovny a rozbalí samostatný náhodný hlavní klíč, který AES-256-GCM používá pro obsah souboru a metadata.

Co je šifrování vzorem?

Většina archivních aplikací se skrývá za PINem nebo heslem. Zadáte čtyři číslice a fotografie se zobrazí. Zní to bezpečně, že?

Zde je problém: čtyřmístný PIN má přesně 10 000 možných kombinací. Počítač je může vyzkoušet všechny za méně než sekundu. Šest číslic? Milion kombinací. Pro moderní hardware stále triviálně rychlé. Dokonce osmiznaké heslo, pokud používá pouze malá písmena, nabízí přibližně 200 miliard možností. To zní jako hodně, dokud se nedozvíte, že standardní notebook dokáže testovat miliardy hashů hesel za sekundu.

Šifrování vzorů má zásadně odlišný přístup. Místo psaní znaků do rámečku nakreslíte geometrický tvar přes mřížku teček. Konkrétní cesta, kterou trasujete – kterých teček se dotýkáte, v jakém pořadí a jakou geometrií – se stává vstupem do funkce odvozování klíče na základě hesla. Výsledek není pouze kontrolován rozhraním: musí odemknout ověřený zašifrovaný index a náhodný hlavní klíč v něm.

Na rozlišení záleží. Když do některých aplikací zadáte PIN, aplikace pouze zkontroluje, zda jste zadali správné číslo. Pokud jste to udělali, otevře se, i když soubory mohou být chráněny hlavně řízením přístupu. Místo toho do Vaultaire vloží nakreslený vzor PBKDF2 k odvození 256bitového klíče trezoru. Tento klíč musí ověřit a dešifrovat index úschovny, než bude moci rozbalit náhodný hlavní klíč používaný u souborů. Nerozpoznaný vzor je prezentován jako prázdný trezor, ale základní AES-GCM autentizace stále rozlišuje správný klíč od nesprávného.

Jak to funguje krok za krokem

Zde je popsáno, co se děje od okamžiku, kdy se váš prst dotkne obrazovky, do chvíle, kdy se vaše soubory stanou nečitelnými pro všechny ostatní.

Krok 1: Nakreslíte vzor

Vaultaire představuje mřížku 5×5 bodů. Nakreslíte souvislou cestu spojující alespoň 6 bodů s alespoň dvěma změnami směru. Aplikace přesně zaznamenává, které body jste navštívili a v jakém pořadí. Tato sekvence je vaším vzorem.

Na rozdíl od mřížek 3×3 běžně používaných pro zamykací obrazovky Androidu používá Vaultaire mřížku 5×5. Toto není kosmetická volba. Dvacet pět pozic umožňuje mnohem více cest, křížení, přeskočení a změn směru než devět pozic. Větší teoretický prostor pomáhá, ale skutečné zabezpečení stále závisí na nepředvídatelnosti zvolené cesty. Známé písmeno nebo jednoduchý tvar zůstává uhodnutelný, i když mřížka může vyjadřovat miliardy alternativ.

Krok 2: Vzor odvozuje klíč trezoru

Váš nakreslený vzor je serializován s velikostí mřížky a vložen do PBKDF2 (Funkce odvození klíče na základě hesla 2) s HMAC-SHA512, 600 000 iterací a náhodná sůl pro celé zařízení. Sůl je veřejná hodnota uložená v iOS Keychain jako položka WhenUnlockedThisDeviceOnly. Díky tomu je místní derivační zařízení vázáno; není jedinečný pro každou klenbu a nepřidává entropii k člověkem zvolenému vzoru.

Proces odvození klíče je záměrně nákladný. PBKDF2 běží 600 000 HMAC-SHA512 iterací pro každý kandidátský vzor, což zvyšuje náklady na hádání útoku. Tím se vzor s nízkou entropií nemění na 256bitové zabezpečení a doba útoku závisí na hardwaru útočníka. Jeho účel je užší a měřitelný: každý odhad je podstatně dražší než jednoduchý hash.

Krok 3: Vaše soubory jsou zašifrovány

Při prvním vytvoření trezoru Vaultaire vygeneruje náhodný 256bitový hlavní klíč. Klíč úschovny odvozený ze vzoru zašifruje index a obalí tento hlavní klíč; nešifruje přímo každý soubor. Hlavní klíč se používá s AES-256-GCM pro záhlaví souborů, obsah, miniatury a související metadata. Čerstvé nonces zajišťují, že opakovaný otevřený text nevytváří opakovaný šifrovaný text pod stejným klíčem.

