Fraza secretă: Ancora de salvare a seifului

Vaultaire generează o propoziție personalizată care conține 9 cuvinte separate de propoziție de recuperare, mai degrabă decât o propoziție de 12 sau 24 de cuvinte BIP-39 mnemonic. PBKDF2-HMAC-SHA512 procesează fraza normalizată pentru 800.000 de iterații pentru a obține o cheie de recuperare. Acea cheie deschide un AES-GCM plic criptat care conține cheia seifului la nivel local sau cheia seifului și cheia de rezervă la restaurarea unui seif criptat iCloud backup.

Ce este fraza secretă?

Fiecare seif Vaultaire are o ierarhie de chei stratificată. Modelul dvs. derivă o cheie de seif, acea cheie de seif deblochează indexul criptat, iar indexul conține o cheie principală aleatorie încapsulată folosită pentru criptarea fișierelor. Dar ce se întâmplă dacă îți uiți modelul? Ce se întâmplă dacă lunile trec și memoria musculară se estompează? Fără o cale separată de recuperare, cheia seifului ar rămâne la îndemână.

Aici intervine expresia secretă. Când creați un nou seif, Vaultaire generează o propoziție gramaticală care conține nouă cuvinte obișnuite în limba engleză - cuvinte selectate din mai multe liste specifice unui rol folosind aleatoriu criptografic sigur. Acesta este un format de recuperare personalizat, nu BIP-39. Cuvintele nu codifică cheia seifului derivată din model. În schimb, propoziția normalizată devine intrarea la PBKDF2, iar cheia de recuperare rezultată decriptează un plic care conține cheia seifului.

Gândiți-vă la asta astfel: modelul și expresia de recuperare sunt două acreditări care pot deschide ambalaje diferite în jurul aceluiași material de acces la seif. Modelul este acreditările pe care le utilizați în fiecare zi. Fraza de recuperare deschide plicul de urgență pe care îl păstrați pentru ziua în care memoria musculară eșuează sau un dispozitiv nou trebuie să găsească o copie de rezervă criptată.

Cum funcționează fraza secretă

Fraza secretă este o acreditare separată și, prin urmare, o modalitate separată de a ataca sau de a recupera seiful. Nu este o altă reprezentare a cheii derivate din model. Expresia derivă propria sa cheie de recuperare pe 256 de biți, iar cheia respectivă autentifică și decriptează un mic plic care conține cheia seifului. Această separare permite expresiei să rămână portabilă în timp ce cheia normală a seifului local rămâne legată de cea a dispozitivului Keychain sare.

Generarea

Când creați un seif, Vaultaire selectează cuvinte cu caracter aleatoriu sigur din punct de vedere criptografic și le plasează într-unul dintre mai multe șabloane gramaticale. Propoziția generată conține în mod normal 9 cuvinte separate și este verificată de estimatorul aplicației pentru puterea frazei. De asemenea, puteți furniza o expresie personalizată de cel puțin 6 cuvinte separate dacă trece validarea. Expresia este normalizată, procesată prin 800.000 PBKDF2-HMAC-SHA512 iterații și utilizate pentru a cripta plicul portabil de recuperare.

Afișarea

Vaultaire arată fraza în timpul creării seifului și vă cere să confirmați că ați salvat-o. De asemenea, stochează fraza în interiorul unui AES-GCM baza de date de recuperare criptată în iOS Keychain astfel încât expresia să poată fi afișată mai târziu din setările acelui seif și utilizată pentru a publica un manifest de recuperare criptat atunci când iCloud backup este activat. Vaultaire nu primește fraza pe un server al companiei și nici nu o include în analize.

Recuperarea

Dacă vă uitați modelul, deschideți Vaultaire și alegeți opțiunea de recuperare. Pe dispozitivul original, baza de date criptată de recuperare mapează fraza la plicul său. Pentru un criptat iCloud restaurare, un localizator determinist găsește manifestul de recuperare adresat expresiei. În ambele cazuri, AES-GCM decriptarea autentificată verifică cheia derivată din frază înainte de a elibera materialul de acces la seif. Apoi puteți deschide seiful și puteți seta un nou model.

De ce există fraza secretă

Vaultaire nu are niciun serviciu de cont care să primească modelul, expresia de recuperare, cheia seifului, cheia de rezervă sau conținutul seifului care poate fi citit. Backup-urile criptate trăiesc în privat CloudKit baza de date, iar Vaultaire nu deține o cheie separată de recuperare a furnizorului. Aceasta elimină o cale de resetare a parolei operată de companie: asistența nu poate înlocui un model sau o expresie pierdută cu o acreditări de cont.

