เคสสำหรับ Vaultaire

มีข้อบกพร่องร้ายแรง: ดูเหมือนแอปความเป็นส่วนตัว

โฟลเดอร์ที่ถูกล็อคจะประกาศว่าถูกล็อค แกลเลอรีที่ซ่อนอยู่ชื่อ “Calculator+” ไม่มีใครหลอกใครที่กำลังมองอยู่ ตู้เก็บภาพถ่าย “secure” ทุกตู้ใน iPhone ของคุณมีปัญหาเดียวกัน นั่นคือพิสูจน์ว่าคุณมีสิ่งที่ซ่อนอยู่

เมื่อมีคนบังคับให้คุณปลดล็อคโทรศัพท์ของคุณ ไม่ว่าจะเป็นเจ้าหน้าที่ชายแดน พันธมิตรที่ไม่เหมาะสม หรือรัฐบาลเผด็จการ พวกเขาเห็นแอป เห็นล็อค และพวกเขาจะไม่หยุดจนกว่าคุณจะเปิด

Vaultaire ไม่ได้เปิดมาที่รายการห้องนิรภัยที่มีชื่อ รูปแบบหนึ่งชี้ไปยังห้องนิรภัยที่เข้ารหัสหนึ่งห้อง และอินเทอร์เฟซไม่ได้บอกว่ามีห้องนิรภัยอื่น

พื้นที่จัดเก็บรูปภาพที่เข้ารหัสควรใช้งานได้จริงอย่างไร

วาดรูปแบบบนตาราง PBKDF2 จะสร้างคีย์ห้องนิรภัยในเครื่อง ซึ่งใช้รับรองความถูกต้องของดัชนีที่เข้ารหัส และแกะมาสเตอร์คีย์แบบสุ่มที่ใช้เข้ารหัสไฟล์ด้วย AES-256-GCM ออก วาดรูปแบบอื่นที่ตั้งค่าไว้ ห้องนิรภัยที่เข้ารหัสอีกห้องก็จะเปิดได้ การดำเนินการ AES ทำงานในโปรเซสของแอปผ่าน CryptoKit Vaultaire ไม่ได้อ้างว่าเข้ารหัสแบบสมมาตรทั่วไปภายใน Secure Enclave

ป้อนรูปแบบที่ไม่มีดัชนีตรงกันหรือ? ไม่มีข้อความ “รหัสผ่านไม่ถูกต้อง” และไม่มีรายการห้องนิรภัยอื่น มีเพียงหน้าสร้างห้องนิรภัยว่าง ความเหมือนกันนี้ใช้กับอินเทอร์เฟซเท่านั้น ชื่อไฟล์ดัชนีและแท็ก AES-GCM ที่ถูกคัดลอกไปยังทำให้ผู้โจมตีที่เข้าถึงระบบไฟล์ตรวจสอบการเดาแบบออฟไลน์ได้

อินเทอร์เฟซไม่แสดงรายการห้องนิรภัยอื่น แต่ขอบเขตการจัดเก็บระบุไว้ชัดเจน: ไฟล์ดัชนีหลักอยู่ในพูลที่เติมให้ครบเป็นช่วงละ 64 ด้วยไฟล์ปลอมแบบสุ่ม และห้องนิรภัยทุกห้องใช้โฟลเดอร์จัดเก็บร่วมกัน 1 โฟลเดอร์โดยตั้งชื่อไฟล์แบบสุ่ม แต่ผู้ตรวจสอบระบบไฟล์ยังประมาณได้ว่ามีห้องนิรภัยที่เก็บไฟล์อยู่กี่ห้อง พื้นที่ที่ใช้จะเปลี่ยนไปตามเนื้อหาที่เข้ารหัส ผู้ตรวจสอบอาจคัดลอกไซเฟอร์เท็กซ์ได้ ส่วนคีย์ที่สร้างจากรูปแบบและมาสเตอร์คีย์แบบสุ่มปกป้องแผนผังไฟล์และเนื้อหาที่อ่านได้

