Nátlakový režim: Odstránenie prístupu k ostatným trezorom

Nátlakový režim vo Vaultaire vám umožní označiť jeden trezor ako spúšťač nátlaku. Nakreslenie jeho vzoru trezor normálne otvorí a z aktuálneho zariadenia odstráni indexy ostatných trezorov, ich súbory úložiska a miestne mapovania obnovy. Existujúce šifrované zálohy iCloud a kópie na iných zariadeniach zostanú zámerne nezmenené.

Čo je nátlakový režim?

Nátlakový režim je posledná obranná línia. Je to funkcia, o ktorej dúfate, že ju nikdy nebudete potrebovať, navrhnutá pre okamih, keď všetko ostatné zlyhalo: keď niekto stojí nad vami, požaduje prístup k vašim súkromným súborom a vy nemáte inú možnosť než vyhovieť.

Funguje to takto: jeden trezor určíte ako svoj trezor nátlaku. Naplníte ho obsahom, ktorý vyzerá hodnoverne: niekoľko neškodných fotiek, pár všedných dokumentov. Potom mu priradíte vzor, rovnako ako ktorémukoľvek inému trezoru. V bežnom odomykacom rozhraní vyzerá a otvára sa ako normálny trezor; stopy v súborovom systéme a v cloude však toto úzke tvrdenie o vzhľade nepokrýva.

Rozdiel je v tom, čo sa stane, keď nakreslíte tento vzor. Normálny vzor trezoru otvorí svoj vlastný trezor. Nátlakový vzor to urobí tiež a zobrazí obsah určeného trezoru na obrazovke, zároveň však spustí miestne vymazanie indexov a mapovaní obnovy, ktoré na tomto zariadení sprístupňujú ostatné trezory.

Nezobrazí sa žiadny potvrdzovací dialóg. Nezaznie žiadny varovný zvuk. Osoba, ktorá vás sleduje, vidí, ako sa trezor otvorí a zobrazia sa jeho súbory. Rozhranie neoznámi, že sa vymazali ostatné miestne indexy trezorov, vyčistili miestne mapovania obnovy, zastavilo čakajúce zálohovanie a že zariadenie musí pred návratom odstráneného trezoru použiť výslovnú obnovu pomocou frázy.

Ako to funguje pod povrchom

Porozumieť mechanike je dôležité, pretože Nátlakový režim má užšiu hranicu než tvrdenie o univerzálnom vymazaní. Mení stav na aktuálnom zariadení; nesľubuje vymazanie CloudKitu, iného zariadenia, histórie súborového systému ani dôkazov, ktoré už útočník získal.

Krok 1: Nakreslíte nátlakový vzor

Keď nakreslíte vzor priradený trezoru nátlaku, Vaultaire ho rozpozná ako spúšťač nátlaku. Aplikácia naraz spustí dve operácie: začne dešifrovať a zobrazovať obsah určeného trezoru a spustí miestne vyčistenie indexov a mapovaní obnovy všetkých ostatných trezorov.

Krok 2: Odstráni sa miestny stav prístupu

Vaultaire používa na miestne odvodenie zo vzoru jednu soľ v Kľúčenke pre celé zariadenie, nie samostatnú soľ pre každý trezor. Nátlakový režim túto spoločnú soľ neničí. Namiesto toho vyčistí šifrovanú miestnu databázu obnovy a vymaže všetky indexy trezorov okrem indexu určeného trezoru spolu so súbormi úložiska ostatných trezorov. Keďže každý index obsahuje zabalený náhodný hlavný kľúč a mapu súborov daného trezoru, jeho odstránením sa trezor mimo nátlaku dostane z použiteľného miestneho stavu aplikácie.

Nátlakový režim odstráni stránky a arény ostatných trezorov zo zdieľaného priečinka úložiska obyčajným vymazaním bez prepísania, takže vo flash úložisku môžu zostať staré bloky. Bez vymazaného indexu nemá Vaultaire mapu súborov ani zabalený hlavný kľúč, ktorými by odstránený trezor miestne otvoril. Aplikácia tiež vyčistí miestne mapovania obnovy, takže bežná obrazovka obnovy tieto trezory nedokáže okamžite vymenovať ani obnoviť.

Krok 3: Cloudová obnova sa zachová, ale izoluje

Existujúca šifrovaná záloha iCloud sa zámerne zachová ako cesta k obnove. Zariadenie zruší čakajúcu prácu zálohovania a prejde za izolačnú hranicu, aby sa miestne vymazanie nenahralo ako bežné odstránenie a skryté trezory sa automaticky nestiahli späť. Neskoršia obnova je výslovná, po jednom trezore, a vyžaduje frázu na obnovenie daného trezoru, nielen vzor prezradený pod nátlakom.

