Tvangstilstand: Silent Local Vault Wipe

Tvangstilstand i Vaultaire giver dig mulighed for at udpege én boks som en tvangsudløser. Tegning af denne hvælvings mønster åbner den normalt, mens den fjerner ikke-tvangshvælvingsindekser og lokale gendannelsestilknytninger fra den aktuelle enhed. Eksisterende krypteret iCloud sikkerhedskopier og peer-enhedskopier efterlades bevidst uændret.

Hvad er nødtilstand?

Nødtilstand er den sidste forsvarslinje. Det er en funktion du håber aldrig at få brug for, designet til det øjeblik hvor alt andet er brudt sammen: når nogen står over dig, kræver adgang til dine private filer og du ikke har andet valg end at efterkomme.

Sådan fungerer det: Du udpeger én hvælving som dit tvangshvælving. Du fylder det med indhold, der ser troværdigt ud - et par harmløse billeder, nogle banale dokumenter. Så tildeler du det et mønster, ligesom enhver anden hvælving. I den almindelige oplåsningsgrænseflade ser og åbner den ud som en normal hvælving; filsystem og skybeviser forbliver uden for denne snævre præsentationspåstand.

Forskellen er, hvad der sker, når du tegner det mønster. Et normalt hvælvingsmønster åbner sit eget hvælving. Tvangsmønsteret gør det også, idet det viser indholdet af den udpegede hvælving på skærmen, men det udløser også en lokal sletning af indekserne og gendannelseskortlægninger, der gør de andre hvælvinger tilgængelige på den enhed.

Der vises ingen bekræftelsesdialog. Der afspilles ingen advarselslyd. Den person, der ser dig, ser en boks åbne, og dens filer vises. Hvad grænsefladen ikke annoncerer, er, at andre lokale vault-indekser er blevet slettet, lokale gendannelsestilknytninger er blevet ryddet, afventende sikkerhedskopieringsarbejde er blevet stoppet, og enheden skal bruge eksplicit sætningsbaseret gendannelse, før en slettet vault kan vende tilbage.

Sådan virker det under hætten

Det er vigtigt at forstå mekanikken, fordi tvangstilstand har en snævrere grænse end en universel sletningspåstand. Det skifter tilstand på den aktuelle enhed; det lover ikke at slette CloudKit, en anden enhed, filsystemhistorik eller beviser, der allerede er indsamlet af en angriber.

Trin 1: Du tegner nødmønsteret

Når du tegner det mønster, der er tildelt dit tvangshvælving, genkender Vaultaire det som en tvangsudløser. Appen starter to operationer samtidigt: den begynder at dekryptere og vise indholdet af den udpegede boks, og den starter lokal oprydning af indekserne og gendannelsestilknytninger for hver anden boks.

Trin 2: Lokal adgangstilstand er fjernet

Vaultaire bruger én enhed i hele Keychain salt til lokal mønsterafledning, ikke et separat salt for hver hvælving. Tvangstilstand ødelægger ikke det delte salt. I stedet rydder den den krypterede lokale gendannelsesdatabase og sletter hvert vault-indeks undtagen den udpegede vaults indeks. Fordi hvert indeks indeholder den indpakkede tilfældige hovednøgle og filkortet for den boks, fjernes den ikke-tvangshvælving fra appens anvendelige lokale tilstand.

Den krypterede blob-pulje kan forblive, fordi hvælvinger deler det lager. Uden det slettede indeks har Vaultaire intet filkort eller indpakket hovednøgle til at åbne den fjernede boks lokalt. Appen rydder også lokale gendannelseskortlægninger, så den almindelige gendannelsesskærm ikke umiddelbart kan opregne eller gendanne disse hvælvinger.

Trin 3: Cloud Recovery er bevaret, men isoleret

Eksisterende krypteret iCloud backup er bevidst bevaret som en gendannelsessti. Enheden nulstilles afventende backuparbejde og går ind i en isolationsgrænse, så den lokale sletning ikke uploades som en almindelig sletning, og skjulte hvælvinger trækkes ikke automatisk tilbage. Senere gendannelse er eksplicit, en boks ad gangen, og kræver den bokss gendannelsessætning i stedet for kun det mønster, der afsløres under tvang.

