Modo de coação: limpeza silenciosa do cofre local

O modo de coação no Vaultaire permite designar um cofre como um gatilho de coerção. Desenhar o padrão desse cofre abre-o normalmente enquanto remove índices de cofre sem coação e mapeamentos de recuperação local do dispositivo atual. Criptografado existente iCloud backups e cópias de dispositivos peer são intencionalmente deixados inalterados.

O que é o modo de coacção?

O modo de coacção é a última linha de defesa. É uma funcionalidade que espera nunca precisar de usar, concebida para o momento em que tudo o resto falhou: quando alguém está por cima de si, exige acesso aos seus ficheiros privados e não tem outra opção senão ceder.

Funciona assim: você designa um cofre como seu cofre de coação. Você o preenche com conteúdo que parece verossímil – algumas fotos inofensivas, alguns documentos mundanos. Em seguida, você atribui um padrão a ele, como qualquer outro cofre. Na interface de desbloqueio comum, ele se parece e abre como um cofre normal; as evidências do sistema de arquivos e da nuvem permanecem fora dessa reivindicação de apresentação restrita.

A diferença é o que acontece quando você desenha esse padrão. Um padrão de vault normal abre seu próprio vault. O padrão de coação também faz isso, mostrando o conteúdo do cofre designado na tela, mas também aciona uma limpeza local dos índices e mapeamentos de recuperação que tornam os outros cofres acessíveis naquele dispositivo.

Nenhuma caixa de diálogo de confirmação é exibida. Nenhum som de aviso é reproduzido. A pessoa que está observando você vê um cofre aberto e seus arquivos aparecem. O que a interface não anuncia é que outros índices de cofre locais foram excluídos, os mapeamentos de recuperação locais foram apagados, o trabalho de backup pendente foi interrompido e o dispositivo deve usar recuperação explícita baseada em frase antes que um cofre apagado possa retornar.

Como funciona por baixo

Passo 1: Desenha o padrão de coacção

Quando você desenha o padrão atribuído ao seu cofre de coação, o Vaultaire o reconhece como um gatilho de coação. O aplicativo inicia duas operações simultaneamente: começa a descriptografar e exibir o conteúdo do cofre designado e inicia a limpeza local dos índices e mapeamentos de recuperação para todos os outros cofres.

Passo 2: As chaves de encriptação são apagadas

Cada cofre no Vaultaire está encriptado com a sua própria chave única, derivada do seu próprio padrão único. Cada cofre também guarda o sal e os metadados necessários para o processo de derivação de chaves. O modo de coacção não destrói apenas os ficheiros encriptados. Destrói o sal criptográfico e os parâmetros de derivação de chaves para cada cofre excepto o cofre de coacção.

Vaultaire usa um dispositivo em todo o dispositivo Keychain sal para derivação de padrão local, não um sal separado para cada cofre. O modo Duress não destrói o sal compartilhado. Em vez disso, ele limpa o banco de dados de recuperação local criptografado e exclui todos os índices do cofre, exceto o índice do cofre designado. Como cada índice contém a chave mestra aleatória agrupada e o mapa de arquivos desse cofre, removê-lo tira o cofre sem coação do estado local utilizável do aplicativo.

Passo 3: Os dados encriptados tornam-se ruído

Criptografado existente iCloud o backup é deliberadamente preservado como um caminho de recuperação. O dispositivo redefine o trabalho de backup pendente e entra em um limite de isolamento para que a limpeza local não seja carregada como uma exclusão comum e os cofres ocultos não sejam recuperados automaticamente. A recuperação posterior é explícita, um cofre de cada vez, e requer a frase de recuperação desse cofre, em vez de apenas o padrão divulgado sob coerção.

Passo 4: O cofre de coacção abre normalmente

Enquanto a limpeza local é executada, o cofre designado abre através da interface normal. O Vaultaire suprime as análises antes de iniciar, tenta revogar compartilhamentos ativos criados nesse cofre, regenera sua frase de recuperação e, posteriormente, limpa a designação de coação. O aplicativo não apresenta confirmação de coação ou mensagem de conclusão, mas o tempo de conclusão depende do trabalho local e de quaisquer revogações de rede; Vaultaire não promete um prazo universal inferior a um segundo.

Porque ninguém nota

A interface imediata foi projetada para evitar o anúncio do Modo Coação para alguém que esteja observando por cima do seu ombro. Essa é uma propriedade de apresentação útil, e não uma prova de que todo observador forense vê o estado idêntico do dispositivo. Artefatos do sistema de arquivos, CloudKit registros, outro dispositivo sincronizado ou acesso prévio ao telefone podem ficar fora do que o aplicativo pode ocultar.

Sem caixa de diálogo de confirmação

A maioria das acções destrutivas no software vem com um aviso: “Tem a certeza?” O modo de coacção não tem esse aviso. Uma caixa de diálogo de confirmação seria uma denúncia. No momento em que desenha o padrão, a acção está executada.

