Kényszermód: a többi széf elérésének megszüntetése

A Vaultaire kényszermódjában egy széfet kényszer esetére szóló kioldóként jelölhetsz ki. Ennek a széfnek a mintája a szokásos módon megnyitja a széfet, és közben eltávolítja a jelenlegi eszközről a nem kényszerszéfek indexeit, tárolt fájljait és a helyi helyreállítási hozzárendeléseket. A meglévő titkosított iCloud-mentések és a más eszközökön lévő másolatok szándékosan változatlanok maradnak.

Mi a kényszermód?

A kényszermód az utolsó védelmi vonal. Olyan funkció, amelyre remélhetőleg sosem lesz szükséged, és arra a pillanatra készült, amikor minden más kudarcot vallott: amikor valaki föléd hajol, hozzáférést követel a privát fájljaidhoz, és nincs más választásod, mint engedelmeskedni.

Így működik: kijelölsz egy széfet kényszerszéfnek. Hihetőnek látszó tartalommal töltöd meg: néhány ártalmatlan fotóval, pár hétköznapi dokumentummal. Aztán mintát rendelsz hozzá, ahogy bármelyik másik széfhez. A szokásos feloldási felületen ugyanúgy néz ki, és ugyanúgy nyílik meg, mint egy normál széf; a fájlrendszer és a felhő nyomai kívül esnek ezen a szűk megjelenítési állításon.

A különbség abban van, mi történik, amikor lerajzolod ezt a mintát. Egy normál széfminta a saját széfét nyitja meg. A kényszerminta is ezt teszi, és megjeleníti a kijelölt széf tartalmát, de közben elindítja azoknak az indexeknek és helyreállítási hozzárendeléseknek a helyi törlését, amelyekkel a többi széf elérhető az eszközön.

Nem jelenik meg megerősítő párbeszédablak. Nem szól figyelmeztető hang. Aki figyel, azt látja, hogy megnyílik egy széf, és megjelennek a fájljai. A felület nem jelzi, hogy a többi helyi széfindex törlődött, a helyi helyreállítási hozzárendelések kiürültek, a függő mentési munka leállt, és az eszköznek kifejezett, kifejezésalapú helyreállítást kell használnia, mielőtt egy eltávolított széf visszatérhetne.

Hogyan működik a háttérben?

A működés megértése azért fontos, mert a kényszermód határa szűkebb egy általános törlési ígéretnél. A jelenlegi eszköz állapotát változtatja meg; nem ígéri, hogy törli a CloudKit adatait, egy másik eszközt, a fájlrendszer előzményeit vagy a támadó által már összegyűjtött bizonyítékokat.

1. lépés: lerajzolod a kényszermintát

Amikor lerajzolod a kényszerszéfhez rendelt mintát, a Vaultaire kényszerkioldóként ismeri fel. Az alkalmazás két műveletet indít egyszerre: elkezdi visszafejteni és megjeleníteni a kijelölt széf tartalmát, és elindítja az összes többi széf indexének, tárolt fájljainak és helyreállítási hozzárendelésének helyi eltávolítását.

2. lépés: a helyi hozzáférési állapot eltávolítása

A Vaultaire egyetlen, az egész eszközre érvényes kulcskarika-sót használ a helyi mintaszármaztatáshoz, nem külön sót minden széfhez. A kényszermód ezt a közös sót nem semmisíti meg. Ehelyett kiüríti a titkosított helyi helyreállítási adatbázist, és a kijelölt széf indexén kívül minden széfindexet töröl, a többi széf tárolt fájljaival együtt. Mivel minden index tartalmazza az adott széf becsomagolt véletlenszerű mesterkulcsát és fájltérképét, az eltávolításával a nem kényszerszéf kikerül az alkalmazás használható helyi állapotából.