Fraza secretă este răspunsul lui Vaultaire la acest compromis. Vă oferă o acreditare care poate fi citită de om pentru o copie criptată a materialului de acces la seif, fără a oferi lui Vaultaire o cheie de decriptare deținută de furnizor. Expresia este stocată local în protected Keychain date și ar trebui, de asemenea, păstrate într-un loc pe care îl controlați. Dacă nu rămâne nici modelul dvs., nici o copie utilizabilă a frazei, Vaultaire nu poate reseta criptarea dintr-un cont de companie.

Securitatea frazei secrete

Fraza secretă este una dintre cele mai sensibile acreditări asociate cu seiful dvs. Oricine are expresia și datele de recuperare locale corespunzătoare sau criptate iCloud backup poate fi capabil să recupereze cheile seifului și să vă acceseze datele. De aceea, Vaultaire își păstrează copia locală în interior criptată Keychain stocare — și de ce ar trebui să protejați orice copie pe care o faceți.

Afișată o dată, apoi dispare

Vaultaire afișează fraza în timpul creării seifului, astfel încât să puteți face o copie independentă. De asemenea, aplicația poate încărca și afișa fraza salvată din setările seifului deschis. Această comoditate schimbă modelul de amenințare: cineva care poate debloca seiful și poate ajunge la setările acestuia poate fi capabil să citească fraza, așa că iPhone codul de acces, modelul Vaultaire și controlul fizic al dispozitivului rămân importante.

Niciodată stocată, niciodată transmisă

Expresia este salvată într-o bază de date de recuperare criptată stocată ca WhenUnlockedThisDeviceOnly Keychain articol. Un aleatoriu separat Keychain cheie protejează baza de date cu AES-GCM. Când este criptat iCloud backup este activat, Vaultaire încarcă un locator de fraze determinist și un AES-GCM manifest de recuperare criptat; fraza de text simplu nu este plasată în acea înregistrare. Sintagma este exclusă din analiză și Vaultaire nu o primește.

Fără recuperare

Dacă pierdeți atât modelul, cât și fiecare copie utilizabilă a frazei secrete, Vaultaire nu are nicio cheie de resetare a contului sau cheie deținută de furnizor care să poată decripta seiful pentru dvs. Dacă recuperarea locală rămâne posibilă, depinde de ceea ce este protejat Keychain iar datele din seif încă supraviețuiesc pe dispozitiv. Un criptat iCloud backup necesită în continuare fraza de recuperare sau cheia de rezervă derivată din model care se potrivește.

Practici recomandate pentru fraza secretă

Fraza secretă este backup-ul final al celor mai private date ale dumneavoastră. Tratați-o în consecință.

Notați-o pe hârtie

Folosiți creion și hârtie. Notați clar fiecare cuvânt, în ordine, numerotat. Hârtia nu poate fi hackuită de la distanță. Malware-ul nu o poate compromite. Nu poate fi exfiltrată în tăcere dintr-un serviciu cloud. O bucată de hârtie într-un loc sigur este cea mai rezistentă formă de stocare de rezervă inventată vreodată.

Nu o stocați niciodată digital

Nu puneți o copie neprotejată într-o aplicație de note, într-o bibliotecă de capturi de ecran sau într-un cont de e-mail. Fiecare copie digitală suplimentară creează un alt loc în care expresia ar putea fi expusă de malware, o încălcare a datelor sau compromiterea contului. Vaultaire păstrează deja o copie locală protejată pentru recuperare și afișarea setărilor; orice copie suplimentară ar trebui să fie securizată în funcție de riscul datelor pe care le protejați.

Păstrați-o într-un loc sigur

Stocați hârtia undeva sigur și privat. Un seif de acasă, o cutie de valori sau un sertar blocat la care aveți acces doar dumneavoastră. Luați în considerare aceleași precauții ca pentru un document legal important. Dacă aveți mai multe seifuri, etichetați clar fiecare frază pentru a ști cărei seif îi aparține.

Luați în considerare o persoană de încredere

Dacă vi se întâmplă ceva, ar trebui ca cineva să aibă acces la seif? Dacă da, puteți da o copie a frazei unei persoane de încredere sau o puteți include într-un plic sigilat alături de documentele succesorale. Aceasta este o decizie personală, dar merită să vă gândiți la ea înainte ca problema să devină urgentă.