Krok 4: Trezor nátlaku sa normálne otvorí

Kým beží miestne vyčistenie, určený trezor sa otvorí cez bežné rozhranie. Vaultaire pred začatím vypne analytiku a nechá ju vypnutú, kým ju znova nezapnete, pokúsi sa zrušiť aktívne zdieľania vytvorené z tohto trezoru, vygeneruje preň novú frázu na obnovenie a potom zruší jeho označenie ako trezoru nátlaku. Aplikácia nezobrazí žiadne potvrdenie ani hlásenie o dokončení, čas dokončenia však závisí od miestnej práce a prípadného rušenia zdieľaní cez sieť; Vaultaire nesľubuje univerzálny limit pod jednu sekundu.

Čo tiché rozhranie skryje a čo nie

Okamžité rozhranie je navrhnuté tak, aby Nátlakový režim neoznámilo niekomu, kto vám pozerá cez plece. Je to užitočná vlastnosť zobrazenia, nie dôkaz, že každý forenzný pozorovateľ uvidí rovnaký stav zariadenia. Stopy v súborovom systéme, záznamy v CloudKite, iné synchronizované zariadenie alebo skorší prístup k telefónu môžu byť mimo toho, čo aplikácia dokáže skryť.

Žiadny potvrdzovací dialóg

Väčšina deštruktívnych akcií v softvéri prichádza s varovaním: „Ste si istí?“ Nátlakový režim žiadne také varovanie nemá. Potvrdzovací dialóg by všetko prezradil. V okamihu, keď nakreslíte vzor, akcia sa vykoná. Náhodne ho nespustíte, iba ak by ste náhodou nakreslili konkrétny zložitý vzor na mriežke 5×5, a to sa náhodou nestáva.

Žiadna samostatná obrazovka oneskorenia

Aplikácia otvorí určený trezor, zatiaľ čo vykonáva miestne vyčistenie a rušenie zdieľaní. Postup je navrhnutý tak, aby nepridával samostatnú varovnú obrazovku, výkon zariadenia, stav trezoru a podmienky siete sa však líšia. Vaultaire netvrdí časovú zhodu, ktorú by pozorovateľ s prístrojmi nikdy nerozlíšil.

Žiadne upozornenie na vymazanie v aplikácii

Vaultaire pred vymazaním vypne analytiku a nezobrazí upozornenie „trezory boli vymazané“. Analytika zostane vypnutá aj po novom spustení aplikácie, kým ju znova nezapnete. Nastavenie nátlaku je položka v Kľúčenke, takže skúmajúci s prístupom ku Kľúčenke vidí, že bol nastavený trezor nátlaku. Na tomto zariadení zostane cez aplikáciu prístupný len zachovaný trezor. Dôkazy mimo aktuálneho miestneho stavu aplikácie to nevymaže a nemali by ste to brať ako sľub nezistiteľnosti pri forenznom skúmaní.

Aký miestny stav sa odstráni

Na presnosti tu záleží. Nátlakový režim odstráni konkrétne miestne štruktúry potrebné na nájdenie a otvorenie trezorov mimo nátlaku aj ich súbory úložiska, pričom zachová soľ zariadenia aj každú šifrovanú zálohu iCloud. Súbory maže bez prepísania, takže netvrdí, že sa prepísala každá fyzická kópia.

Šifrovaná databáza obnovy

Miestna databáza obnovy priraďuje frázy na obnovenie a staršie polia vzorov k prístupu do trezorov. Nátlakový režim túto databázu vyčistí a potom vytvorí nový záznam obnovy len pre určený trezor. Tým odstráni miestne mapovania obnovy ostatných trezorov bez predstierania, že Vaultaire pre každý z nich používal alebo zničil samostatnú soľ.

Indexy trezorov mimo nátlaku

Každý šifrovaný index trezoru obsahuje záznamy o súboroch a náhodný hlavný kľúč zabalený kľúčom odvodeným zo vzoru daného trezoru. Nátlakový režim vymaže všetky indexy okrem indexu určeného trezoru. Algoritmus PBKDF2 a počet iterácií sú verejné parametre implementácie; bezpečnosť nezávisí od ich vymazania.

Šifrované údaje

Nátlakový režim vymaže zo zdieľaného priečinka úložiska šifrované stránky a arény ostatných trezorov aj krycie arény a zachovanému trezoru potom vytvorí nové krycie súbory. Ide o obyčajné odstránenie bez prepísania a Vaultaire netvrdí bezpečné fyzické prepísanie každého bloku flash úložiska. Vymazané indexy alebo predchádzajúci stav môžu pretrvávať aj vo vrstvách úložiska mimo kontroly aplikácie.

Kedy použiť nátlakový režim

Nátlakový režim je navrhnutý pre situácie, keď čelíte fyzickému nátlaku alebo zákonnému donúteniu a rozhodli ste sa, že odstrániť miestny prístup k trezoru je lepšie, než ho odhaliť. Je to osobné rozhodnutie so závažnými dôsledkami a Vaultaire vám dáva nástroj bez toho, aby rozhodoval za vás.

Hraničné priechody

Právomoci pri hraničných prehliadkach a povinnosti cestujúcich sa líšia podľa krajiny a okolností. Ak pred odovzdaním telefónu nakreslíte nátlakový vzor, v rozhraní zostane prístupný jeden trezor a ostatný miestny stav prístupu sa odstráni, nezaručuje to však, že skúmajúci nenájde stopy v súborovom systéme, šifrované zálohy, kópie na iných zariadeniach ani skoršie dôkazy.

