Salainen fraasi: Holvisi palautuselinlinja

Vaultaire luo mukautetun, joka sisältää 9 erillisen sanan palautuslauseen 12 tai 24 sanan sijaan BIP-39 muistomerkki. PBKDF2-HMAC-SHA512 käsittelee normalisoidun lauseen 800 000 iteraatiolle palautusavaimen johtamiseksi. Tämä avain avaa AES-GCM salattu kirjekuori, joka sisältää varaston avaimen paikallisesti tai varaston avaimen ja vara-avaimen salattua iCloud varmuuskopio.

Mikä on salainen fraasi?

Jokaisella Vaultaire-holvilla on kerrostettu avainhierarkia. Mallisi johtaa varastoavaimen, joka avaa salatun indeksin lukituksen, ja indeksi sisältää käärityn satunnaisen pääavaimen, jota käytetään tiedostojen salaukseen. Mutta mitä tapahtuu, jos unohdat mallisi? Mitä jos kuukausia kuluu ja lihasmuisti haalistuu? Ilman erillistä palautuspolkua holvin avain pysyisi ulottumattomissa.

Siellä salainen lause tulee esiin. Kun luot uuden varaston, Vaultaire luo kieliopillisen lauseen, joka sisältää yhdeksän tavallista englanninkielistä sanaa – sanoja, jotka on valittu useista roolikohtaisista luetteloista kryptografisesti suojatun satunnaisuuden avulla. Tämä on mukautettu palautusmuoto, ei BIP-39. Sanat eivät koodaa kuviosta johdettua holviavainta. Sen sijaan normalisoidusta lauseesta tulee syöte PBKDF2, ja tuloksena oleva palautusavain purkaa kirjekuoren, joka sisältää varaston avaimen.

Ajattele asiaa näin: kuvio ja palautuslause ovat kaksi tunnistetietoa, jotka voivat avata eri kääreitä saman holvin käyttömateriaalin ympärille. Malli on tunniste, jota käytät joka päivä. Palautuslause avaa hätäkuoren, jonka säilytät sitä päivää varten, jolloin lihasmuisti pettää tai uuden laitteen on löydettävä salattu varmuuskopio.

Kuinka salainen fraasi toimii

Salainen lause on erillinen valtakirja ja siksi erillinen tapa hyökätä holviin tai palauttaa sitä. Se ei ole toinen esitys kuviosta johdetusta avaimesta. Lause saa oman 256-bittisen palautusavaimensa, ja tämä avain todentaa ja purkaa pienen kirjekuoren, joka sisältää holvin avaimen. Tämä erottelu antaa lauseen pysyä kannettavana, kun taas normaali paikallinen holvin avain pysyy sidottuna laitteen avaimeen Keychain suolaa.

Luonti

Kun luot varaston, Vaultaire valitsee sanat kryptografisesti turvallisesti satunnaisesti ja sijoittaa ne yhteen useista kielioppimalleista. Luotu lause sisältää tavallisesti 9 erillistä sanaa, ja sovelluksen ilmaisuvoimakkuuden estimaattori tarkistaa sen. Voit myös toimittaa mukautetun lauseen, jossa on vähintään 6 erillistä sanaa, jos se läpäisee vahvistuksen. Lause on normalisoitu, prosessoitu 800 000:een PBKDF2-HMAC-SHA512 iteraatioita ja käytetään kannettavan palautuskirjekuoren salaamiseen.

Näyttäminen

Vaultaire näyttää lauseen holvin luomisen aikana ja pyytää sinua vahvistamaan, että olet tallentanut sen. Se myös tallentaa lauseen an AES-GCM salattu palautustietokanta iOS Keychain joten lause voidaan näyttää myöhemmin kyseisen varaston asetuksista ja käyttää salatun palautusluettelon julkaisemiseen, kun iCloud varmuuskopiointi on käytössä. Vaultaire ei saa ilmausta yrityksen palvelimelle tai sisällytä sitä analytiikkaan.

Palautus

Jos unohdat kuviosi, avaat Vaultairen ja valitset palautusvaihtoehdon. Alkuperäisessä laitteessa salattu palautustietokanta yhdistää lauseen kirjekuoreen. Salatulle iCloud palauttaa, deterministinen paikannus löytää lausekohtaisen palautusluettelon. Kummassakin tapauksessa AES-GCM todennettu salauksenpurku varmistaa lauseesta johdetun avaimen ennen varaston käyttömateriaalin julkaisemista. Voit sitten avata holvin ja asettaa uuden kuvion.