Trin 4: Nød-hvælvingen åbner normalt

Mens den lokale oprydning kører, åbnes den udpegede boks gennem den normale grænseflade. Vaultaire undertrykker analyser før start, forsøger at tilbagekalde aktive delinger, der er oprettet fra den boks, regenererer dens gendannelsessætning og rydder tvangsbetegnelsen bagefter. Appen præsenterer ingen tvangsbekræftelse eller færdiggørelsesmeddelelse, men færdiggørelsestiden afhænger af lokalt arbejde og eventuelle tilbagekaldelser af netværk; Vaultaire lover ikke en universel frist på et sekund.

Hvorfor ingen opdager det

Den umiddelbare grænseflade er designet til at undgå at annoncere Tvangstilstand til nogen, der holder øje med din skulder. Det er en nyttig præsentationsegenskab, ikke et bevis på, at enhver retsmedicinsk observatør ser identisk enhedstilstand. Filsystem artefakter, CloudKit poster, en anden synkroniseret enhed eller tidligere adgang til telefonen kan falde uden for, hvad appen kan skjule.

Ingen bekræftelsesdialog

De fleste destruktive handlinger i software kommer med en advarsel: "Er du sikker?" Nødtilstand har ingen sådan advarsel. En bekræftelsesdialog ville være en afsløring. I det øjeblik du tegner mønsteret, er handlingen udført. Du kan ikke udløse det ved et uheld, medmindre du ved et uheld tegner et specifikt, komplekst mønster på et 5×5-gitter, hvilket ikke sker ved et tilfælde.

Ingen separat forsinkelsesskærm

Appen åbner den udpegede boks, mens den udfører lokal oprydning og tilbagekaldelsesarbejde. Flowet er designet til ikke at tilføje en separat advarselsskærm, men enhedens ydeevne, vault-tilstand og netværksforhold varierer. Vaultaire hævder ikke timing-lighed, som en observatør med instrumenter aldrig kunne skelne.

Ingen meddelelse om sletning i appen

Vaultaire deaktiverer analyser før sletningen og viser ikke en meddelelse om "hvælvinger slettet". På den enhed er den bevarede boks den, der forbliver tilgængelig via appen. Dette sletter ikke beviser uden for appens nuværende lokale stat, og det bør ikke behandles som et løfte om uopdagelighed under retsmedicinsk undersøgelse.

Hvilken lokal stat er fjernet

Præcision betyder noget her. Tvangstilstand fjerner specifikke lokale strukturer, der er nødvendige for at finde og åbne ikke-tvangshvælvinger, samtidig med at delt krypteret blob-lagring og enhver krypteret bevares iCloud backup. Det er en lokal adgangstilstandssletning, ikke en påstand om, at hver fysisk kopi er blevet overskrevet.

Den krypterede gendannelsesdatabase

Den lokale gendannelsesdatabase kortlægger gendannelsessætninger og gamle mønsterfelter til vault-adgang. Tvangstilstand rydder denne database og opretter derefter en ny gendannelsespost kun for den udpegede boks. Dette fjerner lokale gendannelseskortlægninger for de andre hvælvinger uden at foregive, at Vaultaire brugte eller ødelagde et separat salt for hver enkelt.

Non-Turs Vault-indekserne

Hvert krypteret hvælvindeks indeholder dets filposter og den tilfældige hovednøgle, der er pakket ind af hvælvingens mønsterafledte nøgle. Tvangstilstand sletter hvert indeks undtagen de udpegede hvælvinger. Den PBKDF2 Algoritme og iterationsantal er offentlige implementeringsparametre; sikkerhed afhænger ikke af at slette dem.

Krypterede data

Den delte krypterede blob-pulje bevares, fordi den også indeholder den udpegede hvælvings indhold. Data, der kun tilhørte slettede indekser, kan blive utilgængelige gennem appen, men Vaultaire påstår ikke sikker fysisk overskrivning af hver flash-lagerblok. Slettede indekser eller tidligere tilstand kan også fortsætte i lagerlag uden for appens kontrol.

Hvornår man bruger nødtilstand

Tvangstilstand er designet til situationer, hvor du udsættes for fysisk tvang eller juridisk tvang og har besluttet, at fjernelse af lokal hvælvingsadgang er at foretrække frem for at afsløre den. Dette er en personlig beslutning med alvorlige konsekvenser, og Vaultaire giver dig værktøjet uden at tage beslutningen for dig.

Grænseovergange

Grænsesøgningsbeføjelser og rejsendes forpligtelser varierer efter land og omstændigheder. Tegning af tvangsmønsteret, før du afleverer din telefon, efterlader én boks tilgængelig i grænsefladen og fjerner andre lokale adgangstilstande, men det kan ikke garantere, at en eksaminator ikke finder nogen filsystemartefakter, krypterede sikkerhedskopier, peer-kopier eller tidligere beviser.

