Način rada pod prisilom: tiho brisanje lokalnog trezora

Način prisile u Vaultaireu omogućuje vam da odredite jedan trezor kao okidač prisile. Crtanje uzorka tog trezora otvara ga normalno dok se uklanjaju indeksi trezora bez prisile i mapiranja lokalnog oporavka s trenutnog uređaja. Postojeće šifrirano iCloud sigurnosne kopije i kopije ravnopravnih uređaja namjerno su ostavljene nepromijenjene.

Što je način prisile?

Način prisile je posljednja linija obrane. Značajka koju se nadamo da nikad nećete trebati, dizajnirana za trenutak kada je sve ostalo propalo: kada netko stoji nad vama, zahtijeva pristup vašim privatnim datotekama i nemate drugog izbora nego udovoljiti.

Evo kako to funkcionira: odredite jedan trezor kao svoj trezor pod prisilom. Ispunite ga sadržajem koji izgleda uvjerljivo - nekoliko bezopasnih fotografija, nekoliko ovozemaljskih dokumenata. Zatim mu dodijelite uzorak, baš kao i svakom drugom trezoru. U običnom sučelju za otključavanje, izgleda i otvara se kao normalan trezor; datotečni sustav i dokazi u oblaku ostaju izvan te uske prezentacijske tvrdnje.

Razlika je u tome što se događa kada nacrtate taj uzorak. Uobičajeni uzorak trezora otvara vlastiti trezor. Uzorak prisile čini i to, prikazujući sadržaj određenog trezora na zaslonu, ali također pokreće lokalno brisanje indeksa i mapiranja oporavka koji čine druge trezore dostupnima na tom uređaju.

Ne pojavljuje se dijaloški okvir za potvrdu. Nema zvuka upozorenja. Osoba koja vas promatra vidi otvoren trezor i pojavljuju se njegove datoteke. Ono što sučelje ne objavljuje jest da su ostali indeksi lokalnog trezora izbrisani, da su mapiranja lokalnog oporavka izbrisana, da je rad na sigurnosnom kopiranju na čekanju zaustavljen i da uređaj mora koristiti eksplicitni oporavak temeljen na frazi prije nego što se izbrisani trezor može vratiti.

Kako funkcionira ispod haube

Razumijevanje mehanike je važno jer Duress Mode ima užu granicu od univerzalnog zahtjeva za brisanje. Mijenja stanje na trenutnom uređaju; ne obećava brisanje CloudKit, drugi uređaj, povijest datotečnog sustava ili dokaze koje je napadač već prikupio.

Korak 1: Nacrtate uzorak prisile

Kada nacrtate uzorak dodijeljen vašem trezoru za prisilu, Vaultaire ga prepoznaje kao okidač za prisilu. Aplikacija započinje dvije operacije istovremeno: počinje dekriptirati i prikazivati ​​sadržaj određenog trezora i pokreće lokalno čišćenje indeksa i mapiranja oporavka za svaki drugi trezor.

Korak 2: Stanje lokalnog pristupa je uklonjeno

Vaultaire koristi jedan uređaj na cijelom uređaju Keychain sol za lokalno izvođenje uzorka, a ne zasebna sol za svaki trezor. Duress Mode ne uništava tu zajedničku sol. Umjesto toga, briše šifriranu lokalnu bazu podataka za oporavak i briše svaki indeks trezora osim naznačenog indeksa trezora. Budući da svaki indeks sadrži omotani nasumični glavni ključ i mapu datoteke za taj trezor, njegovim uklanjanjem se trezor bez prisile uklanja iz upotrebljivog lokalnog stanja aplikacije.

Šifrirani blob skup može ostati jer trezori dijele tu pohranu. Bez izbrisanog indeksa, Vaultaire nema mapu datoteka niti omotani glavni ključ s kojim bi mogao lokalno otvoriti uklonjeni trezor. Aplikacija također briše mapiranja lokalnog oporavka tako da uobičajeni zaslon za oporavak ne može odmah nabrojati ili vratiti te trezore.

Korak 3: Oporavak u oblaku je očuvan, ali izoliran

Postojeće šifrirano iCloud sigurnosna kopija je namjerno sačuvana kao put oporavka. Uređaj poništava rad sigurnosne kopije na čekanju i ulazi u granicu izolacije tako da se lokalno brisanje ne učitava kao obično brisanje, a skriveni trezori se ne povlače automatski. Kasniji oporavak je eksplicitan, jedan trezor u isto vrijeme, i zahtijeva frazu oporavka tog trezora, a ne samo obrazac otkriven pod prisilom.

