Frase secreta: A âncora de segurança do seu cofre

Vaultaire gera uma frase de recuperação personalizada contendo 9 palavras separadas em vez de uma frase de recuperação de 12 ou 24 palavras BIP-39 mnemônico. PBKDF2-HMAC-SHA512 processa a frase normalizada por 800.000 iterações para derivar uma chave de recuperação. Essa chave abre um AES-GCM envelope criptografado contendo a chave do cofre localmente ou a chave do cofre e a chave de backup ao restaurar um arquivo criptografado iCloud cópia de segurança.

O que é a frase secreta?

Cada cofre do Vaultaire possui uma hierarquia de chaves em camadas. Seu padrão deriva uma chave do cofre, essa chave do cofre desbloqueia o índice criptografado e o índice contém uma chave mestra aleatória agrupada usada para criptografia de arquivos. Mas o que acontece se você esquecer seu padrão? E se os meses passarem e a memória muscular desaparecer? Sem um caminho de recuperação separado, a chave do cofre permaneceria fora de alcance.

É aí que entra a frase secreta. Quando você cria um novo cofre, o Vaultaire gera uma frase gramatical contendo nove palavras comuns em inglês – palavras selecionadas de várias listas específicas de funções usando aleatoriedade criptograficamente segura. Este é um formato de recuperação personalizado, não BIP-39. As palavras não codificam a chave do cofre derivada do padrão. Em vez disso, a frase normalizada torna-se a entrada para PBKDF2e a chave de recuperação resultante descriptografa um envelope que contém a chave do cofre.

Pense desta forma: o padrão e a frase de recuperação são duas credenciais que podem abrir diferentes wrappers em torno do mesmo material de acesso ao cofre. O padrão é a credencial que você usa todos os dias. A frase de recuperação abre o envelope de emergência que você guarda para o dia em que a memória muscular falha ou um novo dispositivo precisa encontrar um backup criptografado.

Como funciona a frase secreta

A frase secreta é uma credencial separada e, portanto, uma forma separada de atacar ou recuperar o cofre. Não é outra representação da chave derivada do padrão. A frase deriva sua própria chave de recuperação de 256 bits, e essa chave autentica e descriptografa um pequeno envelope contendo a chave do cofre. Essa separação permite que a frase permaneça portátil enquanto a chave do cofre local normal permanece vinculada ao dispositivo. Keychain sal.

Geração

Quando você cria um cofre, o Vaultaire seleciona palavras com aleatoriedade criptograficamente segura e as coloca em um dos vários modelos gramaticais. A frase gerada normalmente contém 9 palavras separadas e é verificada pelo estimador de intensidade da frase do aplicativo. Você também pode fornecer uma frase personalizada com pelo menos 6 palavras separadas se passar na validação. A frase é normalizada, processada em 800.000 PBKDF2-HMAC-SHA512 iterações e usado para criptografar o envelope de recuperação portátil.

Apresentação

Vaultaire mostra a frase durante a criação do cofre e pede para você confirmar que a salvou. Ele também armazena a frase dentro de um AES-GCM banco de dados de recuperação criptografado no iOS Keychain para que a frase possa ser exibida posteriormente nas configurações do cofre e usada para publicar um manifesto de recuperação criptografado quando iCloud o backup está ativado. Vaultaire não recebe a frase em um servidor da empresa nem a inclui nas análises.

Recuperação

Se você esquecer seu padrão, abra o Vaultaire e escolha a opção de recuperação. No dispositivo original, o banco de dados de recuperação criptografado mapeia a frase para seu envelope. Para um criptografado iCloud restaurar, um localizador determinístico encontra o manifesto de recuperação endereçado à frase. Em ambos os casos, AES-GCM a descriptografia autenticada verifica a chave derivada da frase antes de liberar o material de acesso ao cofre. Você pode então abrir o cofre e definir um novo padrão.

Porque existe a frase secreta

O Vaultaire não possui serviço de conta que receba seu padrão, frase de recuperação, chave do cofre, chave de backup ou conteúdo legível do cofre. Backups criptografados ficam em sua privacidade CloudKit banco de dados, e o Vaultaire não possui uma chave de recuperação de provedor separada. Isso elimina um caminho de redefinição de senha operado pela empresa: o suporte não pode substituir um padrão ou frase perdida por uma credencial de conta.

A frase secreta é a resposta do Vaultaire a essa troca. Ele fornece uma credencial legível para uma cópia criptografada do material de acesso ao cofre sem fornecer ao Vaultaire uma chave de descriptografia mantida pelo provedor. A frase é armazenada localmente em ambiente protegido Keychain dados e também devem ser mantidos em um local sob seu controle. Se nem o seu padrão nem uma cópia utilizável da frase permanecerem, o Vaultaire não poderá redefinir a criptografia de uma conta corporativa.

