Mintaalapú titkosítás: Hogyan védi fájljait egy rajzolt alakzat

A Vaultaire egy 5×5-ös rácsra rajzolt alakzatot sorba rendez, és azzal feldolgozza PBKDF2-HMAC-SHA512, 600 000 iteráció, és a készülékben tárolt só iOS Keychain. A 256 bites eredmény egy tárolókulcs: titkosítja a trezorindexet, és kibontja a különálló véletlenszerű mesterkulcsot, AES-256-GCM fájltartalomhoz és metaadatokhoz használ.

Mi az a mintaalapú titkosítás?

A legtöbb tároló alkalmazás PIN kód vagy jelszó mögé bújik. Négy számjegyet ad meg, és a fotók megjelennek. Biztonságosnak tűnik, igaz?

A gond ez: egy négyjegyű PIN-nek pontosan 10 000 lehetséges kombinációja van. Egy számítógép kevesebb mint egy másodperc alatt kipróbálja mindet. Hat számjegy? Egymillió kombináció. A modern hardver számára ez még mindig triviálisan gyors. Még egy nyolc karakteres jelszó is, ha csak kisbetűket használ, körülbelül 200 milliárd lehetőséget kínál, ami soknak tűnik, amíg meg nem tudja, hogy egy átlagos laptop másodpercenként milliárdos hash-eket tesztelhet.

A minta titkosítása alapvetően más megközelítést alkalmaz. Ahelyett, hogy karaktereket írna be egy mezőbe, egy geometriai alakzatot rajzol egy pontrácsra. A nyomon követett konkrét útvonal – mely pontokat érinti meg, milyen sorrendben, milyen geometriával – a jelszó alapú kulcslevezetési funkció bemenetévé válik. Az eredményt nem csupán az interfész ellenőrzi: fel kell oldania egy hitelesített titkosított indexet és a benne lévő véletlenszerű mesterkulcsot.

A megkülönböztetés számít. Amikor beír egy PIN-kódot egyes alkalmazásokba, az alkalmazás csak azt ellenőrzi, hogy a megfelelő számot írta-e be. Ha igen, akkor megnyílik, még akkor is, ha a fájlok főként hozzáférés-vezérléssel védettek. Ehelyett Vaultaire betáplálja a rajzolt mintát PBKDF2 256 bites tárolókulcs származtatásához. Ennek a kulcsnak hitelesítenie és vissza kell fejtenie a tárolóindexet, mielőtt kibonthatja a fájlokon használt véletlenszerű mesterkulcsot. Egy fel nem ismert minta üres páncélszekrényként jelenik meg, de a mögöttes AES-GCM A hitelesítés továbbra is megkülönbözteti a helyes kulcsot a helytelentől.

Hogyan működik lépésről lépésre

Íme, mi történik attól a pillanattól, hogy az ujja érinti a képernyőt, egészen addig, amíg a fájlok mindenki más számára olvashatatlanná válnak.

1. lépés: Megrajzolja a mintát

A Vaultaire egy 5×5-ös pontrácsot mutat be. Rajzol egy folyamatos útvonalat, amely legalább 6 pontot összeköt, legalább két irányváltással. Az alkalmazás pontosan rögzíti, hogy mely pontokat és milyen sorrendben kereste fel. Ez a sorozat a te mintád.

Az Android zárolási képernyőihez általában használt 3 × 3-as rácsokkal ellentétben a Vaultaire 5 × 5-ös rácsot használ. Ez nem kozmetikai választás. A 25 pozíció sokkal több utat, keresztezést, átugrást és irányváltoztatást tesz lehetővé, mint kilenc pozíció. A nagyobb elméleti tér segít, de a tényleges biztonság továbbra is a választott út kiszámíthatatlanságától függ. Egy ismerős betű vagy egyszerű forma még akkor is sejthető marad, ha a rács több milliárd alternatívát képes kifejezni.

2. lépés: A minta egy trezorkulcsot eredményez

A rajzolt mintát a rács méretével sorba rendezzük, és betápláljuk PBKDF2 (Password-Based Key Derivation Function 2) -val HMAC-SHA512, 600 000 iteráció és egy véletlenszerű eszközszintű só. A só egy nem titkos érték, amelyet a iOS Keychain WhenUnlockedThisDeviceOnly elemként. Kötöttté teszi a helyi származékos eszközt; nem egyedi az egyes boltozatokra, és nem ad entrópiát az ember által választott mintához.

A kulcs-levezetési folyamat szándékosan drága. PBKDF2 fut 600.000 HMAC-SHA512 iterációk minden egyes jelölt mintához, ami növeli a találgatások költségeit. Ez nem változtat egy alacsony entrópiájú mintát 256 bites biztonsággá, és a támadási idő a támadó hardverétől függ. Célja szűkebb és mérhető: minden találgatást lényegesen drágábbá tenni, mint egy egyszerű hash.