นี่ไม่ใช่การล็อคประตู เป็นกำแพงที่เคยเป็นประตู

เหตุใดสถาปัตยกรรมที่ไม่มีความรู้จึงมีความสำคัญ

หน้าจอล็อกอย่างเดียวพิสูจน์ไม่ได้ว่าไฟล์ถูกเข้ารหัส ห้องนิรภัยรูปภาพใด ๆ ควรตัดสินจากรูปแบบการจัดเก็บ ลำดับชั้นคีย์ เส้นทางการกู้คืน และพฤติกรรมเมื่อคอนเทนเนอร์ของแอปถูกคัดลอก ไม่ใช่จากการมีหน้าจอ PIN หรือรูปแบบ

Vaultaire สร้างขึ้นตามหลักการที่แคบกว่า: บริการที่เก็บบันทึก Vaultaire ที่เข้ารหัสไม่ควรได้รับเนื้อหาห้องนิรภัยที่อ่านได้หรือคีย์ถอดรหัส ไคลเอ็นต์ iOS, Keychain และอุปกรณ์ที่ปลดล็อกอยู่ยังคงอยู่ในแบบจำลองความเชื่อถือ และไฟล์ที่เข้ารหัสยังตรวจพบได้ว่าเป็นข้อมูลแอปที่เข้ารหัส

ไม่มีบัญชีประจำตัวของห้องนิรภัย แอปไม่ต้องการที่อยู่อีเมลหรือหมายเลขโทรศัพท์ของคุณ Apple ยังสามารถเก็บบันทึกการซื้อ, iCloud และบัญชีอุปกรณ์ได้ การวิเคราะห์แอปและการวินิจฉัยข้อขัดข้องจะเปิดใช้งานตามค่าเริ่มต้น และสามารถปิดได้ด้วย "แชร์ข้อผิดพลาดโดยไม่ระบุตัวตน" ในการตั้งค่า เมื่อเปิดใช้งาน จะสร้างกิจกรรมผลิตภัณฑ์โดยใช้นามแฝงภายใต้นโยบายความเป็นส่วนตัว

ใช้ห้องนิรภัยในเครื่องได้โดยไม่ต้องพึ่งคลาวด์ Vaultaire สร้างบันทึก CloudKit สำหรับการสำรองข้อมูลที่เข้ารหัส ซึ่งเปิดอยู่ตามค่าเริ่มต้นและปิดได้ในการตั้งค่า และสำหรับการซิงค์อุปกรณ์หรือการแชร์เมื่อคุณใช้ฟีเจอร์เหล่านั้น CloudKit จึงได้รับไซเฟอร์เท็กซ์และข้อมูลเมตาในการทำงาน ไม่ใช่ไฟล์ห้องนิรภัยที่อ่านได้หรือคีย์ถอดรหัสแบบข้อความธรรมดา ข้อมูลสำรอง iCloud และการสำรองข้อมูลอุปกรณ์ลงคอมพิวเตอร์เป็นเส้นทางของระบบที่แยกกัน และอาจรวมไฟล์ในเครื่องที่เข้ารหัสของแอปไว้ด้วย

Vaultaire ไม่มีการปลดล็อกด้วยไบโอเมตริกซ์ภายในแอป รูปแบบเป็นข้อมูลรับรองที่แยกจากรหัสผ่าน iPhone และ Face ID แต่ยังอาจถูกแอบดู เดา เปิดเผยเมื่อถูกบังคับ หรือถูกดักจับบนอุปกรณ์ที่ถูกเจาะได้ เราไม่ใส่ไบโอเมตริกซ์เพื่อให้เส้นทางการเข้าถึงนั้นชัดเจน

ไม่มีการรีเซ็ตทางอีเมล ไม่มีคีย์กู้คืนที่ผู้ให้บริการถือไว้ Vaultaire สร้างวลีกู้คืนแบบกำหนดเองเก้าคำ ไม่ใช่ชุดคำช่วยจำ BIP-39 แอปเก็บวลีไว้ในฐานข้อมูล Keychain ที่เข้ารหัสเพื่อให้คุณดูได้ภายหลัง และเก็บรายการ CloudKit ที่เข้ารหัสด้วยวลีได้ขณะที่การสำรองข้อมูลเปิดอยู่ ซึ่งเป็นค่าเริ่มต้น

