Skriveni trezori bez vidljivog popisa trezora

Skriveni trezori u Vaultaireu su sučelje i svojstvo usmjeravanja ključeva: aplikacija ne prikazuje popis unakrsnih trezora otvorenog teksta i otvara trezor tek nakon što izvede svoj ključ iz uzorka. Na disku, zasebne šifrirane datoteke indeksa ostaju prebrojive, tako da ovaj dizajn ne čini broj trezora forenzički nevidljivim.

Što zapravo znače "skriveni trezori"?

Većina arhivskih aplikacija funkcionira poput kartoteke. Otvorite aplikaciju i vidite popis trezora. Možda imaju nazive. Možda prikazuju broj. Možda ima mala ikona katanca pored svakoga. Aplikacija točno zna koliko trezora imate i te su informacije vidljive svakome tko otvori aplikaciju ili pregleda uređaj.

Vaultaire radi drugačije u sučelju. Nema zaslona s popisom imena vaših trezora ili pitanjem koji treba otključati. Kada nacrtate uzorak, aplikacija izvodi 256-bitni ključ trezora s PBKDF2, raspršuje taj ključ da bi se formirao očekivani naziv datoteke indeksa i pokušava autentificirano dešifrirati taj šifrirani indeks. Ako indeks postoji i njegov AES-GCM oznaka provjerava, Vaultaire odmotava nasumični glavni ključ i otvara datoteke. Inače predstavlja prazno stanje.

Ovo usmjeravanje dio je arhitekture pohrane, ali njegova zaštita ima ograničenja. Vaultaire ne održava glavni registar otvorenog teksta koji preslikava trezore na uzorke ili oznake. Stvara točno 1 šifriranu indeksnu datoteku za svaki trezor, a aplikacija ima staze održavanja koje nabrajaju te datoteke. Ispitivač datotečnog sustava stoga može brojati šifrirane indekse iako ne može pročitati sadržaj indeksa bez ključa.

Ovo nisu "skrivene mape"

Pojam "skriveni trezor" možda vas navodi na razmišljanje o aplikacijama koje sakriju mapu izvan lakog dosega. Možda je mapa imenovana s točkom na početku kako se ne bi prikazivala u pregledniku datoteka. Možda aplikacija koristi "kalkulator" kao preobuku kako bi prikrila svoju pravu svrhu. Ovo su trikovi maskiranja i svi dijele istu smrtnu manu: skriveni podaci su i dalje tamo, na poznatom mjestu, i čekaju da se pronađu. Ako razmišljate o tom pristupu, pročitajte naš vodič o stvaranju tajne mape na iPhoneu prije nego mu povjerite osjetljive datoteke.

Forenzički istražitelj s pristupom vašem uređaju trivijalno će pronaći skrivenu mapu. Alati datotečnog sustava navode svaki direktorij. Analizatori pohrane pokazuju gdje je alociran prostor na disku. Čak i prosječno tehnički potkovani prijatelj s pet minuta i tražilicom mogao bi pronaći većinu "skrivenih" mapa.

Vaultaire se ne oslanja na prikrivenu mapu ili masku kalkulatora. Unutar svog spremnika aplikacija pohranjuje šifrirane indekse trezora plus šifrirane blob datoteke. Sadržaj indeksa skriva imena korisničkih datoteka, MIME vrste, datume, mape datoteka i zamotani glavni ključ iza AES-256-GCM. Ti sadržaji ne postaju čitljivi sve dok ispravan ključ izveden iz uzorka ne potvrdi autentičnost indeksa.

Praktična razlika je između jasno imenovane tajne mape i autentificiranog šifriranog spremnika odabranog pomoću ključa izvedenog naziva datoteke. Ispitivač uređaja može vidjeti da spremnik postoji. Bez ispravne vjerodajnice ne dobivaju čitljivu mapu datoteka ili sadržaj.

Što otkriva raspored pohrane

Čak i bez popisa trezora, pametan protivnik mogao bi pokušati drugi pristup: analizu korištenja diska. Ako Vaultaire danas koristi 500 MB pohrane, a sutra 800 MB, možda ste dodali trezor. Ako brisanje fotografija iz jednog trezora smanji pohranu točno za 200 MB, možda postoji korelacija za iskorištavanje.

Vaultaire ne održava otisak lokalne pohrane konstantnim. Dodavanje datoteka troši pohranu, brisanje trezora može osloboditi pohranu, a za svaki trezor postoji jedna šifrirana indeksna datoteka. Enkripcija štiti sadržaj i integritet, ali ne briše sve podatke o veličini, broju i vremenu iz datotečnog sustava.

Promatrač s pristupom spremniku aplikacije može povezati broj datoteka, veličinu i vrijeme izmjene s aktivnošću. iOS Zaštita podataka može ograničiti pristup dok je uređaj zaključan, a šifrirani učinci ostaju povjerljivi bez svojih ključeva, ali Vaultaire ne oglašava lokalnu otpornost na analizu prometa.

Gdje se koristi podstava

Vaultaire koristi ispune u određenim formatima. Šifrirana zaglavlja datoteka zadržavaju fiksnu veličinu zaglavlja tako da obični nazivi datoteka i MIME vrste nisu izložene u otvorenom tekstu. Šifrirano iCloud sigurnosna kopija koristi fiksne zapise od 10 MB plus lažne komade. Te kontrole ne treba brkati s lokalnim skladišnim spremištem konstantne veličine.