Miksi salainen fraasi on olemassa

Vaultairella ei ole tilipalvelua, joka vastaanottaisi kuviosi, palautuslauseesi, varastoavaimesi, varaavaimesi tai luettavissa olevan varaston sisällön. Salatut varmuuskopiot ovat yksityisessä käytössäsi CloudKit tietokanta, eikä Vaultairella ole erillistä palveluntarjoajan palautusavainta. Tämä poistaa yrityksen käyttämän salasanan palautuspolun: tuki ei voi korvata kadonnutta kuviota tai lausetta tilin tunnistetiedoilla.

Salainen lause on Vaultairen vastaus tähän kompromissiin. Se antaa sinulle ihmisen luettavissa olevan valtuustiedot holvin käyttömateriaalin salattuun kopioon antamatta Vaultairelle palveluntarjoajan hallussa olevaa salauksenpurkuavainta. Lause on tallennettu paikallisesti suojattuun tilaan Keychain tietoja ja niitä tulee myös säilyttää hallitsemassasi paikassa. Jos kuviosi tai käyttökelpoinen kopio lauseesta ei ole jäljellä, Vaultaire ei voi nollata salausta yritystililtä.

Kuviot ovat tehokkaita ja intuitiivisia, mutta ne perustuvat lihasmuistiin. Elämä häiritsee. Et ehkä avaa holvia kuuteen kuukauteen. Saatat vaihtaa puhelimia ja menettää eleen fyysisen tuttuuden. Sinulla saattaa olla lääketieteellinen tilanne, joka vaikuttaa hienomotoriikkaasi. Salainen fraasi varmistaa, ettei mikään näistä tilanteista tarkoita datasi pysyvää menettämistä.

Salaisen fraasin turvallisuus

Salainen lause on yksi arkaluontoisimmista holviin liittyvistä tunnistetiedoista. Kaikki, joilla on ilmaus ja vastaavat paikalliset palautustiedot tai salattuja iCloud varmuuskopiointi saattaa pystyä palauttamaan varaston avaimet ja pääsemään tietoihisi. Siksi Vaultaire pitää paikallisen kopion sisällään salattuna Keychain tallennustila – ja miksi sinun pitäisi suojata tekemäsi kopiot.

Näkyy luomisessa ja käytettävissä asetuksissa

Vaultaire näyttää lauseen holvin luomisen aikana, jotta voit tehdä itsenäisen kopion. Sovellus voi myös ladata ja näyttää tallennetun lauseen avoimen holvin asetuksista. Tämä mukavuus muuttaa uhkamallin: joku, joka voi avata holvin lukituksen ja päästä sen asetuksiin, saattaa pystyä lukemaan lauseen, joten iPhone pääsykoodi, Vaultaire-kuvio ja laitteen fyysinen ohjaus ovat edelleen tärkeitä.

Salattu paikallisesti, ei lähetetty Vaultaireen

Lause tallennetaan salattuun palautustietokantaan, joka on tallennettu nimellä WhenUnlockedThisDeviceOnly Keychain kohde. Erillinen satunnainen Keychain avain suojaa tietokantaa AES-GCM. Kun se on salattu iCloud varmuuskopiointi on käytössä, Vaultaire lataa deterministisen lauseen paikantimen ja an AES-GCM salattu palautusluettelo; selkeää tekstiä ei sijoiteta kyseiseen tietueeseen. Lause on suljettu pois analytiikasta, eikä Vaultaire saa sitä.

Ei palautusta ilman sitä

Jos kadotat sekä mallisi että jokaisen käyttökelpoisen salaisen lauseen kopion, Vaultairella ei ole tilin palautusta tai palveluntarjoajan hallussa olevaa avainta, joka voi purkaa holvin salauksen puolestasi. Se, onko paikallinen palautuminen mahdollista, riippuu sitten siitä, mikä on suojattu Keychain ja holvin tiedot säilyvät edelleen laitteella. Salattu iCloud varmuuskopiointi vaatii edelleen palautuslauseen tai vastaavan mallipohjaisen varmuuskopioavaimen.