รูปแบบของคุณผ่าน PBKDF2-HMAC-SHA512 จำนวน 600,000 รอบพร้อมซอลต์ระดับอุปกรณ์ เพื่อสร้างคีย์ห้องนิรภัยขนาด 256 บิต ความยาวเอาต์พุตนี้ไม่ได้ทำให้รูปแบบที่เดาได้มีเอนโทรปี 256 บิต คีย์อยู่ในหน่วยความจำของแอประหว่างใช้งาน และการล็อกจะทิ้งสถานะที่ใช้งานอยู่ โดยไม่ได้อ้างว่าลบสำเนาชั่วคราวทุกชุดได้อย่างพิสูจน์ได้

เพื่อใคร

นักข่าวปกป้องแหล่งข้อมูลที่มีการค้นหาโทรศัพท์เป็นประจำ นักเคลื่อนไหวถือเอกสารภายใต้การสอดแนมของรัฐบาล ผู้รอดชีวิตจากการละเมิดในครอบครัวเก็บหลักฐานไว้อย่างปลอดภัยบนอุปกรณ์ที่พวกเขารู้ว่ากำลังถูกตรวจสอบ ผู้เดินทางข้ามพรมแดนที่ต้องมีการตรวจสอบอุปกรณ์ ทนายความที่มีเอกสารสิทธิพิเศษในโทรศัพท์ส่วนตัว

และใครก็ตามที่ได้รับความเป็นส่วนตัวนั้นไม่ใช่เรื่องของการมีอะไรปิดบัง มันเกี่ยวกับการมีสิ่งที่ควรค่าแก่การปกป้อง

ห้องนิรภัยกรณีถูกบีบบังคับ

ด้วย Pro กำหนดห้องนิรภัยหนึ่งห้องเป็นตัวกระตุ้นการบีบบังคับ เมื่อวาดรูปแบบนั้น ห้องนิรภัยที่กำหนดจะเปิดขึ้น ขณะที่ Vaultaire ลบดัชนีในเครื่อง ไฟล์จัดเก็บ และการแมปการกู้คืนของห้องนิรภัยอื่น ๆ ออกจากอุปกรณ์ปัจจุบัน ข้อมูลสำรอง iCloud ที่เข้ารหัสซึ่งมีอยู่แล้วและสำเนาบนอุปกรณ์อื่นยังไม่เปลี่ยนแปลง และการกู้คืนภายหลังต้องใช้วลีกู้คืนโดยชัดแจ้ง การตั้งค่าการบีบบังคับเป็นรายการใน Keychain ผู้ตรวจสอบที่เข้าถึง Keychain จึงเห็นได้ว่ามีการตั้งค่าไว้

ขั้นตอนนี้เงียบในอินเทอร์เฟซของแอป แต่ไม่รับประกันว่าตรวจไม่พบเมื่อวิเคราะห์ทางนิติวิทยาศาสตร์ ไฟล์ที่ถูกลบ สถานะระบบไฟล์ บันทึกบนคลาวด์ อุปกรณ์อื่น หรืออุปกรณ์ที่ถูกเจาะมาก่อน อาจยังเผยว่าเคยมีข้อมูลอยู่หรือมีการเปลี่ยนแปลง

สิ่งที่เราจะไม่สร้าง

เราจะไม่เพิ่มการปลดล็อคด้วยไบโอเมตริกซ์ เนื่องจากสามารถบังคับได้ตามกฎหมาย เราจะไม่เพิ่มพื้นที่จัดเก็บข้อมูลที่ขึ้นอยู่กับระบบคลาวด์ เนื่องจากจะสร้างเป้าหมายสำหรับหมายเรียกและการละเมิด เราจะไม่ใส่เนื้อหา รูปแบบ วลีการกู้คืน หรือรหัสการแชร์ในการวิเคราะห์ แต่รายงานข้อขัดข้องยังอาจมีชื่อไฟล์ และห้องนิรภัยแต่ละห้องมีค่าอ้างอิงแบบแฮชที่คงที่ในการวิเคราะห์ เราจะไม่เพิ่มประตูหลังที่ปลอมแปลงเป็นการกู้คืนบัญชี เราจะไม่ทำให้สถาปัตยกรรมอ่อนแอลงเพื่อความสะดวก

ทุกการตัดสินใจใน Vaultaire กลับมาที่สิ่งเดียว: ไฟล์ส่วนตัวของคุณจะยังคงเป็นของคุณไม่ว่าในกรณีใดก็ตาม