Režim GCM přidává důležitou vrstvu: autentizaci. Nejenže zamíchá vaše data, ale také generuje značku, která detekuje jakékoli manipulace. Pokud je modifikován jediný bit zašifrovaného souboru, dešifrování selže. Nikdo nemůže manipulovat s vašimi soubory, aniž byste o tom věděli.

Krok 4: Stav aktivního klíče je vymazán

Když se Vaultaire uzamkne, vymaže svůj aktivní trezor a stav hlavního klíče a před opětovným zobrazením souborů vyžaduje další obřad odemknutí. Zatímco je trezor otevřený, tyto bajty symetrického klíče nutně existují v procesu aplikace CryptoKit může provádět AES-GCM operace. Vaultaire také uchovává informace o obnově, včetně vzoru a obálky pro obnovu zašifrované frází, uvnitř AES-GCM šifrovaná databáze uložená v iOS Keychain. To se podstatně liší od tvrzení, že vzor a každá kopie klíče nejsou nikde uloženy.

Matematika za tím (v běžné řeči)

Nepotřebujete titul z informatiky, abyste pochopili, proč to funguje. Bezpečnost spočívá ve třech číslech: kolik vzorů je možných, jak dlouho trvá každý pokus a kolik pokusů může útočník provést.

Entropie: míra nepředvídatelnosti

Entropie je jiné slovo pro “jak těžké je to uhodnout.” Hod mincí má 1 bit entropie (dva výsledky). Čtyřmístný PIN má přibližně 13 bitů entropie (10 000 výsledků). Dobře zvolený vzor na mřížce 5×5 spojující 8 nebo více bodů může překročit 30 bitů entropie, tedy více než miliardu možných vzorů.

Entropie vzoru nastavuje strop pro útok hádání. PBKDF2 nemůže vytvořit entropii, kterou gesto neobsahuje, ale může to každého kandidáta značně prodražit na testování.

Odvozování klíče: drahé pokusy

PBKDF2 vezme serializovaný vzor a provede 600 000 kol HMAC-SHA512. Odhady útoku musí používat naměřené náklady na hardware provádějící hádání: přesně 1 ms na kompletního kandidáta by 1 000 000 000 kandidátů trvalo 1 000 000 s, neboli asi 11,6 dne, na 1 pracovníka. Pomalejší měřené náklady kandidáta tuto dobu prodlužují; paralelní hardware to snižuje. 256bitová výstupní délka nemění velikost prostoru pro vyhledávání vzorů.

Sůl pro celé zařízení je uložena v Keychain a není navržen tak, aby byl tajný. Keychain a iOS Ochrana dat může ztížit extrakci ve scénáři zabavení zařízení, ale kryptografická analýza musí předpokládat, že zkoušející, který získá zašifrované soubory, může také získat sůl. Sůl zabraňuje předběžnému výpočtu napříč zařízeními; není to náhrada za silný vzor.

AES-256: standard, kterému věří vlády

AES-256 je šifrovací standard používaný vládou USA pro utajované informace. Číslo “256” označuje délku klíče v bitech. 256bitový klíč má 2²⁵⁶ možných hodnot, číslo tak velké, že i kdyby každý atom v pozorovatelném vesmíru byl počítačem a každý počítač testoval bilion klíčů za sekundu, prolomení by netrvalo do tepelné smrti vesmíru.

Bezpečnost AES-256 nezávisí na utajení algoritmu. Celý systém však není chráněn pouze prostorem klíče AES: praktická hranice hádání pochází z entropie vzoru, PBKDF2 pracovní faktor a ochranu kolem soli zařízení a šifrovaného úložiště. AES-256-GCM poskytuje silné ověřené šifrování, jakmile byl odemčen správný náhodný hlavní klíč.

Proč to nikdo neprolomí

Pojďme se podívat na hlavní způsoby, jak se někdo může pokusit získat přístup k vašim zašifrovaným souborům, co dělá Vaultaire pro zvýšení nákladů a kde zůstávají limity.

Hrubá síla: zkoušení každého vzoru

PBKDF2 každý kandidát na vzor zaplatí 600 000 HMAC-SHA512 iterací. To je smysluplná obrana, ale ne příslib pevného počtu let: výsledek závisí na volbě vzoru, naměřené rychlosti derivace, paralelismu a na tom, zda zkoušející znovu získal sůl zařízení. Na delších, méně předvídatelných cestách záleží, protože PBKDF2 zvyšuje odhadované náklady spíše než vytváření nové entropie.

