Skriveni trezori bez vidljivog popisa trezora

Skriveni trezori u Vaultaireu su sučelje i svojstvo usmjeravanja ključeva: aplikacija ne prikazuje popis svih trezora u otvorenom tekstu i otvara trezor tek nakon što izvede svoj ključ iz uzorka. Na disku su korijenske datoteke u dopunjenom skupu, a datoteke pohrane imaju nasumične nazive, ali ispitivač i dalje može procijeniti koliko trezora sadrži datoteke, tako da ovaj dizajn ne čini broj trezora forenzički nevidljivim.

Što zapravo znače "skriveni trezori"?

Većina arhivskih aplikacija funkcionira poput kartoteke. Otvorite aplikaciju i vidite popis trezora. Možda imaju nazive. Možda prikazuju broj. Možda ima mala ikona katanca pored svakoga. Aplikacija točno zna koliko trezora imate i te su informacije vidljive svakome tko otvori aplikaciju ili pregleda uređaj.

Vaultaire radi drugačije u sučelju. Nema zaslona s popisom imena vaših trezora ili pitanjem koji treba otključati. Kada nacrtate uzorak, aplikacija izvodi 256-bitni ključ trezora s PBKDF2, raspršuje taj ključ da bi se formirao očekivani naziv datoteke indeksa i pokušava autentificirano dešifrirati taj šifrirani indeks. Ako indeks postoji i njegova AES-GCM oznaka prođe provjeru, Vaultaire odmotava nasumični glavni ključ i otvara datoteke. Inače predstavlja prazno stanje.

Ovo usmjeravanje dio je arhitekture pohrane, ali njegova zaštita ima ograničenja. Vaultaire ne vodi glavni popis u otvorenom tekstu koji povezuje trezore s uzorcima ili oznakama. Šifrirani korijenski indeks svakog trezora drži u skupu koji nasumične datoteke pokrića dopunjuju do blokova od 64 mjesta. Stranice i arene svih trezora dijele jednu mapu pohrane s nasumičnim nazivima, pa nazivi datoteka ne pokazuju kojem trezoru datoteka pripada. Arene pokrića drže broj arena na granici bloka, ali svaki trezor koji sadrži datoteke koristi barem jednu arenu. Ispitivač datotečnog sustava stoga i dalje može procijeniti koliko trezora sadrži datoteke, iako ne može pročitati sadržaj indeksa bez ključa.

Ovo nisu "skrivene mape"

Pojam "skriveni trezor" možda vas navodi na razmišljanje o aplikacijama koje sakriju mapu izvan lakog dosega. Možda je mapa imenovana s točkom na početku kako se ne bi prikazivala u pregledniku datoteka. Možda aplikacija koristi "kalkulator" kao preobuku kako bi prikrila svoju pravu svrhu. Ovo su trikovi maskiranja i svi dijele istu smrtnu manu: skriveni podaci su i dalje tamo, na poznatom mjestu, i čekaju da se pronađu. Ako razmišljate o tom pristupu, pročitajte naš vodič o stvaranju tajne mape na iPhoneu prije nego mu povjerite osjetljive datoteke.

Forenzički istražitelj s pristupom vašem uređaju trivijalno će pronaći skrivenu mapu. Alati datotečnog sustava navode svaki direktorij. Analizatori pohrane pokazuju gdje je alociran prostor na disku. Čak i prosječno tehnički potkovani prijatelj s pet minuta i tražilicom mogao bi pronaći većinu "skrivenih" mapa.

Vaultaire se ne oslanja na prikrivenu mapu ili masku kalkulatora. Unutar svog spremnika aplikacija pohranjuje šifrirane indekse trezora i šifrirane blob datoteke. Sadržaj indeksa skriva imena korisničkih datoteka, MIME vrste, datume, mape datoteka i omotani glavni ključ iza AES-256-GCM. Ti sadržaji ne postaju čitljivi sve dok ispravan ključ izveden iz uzorka ne potvrdi autentičnost indeksa.

Praktična razlika je između jasno imenovane tajne mape i autentificiranog šifriranog spremnika odabranog pomoću ključa izvedenog naziva datoteke. Ispitivač uređaja može vidjeti da spremnik postoji. Bez ispravne vjerodajnice ne dobivaju čitljivu mapu datoteka ili sadržaj.

Što otkriva raspored pohrane

Čak i bez popisa trezora, pametan protivnik mogao bi pokušati drugi pristup: analizu korištenja diska. Ako Vaultaire danas koristi 500 MB pohrane, a sutra 800 MB, možda ste dodali trezor. Ako brisanje fotografija iz jednog trezora smanji pohranu točno za 200 MB, možda postoji korelacija za iskorištavanje.

Vaultaire ne održava otisak lokalne pohrane konstantnim. Dodavanje datoteka troši pohranu, brisanje trezora može osloboditi pohranu, a broj datoteka pohrane raste kako se trezori pune. Enkripcija štiti sadržaj i integritet, ali ne briše sve podatke o veličini, broju i vremenu iz datotečnog sustava.

Promatrač s pristupom spremniku aplikacije može povezati broj datoteka, veličinu i vrijeme izmjene s aktivnošću. iOS Zaštita podataka može ograničiti pristup dok je uređaj zaključan, a šifrirani učinci ostaju povjerljivi bez svojih ključeva, ali Vaultaire ne oglašava lokalnu otpornost na analizu prometa.

Gdje se koristi podstava

Vaultaire koristi ispune u određenim formatima. Šifrirana zaglavlja datoteka zadržavaju fiksnu veličinu zaglavlja tako da obični nazivi datoteka i MIME vrste nisu izložene u otvorenom tekstu. Šifrirana iCloud sigurnosna kopija koristi fiksne zapise od 10 MB i lažne dijelove. Te kontrole ne treba brkati s lokalnim skladišnim spremištem konstantne veličine.

