Meg lehet törni egy fénykép-trezor appot? Mit támadnak valójában
Igen, bármelyik appot lehet támadni, és nincs tökéletesen biztonságos trezor. Az számít, mit szerez meg a támadó. Ha minden fájl egy általad tartott kulccsal van titkosítva, az ellopott fájlok a kulcs nélkül olvashatatlanok.
Töltsd le a Cryptile-t az App Store-ból
Mit kell tudnom?
- Az ellopott fájl nem azonos a megnyitott fájllal. A kulcs nélküli titkosított adat zaj.
- A zár a szokásos gyenge pont. Egy rövid kód vagy minta kitalálható, ha a támadónak megvannak a fájlok és a kulcsanyag.
- A telefonodon lévő kártevő bármelyik trezort legyőzi. Ha valami olvassa a képernyőt, amíg a trezor nyitva van, a titkosítás nem segít.
Hogyan támadják a fénykép-trezort?
Három gyakori út van. Mindegyikre más a védekezés.
- A fájlok ellopása. A támadó lemásolja az app adatait egy telefonról vagy mentésből. Az erős titkosítás a másolatot a kulcs nélkül használhatatlanná teszi.
- A zár kitalálása. A támadó offline sok kódot vagy mintát próbál ki. Egy hosszabb minta ezt jóval lassabbá teszi.
- Megfigyelés. Átnéz a válladon, vagy kártevővel olvassa a képernyődet. Ezt semmilyen titkosítás nem állítja meg.
Biztonságossá teszi a trezort a titkosítás?
Az első utat nehézzé teszi, és ez a legfontosabb. Az az app, amely a fényképeket csak egy képernyő mögé rejti, nem nyújt ilyen védelmet. A trezor-alkalmazások működéséről szóló útmutatónk elmagyarázza a különbséget.
Keress megnevezett titkosítást, fiók nélküliséget és közzétett fenyegetésmodellt. A trezor-alkalmazás biztonságáról szóló oldalunk felsorolja az ellenőrzéseket.
Mennyire erős egy rajzolt minta?
A minta gyengébb a jelmondatnál. A Cryptile fenyegetésmodellje hozzávetőleges kitalálási időket ad arra a támadóra, akinél ott vannak a fájlok, az eszközkulcs és egy nagy GPU-s gépsor:
- 4 cella: másodpercek.
- 6 cella: percek.
- 8 cella: órák.
- 10 cella: nagyjából egy hét.
- 12 vagy több cella: évek.
Ehhez a támadónak előbb át kell jutnia a telefonod saját védelmén. Használj 8 vagy több cellát. A lehetőségek összevetését lásd: minta, PIN vagy Face ID.
Hogyan csökkenti a Cryptile a kockázatot?
- AES-256-GCM minden fájlon, bélyegképen és indexen.
- Az eszközödön készülő kulcsok a mintádból. Nincs fiók és nincs szerver, a fejlesztő pedig soha nem tartja a kulcsaidat.
- Kipárnázott méretek és csalitrezor-helyek, hogy az adatok másolata ne mutassa a fájlméreteket, sem azt, hány trezorod van.
A mag auditra közzé van téve, forráskódja elérhető licenc alatt, fenyegetésmodellel és tesztvektorokkal. A Cryptile új, ezért még nincs hosszú referenciája.
Mitől nem véd
A minta gyengébb a jelmondatnál, ezért a rövidek offline kitalálással megtörhetők, ha a támadónak megvannak a fájlok és a telefonod kulcslánca is. Egy feltört vagy fertőzött telefon olvashatja a trezort, amíg nyitva van. Aki nézi, ahogy rajzolod a mintát, lemásolhatja. Ha elveszted a mintát és a 9 szavas helyreállítási kifejezést is, a trezor elveszett, mert nincs visszaállítás.
Csináld a Cryptile-lal
A Cryptile közzéteszi a fenyegetésmodelljét, így a korlátokat még azelőtt elolvashatod, hogy megbíznál benne. Válassz 8 vagy több cellás mintát, és írd fel a helyreállítási kifejezést.