Tvångsläge: Tyst lokal valvtorkning

Tvångsläget i Vaultaire låter dig utse ett valv som en tvångsutlösare. Genom att rita valvets mönster öppnas det normalt samtidigt som man tar bort valvindex utan tvång och lokala återställningsmappningar från den aktuella enheten. Befintlig krypterad iCloud säkerhetskopior och kopior av peer-enhet lämnas avsiktligt oförändrade.

Vad är Tvångsläge?

Tvångsläge är den sista försvarslinjen. Det är en funktion som du hoppas att du aldrig behöver, designad för det ögonblick då allt annat har misslyckats, när någon står över dig och kräver tillgång till dina privata filer och du inte har något annat val än att följa.

Så här fungerar det: du anger ett valv som ditt tvångsvalv. Du fyller den med innehåll som ser trovärdigt ut - några ofarliga foton, några vardagliga dokument. Sedan tilldelar du det ett mönster, precis som alla andra valv. I det vanliga upplåsningsgränssnittet ser det ut och öppnas som ett vanligt valv; filsystem och molnbevis förblir utanför det smala presentationsanspråket.

Skillnaden är vad som händer när du ritar det mönstret. Ett normalt valvmönster öppnar sitt eget valv. Tvångsmönstret gör det också, och visar det angivna valvets innehåll på skärmen, men det utlöser också en lokal rensning av indexen och återställningsmappingarna som gör de andra valven tillgängliga på den enheten.

Ingen bekräftelsedialogruta visas. Inget varningsljud spelas upp. Personen som tittar på dig ser ett valv öppet och dess filer visas. Vad gränssnittet inte meddelar är att andra lokala valvindex har raderats, lokala återställningsmappningar har rensats, pågående säkerhetskopieringsarbete har stoppats och enheten måste använda explicit frasbaserad återställning innan ett raderat valv kan återvända.

Hur det fungerar Under huven

Att förstå mekaniken är viktig eftersom tvångsläget har en smalare gräns än ett universellt raderingspåstående. Den ändrar tillstånd på den aktuella enheten; det lovar inte att radera CloudKit, en annan enhet, filsystemhistorik eller bevis som redan samlats in av en angripare.

Steg 1: Du ritar tvångsmönstret

När du ritar mönstret som är tilldelat ditt tvångsvalv känner Vaultaire igen det som en tvångsutlösare. Appen startar två operationer samtidigt: den börjar dekryptera och visa det angivna valvets innehåll, och den initierar lokal rensning av index och återställningsmappningar för vartannat valv.

Steg 2: Lokal åtkomststatus tas bort

Vaultaire använder en enhet över hela enheten Keychain salt för lokal mönsterhärledning, inte ett separat salt för varje valv. Tvångsläget förstör inte det delade saltet. Istället rensar den den krypterade lokala återställningsdatabasen och tar bort alla valvindex utom det angivna valvets index. Eftersom varje index innehåller den inslagna slumpmässiga huvudnyckeln och filkartan för det valvet, tar du bort valvet utan tvångsval från appens användbara lokala tillstånd.

Den krypterade blobpoolen kan finnas kvar eftersom valven delar den lagringen. Utan det borttagna indexet har Vaultaire ingen filkarta eller inslagna huvudnyckel för att öppna det borttagna valvet lokalt. Appen rensar också lokala återställningsmappningar så att den vanliga återställningsskärmen inte omedelbart kan räkna upp eller återställa dessa valv.

Steg 3: Molnåterställning är bevarad men isolerad

Befintlig krypterad iCloud säkerhetskopiering bevaras medvetet som en återställningsväg. Enheten återställs i väntan på säkerhetskopieringsarbete och går in i en isoleringsgräns så att den lokala raderingen inte laddas upp som en vanlig radering och dolda valv dras inte tillbaka automatiskt. Senare återhämtning är explicit, ett valv i taget, och kräver valvets återställningsfras snarare än bara mönstret som avslöjas under tvång.

Steg 4: Tvångsvalvet öppnas normalt

Medan den lokala rensningen körs, öppnas det utsedda valvet genom det normala gränssnittet. Vaultaire undertrycker analyser innan den startar, försöker återkalla aktiva delningar som skapats från valvet, återskapar dess återställningsfras och rensar tvångsbeteckningen efteråt. Appen presenterar ingen tvångsbekräftelse eller slutförandemeddelande, men slutförandetiden beror på lokalt arbete och eventuella återkallelser av nätverk; Vaultaire lovar inte en universell deadline på under andra sekunder.