A kényszermód a többi széf lapjait és arénáit egyszerű törléssel, felülírás nélkül távolítja el a közös tárolómappából, így a flash-tárhelyen régi blokkok még megmaradhatnak. A törölt index nélkül a Vaultaire-nek nincs fájltérképe és becsomagolt mesterkulcsa, amellyel helyben megnyithatná az eltávolított széfet. Az alkalmazás a helyi helyreállítási hozzárendeléseket is törli, így a szokásos helyreállítási képernyő nem tudja azonnal felsorolni vagy visszaállítani ezeket a széfeket.

3. lépés: a felhős helyreállítás megmarad, de elkülönítve

A meglévő titkosított iCloud-mentés szándékosan megmarad helyreállítási útként. Az eszköz visszaállítja a függő mentési munkát, és elkülönítési határ mögé kerül, így a helyi törlés nem töltődik fel szokásos törlésként, a rejtett széfek pedig nem töltődnek vissza automatikusan. A későbbi helyreállítás kifejezett művelet, egyszerre egy széfre, és az adott széf helyreállítási kifejezését igényli, nem csak a kényszer alatt felfedett mintát.

4. lépés: a kényszerszéf a szokásos módon megnyílik

Amíg a helyi tisztítás fut, a kijelölt széf a szokásos felületen nyílik meg. A Vaultaire indulás előtt kikapcsolja az analitikát, és kikapcsolva tartja, amíg újra be nem kapcsolod, megpróbálja visszavonni az erről a széfről létrehozott aktív megosztásokat, új helyreállítási kifejezést generál hozzá, majd megszünteti a kényszerkijelölést. Az alkalmazás nem mutat kényszermódos megerősítést vagy befejezési üzenetet, a befejezés ideje azonban a helyi munkától és a hálózati visszavonásoktól függ; a Vaultaire nem ígér általános, egy másodperc alatti határidőt.

Mit rejt el a csendes felület, és mit nem?

Az azonnali felület úgy készült, hogy ne árulja el a kényszermódot annak, aki a vállad fölött figyel. Ez hasznos megjelenítési tulajdonság, nem bizonyíték arra, hogy minden törvényszéki megfigyelő ugyanazt az eszközállapotot látja. A fájlrendszer nyomai, a CloudKit-rekordok, egy másik szinkronizált eszköz vagy a telefonhoz való korábbi hozzáférés kívül eshet azon, amit az alkalmazás el tud rejteni.

Nincs megerősítő párbeszédablak

A szoftverekben a legtöbb romboló művelethez figyelmeztetés tartozik: „Biztos vagy benne?” A kényszermódnál nincs ilyen. Egy megerősítő párbeszédablak azonnal leleplezne. Abban a pillanatban, hogy lerajzolod a mintát, a művelet megtörténik. Véletlenül csak úgy indíthatod el, ha véletlenül lerajzolsz egy konkrét, összetett mintát egy 5×5-ös rácson, ami nem történik meg magától.

Nincs külön késleltető képernyő

Az alkalmazás megnyitja a kijelölt széfet, miközben elvégzi a helyi tisztítást és a megosztások visszavonását. A folyamat úgy készült, hogy ne adjon hozzá külön figyelmeztető képernyőt, az eszköz teljesítménye, a széf állapota és a hálózati körülmények azonban eltérnek. A Vaultaire nem állít olyan időzítési egyezést, amelyet egy műszerekkel dolgozó megfigyelő soha ne tudna megkülönböztetni.

Nincs törlési értesítés az alkalmazásban

A Vaultaire a törlés előtt kikapcsolja az analitikát, és nem mutat „széfek törölve” értesítést. Az analitika az alkalmazás újraindítása után is kikapcsolva marad, amíg újra be nem kapcsolod. A kényszerbeállítás egy kulcskarika-elem, így aki hozzáfér a kulcskarikához, láthatja, hogy kényszerszéf van beállítva. Az eszközön a megőrzött széf az, amely az alkalmazáson keresztül elérhető marad. Ez nem törli az alkalmazás jelenlegi helyi állapotán kívüli bizonyítékokat, és nem szabad úgy kezelni, mintha törvényszéki vizsgálat alatt észrevehetetlenséget ígérne.

Milyen helyi állapot törlődik?