Lokalni indeksi trezora i blob datoteke i dalje imaju prepoznatljive nazive i veličine datoteka na razini aplikacije. AES-GCM skriva njihov otvoreni tekst i otkriva izmjene; ne čini svaki bajt ili artefakt datotečnog sustava nerazlučivim od proizvoljnih nasumičnih sektora diska.

Forenzička otpornost: Što se događa kada vam uzmu telefon

Budimo konkretni o modelu prijetnje. Netko tko pogleda kroz aplikaciju ne vidi katalog trezora. Netko tko dobije pristup spremniku aplikacije putem kompromitiranog ili otključanog uređaja ima bolji pregled i može provjeriti nazive datoteka, brojeve, veličine, vremenske oznake, Keychain dostupnost i šifrirani korisni učinci.

Što forenzički alati mogu vidjeti

Forenzičar može vidjeti je li Vaultaire instaliran, koliko prostora za pohranu koristi, koliko datoteka `vault_index_*.bin` postoji, njihove otiske ključeva, šifrirane blob datoteke i metapodatke o izmjenama. Ispitivač također može kopirati šifrirani tekst za offline pogađanje uzorka.

Što enkripcija još štiti

• Čitljive oznake trezora i mape datoteka. Šifrirani indeks štiti zapise datoteka i omotani nasumični glavni ključ.
• Izvorni nazivi datoteka i MIME vrste. Ta se polja nalaze unutar provjerenih šifriranih zaglavlja datoteka, a ne u imenima direktorija otvorenog teksta.
• Sadržaj fotografija, videa i dokumenata. Korištenje nosivosti datoteke AES-256-GCM pod nasumičnim glavnim ključem trezora.
• Sam uzorak. Vaultaire ga ne pohranjuje kao postavku otvorenog teksta, iako šifrirana lokalna baza podataka za oporavak sadrži materijal uzoraka i fraza dok je uređaj u normalnoj uporabi.
• Prečac oko pogađanja. PBKDF2 podiže cijenu svakog kandidata, ali kopirani naziv datoteke indeksa i AES-GCM oznaka i dalje dopušta napadaču da izvanmrežno provjeri nagađanja.

Kako skriveni trezori omogućuju vjerodostojno poricanje

Skriveni trezori pružaju razdjelnost sučelja iza Vaultaireovih plausible poricanje značajka. Veza i njezino ograničenje pod ispitivanjem datotečnog sustava važni su pri procjeni zahtjeva.

U sučelju Vaultairea, različiti valjani obrasci mogu otvoriti različite stvarne trezore. Možete odabrati jedan uzorak za osjetljivi materijal i drugi za manje osjetljivi trezor. Promatraču koji vidi samo otključano sučelje ne prikazuje se oznaka koja identificira bilo koji trezor kao "pravi" ili "mamac".

To može smanjiti otkrivanje tijekom povremene inspekcije ili surfanja ramenom, ali ne zadovoljava najjaču forenzičku definiciju vjerojatnog poricanja. Ispitivač s pristupom spremniku aplikacije može brojati šifrirane indekse. Koristite ovu značajku kao odjeljenje sučelja, a ne kao dokaz da ne postoji dodatni trezor.

Cjelovit lanac

• Korak 1: Stvorite više trezora s različitim uzorcima: jedan za stvarne datoteke, jedan za mamce, koliko god želite.
• Korak 2: Pod prisilom nacrtate uzorak za mamac. Promatrač vidi trezor s dosadnim fotografijama.
• Korak 3: Otključano sučelje ne prikazuje popis unakrsnih trezora niti upit za imenovanje drugog trezora.
• Korak 4: Imajte na umu zasebnu granicu prijetnje: pristup datotečnom sustavu može otkriti šifrirani broj indeksa čak i kada promatrač ne može dekriptirati sadržaj.

Rezultat je praktično razdvajanje unutar aplikacije, potpomognuto enkripcijom za sadržaj. Nije matematičko jamstvo da ispitivač uređaja ne može otkriti dodatne šifrirane spremnike.

Zašto je to važno

Možda mislite da forenzička otpornost zvuči ekstremno. Većina ljudi ne suočava se s oduzimanjem uređaja ni sudskim nalozima. Ali načelo iza skrivenih trezora štiti vas i u svakodnevnim scenarijima.

Osoba koja dođe do zaključanog zaslona Vaultairea ne prima popis imena trezora za ciljanje. Suradnik koji posuđuje vaš uređaj ne može pregledavati trezore putem alata za odabir. Lopov i dalje zna da je Vaultaire instaliran i može ciljati aplikaciju ili uređaj, ali šifrirani sadržaji ostaju zaštićeni uzorkom, PBKDF2 trošak, AES-GCM, i okoline iOS sigurnosna granica.

Skriveni trezori odgovaraju na uže pitanje privatnosti: otkriva li otvaranje jednog trezora katalog ostalih? U normalnom sučelju odgovor je ne. Može li jači ispitivač otkriti šifrirane spremnike ovisi o stanju uređaja i razini pristupa te Vaultaire dokumentima koji izravno ograničavaju.