Salaisen fraasin parhaat käytännöt

Salainen fraasisi on yksityisimmän datasi lopullinen varmuuskopio. Kohtele sitä sen mukaisesti.

Kirjoita se ylös paperille

Käytä kynää ja paperia. Kirjoita jokainen sana selkeästi, järjestyksessä, numeroituna. Paperia ei voi hakkeroida etänä. Haittaohjelma ei pysty vaarantamaan sitä. Pilvipalvelu ei pysty hiljaa vuotamaan sitä. Paperinpala turvallisessa paikassa on kestävin varmuuskopiointijärjestelmä, joka on koskaan keksitty.

Älä koskaan tallenna sitä digitaalisesti

Älä sijoita suojaamatonta kopiota muistiinpanosovellukseen, kuvakaappauskirjastoon tai sähköpostitiliin. Jokainen ylimääräinen digitaalinen kopio luo uuden paikan, jossa lause voi paljastua haittaohjelmien, tietomurron tai tilin vaarantumisen vuoksi. Vaultaire säilyttää jo suojatun paikallisen kopion palautusta ja asetusten näyttöä varten; kaikki ylimääräiset kopiot tulee suojata suojaamiesi tietojen riskin mukaan.

Pidä se turvallisessa paikassa

Säilytä paperi turvallisessa ja yksityisessä paikassa. Kotikassaholvi, tallelokero tai lukittu vetolaatikko, johon vain sinulla on pääsy. Harkitse samoja varotoimia, joita ottaisit tärkeän oikeudellisen asiakirjan tai syntymätodistuksen kanssa. Jos sinulla on useita holveja, merkitse jokainen fraasi selkeästi, jotta tiedät mihin holviin se kuuluu.

Harkitse luotettua henkilöä

Jos sinulle tapahtuu jotain, pitäisikö jonkun pystyä käyttämään holviasi? Jos kyllä, saatat antaa kopion fraasista luotetulle perheenjäsenelle tai sisällyttää sen sinetöityyn kirjekuoreen jäämistöasiakirjojesi kanssa. Tämä on henkilökohtainen päätös, mutta se kannattaa harkita ennen kuin kysymys tulee kiireelliseksi.

Kuinka palautus toimii

Palautusprosessi on suoraviivainen, mutta jokaisen vaiheen ymmärtäminen on hyödyllistä, jotta tiedät tarkalleen mitä odottaa.

Vaihe 1: Avaa palautusnäyttö

Kun avaat Vaultairen ja sinua pyydetään kuviostasi, näet palautusvaihtoehdon. Napauta sitä, ja sovellus esittää sanansyöttöliittymän, johon voit kirjoittaa tai valita jokaisen salaisen fraasisi sanan.

Vaihe 2: Syötä fraasisi

Kirjoita koko lause samassa sanajärjestyksessä, jossa se tallennettiin. Vaultaire normalisoi isot kirjaimet ja välilyönnit, mutta sanoilla ja niiden järjestyksellä on silti merkitystä, koska niistä tulee PBKDF2 syöttö. Luotu muoto on 9 erillistä sanaa sisältävä lause, ei a BIP-39 luettelosta, ja mukautettu lause voi käyttää eri määrää sanoja.

Vaihe 3: Avaimen regenerointi

Kun lause on syötetty, Vaultaire normalisoi sen ja toimii PBKDF2-HMAC-SHA512 800 000 iteraatiota varten deterministisellä fraasiperäisellä suolalla. Sama normalisoitu lause tuottaa saman 256-bittisen palautusavaimen toisessa laitteessa. AES-GCM sitten varmistaa avaimen paikallista palautuskirjekuorta tai pilvipalautusluetteloa vastaan, ennen kuin mikään varasto tai vara-avain hyväksytään.

Vaihe 4: Aseta uusi kuvio

Kun holvi on taas käytettävissä, Vaultaire voi luoda uuden mallin. Satunnainen tiedostosalauksen pääavain pysyy muuttumattomana, mutta uusi malli johtaa uuden paikallisen varaston avaimen ja uuden deterministisen vara-avaimen. Mallin muuttaminen luo myös korvaavan palautuslauseen ja kirjekuoren, joten sinun on tallennettava uusi lause ennen kuin poistut virtauksesta.