3. lépés: A fájlok titkosítódnak

A tároló első létrehozásakor a Vaultaire véletlenszerű, 256 bites főkulcsot generál. A mintából származó tárolókulcs titkosítja az indexet, és becsomagolja a főkulcsot; nem titkosít közvetlenül minden fájlt. A főkulcsot használják AES-256-GCM fájlfejlécekhez, tartalomhoz, bélyegképekhez és kapcsolódó metaadatokhoz. A friss nonces biztosítják, hogy az ismétlődő egyszerű szöveg ne hozzon létre ismételt titkosított szöveget ugyanazon kulcs alatt.

A GCM mód egy fontos réteget ad hozzá: hitelesítést. Nem csak összekeveri az adatokat, hanem generál egy jelzőt, amely bármilyen manipulációt észlel. Ha a titkosított fájl egyetlen bitje módosul, a visszafejtés meghiúsul. Senki sem módosíthatja a fájlokat anélkül, hogy erről tudna.

4. lépés: Az aktív kulcs állapota törlődik

Amikor a Vaultaire zárol, törli az aktív tároló és a főkulcs állapotát, és egy újabb feloldási ceremóniát igényel, mielőtt ismét megjeleníti a fájlokat. Amíg a tároló nyitva van, ezek a szimmetrikus kulcsbájtok szükségszerűen léteznek az alkalmazásfolyamatban CryptoKit tud teljesíteni AES-GCM műveleteket. A Vaultaire a helyreállítási információkat is tárolja, beleértve a mintát és a frázis-titkosított helyreállítási borítékot AES-GCM ben tárolt titkosított adatbázis iOS Keychain. Ez lényegesen különbözik attól az állítástól, hogy a mintát és minden kulcspéldányt sehol sem tárolnak.

A mögötte álló matematika (egyszerű szavakkal)

Nincs szükség informatikai végzettségre a működési elv megértéséhez. A biztonság három számon múlik: hány minta lehetséges, mennyi ideig tart minden kísérlet, és hány kísérletet tehet egy támadó.

Entrópia: a kiszámíthatatlanság mértéke

Az entrópia más szóval azt jelenti: milyen nehéz kitalálni. Egy érmefeldobásnak 1 bit entrópiája van (két kimenetel). Egy négyjegyű PIN-nek körülbelül 13 bit entrópiája van (10 000 kimenetel). Az 5×5-ös rácson 8 vagy több pontot összekötő, jól megválasztott minta meghaladhatja a 30 bitet, azaz több mint egymilliárd lehetséges mintát.

A minta entrópiája megadja a plafont a találgatásokra. PBKDF2 nem tud entrópiát létrehozni, amelyet a gesztus nem tartalmaz, de minden jelölt tesztelését sokkal drágábbá teheti.

Kulcslevezetés: drága kísérletek

PBKDF2 felveszi a soros mintát, és 600 000 kört fut le HMAC-SHA512. A támadási becsléseknek a találgatást végző hardveren mért költséget kell használniuk: teljes jelöltenként pontosan 1 ms-nál 1 000 000 000 jelöltnek 1 000 000 másodpercre, azaz körülbelül 11,6 napra lenne szüksége 1 dolgozón. A lassabban mért jelölt költség növeli ezt az időt; párhuzamos hardver csökkenti. A 256 bites kimeneti hossz nem változtatja meg a mintakeresési terület méretét.

A készülékre kiterjedő sót tárolják Keychain és nem titkosnak tervezték. Keychain és iOS Az adatvédelem megnehezítheti a kivonást eszközlefoglalási forgatókönyv esetén, de a kriptográfiai elemzésnek feltételeznie kell, hogy a titkosított fájlokat megszerző vizsgáló is megszerezheti a sót. A só megakadályozza az előre számítást az eszközök között; nem helyettesíti az erős mintát.

AES-256: a kormányok által megbízható szabvány

Az AES-256 az Egyesült Államok kormánya által titkosított információkhoz használt titkosítási szabvány. A “256” szám a kulcs hosszát jelöli bitekben. Egy 256 bites kulcsnak 2²⁵⁶ lehetséges értéke van, olyan nagy szám, hogy még ha a megfigyelhető világegyetem minden atomja számítógép lenne, és minden számítógép másodpercenként billió kulcsot tesztelne, akkor sem lehetne feltörni a világegyetem hőhaláláig.

A biztonsága AES-256 nem függ az algoritmus titokban tartásától. De a teljes rendszert nem védi önmagában az AES kulcstér: a gyakorlati találgatási korlát a minta entrópiájából, a PBKDF2 munkatényező, valamint az eszköz körüli védelem só és titkosított tárhely. AES-256-GCM erős hitelesített titkosítást biztosít, miután a megfelelő véletlenszerű mesterkulcsot feloldották.

Miért nem töri fel senki

Vizsgáljuk meg, hogy valaki milyen főbb módokon próbálhat hozzáférni a titkosított fájljaihoz, mit tesz a Vaultaire a költségek növelése érdekében, és hol maradnak a korlátok.

Nyers erő: minden minta kipróbálása

PBKDF2 minden mintajelöltnek 600 000-et kell fizetnie HMAC-SHA512 iterációk. Ez értelmes védekezés, de nem fix évszám ígérete: az eredmény függ a mintaválasztástól, a mért levezetési sebességtől, a párhuzamosságtól és attól, hogy a vizsgáló visszaszerezte-e az eszközsót. A hosszabb, kevésbé kiszámítható utak számítanak, mert PBKDF2 ahelyett, hogy új entrópiát hozna létre.