Itt fontos a pontosság. A kényszermód azokat a konkrét helyi szerkezeteket távolítja el, amelyek a nem kényszerszéfek megtalálásához és megnyitásához kellenek, a tárolt fájljaikkal együtt, az eszköz sóját és a titkosított iCloud-mentéseket viszont megőrzi. A fájlokat felülírás nélkül törli, így ez nem annak állítása, hogy minden fizikai másolat felülíródott.

A titkosított helyreállítási adatbázis

A helyi helyreállítási adatbázis a helyreállítási kifejezéseket és a régi mintamezőket rendeli a széfek eléréséhez. A kényszermód kiüríti ezt az adatbázist, majd csak a kijelölt széfhez hoz létre új helyreállítási bejegyzést. Ez eltávolítja a többi széf helyi helyreállítási hozzárendeléseit, anélkül hogy azt állítaná, a Vaultaire mindegyikhez külön sót használt vagy semmisített meg.

A nem kényszerszéfek indexei

Minden titkosított széfindex tartalmazza a fájlrekordokat és a széf mintából származtatott kulcsával becsomagolt véletlenszerű mesterkulcsot. A kényszermód a kijelölt széfén kívül minden indexet töröl. A PBKDF2-algoritmus és az iterációszám nyilvános megvalósítási paraméterek; a biztonság nem függ a törlésüktől.

A titkosított adatok

A kényszermód törli a közös tárolómappából a többi széf titkosított lapjait és arénáit, valamint a takaróarénákat, majd a megőrzött széfnek új fedőfájlokat ad. A törlés egyszerű eltávolítás felülírás nélkül, és a Vaultaire nem állítja, hogy minden flash-tárblokkot biztonságosan fizikailag felülír. A törölt indexek vagy a korábbi állapot az alkalmazás hatókörén kívüli tárolási rétegekben is megmaradhatnak.

Mikor használd a kényszermódot?

A kényszermód olyan helyzetekre készült, amikor fizikai kényszerrel vagy jogi kötelezéssel nézel szembe, és eldöntötted, hogy a helyi széfhozzáférés eltávolítása jobb, mint a felfedése. Ez komoly következményekkel járó személyes döntés, és a Vaultaire megadja az eszközt anélkül, hogy helyetted döntene.

Határátlépés

A határon végzett átvizsgálás jogköre és az utazók kötelezettségei országonként és helyzetenként eltérnek. Ha a telefonod átadása előtt lerajzolod a kényszermintát, egy széf elérhető marad a felületen, a többi helyi hozzáférési állapot pedig eltűnik, ez azonban nem garantálja, hogy a vizsgáló nem talál fájlrendszer-nyomokat, titkosított mentéseket, más eszközökön lévő másolatokat vagy korábbi bizonyítékokat.

Fizikai kényszer

Ha valaki fenyegetéssel kényszerít, hogy oldd fel a telefonodat, szükséged van egy módra, amellyel korlátozhatod, mit fed fel a szokásos felület. A kényszermóddal olyan mintát rajzolhatsz, amely együttműködésnek látszik. A kényszerítő azt látja, hogy megnyílik a kijelölt széf, a felület pedig nem jelzi a többi széf hozzáférési állapotának egyidejű helyi eltávolítását.

Az eszköz lefoglalása

Ha okkal gondolod, hogy lefoglalják az eszközödet, a kényszermóddal átadás előtt eltávolíthatod a nem kényszerszéfek elérését a jelenlegi alkalmazástelepítésből. Nem garantálja, hogy egy törvényszéki elemzőnek ne legyen mit vizsgálnia, különösen ha az eszköz már kompromittált volt, vagy léteznek más másolatok és rendszernyomok.

Újságírók és forrásvédelem

Ellenséges környezetben dolgozó újságírók, megfigyelés alatt tevékenykedő aktivisták, és bárki, akinek az adatai őt magát vagy másokat veszélyeztethetnek. A kényszermód a kiszolgáltatottság pillanatát a védekezés pillanatává teszi.

