Bezpečnostní architektura Cryptile vrstvu po vrstvě
Cryptile šifruje každý soubor, miniaturu i index pomocí AES-256-GCM klíči, které vznikají ve vašem telefonu ze vzoru, který nakreslíte. Neexistuje účet ani server a vývojář nikdy nedrží klíče.
Stručné shrnutí najdete na stránce o zabezpečení.
Co potřebuji vědět?
- Váš vzor je zdrojem všech klíčů. Bez něj není uloženo nic čitelného.
- Velikosti a počty trezorů jsou rozmazané. Soubory se doplňují a návnadové sloty skrývají, kolik trezorů existuje.
- Můžete si to ověřit. Šifrovací jádro je zveřejněné, aby ho mohl kdokoli zkontrolovat (source-available), spolu s modelem hrozeb a testovacími vektory: github.com/jasonbrelsford/cryptile-core.
Jak se vzor stane klíčem?
- Vzor se zapíše jako velikost mřížky, za kterou následují buňky, kterých jste se dotkli, v daném pořadí.
- Smíchá se s 32bajtovým tajemstvím zařízení, uloženým v klíčence iPhonu jen pro toto zařízení.
- Nad výsledkem proběhne 600 000 iterací PBKDF2-HMAC-SHA512. Každý pokus o uhodnutí stojí tolik práce.
- HKDF-SHA256 rozdělí výsledek na vyhledávací klíč a obalovací klíč.
- Vyhledávací klíč určuje název indexového souboru trezoru. Obalovací klíč ho otevírá.
Uvnitř indexu je náhodný 256bitový hlavní klíč trezoru. HKDF z něj odvozuje samostatné podklíče pro soubory, miniatury a index. Žádný klíč se nepoužívá ke dvěma účelům.
Jak se šifrují soubory?
Malé položky, jako miniatury a index, se zapečetí vcelku pomocí AES-256-GCM a náhodné hodnoty nonce.
Velké soubory používají uspořádání STREAM po 1MB blocích. Každý blok má vlastní nonce a zaznamenává svou pozici a to, zda je poslední. Oříznutí, přeskládání nebo záměna bloků způsobí, že dešifrování selže.
GCM navíc ověřuje každou hlavičku, takže pozměněný soubor je odmítnut, místo aby se zobrazil.
Jak se skrývají velikosti a počty trezorů?
Každý malý blob a každý poslední blok souboru se doplní na násobek 64 KiB. Kdo soubory zkopíruje, vidí přibližné velikosti, ne přesné.
Žádný seznam trezorů neexistuje. Aplikace udržuje nejméně 8 slotů ve tvaru indexu, skutečných i návnadových, a při každém zápisu návnady znovu zamíchá. Vzor, který neodpovídá žádnému slotu, otevře prázdný trezor.
Jak funguje obnova?
Každý trezor dostane 9slovnou obnovovací frázi, což je 96 bitů náhodnosti. Ta otevírá samostatnou obnovovací kopii trezoru, zapečetěnou klíčem vytvořeným z fráze.
Záloha na iCloudu zrcadlí šifrované soubory tak, jak jsou. Tajemství zařízení v ní ve výchozím stavu není, takže samotnou zálohu nejde použít k hádání vzorů.
Co je šifrované a co ne?
Šifrované: fotky, videa, soubory, poznámky, miniatury, názvy, složky, oblíbené položky, rozpoznaný text a polohy fotek. Malý soubor, který eviduje návnady a počty v bezplatném tarifu, je zapečetěný klíčem zařízení.
Cryptile nešifruje:
- Nastavení. Doba automatického zamykání, řazení a přepínač zálohy neobsahují žádná tajemství.
- Sdílené položky, které čekají na přidání. Jsou pod ochranou souborů iOS, dokud neotevřete trezor.
- Celkovou velikost kontejneru a časy zápisu. Trezor o 10 GB nevypadá jako 10 MB.
- Nic, co vyexportujete. Kopie uložená do Fotek nebo Souborů je mimo trezor.
Před čím to chrání?
- Před někým, kdo zkopíruje soubory aplikace bez vaší klíčenky. Získá šifrovaný text a nemůže zkoušet vzory.
- Před Applem nebo únikem dat u Applu. iCloud drží šifrovaný text a žádné klíče.
- Před neoprávněnou úpravou. Pozměněná nebo přeskládaná data se nepodaří dešifrovat.
- Před námi. Neprovozujeme žádný server a nedržíme žádné klíče, takže přístup nemůžeme resetovat.
Před čím to nechrání?
- Krátké vzory. Vzor je slabší než heslová fráze. S vašimi soubory a vaší klíčenkou padne vzor o 6 buňkách na mřížce 4×4 na GPU za pár minut. Použijte 8 a více buněk.
- Malware v odemčeném telefonu. Kód, který čte paměť, když je trezor otevřený, je mimo možnosti jakékoli aplikace.
- Někoho, kdo vás sleduje při kreslení. Kreslete tam, kde nikdo nevidí vaši ruku.
- Ztrátu telefonu i fráze. Trezor je pryč. Reset neexistuje.
Nouzový vzor v Plus zničí tajemství zařízení, takže se žádný trezor v telefonu neotevře, dokud ho neobnovíte.