Ujjlenyomat-támadás: a képernyő leolvasása

Egy 3×3-as rácson a képernyőn lévő ujjlenyomatok lényegesen szűkíthetik a lehetséges mintákat. Az 5×5-ös rácson az ujjlenyomatok mintázata mutatja, mely pontokat érintette, de nem az érintés sorrendjét, irányát vagy az egyes pontok közötti kapcsolatokat. A kombinatorikus robbanás ezt a megközelítést kivitelezhetetlenné teszi.

Váll fölötti figyelés: rajzolás megfigyelése

A kis telefonképernyőn gyorsan megrajzolt mintákat nagyon nehéz pusztán megfigyeléssel megjegyezni, különösen az 5×5-ös rácson. A kutatások azt mutatják, hogy a megfigyelők sokkal nehezebben tudják utánozni az összetett mintákat, mint a PIN vagy a hangosan elmondott jelszó elhallgatását.

Eszköz lefoglalása: a telefon elvétele

Ha valaki elveszi a telefonját, a Vaultaire fájl tartalma és indexei megmaradnak AES-GCM titkosított szöveget, amíg a szükséges kulcsok rendelkezésre nem állnak. Az alkalmazás nem tárol hagyományos jelszó-ellenőrző rekordot, de ez nem távolítja el az offline ellenőrzést. Az egyes titkosított tárolóindexek fájlneve tartalmazza a tárolókulcs csonkolt hash-jét, és AES-GCM a hitelesített visszafejtés egy jelölt kulcs esetében is sikeres vagy sikertelen. Az eszközvédelem és a minta erőssége ezért továbbra is a fenyegetésmodell része marad.

Erős minta választása

A titkosítás csak annyira erős, mint a mintája. Így maximalizálhatja a biztonságot minimális erőfeszítéssel.

Mi tesz egy mintát erőssé

• Használjon több pontot. Kössön össze legalább 8 pontot a 25 elérhető közül. Minden további pont megsokszorozza a lehetséges minták számát.
• Keresztezze saját útját. Azok a minták, amelyek visszafordulnak, pontokat ugrálnak vagy váratlanul irányt váltanak, sokkal nehezebben reprodukálhatók emlékezetből vagy megfigyelésből.
• Kerülje a kézenfekvő alakzatokat. Betűk (L, Z, S), egyszerű geometriai formák (négyzetek, háromszögek) és egyenes vonalak az első dolgok, amelyeket egy támadó kipróbálna.
• Használja ki a teljes rácsot. Az egy sarokban vagy egy él mentén maradó minták pazarolják a rendelkezésre álló entrópiát. Terjessze szét.

Mit kerüljön

• Minimális hosszúságú minták. A Vaultaire legalább 6 pontot és két irányváltást igényel, de a minimum teljesítése nem teszi kiszámíthatatlanná az utat. Használjon többet a rácsból, ha megbízhatóan emlékszik az eredményre.
• Egyszerű geometriai formák. Az L alak, a cikkcakk vagy az egyenes átló a “jelszo123” jelszó minta megfelelője.
• Mindig ugyanabból a sarokból kezdeni. Az Android minta kutatások azt mutatják, hogy a legtöbb ember a bal felső ponttól indul. A támadók ezt tudják.

Az arany középút

Egy 8-12 pontot összekötő, legalább két irányváltással rendelkező minta kiváló biztonságot nyújt, miközben könnyen megjegyezhető izommemóriával. Nem kell jelszóként megjegyezni: a keze megjegyzi a mozdulatot, ahogy megjegyzi az aláírása mozdulatát.

Miért érezheti magát biztonságban

A Vaultaire minta-titkosítása nem csupán egy szebb PIN-kód. A kézmozdulatot egy valódi kulcs-levezetési funkció dolgozza fel, és fel kell oldania a hitelesített titkosított adatokat. Erőssége továbbra is a választott gesztustól függ, így a Vaultaire a nagyobb rácsot egy magasra kombinálja PBKDF2 munkatényezőt ahelyett, hogy a 256 bites kimeneti hosszt 256 bites emberi titkos entrópiaként jelenítené meg.

A minta és a helyi trezorkulcs nem kerül elküldésre a Vaultaire-nek. Ha az opcionális biztonsági mentés engedélyezve van, egy külön mintából származó biztonsági mentési kulcs titkosítja CloudKit rekordok és egy titkosított helyreállítási jegyzék lehetővé teszi, hogy a helyreállítási kifejezés visszaállítsa a tárolót és a biztonsági mentési kulcsokat. A Vaultaire nem rendelkezik olyan szolgáltatói kulccsal, amely dekódolja ezeket a rekordokat, de az eszköz és a helyreállítási hitelesítő adatok továbbra is a tervezés biztonsága szempontjából kritikus részei.

Megrajzol egy alakzatot. Az alakzat védi a fájlokat. A matematika elvégzi a többit.