Fysisk tvang

Hvis nogen tvinger dig til at låse din telefon op under trussel, har du brug for en måde at begrænse, hvad den almindelige grænseflade afslører. Tvangstilstand lader dig tegne et mønster, der ligner samarbejde. Tvangsudøveren ser den udpegede hvælving åben, mens grænsefladen ikke annoncerer den samtidige lokale oprydning af andre hvælv-adgangstilstande.

Beslaglæggelse af enhed

Hvis du har grund til at tro, at din enhed vil blive konfiskeret, kan tvangstilstand fjerne ikke-tvangshvælvingsadgang fra den aktuelle appinstallation før overdragelse. Det kan ikke garantere, at en retsmedicinsk analytiker ikke har noget at undersøge, især hvis enheden allerede var kompromitteret, eller der findes andre kopier og systemartefakter.

Journalister og killebeskyttelse

Journalister der arbejder i fjendtlige miljøer, aktivister under overvågning og alle hvis data kunne bringe dem selv eller andre i fare. Nødtilstand forvandler et sårbarhedsøjeblik til et beskyttelsesøjeblik.

Opsætning af nød-hvælvingen

Konfiguration af nødtilstand tager cirka to minutter. At gøre det godt og troværdigt kræver lidt mere overvejelse.

Udpeg hvælvingen

I Vaultaires indstillinger markerer du én hvælving som nød-hvælving. Den hvælving åbner, når nødmønsteret tegnes, så den skal indeholde indhold der ser ægte ud og opfylder en observers forventninger. En tom hvælving er mistænkelig. En hvælving med åbenlyst falsk indhold er mistænkelig. En hvælving med et par normaludseende personlige fotos er ideel.

Fyld den med troværdigt indhold

Læg indhold i nød-hvælvingen som nogen ville forvente i et privat arkiv: nogle personlige fotos, måske et dokumentscan, nogle filer der ser tilstrækkeligt private ud til at blive låst inde, men uskyldige nok til at bestå kontrol. Målet er ikke at narre en retsteknisk undersøgelse, men at tilfredsstille personen der står foran dig i det øjeblik.

Vælg et naturligt mønster

Tvangsmønsteret skal være noget, du kan tegne under stress, hurtigt og uden tøven. Hvis du tegner et andet gyldigt mønster, kan du i stedet åbne en anden hvælving eller en tom tilstand. Øv udløseren i en sikker testopsætning. Som ethvert Vaultaire-mønster skal det forbinde mindst seks prikker og lave mindst to retningsændringer.

Test det

Inden du får brug for det, test nødtilstand i et sikkert miljø. Opret test-hvælvinger, markér nød-hvælvingen og aktivér den. Bekræft at de andre hvælvinger forsvandt. Bekræft at nød-hvælvingen åbnede normalt. Derefter opsæt det igen med rigtigt indhold.

Kan ikke fortrydes

Dette skal siges klart: Når tvangstilstanden udløses, er der ingen fortryd-knap til den lokale sletning. Vaultaire-support kan ikke rekonstruere dit mønster eller din gendannelsessætning. Hvis du har aktiveret krypteret iCloud backup på forhånd og beholdt gendannelsessætningen, kan du senere gendanne en boks ad gangen. Uden begge dele kan den slettede lokale adgangstilstand gøre dig ude af stand til at gendanne boksen.

De andre indekser og lokale gendannelsestilknytninger er væk fra den aktive app-tilstand. Den enhedsdækkende salt- og delte krypterede blob-pulje er ikke udslettemålet, og krypterede cloud-backups bevares. Denne grænse er bevidst: den fjerner adgang fra den tvungne enhed, mens den bevarer en sætningsstyret gendannelsessti for ejeren.

Tvangstilstand er designet til folk, der forstår denne afvejning og på forhånd har besluttet, at de hellere vil fjerne øjeblikkelig adgang fra den aktuelle enhed end at udsætte hvælvingen under tvang. Hvis du ikke sikkert kan beholde gendannelsessætningen og en krypteret sikkerhedskopi, skal du antage, at den lokale sletning kan koste dig adgang til den boks.

Afvejningen er specifik snarere end absolut. Lokal sletning begynder uden bekræftelse, mens senere gendannelse kun er mulig gennem den separate sky- og gendannelsessætningssti. Test funktionen med ikke-følsomme data, før du beslutter, om den adfærd matcher din trusselmodel.