Lokalne korijenske datoteke i dalje imaju prepoznatljiv naziv na razini aplikacije, a svaka datoteka arene ima istu fiksnu veličinu, pa je jasno da su to datoteke pohrane Vaultairea. AES-GCM skriva njihov otvoreni tekst i otkriva izmjene; ne čini svaki bajt ili artefakt datotečnog sustava nerazlučivim od proizvoljnih nasumičnih sektora diska.

Forenzička otpornost: Što se događa kada vam uzmu telefon

Budimo konkretni o modelu prijetnje. Netko tko pogleda kroz aplikaciju ne vidi katalog trezora. Netko tko dobije pristup spremniku aplikacije putem kompromitiranog ili otključanog uređaja ima bolji pregled i može provjeriti nazive datoteka, brojeve, veličine, vremenske oznake, dostupnost Keychaina i šifrirane sadržaje.

Što forenzički alati mogu vidjeti

Forenzičar može vidjeti je li Vaultaire instaliran, koliko prostora za pohranu koristi, koliko korijenskih datoteka `vault_index_*.bin` i datoteka pohrane postoji (korijenske datoteke dopunjene su datotekama pokrića, a datoteke pohrane imaju nasumične nazive) i metapodatke o izmjenama. Iz broja arena, vremena datoteka i ukupnog volumena ispitivač može procijeniti koliko trezora sadrži datoteke. Ispitivač također može kopirati šifrirani tekst za offline pogađanje uzorka.

Što enkripcija još štiti

• Čitljive oznake trezora i mape datoteka. Šifrirani indeks štiti zapise datoteka i omotani nasumični glavni ključ.
• Izvorni nazivi datoteka i MIME vrste. Ta se polja nalaze unutar provjerenih šifriranih zaglavlja datoteka, a ne u imenima direktorija otvorenog teksta.
• Sadržaj fotografija, videa i dokumenata. Sadržaj datoteka šifriran je AES-256-GCM-om pod nasumičnim glavnim ključem trezora.
• Sam uzorak. Vaultaire ga ne pohranjuje kao postavku u otvorenom tekstu, iako šifrirana lokalna baza podataka za oporavak sadrži materijal uzoraka i fraza dok je uređaj u normalnoj uporabi.
• Prečac oko pogađanja. PBKDF2 podiže cijenu svakog kandidata, ali kopirani naziv datoteke indeksa i AES-GCM oznaka i dalje dopuštaju napadaču da izvanmrežno provjeri nagađanja.

Kako skriveni trezori omogućuju vjerodostojno poricanje

Skriveni trezori pružaju razdjelnost sučelja iza Vaultaireove značajke vjerodostojnog poricanja. Veza i njezino ograničenje pod ispitivanjem datotečnog sustava važni su pri procjeni zahtjeva.

U sučelju Vaultairea, različiti valjani uzorci mogu otvoriti različite stvarne trezore. Možete odabrati jedan uzorak za osjetljivi materijal i drugi za manje osjetljivi trezor. Promatraču koji vidi samo otključano sučelje ne prikazuje se oznaka koja identificira bilo koji trezor kao "pravi" ili "mamac".

To može smanjiti otkrivanje tijekom povremene inspekcije ili virenja preko ramena, ali ne zadovoljava najjaču forenzičku definiciju vjerodostojnog poricanja. Ispitivač s pristupom spremniku aplikacije i dalje može procijeniti koliko trezora imate. Koristite ovu značajku kao odjeljenje sučelja, a ne kao dokaz da ne postoji dodatni trezor.

Cjelovit lanac

• Korak 1: Stvorite više trezora s različitim uzorcima: jedan za stvarne datoteke i jedan za mamce. Besplatna razina dopušta 3 trezora, a Pro dopušta više.
• Korak 2: Pod prisilom nacrtate uzorak za mamac. Promatrač vidi trezor s dosadnim fotografijama.
• Korak 3: Otključano sučelje ne prikazuje popis svih trezora niti upit za imenovanje drugog trezora.
• Korak 4: Imajte na umu zasebnu granicu prijetnje: pristup datotečnom sustavu i dalje može dati procjenu koliko trezora sadrži datoteke, čak i kada promatrač ne može dekriptirati sadržaj.

Rezultat je praktično razdvajanje unutar aplikacije, potpomognuto enkripcijom za sadržaj. Nije matematičko jamstvo da ispitivač uređaja ne može otkriti dodatne šifrirane spremnike.

Zašto je to važno

Možda mislite da forenzička otpornost zvuči ekstremno. Većina ljudi ne suočava se s oduzimanjem uređaja ni sudskim nalozima. Ali načelo iza skrivenih trezora štiti vas i u svakodnevnim scenarijima.

Osoba koja dođe do zaključanog zaslona Vaultairea ne prima popis imena trezora za ciljanje. Suradnik koji posuđuje vaš uređaj ne može pregledavati trezore putem alata za odabir. Lopov i dalje zna da je Vaultaire instaliran i može ciljati aplikaciju ili uređaj, ali šifrirani sadržaji ostaju zaštićeni uzorkom, troškom PBKDF2-a, AES-GCM-om i okolnom sigurnosnom granicom iOS-a.

Skriveni trezori odgovaraju na uže pitanje privatnosti: otkriva li otvaranje jednog trezora katalog ostalih? U normalnom sučelju odgovor je ne. Može li jači ispitivač otkriti šifrirane spremnike ovisi o stanju uređaja i razini pristupa a Vaultaire ta ograničenja izravno dokumentira.