Segurança da frase secreta

A frase secreta é uma das credenciais mais confidenciais associadas ao seu cofre. Qualquer pessoa que tenha a frase e os dados de recuperação locais correspondentes ou criptografados iCloud o backup poderá recuperar as chaves do cofre e acessar seus dados. É por isso que Vaultaire mantém sua cópia local criptografada Keychain armazenamento – e por que você deve proteger qualquer cópia que fizer.

Mostrada uma vez, depois desaparece

O Vaultaire exibe a frase durante a criação do cofre para que você possa fazer uma cópia independente. O aplicativo também pode carregar e exibir a frase salva nas configurações do cofre aberto. Essa conveniência muda o modelo de ameaça: alguém que consiga desbloquear o cofre e acessar suas configurações poderá ler a frase, então o iPhone a senha, o padrão Vaultaire e o controle físico do dispositivo continuam importantes.

Criptografado localmente, não enviado ao Vaultaire

A frase é salva em um banco de dados de recuperação criptografado armazenado como WhenUnlockedThisDeviceOnly Keychain item. Um aleatório separado Keychain chave protege esse banco de dados com AES-GCM. Quando criptografado iCloud o backup está ativado, o Vaultaire carrega um localizador de frase determinístico e um AES-GCM manifesto de recuperação criptografado; a frase de texto simples não é colocada nesse registro. A frase é excluída da análise e o Vaultaire não a recebe.

Sem recuperação

Se você perder seu padrão e todas as cópias utilizáveis da frase secreta, o Vaultaire não terá nenhuma redefinição de conta ou chave mantida pelo provedor que possa descriptografar o cofre para você. Se a recuperação local permanecerá possível, dependerá do que está protegido. Keychain e os dados do cofre ainda sobrevivem no dispositivo. Um criptografado iCloud o backup ainda requer sua frase de recuperação ou a chave de backup derivada do padrão correspondente.

Boas práticas para a frase secreta

A sua frase secreta é a cópia de segurança definitiva dos seus dados mais privados. Trate-a em conformidade.

Anote-a em papel

Use caneta e papel. Escreva cada palavra claramente, por ordem, numerada. O papel não pode ser pirateado remotamente. Malware não o consegue comprometer. Um pedaço de papel num local seguro é a forma de armazenamento de cópia de segurança mais resistente jamais inventada.

Nunca a guarde digitalmente

Não coloque uma cópia desprotegida em um aplicativo de notas, biblioteca de capturas de tela ou conta de e-mail. Cada cópia digital adicional cria outro local onde a frase pode ser exposta por malware, violação de dados ou comprometimento da conta. O Vaultaire já mantém uma cópia local protegida para recuperação e exibição de configurações; qualquer cópia extra deve ser protegida de acordo com o risco dos dados que você está protegendo.

Guarde-a num local seguro

Coloque o papel algures seguro e privado. Um cofre doméstico, uma caixa de segurança ou uma gaveta fechada à qual só você tem acesso. Considere as mesmas precauções que tomaria com um documento legal importante ou uma certidão de nascimento.

Como funciona a recuperação

O processo de recuperação é directo, mas vale a pena perceber o que acontece em cada passo.

Passo 1: Abra o ecrã de recuperação

Quando abrir o Vaultaire e aparecer a solicitação do padrão, verá uma opção de recuperação. Toque nela e a aplicação apresenta a interface de introdução de palavras.

Passo 2: Introduza a sua frase

Digite a frase completa na mesma ordem de palavras em que foi salva. Vaultaire normaliza a capitalização e os espaços em branco, mas as palavras e sua ordem ainda são importantes porque se tornam PBKDF2 entrada. O formato gerado é uma frase contendo 9 palavras separadas, não uma BIP-39 lista, e uma frase personalizada pode usar um número diferente de palavras.

Passo 3: Regeneração da chave

Depois que a frase é inserida, o Vaultaire a normaliza e executa PBKDF2-HMAC-SHA512 para 800.000 iterações com um sal derivado de frase determinística. A mesma frase normalizada produz a mesma chave de recuperação de 256 bits em outro dispositivo. AES-GCM em seguida, verifica essa chave no envelope de recuperação local ou no manifesto de recuperação na nuvem antes que qualquer cofre ou chave de backup seja aceito.

Passo 4: Defina um novo padrão

Depois que o cofre estiver acessível novamente, o Vaultaire poderá estabelecer um novo padrão. A chave mestra de criptografia de arquivos aleatória permanece inalterada, mas o novo padrão deriva uma nova chave de cofre local e uma nova chave de backup determinística. A alteração do padrão também gera uma frase de recuperação e um envelope de substituição, portanto, você deve salvar a nova frase antes de sair do fluxo.