A kényszerszéf beállítása

A kényszermód beállítása körülbelül két perc. Ahhoz, hogy jól csináld, vagyis meggyőző legyen, egy kicsit több gondolkodás kell.

Jelöld ki a széfet

A Vaultaire beállításaiban kijelölsz egy széfet kényszerszéfnek. Ez a széf nyílik meg a kényszerminta lerajzolásakor, ezért olyan tartalom kell bele, amely valódinak látszik, és megfelel a megfigyelő elvárásainak. Egy üres széf gyanús. Egy nyilvánvalóan hamis tartalmú széf gyanús. Egy maréknyi hétköznapinak látszó személyes fotót tartalmazó széf tökéletes.

Tölts bele hihető tartalmat

Olyan tartalmat tegyél a kényszerszéfbe, amelyet valaki egy privát széfben várna: néhány személyes fotót, esetleg egy dokumentum szkennelt képét, pár olyan fájlt, amely elég privátnak tűnik ahhoz, hogy indokolja a zárolást, de elég ártalmatlan ahhoz, hogy kiállja a vizsgálatot. A cél nem egy törvényszéki vizsgálat megtévesztése, hanem az, hogy az adott pillanatban megnyugtasd azt, aki előtted áll.

Válassz természetes mintát

A kényszermintát stressz alatt is gyorsan, habozás nélkül le kell tudnod rajzolni. Ha egy másik érvényes mintát rajzolsz, ehelyett egy másik széf vagy egy üres állapot nyílhat meg. Gyakorold a kioldást egy biztonságos tesztbeállításban. Mint minden Vaultaire-mintának, legalább hat pontot kell összekötnie, és legalább egyszer irányt kell váltania.

Teszteld

Mielőtt élesben szükséged lenne rá, teszteld a kényszermódot biztonságos környezetben. Hozz létre néhány tesztszéfet, jelölj ki egy kényszerszéfet, és indítsd el. Ellenőrizd, hogy a többi széf már nem nyílik meg azon az eszközön. Ellenőrizd, hogy a kényszerszéf a szokásos módon megnyílt. Aztán állítsd be élesben.

Nincs visszavonás

Ezt világosan ki kell mondani: ha a kényszermód elindult, a helyi törlésnek nincs visszavonás gombja. A Vaultaire ügyfélszolgálata nem tudja visszaállítani a mintádat vagy a helyreállítási kifejezésedet. Ha a titkosított iCloud-mentés (alapból bekapcsolva) előtte még be volt kapcsolva, és megőrizted a helyreállítási kifejezést, később egyenként visszaállíthatod a széfeket. Mindkettő nélkül a törölt helyi hozzáférési állapot miatt lehet, hogy nem tudod helyreállítani a széfet.

A többi index és a helyi helyreállítási hozzárendelések eltűnnek az alkalmazás aktív állapotából. A többi széf tárolt fájljai felülírás nélkül törlődnek. Az egész eszközre érvényes só nem a törlés célpontja, a titkosított felhőmentések pedig megmaradnak. Ez a határ szándékos: eltávolítja a hozzáférést a kényszerített eszközről, a tulajdonosnak viszont megtart egy kifejezéssel vezérelt helyreállítási utat.

A kényszermód azoknak készült, akik értik ezt a kompromisszumot, és előre eldöntötték, hogy inkább eltávolítják az azonnali hozzáférést a jelenlegi eszközről, mint hogy kényszer alatt felfedjék a széfet. Ha nem tudod biztonságosan megőrizni a helyreállítási kifejezést és egy titkosított mentést, számolj azzal, hogy a helyi törlés miatt elveszítheted a hozzáférést az adott széfhez.

A kompromisszum konkrét, nem abszolút. A helyi törlés megerősítés nélkül indul, a későbbi helyreállítás pedig csak a külön felhős és helyreállítási kifejezéses úton lehetséges. Mielőtt eldöntöd, illik-e ez a működés a fenyegetési modelledhez, teszteld a funkciót nem érzékeny adatokkal.