脅迫模式：靜默本地 Vault 擦除

Vaultaire 中的脅迫模式可讓您指定一個保管庫作為強制觸發器。繪製該保管庫的模式可以正常開啟它，同時從目前裝置中刪除非脅迫保管庫索引和本機復原對應。現有加密 iCloud 備份和對等設備副本有意保持不變。

什麼是強迫模式？

強迫模式是最後一道防線。這是一個您希望永遠不需要使用的功能，專為一切防護都已失效的時刻而設計。當有人站在您身後、要求查看您的私密檔案，而您別無選擇只能服從。

它的工作原理如下：您指定一個金庫作為您的脅迫金庫。你用看起來可信的內容填滿它——一些無害的照片，一些平凡的文件。然後你為它分配一個模式，就像任何其他函式庫一樣。在普通的解鎖介面中，它看起來和打開就像一個普通的金庫；文件系統和雲端證據仍然不屬於狹隘的表述主張。

不同之處在於當你繪製該圖案時會發生什麼。正常的拱頂圖案會打開自己的拱頂。脅迫模式也會這樣做，在螢幕上顯示指定保管庫的內容，但它也會觸發索引和恢復映射的本機擦除，使其他保管庫可以在該裝置上存取。

不會出現確認對話框。不播放警告聲音。觀看您的人會看到一個保管庫開啟並且其中的文件出現。该界面没有宣布其他本地保管库索引已被删除、本地恢复映射已被清除、挂起的备份工作已停止，并且设备必须使用显式基于短语的恢复才能返回已擦除的保管库。

底層運作方式

了解其機制很重要，因為脅迫模式的邊界比通用擦除聲明更窄。它改變當前設備的狀態；它不承諾擦除 CloudKit、其他設備、文件系統歷史記錄或攻擊者已收集的證據。

步驟一：您繪製強迫圖形

當您繪製分配給脅迫庫的圖案時，Vaultaire 會將其識別為脅迫觸發器。該應用程式同時開始兩個操作：它開始解密和顯示指定保管庫的內容，並啟動每個其他保管庫的索引和恢復映射的本機清理。

步驟 2：刪除本機存取狀態

Vaultaire 在一台設備範圍內使用 Keychain 用於局部模式推導的鹽，而不是每個庫的單獨鹽。脅迫模式不會破壞共享的鹽。相反，它會清除加密的本機復原資料庫並刪除除指定保管庫索引之外的每個保管庫索引。由於每個索引都包含包裝的隨機主密鑰和該保管庫的文件映射，因此刪除它會使非脅迫保管庫脫離應用程式的可用本地狀態。

加密的 Blob 池可以保留，因為保管庫共用該儲存。如果沒有刪除的索引，Vaultaire 就沒有檔案對應或包裝的主金鑰來在本機開啟已刪除的保管庫。該應用程式還會清除本機復原映射，因此普通復原畫面無法立即列舉或復原這些保管庫。

步驟 3： 保留但隔離雲恢復

現有加密 iCloud 故意保留備份作為復原路徑。設備會重置待處理的備份工作並進入隔離邊界，因此本機擦除不會像普通刪除一樣上傳，並且隱藏的保管庫不會自動撤回。後來的恢復是明確的，一次一個保管庫，並且需要該保管庫的恢復短語，而不僅僅是在強制下披露的模式。

步驟四：強迫保險庫正常開啟

當本地清理運行時，指定的保管庫將透過正常介面開啟。 Vaultaire 在開始之前會抑制分析，嘗試撤銷從該保管庫創建的活躍共享，重新產生其恢復短語，然後清除脅迫名稱。該應用程式不會顯示脅迫確認或完成訊息，但完成時間取決於本地工作和任何網路撤銷； Vaultaire 不承諾普遍的亞秒截止日期。

為什麼無人能察覺

即時介面旨在避免向監視您的人宣布脅迫模式。這是一個有用的表示屬性，但不能證明每個取證觀察者都能看到相同的設備狀態。檔案系統工件， CloudKit 記錄、其他同步裝置或先前對手機的存取可能不屬於應用程式可以隱藏的範圍。

沒有確認對話框

軟體中大多數破壞性操作都會有警告：「您確定嗎？」強迫模式沒有這樣的警告。確認對話框會完全洩露秘密。您繪製圖形的那一刻，操作就執行了。除非您意外在 5×5 格上畫出一個特定、複雜的圖形，否則不會意外觸發，而這不是偶然就會發生的事。

無單獨的延遲螢幕

該應用程式在執行本機清理和共用撤銷工作時會開啟指定的保管庫。此流程旨在不添加單獨的警告螢幕，但裝置效能、保管庫狀態和網路條件會有所不同。沃泰爾並沒有聲稱具有儀器的觀察者永遠無法區分的時間平等。

無應用程式內擦除通知

Vaultaire 在擦除之前會停用分析，並且不會顯示「保管庫已刪除」通知。在該裝置上，保留的保管庫是仍然可以透過應用程式存取的保管庫。這不會刪除應用程式當前本地狀態之外的證據，並且不應將其視為在法醫檢查下無法檢測到的承諾。