Útok šmouhami: čtení vaší obrazovky

Na mřížce 3×3 mohou šmouhy na obrazovce výrazně zúžit možné vzory. Na mřížce 5×5 vzor šmouh odhalí, které body byly dotčeny, ale ne pořadí, směr ani spojení mezi nimi. Kombinatorická exploze tento přístup činí nepraktickým.

Sledování přes rameno: pozorování kreslení

Vzory kreslené rychle na malé obrazovce telefonu je velmi obtížné zapamatovat si pouhým pozorováním, zvláště na mřížce 5×5. Výzkum ukazuje, že pozorovatelé mají mnohem větší potíže s napodobením složitých vzorů ve srovnání s odposlechnutím PINu nebo hesla vysloveného nahlas.

Zabavení zařízení: vzít váš telefon

Pokud vám někdo vezme telefon, obsah souborů a indexy Vaultaire zůstanou AES-GCM šifrovaný text, dokud nebudou k dispozici požadované klíče. Aplikace neukládá konvenční záznam pro ověření hesla, ale to neodstraní offline ověření. Název souboru každého zašifrovaného indexu úschovny obsahuje zkrácený hash klíče úschovny a AES-GCM ověřené dešifrování je také úspěšné nebo se nezdaří pro kandidátský klíč. Ochrana zařízení a síla vzoru proto zůstávají součástí modelu hrozby.

Volba silného vzoru

Šifrování je jen tak silné jako váš vzor. Zde je návod, jak maximalizovat bezpečnost s minimálním úsilím.

Co dělá vzor silným

• Používejte více bodů. Spojte alespoň 8 z 25 dostupných bodů. Každý další bod násobí počet možných vzorů.
• Křižte vlastní cestu. Vzory, které se vracejí zpět, přeskakují body nebo neočekávaně mění směr, jsou mnohem těžší reprodukovat z paměti nebo pozorování.
• Vyhněte se zjevným tvarům. Písmena (L, Z, S), jednoduché geometrické tvary (čtverce, trojúhelníky) a přímé linie jsou prvními věcmi, které by útočník vyzkoušel.
• Využijte celou mřížku. Vzory zůstávající v jednom rohu nebo podél jednoho okraje plýtvají dostupnou entropií. Rozložte se.

Čemu se vyhnout

• Vzory s minimální délkou. Vaultaire vyžaduje alespoň 6 teček a dvě změny směru, ale splnění minima nečiní cestu nepředvídatelnou. Použijte více mřížky, když si výsledek spolehlivě zapamatujete.
• Jednoduché geometrické tvary. Tvar L, klikatá čára nebo přímá úhlopříčka jsou vzorové ekvivalenty hesla “heslo123”.
• Vždy začínat ze stejného rohu. Výzkum vzorů Android ukazuje, že většina lidí začíná od levého horního bodu. Útočníci to vědí.

Zlatý střed

Vzor spojující 8 až 12 bodů s alespoň dvěma změnami směru poskytuje vynikající bezpečnost a zároveň si ho snadno zapamatujete prostřednictvím svalové paměti. Nemusíte si ho pamatovat jako heslo: vaše ruka si pamatuje pohyb, stejně jako si pamatuje, jak psat váš podpis.

Proč se můžete cítit bezpečně

Šifrování vzorů ve Vaultaire není jen hezčí podložka PIN. Gesto je zpracováno funkcí skutečného odvození klíče a musí odemknout ověřená zašifrovaná data. Jeho síla stále závisí na gestu, které zvolíte, takže Vaultaire kombinuje větší mřížku s vysokou PBKDF2 pracovní faktor místo prezentace 256bitové výstupní délky jako 256 bitů lidské tajné entropie.

Váš vzor a klíč místního trezoru se neodesílají do Vaultaire. Pokud je povoleno volitelné zálohování, šifruje se samostatný klíč zálohy odvozený ze vzoru CloudKit záznamy a zašifrovaný manifest obnovy umožňuje frázi pro obnovu obnovit klíče úschovny a zálohy. Vaultaire neuchovává klíč poskytovatele, který tyto záznamy dešifruje, ale zařízení a přihlašovací údaje pro obnovení zůstávají kritickými součástmi návrhu pro zabezpečení.

Nakreslíte tvar. Ten tvar chrání vaše soubory. Matematika udělá zbytek.