Skryté trezory bez viditeľného zoznamu trezorov

Skryté trezory vo Vaultaire sú rozhraním a vlastnosťou smerovania kľúčov: aplikácia nezobrazuje žiadny zoznam medzi trezormi s obyčajným textom a trezor otvorí až po odvodení kľúča zo vzoru. Na disku zostávajú samostatné zašifrované indexové súbory spočítateľné, takže tento dizajn nerobí počet trezorov forenzne neviditeľným.

Čo v skutočnosti znamenajú “skryté trezory”?

Väčšina archívnych aplikácií funguje ako kartotéky. Otvoríte aplikáciu a vidíte zoznam trezorov. Možno majú názvy. Možno zobrazujú počet. Aplikácia presne vie, koľko trezorov máte, a tieto informácie sú viditeľné pre každého, kto otvorí aplikáciu alebo preskúma zariadenie.

Vaultaire funguje v rozhraní inak. Neexistuje žiadna obrazovka so zoznamom vašich názvov trezorov ani otázkou, ktorý z nich sa má odomknúť. Keď nakreslíte vzor, aplikácia odvodí 256-bitový kľúč trezora PBKDF2, hashuje tento kľúč na vytvorenie očakávaného súboru indexu a pokúsi sa overené dešifrovanie tohto zašifrovaného indexu. Ak index existuje a jeho AES-GCM overí, Vaultaire rozbalí náhodný hlavný kľúč a otvorí súbory. V opačnom prípade predstavuje prázdny stav.

Toto smerovanie je súčasťou architektúry úložiska, ale jeho ochrana má limity. Vaultaire neudržiava hlavný register s obyčajným textom, ktorý mapuje trezory na vzory alebo štítky. Vytvára presne 1 zašifrovaný indexový súbor pre každý trezor a aplikácia má cesty údržby, ktoré tieto súbory vymenúvajú. Skúšajúci súborový systém môže preto počítať zašifrované indexy, aj keď nemôže čítať obsah indexu bez kľúča.

Toto nie sú “skryté priečinky”

Pojem “skrytý trezor” vás možno prinúti myslieť na aplikácie, ktoré ukryjú priečinok mimo jednoduchého dosahu. Ide o maskovacie triky a všetky zdieľajú rovnakú fatálnu chybu: skryté dáta sú stále tam, na známom mieste, čakajú na nájdenie.

Forenzný vyšetrovateľ s prístupom k vášmu zariadeniu skrytý priečinok triviálne nájde. Nástroje súborového systému vylistujú každý adresár. Analyzátory úložiska ukážu, kde je alokované miesto na disku.

Vaultaire sa nespolieha na maskovaný priečinok alebo vzhľad kalkulačky. Vo svojom kontajneri aplikácií ukladá šifrované indexy trezorov a šifrované súbory blob. Obsah indexu skrýva názvy súborov používateľov, MIME typy, dátumy, mapy súborov a zabalené hlavný kľúč AES-256-GCM. Tento obsah sa nestane čitateľným, kým správny kľúč odvodený zo vzoru neoverí index.

Čo prezrádza rozloženie úložiska

Aj bez zoznamu trezorov by šikovný protivník mohol skúsiť iný prístup: analýzu využitia disku. Ak Vaultaire dnes používa 500 MB úložiska a zajtra 800 MB, možno ste pridali trezor.

Vaultaire neudržiava konštantnú stopu lokálneho úložiska. Pridávanie súborov spotrebúva úložný priestor, odstránením úložiska sa môže uvoľniť úložný priestor a pre každý trezor existuje jeden zašifrovaný indexový súbor. Šifrovanie chráni obsah a integritu, ale nevymaže všetky informácie o veľkosti, počte a načasovaní zo súborového systému.

Bajty výplne sú nerozoznateľné od zašifrovaných dát. Oba sú sekvenciami bajtov, ktoré vyzerajú náhodne. Neexistuje žiadna hlavička, žiadny marker ani žiadne metadáta, ktoré by identifikovali, ktoré bajty sú výplňou a ktoré zašifrovaným obsahom trezoru.

Forenzná odolnosť: Čo sa stane, keď vám vezmú telefón

Buďme konkrétni, pokiaľ ide o model hrozby. Niekto, kto sa pozrie cez aplikáciu, nevidí žiadny katalóg trezoru. Niekto, kto získa prístup ku kontajneru aplikácie prostredníctvom napadnutého alebo odomknutého zariadenia, má lepší prehľad a môže kontrolovať názvy súborov, počty, veľkosti, časové pečiatky, Keychain dostupnosť a šifrované užitočné zaťaženie.

Čo forenzné nástroje môžu vidieť

Lokálne indexy trezorov a súbory blob majú stále rozpoznateľné názvy a veľkosti súborov na úrovni aplikácie. AES-GCM skryje ich otvorený text a zistí modifikáciu; nerobí to každý bajt alebo artefakt súborového systému na nerozoznanie od ľubovoľných náhodných sektorov disku.

Čo forenzné nástroje nemôžu určiť

• Čitateľné štítky trezorov a mapy súborov. Šifrovaný index chráni záznamy o súboroch a zabalený náhodný hlavný kľúč.
• Pôvodné názvy súborov a MIME typy. Tieto polia sa nachádzajú vo vnútri overených zašifrovaných hlavičiek súborov a nie v názvoch adresárov v obyčajnom texte.
• Čo je v ľubovoľnom trezore. Zašifrované dáta sú bez správneho kľúča nerozoznateľné od náhodného šumu.
• Koľko skutočných dát existuje. Výplň robí skutočný objem dát neurčiteľným.

Ako skryté trezory umožňujú vierohodné popretie

To môže obmedziť odhalenie počas bežnej kontroly alebo surfovania cez rameno, ale nespĺňa to najsilnejšiu forenznú definíciu hodnovernej popierateľnosti. Skúšajúci s prístupom ku kontajneru aplikácie môže počítať zašifrované indexy. Použite túto funkciu ako oddelenie rozhrania, nie ako dôkaz, že neexistuje žiadny ďalší trezor.

Prečo na tom záleží

Možno si myslíte, že forenzná odolnosť znie extrémne. Väčšina ľudí nečelí zaisteniu zariadenia ani súdnym príkazom. Ale princíp za skrytými trezormi vás chráni aj v každodenných scenároch.

Osoba, ktorá sa dostane na uzamknutú obrazovku Vaultaire, nedostane zoznam mien trezorov, na ktoré sa má zamerať. Spolupracovník, ktorý si požičiava vaše zariadenie, nemôže prechádzať medzi trezormi pomocou nástroja na výber. Zlodej stále vie, že je nainštalovaný Vaultaire a môže sa zamerať na aplikáciu alebo zariadenie, ale šifrovaný obsah zostáva chránený vzorom, PBKDF2 náklady, AES-GCM, a okolie iOS bezpečnostná hranica.