刪除了哪些本地狀態

精度在這裡很重要。脅迫模式刪除了尋找和開啟非脅迫金庫所需的特定本地結構，同時保留共享的加密 blob 儲存和任何加密的 iCloud 備份。這是本地存取狀態擦除，而不是聲稱每個實體副本都已被覆蓋。

加密復原資料庫

本機復原資料庫將復原短語和舊模式欄位對應到保管庫存取。脅迫模式會清除該資料庫，然後僅為指定的保管庫建立新的復原項目。這會刪除其他保管庫的本機復原映射，而不會假裝 Vaultaire 為每個保管庫使用或銷毀了單獨的鹽。

非脅迫金庫索引

每個加密的保險庫索引都包含其文件記錄和由該保險庫的模式派生金鑰包裝的隨機主金鑰。脅迫模式會刪除除指定保管庫之外的所有索引。的 PBKDF2 演算法和迭代次數是公共實作參數；安全性並不取決於刪除它們。

加密資料

共用加密 Blob 池會被保留，因為它還包含指定保管庫的內容。僅屬於已刪除索引的資料可能無法透過應用程式訪問，但 Vaultaire 並不聲稱對每個快閃記憶體區塊進行安全物理覆蓋。已刪除的索引或先前的狀態也可能保留在應用程式無法控制的儲存層中。

何時使用強迫模式

脅迫模式是為您面臨物理脅迫或法律強制並決定刪除本地保管庫存取權限而不是暴露它的情況而設計。這是一個具有嚴重影響力的個人決定，Vaultaire 為您提供了工具，但不會為您做出決定。

邊境過境

邊境搜查權和旅行者義務因國家和情況而異。在交出手機之前繪製脅迫模式會在介面中留下一個可存取的保管庫，並刪除其他本地存取狀態，但它不能保證檢查者不會發現文件系統工件、加密備份、對等副本或先前的證據。

人身脅迫

如果有人在威脅下強迫您解鎖手機，您需要一種方法來限制普通介面顯示的內容。脅迫模式可讓您繪製出看起來像是合作的圖案。強製程式看到指定的保管庫打開，而介面不會宣布其他保管庫存取狀態的同時本地清理。

裝置沒收

如果您有理由相信您的設備將被沒收，脅迫模式可以在移交之前從當前應用程式安裝中刪除非脅迫金庫存取權限。它不能保證取證分析師沒有任何東西需要檢查，特別是如果設備已經受到損害或存在其他副本和系統工件。

記者和消息來源保護

在惡劣環境中工作的記者、在監控下行動的社運人士，以及任何其資料可能危及自己或他人的人。強迫模式將脆弱的時刻轉變為保護的時刻。

設定您的強迫保險庫

設定強迫模式大約需要兩分鐘。要做得好，讓它看起來可信，需要多一些思考。

指定保險庫

在 Vaultaire 的設定中，您指定一個保險庫作為強迫保險庫。當繪製強迫圖形時，這個保險庫會開啟，因此它需要包含看起來真實、能滿足觀察者期望的內容。空的保險庫是可疑的。內容明顯是假的保險庫也是可疑的。有幾張普通個人照片的保險庫就是完美的。

填充可信的內容

在強迫保險庫中放入人們預期在私人保險庫中找到的內容：幾張個人照片、也許一份文件的掃描件、一些看起來足夠私密值得保管但又足夠無害能通過審查的檔案。目標不是愚弄鑑識調查，而是讓當時站在您面前的人滿意。

選擇自然的圖形

脅迫圖案應該是你可以在壓力下快速、毫不猶豫地繪製的圖案。如果您繪製另一個有效圖案，您可以開啟另一個庫或一個空狀態。在安全的測試設定中練習觸發。與每個 Vaultaire 圖案一樣，它必須連接至少六個點並至少進行兩個方向變化。

測試它

在您真正需要之前，在安全環境中測試強迫模式。建立一些測試保險庫，指定一個強迫保險庫，然後觸發它。確認其他保險庫消失了，確認強迫保險庫正常開啟。然後為真實使用進行設定。

無法撤銷

需要明確的是：脅迫模式一旦觸發，局部擦除就沒有撤銷按鈕。 Vaultaire 支援無法重建您的模式或恢復短語。如果您啟用了加密 iCloud 事先備份並保留復原短語，您以後可以一次還原一個保管庫。如果沒有兩者，已刪除的本機存取狀態可能會讓您無法恢復保管庫。

其他索引和本機復原映射已從活動應用程式狀態消失。裝置範圍的 salt 和共用加密 blob 池不是擦除目標，並且會保留加密的雲端備份。此邊界是經過深思熟慮的：它刪除了來自強制設備的存取權限，同時為擁有者保留了短語控制的復原路徑。

脅迫模式是為那些了解這種權衡並提前決定寧願從當前設備刪除立即訪問而不是在強制下暴露金庫的人而設計的。如果您無法安全地保留復原短語和加密備份，則假設本機擦除可能會導致您無法存取該保管庫。

這種權衡是具體的而不是絕對的。本地刪除無需確認即可開始，而以後的恢復只能透過單獨的雲端和恢復短語路徑進行。在確定該行為是否符合您的威脅模型之前，請使用非敏感資料測試該功能。