Sem tela de atraso separada

O aplicativo abre o cofre designado enquanto executa a limpeza local e o trabalho de revogação de compartilhamento. O fluxo foi projetado para não adicionar uma tela de aviso separada, mas o desempenho do dispositivo, o estado do cofre e as condições da rede variam. Vaultaire não reivindica igualdade de tempo que um observador com instrumentos nunca poderia distinguir.

Nenhum aviso de limpeza no aplicativo

Vaultaire desativa análises antes da limpeza e não mostra uma notificação de “cofres excluídos”. Nesse dispositivo, o cofre preservado é aquele que permanece acessível através do aplicativo. Isso não apaga evidências fora do estado local atual do aplicativo e não deve ser tratado como uma promessa de indetectabilidade sob exame forense.

Qual estado local foi removido

A precisão é importante aqui. O Modo Coação remove estruturas locais específicas necessárias para encontrar e abrir cofres sem coação, ao mesmo tempo que preserva o armazenamento de blob criptografado compartilhado e qualquer armazenamento criptografado. iCloud cópia de segurança. É uma limpeza do estado de acesso local, e não uma afirmação de que todas as cópias físicas foram substituídas.

O sal criptográfico

O banco de dados de recuperação local mapeia frases de recuperação e campos de padrão herdados para acesso ao cofre. O modo de coação limpa esse banco de dados e cria uma nova entrada de recuperação apenas para o cofre designado. Isso remove os mapeamentos de recuperação local para os outros cofres sem fingir que o Vaultaire usou ou destruiu um salt separado para cada um.

Parâmetros de derivação de chaves

Cada índice criptografado do vault contém seus registros de arquivo e a chave mestra aleatória envolvida pela chave derivada do padrão desse vault. O modo de coação exclui todos os índices, exceto os do cofre designado. O PBKDF2 algoritmo e contagem de iterações são parâmetros de implementação pública; a segurança não depende de apagá-los.

Quando usar o modo de coacção

Passagens de fronteira

Em muitos países, os agentes de fronteira podem legalmente exigir que desbloqueie o dispositivo e o entregue para inspecção. Desenhar o padrão de coacção antes de entregar o telemóvel garante que não há nada para encontrar: apenas um cofre com algumas fotografias de férias.

Coacção física

O modo de coação foi concebido para situações de coação física ou obrigação legal em que decidiu que remover o acesso local aos cofres é preferível a expô-los de imediato. É uma decisão pessoal com consequências sérias: o Vaultaire fornece a ferramenta, mas não elimina cópias na nuvem, outros dispositivos, vestígios forenses nem deveres legais de preservação.

Apreensão do dispositivo

Os poderes de busca nas fronteiras e as obrigações dos viajantes variam de acordo com o país e as circunstâncias. Desenhar o padrão de coação antes de entregar seu telefone deixa um cofre acessível na interface e remove outro estado de acesso local, mas não pode garantir que um examinador não encontre artefatos de sistema de arquivos, backups criptografados, cópias de pares ou evidências anteriores.

Configurar o cofre de coacção

Se alguém está forçando você a desbloquear seu telefone sob ameaça, você precisa de uma maneira de limitar o que a interface comum revela. O modo Duress permite desenhar um padrão que parece cooperação. O coator vê o cofre designado aberto, enquanto a interface não anuncia a limpeza local simultânea de outro estado de acesso ao cofre.

Designe o cofre

Se você tiver motivos para acreditar que seu dispositivo será confiscado, o Modo Coação poderá remover o acesso não forçado ao cofre da instalação atual do aplicativo antes da transferência. Ele não pode garantir que um analista forense não tenha nada para examinar, especialmente se o dispositivo já estiver comprometido ou se existirem outras cópias e artefatos do sistema.

Preencha-o com conteúdo credível

Coloque no cofre de coacção conteúdo que alguém esperaria num cofre privado: algumas fotografias pessoais, talvez uma digitalização de um documento, alguns ficheiros que pareçam suficientemente privados para estar trancados, mas inocentes o suficiente para sobreviver a uma inspecção.

Escolha um padrão natural

O padrão de coação deve ser algo que você possa desenhar sob estresse, rapidamente, sem hesitação. Se você desenhar outro padrão válido, poderá abrir outro cofre ou um estado vazio. Pratique o gatilho em uma configuração de teste segura. Como todo padrão Vaultaire, ele deve conectar pelo menos seis pontos e fazer pelo menos duas mudanças de direção.

Teste-o

Antes de precisar dele, teste o modo de coacção num ambiente seguro. Crie cofres de teste, marque um cofre de coacção e active-o. Verifique que os outros cofres desapareceram. Verifique que o cofre de coacção abriu normalmente. Depois configure tudo a sério.

Irreversível

Os outros índices e mapeamentos de recuperação local saíram do estado do aplicativo ativo. O salt de todo o dispositivo e o pool de blobs criptografados compartilhados não são o alvo de limpeza e os backups criptografados na nuvem são preservados. Esse limite é deliberado: ele remove o acesso do dispositivo coagido enquanto mantém um caminho de recuperação controlado por frase para o proprietário.