Varför ingen kan berätta

Det omedelbara gränssnittet är utformat för att undvika att meddela tvångsläge för någon som vakar över din axel. Det är en användbar presentationsegenskap, inte bevis på att varje rättsmedicinsk observatör ser identisk enhetstillstånd. Filsystemartefakter, CloudKit poster, en annan synkroniserad enhet eller tidigare åtkomst till telefonen kan falla utanför vad appen kan dölja.

Ingen bekräftelsedialog

De flesta destruktiva åtgärderna i programvara kommer med en varning: "Är du säker?" Tvångsläge har ingen sådan varning. En bekräftelsedialog skulle vara en död giveaway. I samma ögonblick som du ritar mönstret vidtas åtgärden. Du kan inte av misstag trigga den om du inte av misstag ritar ett specifikt, komplext mönster på ett 5×5 rutnät, vilket inte är något som händer av en slump.

Ingen separat fördröjningsskärm

Appen öppnar det angivna valvet medan den utför lokal rensning och återkallande av andelar. Flödet är utformat för att inte lägga till en separat varningsskärm, men enhetens prestanda, valvtillstånd och nätverksförhållanden varierar. Vaultaire hävdar inte tidslikhet som en observatör med instrument aldrig kunde urskilja.

Inget meddelande om rensning i appen

Vaultaire inaktiverar analyser före rensningen och visar inte ett meddelande om att valv har tagits bort. På den enheten är det bevarade valvet det som förblir tillgängligt via appen. Detta raderar inte bevis utanför appens nuvarande lokala tillstånd, och det bör inte behandlas som ett löfte om oupptäckbarhet under rättsmedicinsk undersökning.

Vilken lokal stat tas bort

Precision spelar roll här. Tvångsläge tar bort specifika lokala strukturer som behövs för att hitta och öppna valv utan tvång, samtidigt som delad krypterad bloblagring och eventuell krypterad iCloud backup. Det är en lokal radering av åtkomsttillstånd, inte ett påstående om att varje fysisk kopia har skrivits över.

Den krypterade återställningsdatabasen

Den lokala återställningsdatabasen mappar återställningsfraser och äldre mönsterfält till valvåtkomst. Tvångsläge rensar databasen och skapar sedan en ny återställningspost endast för det angivna valvet. Detta tar bort lokala återställningsmappningar för de andra valven utan att låtsas att Vaultaire använde eller förstörde ett separat salt för var och en.

Vault-indexen utan tvång

Varje krypterat valvindex innehåller dess filposter och den slumpmässiga huvudnyckeln omsluten av valvets mönsterhärledda nyckel. Tvångsläget tar bort alla index utom det angivna valvet. Den PBKDF2 algoritm och iterationsantal är offentliga implementeringsparametrar; säkerheten är inte beroende av att radera dem.

Den krypterade data

Den delade krypterade blobpoolen behålls eftersom den också innehåller det angivna valvets innehåll. Data som bara tillhörde borttagna index kan bli oåtkomliga via appen, men Vaultaire hävdar inte säker fysisk överskrivning av varje flash-lagringsblock. Raderade index eller tidigare tillstånd kan också finnas kvar i lagringslager utanför appens kontroll.

När ska Tvångsläge användas

Tvångsläget är utformat för situationer där du möter fysiskt tvång eller juridiskt tvång och har bestämt dig för att ta bort lokal valvåtkomst är att föredra framför att exponera det. Detta är ett personligt beslut med allvarliga konsekvenser, och Vaultaire ger dig verktyget utan att ta beslutet åt dig.

Gränsövergångar

Gränssökningsbefogenheter och resenärers skyldigheter varierar beroende på land och omständigheter. Att rita tvångsmönstret innan du lämnar över din telefon lämnar ett valv tillgängligt i gränssnittet och tar bort andra lokala åtkomsttillstånd, men det kan inte garantera att en granskare inte hittar några filsystemartefakter, krypterade säkerhetskopior, peer-kopior eller tidigare bevis.