Korak 4: Trezor prisile se otvara normalno

Dok se izvodi lokalno čišćenje, označeni trezor otvara se kroz normalno sučelje. Vaultaire potiskuje analitiku prije pokretanja, pokušava opozvati aktivne dionice stvorene iz tog trezora, regenerira svoju frazu za oporavak i nakon toga briše oznaku prisile. Aplikacija ne prikazuje nikakvu potvrdu prisile ili poruku o dovršetku, ali vrijeme dovršetka ovisi o lokalnom radu i svim mrežnim opozivima; Vaultaire ne obećava univerzalni rok ispod sekunde.

Zašto nitko neće primijetiti

Neposredno sučelje dizajnirano je tako da se izbjegne najava načina rada pod prisilom nekome tko promatra preko vašeg ramena. To je korisno svojstvo prezentacije, a ne dokaz da svaki forenzički promatrač vidi identično stanje uređaja. Artefakti datotečnog sustava, CloudKit zapisi, drugi sinkronizirani uređaj ili prethodni pristup telefonu mogu biti izvan onoga što aplikacija može sakriti.

Bez dijaloga za potvrdu

Većina destruktivnih radnji u softveru dolazi s upozorenjem: "Jeste li sigurni?" Način prisile nema takvo upozorenje. Dijaloški okvir za potvrdu bio bi odavanje. U trenutku kada nacrtate uzorak, radnja je izvršena. Ne možete ga aktivirati slučajno osim ako slučajno ne nacrtate specifičan, složen uzorak na mreži 5×5, što se ne dogodi slučajno.

Nema zasebnog zaslona za odgodu

Aplikacija otvara naznačeni trezor dok obavlja lokalno čišćenje i opoziv dijeljenja. Tijek je osmišljen tako da ne dodaje zasebni ekran upozorenja, ali performanse uređaja, stanje trezora i mrežni uvjeti variraju. Vaultaire ne tvrdi da je jednakost vremena koju promatrač s instrumentima nikada ne bi mogao razlikovati.

Nema obavijesti o brisanju unutar aplikacije

Vaultaire onemogućuje analitiku prije brisanja i ne prikazuje obavijest "trezori su izbrisani". Na tom uređaju sačuvani trezor je onaj koji ostaje dostupan putem aplikacije. Time se ne brišu dokazi izvan trenutnog lokalnog stanja aplikacije i ne bi se smjelo smatrati obećanjem neotkrivanja tijekom forenzičkog ispitivanja.

Koje je lokalno stanje uklonjeno

Ovdje je bitna preciznost. Prisilni način rada uklanja specifične lokalne strukture potrebne za pronalaženje i otvaranje ne-prisilnih trezora, istovremeno čuvajući zajedničku šifriranu pohranu blob-ova i sve šifrirane iCloud sigurnosna kopija. To je lokalno brisanje stanja pristupa, a ne tvrdnja da je svaka fizička kopija prebrisana.

Šifrirana baza podataka za oporavak

Lokalna baza podataka za oporavak preslikava izraze za oporavak i naslijeđena polja obrasca za pristup trezoru. Način rada pod prisilom briše tu bazu podataka, a zatim stvara novi unos za oporavak samo za naznačeni trezor. Ovo uklanja mapiranja lokalnog oporavka za druge trezore bez pretvaranja da je Vaultaire upotrijebio ili uništio zasebnu sol za svaki od njih.

Indeksi trezora bez prisile

Svaki šifrirani indeks trezora sadrži svoje zapise datoteka i nasumični glavni ključ omotan ključem izvedenim iz uzorka tog trezora. Način rada pod prisilom briše svaki indeks osim naznačenog trezora. The PBKDF2 algoritam i broj ponavljanja su parametri javne implementacije; sigurnost ne ovisi o njihovom brisanju.

Šifrirani podaci

Zajednički kriptirani skup blobova zadržava se jer također sadrži naznačeni sadržaj trezora. Podaci koji su pripadali samo izbrisanim indeksima mogu postati nedostupni putem aplikacije, ali Vaultaire ne zahtijeva sigurno fizičko prepisivanje svakog bloka flash pohrane. Izbrisani indeksi ili prethodno stanje također mogu postojati u slojevima pohrane izvan kontrole aplikacije.

Kada koristiti način prisile

Način rada pod prisilom osmišljen je za situacije u kojima ste suočeni s fizičkom ili pravnom prisilom i odlučili ste da je uklanjanje pristupa lokalnom trezoru bolje nego njegovo izlaganje. Ovo je osobna odluka s ozbiljnim implikacijama, a Vaultaire vam daje alat bez donošenja odluke umjesto vas.

Granični prijelazi

Ovlasti graničnog pregleda i obveze putnika razlikuju se ovisno o zemlji i okolnostima. Crtanje uzorka prisile prije predaje vašeg telefona ostavlja jedan trezor dostupnim u sučelju i uklanja druga stanja lokalnog pristupa, ali ne može jamčiti da ispitivač neće pronaći artefakte datotečnog sustava, šifrirane sigurnosne kopije, ravnopravne kopije ili prethodne dokaze.