Fyzický nátlak

Ak vás niekto pod hrozbou núti odomknúť telefón, potrebujete spôsob, ako obmedziť, čo bežné rozhranie prezradí. Nátlakový režim vám umožní nakresliť vzor, ktorý vyzerá ako spolupráca. Ten, kto vás núti, vidí otvorený určený trezor, zatiaľ čo rozhranie neoznámi súbežné miestne vyčistenie stavu prístupu k ostatným trezorom.

Zaistenie zariadenia

Ak máte dôvod predpokladať, že vám zariadenie zhabajú, Nátlakový režim dokáže pred odovzdaním odstrániť z aktuálnej inštalácie aplikácie prístup k trezorom mimo nátlaku. Nemôže zaručiť, že forenzný analytik nebude mať čo skúmať, najmä ak už bolo zariadenie napadnuté alebo existujú iné kópie a systémové stopy.

Ochrana novinárov a zdrojov

Novinári pracujúci v nepriateľskom prostredí, aktivisti pod dohľadom a každý, koho údaje by mohli ohroziť jeho samého alebo iných. Nátlakový režim mení chvíľu zraniteľnosti na chvíľu ochrany.

Nastavenie trezoru nátlaku

Nastavenie Nátlakového režimu trvá asi dve minúty. Urobiť to dobre, teda presvedčivo, si vyžaduje o niečo viac premýšľania.

Určite trezor

V nastaveniach Vaultaire určíte jeden trezor ako trezor nátlaku. Práve ten sa otvorí po nakreslení nátlakového vzoru, preto musí obsahovať obsah, ktorý vyzerá skutočne a splní očakávania pozorovateľa. Prázdny trezor je podozrivý. Trezor so zjavne falošným obsahom je podozrivý. Trezor s hŕstkou bežne vyzerajúcich osobných fotiek je ideálny.

Naplňte ho hodnoverným obsahom

Do trezoru nátlaku vložte obsah, ktorý by niekto v súkromnom trezore očakával: pár osobných fotiek, možno sken dokumentu, niekoľko súborov dosť súkromných na to, aby ich zamknutie dávalo zmysel, no dosť nevinných, aby obstáli pri kontrole. Cieľom nie je oklamať forenzné vyšetrovanie, ale uspokojiť osobu, ktorá v tej chvíli stojí pred vami.

Zvoľte prirodzený vzor

Nátlakový vzor by mal byť taký, ktorý dokážete v strese nakresliť rýchlo a bez zaváhania. Ak nakreslíte iný platný vzor, môžete namiesto toho otvoriť iný trezor alebo prázdny stav. Spúšťač si precvičte v bezpečnom testovacom nastavení. Ako každý vzor vo Vaultaire musí spájať aspoň šesť bodov a aspoň raz zmeniť smer.

Otestujte ho

Skôr než ho budete potrebovať, otestujte Nátlakový režim v bezpečnom prostredí. Vytvorte niekoľko testovacích trezorov, určte trezor nátlaku a spustite ho. Overte, že sa ostatné trezory na tomto zariadení už neotvoria. Overte, že sa trezor nátlaku normálne otvoril. Potom ho nastavte naostro.

Nemožno vrátiť

Treba to povedať jasne: keď sa Nátlakový režim spustí, miestne vymazanie nemá tlačidlo Späť. Podpora Vaultaire nedokáže zrekonštruovať váš vzor ani frázu na obnovenie. Ak bola šifrovaná záloha iCloud (predvolene zapnutá) predtým stále zapnutá a frázu na obnovenie ste si ponechali, môžete neskôr obnoviť jeden trezor po druhom. Bez oboch vám vymazaný miestny stav prístupu môže znemožniť obnovu trezoru.

Ostatné indexy a miestne mapovania obnovy zmizli z aktívneho stavu aplikácie. Ich súbory úložiska sa odstránia bez prepísania. Soľ pre celé zariadenie nie je cieľom vymazania a šifrované cloudové zálohy zostanú zachované. Táto hranica je zámerná: odstraňuje prístup z vynúteného zariadenia a zároveň ponecháva vlastníkovi cestu k obnove riadenú frázou.

Nátlakový režim je navrhnutý pre ľudí, ktorí tomuto kompromisu rozumejú a vopred sa rozhodli, že radšej odstránia okamžitý prístup z aktuálneho zariadenia, než by pod nátlakom odhalili trezor. Ak si nemôžete bezpečne ponechať frázu na obnovenie a šifrovanú zálohu, počítajte s tým, že vás miestne vymazanie môže pripraviť o prístup k tomuto trezoru.

Kompromis je konkrétny, nie absolútny. Miestne vymazanie začne bez potvrdenia, zatiaľ čo neskoršia obnova je možná len cez samostatnú cestu cez cloud a frázu na obnovenie. Skôr než sa rozhodnete, či toto správanie zodpovedá vášmu modelu hrozieb, otestujte funkciu na necitlivých údajoch.