Fysiskt tvång

Om någon tvingar dig att låsa upp din telefon under hot behöver du ett sätt att begränsa vad det vanliga gränssnittet avslöjar. Tvångsläge låter dig rita ett mönster som ser ut som samarbete. Tvingaren ser det angivna valvet öppet, medan gränssnittet inte tillkännager den samtidiga lokala rensningen av andra valvåtkomsttillstånd.

Enhetsbeslag

Om du har anledning att tro att din enhet kommer att konfiskeras, kan tvångsläge ta bort åtkomst till valv utan tvång från den aktuella appinstallationen innan överlämnandet. Det kan inte garantera att en rättsmedicinsk analytiker inte har något att undersöka, särskilt om enheten redan var komprometterad eller om det finns andra kopior och systemartefakter.

Journalist och källskydd

Journalister som arbetar i fientliga miljöer, aktivister som arbetar under övervakning och alla vars data kan utsätta sig själva eller andra för fara. Tvångsläge förvandlar ett ögonblick av sårbarhet till ett ögonblick av skydd.

Konfigurera ditt tvångsvalv

Att konfigurera Tvångsläge tar cirka två minuter. Att göra det bra, gör det övertygande, kräver lite mer eftertanke.

Ange valvet

I Vaultaires inställningar anger du ett valv som tvångsvalv. Detta valv kommer att vara det som öppnas när tvångsmönstret ritas, så det måste innehålla innehåll som ser verkligt ut och uppfyller en observatörs förväntningar. Ett tomt valv är misstänkt. Ett valv med tydligt falskt innehåll är misstänkt. Ett valv med en handfull normala personliga bilder är perfekt.

Förvara det med trovärdigt innehåll

Lägg innehåll i ditt tvångsvalv som någon skulle förvänta sig att hitta i ett privat valv: några personliga foton, kanske en skanning av ett dokument, några filer som ser tillräckligt privata ut för att motivera låsning men tillräckligt ofarliga för att överleva granskning. Målet är inte att lura en kriminalteknisk undersökning, det är att tillfredsställa personen som står framför dig i stunden.

Välj ett naturligt mönster

Tvångsmönstret ska vara något du kan rita under stress, snabbt och utan att tveka. Om du ritar ett annat giltigt mönster kan du öppna ett annat valv eller ett tomt tillstånd istället. Öva på avtryckaren i en säker testuppställning. Som alla Vaultaire-mönster måste det ansluta minst sex punkter och göra minst två riktningsändringar.

Testa det

Innan du behöver det, testa Tvångsläge i en säker miljö. Skapa några testvalv, utse ett tvångsvalv och utlös det. Kontrollera att de andra valven är borta. Kontrollera att tvångsvalvet öppnade normalt. Ställ sedan in det på riktigt.

Det finns ingen ångra

Detta måste sägas tydligt: när tvångsläget utlöses finns det ingen ångraknapp för den lokala rensningen. Vaultaire-support kan inte rekonstruera ditt mönster eller återställningsfras. Om du har aktiverat krypterad iCloud säkerhetskopiera i förväg och behöll återställningsfrasen, kan du senare återställa ett valv i taget. Utan båda kan det borttagna lokala åtkomsttillståndet göra att du inte kan återställa valvet.

De andra indexen och lokala återställningsmappningarna är borta från det aktiva apptillståndet. Den enhetsomfattande salt- och delade krypterade blobpoolen är inte raderingsmålet, och krypterade molnsäkerhetskopior bevaras. Denna gräns är avsiktlig: den tar bort åtkomst från den påtvingade enheten samtidigt som den behåller en fraskontrollerad återställningsväg för ägaren.

Tvångsläge är designat för personer som förstår denna avvägning och har bestämt sig i förväg att de hellre vill ta bort omedelbar åtkomst från den aktuella enheten än att exponera valvet under tvång. Om du inte säkert kan behålla återställningsfrasen och en krypterad säkerhetskopia, anta att den lokala rensningen kan kosta dig åtkomst till det valvet.

Avvägningen är specifik snarare än absolut. Lokal radering börjar utan bekräftelse, medan senare återställning endast är möjlig via den separata moln- och återställningsfrasvägen. Testa funktionen med okänslig data innan du bestämmer dig för om det beteendet matchar din hotmodell.