Fizička prisila

Ako vas netko tjera da otključate telefon pod prijetnjom, potreban vam je način da ograničite ono što obično sučelje otkriva. Duress Mode vam omogućuje crtanje uzorka koji izgleda kao suradnja. Prisilitelj vidi označeni trezor otvorenim, dok sučelje ne najavljuje istovremeno lokalno čišćenje drugog stanja pristupa trezoru.

Oduzimanje uređaja

Ako imate razloga vjerovati da će vam uređaj biti oduzet, Duress Mode može ukloniti pristup trezoru bez prisile iz trenutne instalacije aplikacije prije primopredaje. Ne može jamčiti da forenzički analitičar nema što ispitati, osobito ako je uređaj već bio kompromitiran ili postoje druge kopije i sistemski artefakti.

Zaštita novinara i izvora

Novinari koji rade u neprijateljskom okruženju, aktivisti koji djeluju pod nadzorom i svi čiji bi podaci mogli ugroziti njih same ili druge. Način prisile pretvara trenutak ranjivosti u trenutak zaštite.

Postavljanje trezora prisile

Konfiguriranje načina prisile traje oko dvije minute. Napraviti to dobro i uvjerljivo zahtijeva malo više razmišljanja.

Odredite trezor

U postavkama Vaultairea označavate jedan trezor kao trezor prisile. Taj trezor se otvori kada se nacrta uzorak prisile, pa mora sadržavati sadržaj koji izgleda autentično i koji će zadovoljiti očekivanja promatrača. Prazan trezor je sumnjiv. Trezor s očito lažnim sadržajem je sumnjiv. Trezor s nekoliko normalno izgledajućih osobnih fotografija je idealan.

Napunite ga uvjerljivim sadržajem

Stavite u trezor prisile sadržaj koji bi netko očekivao u privatnom trezoru: nekoliko osobnih fotografija, možda skeniran dokument, neke datoteke koje izgledaju dovoljno privatno za zaključavanje, ali nevino za preživljavanje pregleda. Cilj nije prevariti forenzičku istragu, već zadovoljiti osobu koja stoji pred vama u tom trenutku.

Odaberite prirodan uzorak

Obrazac prisile trebao bi biti nešto što možete nacrtati pod stresom, brzo, bez oklijevanja. Ako nacrtate drugi važeći uzorak, možete umjesto toga otvoriti drugi trezor ili prazno stanje. Uvježbajte okidač u sigurnom testu. Kao i svaki Vaultaireov uzorak, mora povezati najmanje šest točaka i napraviti najmanje dvije promjene smjera.

Testirajte ga

Prije nego što ga budete trebati, testirajte način prisile u sigurnom okruženju. Stvorite testne trezore, označite trezor prisile i aktivirajte ga. Provjerite da su drugi trezori nestali. Provjerite da se trezor prisile otvorio normalno. Zatim sve postavite iznova.

Nije moguće poništiti

Ovo treba jasno reći: kada se aktivira Duress Mode, nema gumba za poništavanje lokalnog brisanja. Vaultaire podrška ne može rekonstruirati vaš uzorak ili izraz za oporavak. Ako ste omogućili šifrirano iCloud napravite sigurnosnu kopiju unaprijed i zadržite izraz za oporavak, kasnije možete vratiti jedan po jedan trezor. Bez oba, stanje izbrisanog lokalnog pristupa možda neće moći oporaviti trezor.

Ostali indeksi i mapiranja lokalnog oporavka nestali su iz stanja aktivne aplikacije. Sol na cijelom uređaju i zajednički šifrirani blob skup nisu cilj brisanja, a šifrirane sigurnosne kopije u oblaku se čuvaju. Ova je granica namjerna: uklanja pristup s prisilnog uređaja dok zadržava put oporavka kontroliran frazom za vlasnika.

Način rada pod prisilom dizajniran je za ljude koji razumiju ovaj kompromis i koji su unaprijed odlučili da će radije ukloniti trenutni pristup s trenutnog uređaja nego izložiti trezor pod prisilom. Ako ne možete sigurno zadržati frazu za oporavak i šifriranu sigurnosnu kopiju, pretpostavite da bi vas lokalno brisanje moglo koštati pristupa tom trezoru.

Kompromis je specifičan, a ne apsolutan. Lokalno brisanje počinje bez potvrde, dok je kasniji oporavak moguć samo kroz odvojeni oblak i putanju fraze za oporavak. Testirajte značajku s neosjetljivim podacima prije nego što odlučite odgovara li to ponašanje vašem modelu prijetnje.