Cara LifeVeil melindungi fail Anda

Halaman ini menerangkan apa yang dilakukan oleh LifeVeil, dengan kata-kata yang mudah, dan juga apa yang tidak dapat dilakukannya. Kami lebih suka Anda mengetahui hadnya daripada mempercayai janji yang terlalu besar.

Secara ringkas

• Semua penyulitan berlaku pada telefon Anda. Tiada pelayan LifeVeil dan tiada akaun.
• Fail setiap peti besi disulitkan dengan kunci rawak. Hanya corak peti besi itu (bersama PINnya pada tahap tertinggi), frasa pemulihannya jika Anda menambahnya, atau cap jari Anda jika Anda menghidupkannya, yang dapat membuka kunci itu.
• Setiap corak membuka peti besi. Corak yang tidak sepadan dengan mana-mana peti besi yang disimpan membuka peti besi kosong, dan tiada apa-apa ditulis sehingga Anda menambah fail ke dalamnya.
• Kami, pembangun apl, tidak pernah memegang corak, PIN, frasa atau kunci Anda. Kami tidak dapat membuka fail Anda, dan kami tidak dapat menetapkan semula corak Anda.
• Kami menggunakan penyulitan yang terbina dalam Android dan pustaka libsodium yang terkenal. Kami tidak menulis penyulitan kami sendiri.
• LifeVeil belum lagi menjalani audit keselamatan bebas.

Daripada corak Anda kepada kunci

Anda melukis corak pada grid 5×5, tanpa menggunakan mana-mana titik dua kali. Corak baharu yang Anda tetapkan memerlukan sekurang-kurangnya 6 titik. LifeVeil menukar corak itu menjadi kunci dengan Argon2id, daripada libsodium (versi 1.0.20 pada Android).

• Tetapan: memori 64 MiB, 3 laluan, 1 lorong, kunci 256 bit.
• Argon2id sengaja dibuat perlahan dan memerlukan banyak memori untuk setiap tekaan. Ini menjadikan tekaan dengan kad grafik jauh lebih mahal.
• Pada telefon ujian kami, satu buka kunci mengambil masa kira-kira 0.6 hingga 0.9 saat.
• Corak dicampur dengan garam peranti rawak 16 bait. Garam itu disimpan dalam apl, disulitkan dengan kunci yang disimpan dalam Android Keystore, yang tidak boleh disalin keluar dari telefon.
• Tiada salinan corak disimpan, kecuali salinan yang disimpan bersama frasa pemulihan (lihat di bawah). Apl menyemak corak dengan cuba membuka kunci.
• Apa sahaja yang Anda taip dalam kotak PIN di atas titik masuk ke dalam penerbitan kunci yang sama dengan corak. Kotak kosong bermaksud corak sahaja.

Tahap keselamatan

Setiap peti besi mempunyai satu tahap. Anda memilihnya semasa bermula, dan Anda boleh menukarnya kemudian dalam Tetapan > Peti besi > Tahap keselamatan, selepas melukis corak sekali lagi.

• Keselamatan tertinggi (Ultra): corak dan PIN 6 hingga 8 digit, kedua-duanya hanya dalam ingatan Anda. Selamat walaupun terhadap tekaan dengan AI. Jika Anda terlupa salah satunya, peti besi tidak dapat dipulihkan.
• Tahap 1 (disyorkan): corak sahaja. Selamat jika Anda mengelakkan bentuk yang biasa. Jika Anda terlupa corak, peti besi tidak dapat dipulihkan.
• Tahap 2: corak dan frasa pemulihan yang ditulis di atas kertas. Anda boleh masuk semula jika terlupa corak, tetapi sesiapa yang menjumpai kertas itu juga boleh membuka peti besi.
• Tahap 3: corak dan cap jari. Paling mudah, tetapi seseorang boleh memaksa jari Anda ke penderia. Cap jari berfungsi untuk satu peti besi sahaja.

Cara fail disulitkan

• Setiap peti besi mempunyai kunci induk rawak 256 bit. Kunci corak dan kunci pemulihan Anda hanya "membalut" (menyulitkan) kunci induk ini.
• Fail, imej kecil dan senarai item Anda (nama fail asal, tarikh, saiz) disulitkan dengan AES-256-GCM, menggunakan penyulitan terbina dalam Android. GCM juga mengesan jika fail telah diubah atau ditukar ganti.
• Fail di dalam apl mempunyai nama rawak. Fail besar disulitkan dalam kepingan 1 MiB, jadi video dimainkan tanpa pernah menulis salinan biasa ke storan.
• Bagi foto JPEG, butiran tersembunyi (EXIF, seperti kamera dan tarikh) disimpan secara berasingan, juga disulitkan.
• Apabila apl dikunci, ia menulis ganti kunci yang dipegangnya dalam memori dengan sifar.

Frasa pemulihan

• Frasa pemulihan adalah pilihan. Peti besi hanya mendapat frasa apabila Anda memilih Tahap 2, dan frasa itu disimpan selepas Anda lulus kuiz ringkas.
• Penjana nombor rawak selamat telefon memilih 9 perkataan bahasa Inggeris. Perkataan itu datang daripada dua senarai 1,024 perkataan biasa, dalam salah satu daripada 4 susunan tetap. Itu bersamaan 92 bit kerawakan. Perkataan itu dalam bahasa Inggeris dalam setiap bahasa apl.
• Frasa itu melalui tetapan Argon2id yang sama dan membuka kunci induk dengan sendirinya. Ia tidak memerlukan garam peranti, jadi ia tetap berfungsi walaupun corak tidak lagi berfungsi.
• Satu salinan frasa dan satu salinan corak peti besi (dan PIN) disimpan pada telefon, setiap satu disulitkan dua kali: sekali dengan kunci induk dan sekali dengan kunci Android Keystore. Apabila frasa membuka peti besi, apl menunjukkan corak itu sekali. Corak itu dilupakan apabila apl dikunci.
• Frasa kekal sama apabila Anda menukar corak. Peti besi tanpa frasa tiada jalan kembali jika coraknya terlupa.

Cap jari

Buka kunci cap jari adalah pilihan dan berfungsi untuk satu peti besi. Android yang menyemak cap jari, bukan LifeVeil; apl tidak pernah menerima cap jari Anda. Kunci dalam Android Keystore yang hanya berfungsi sejurus selepas semakan biometrik yang kukuh membuka kunci induk. Jika seseorang menambah cap jari baharu pada telefon, kunci ini berhenti berfungsi dan Anda perlu menggunakan corak Anda semula.

Fail sandaran

• Sandaran ialah satu fail .lvb. Ia memegang item Anda tepat seperti yang telah disulitkan, serta salinan kunci induk yang dibalut: satu untuk corak yang Anda lukis semasa membuat sandaran, dan satu untuk frasa pemulihan, jika peti besi itu mempunyainya.
• Salinan corak menggunakan garam rawak baharu bagi setiap sandaran, bukan garam peranti. Itulah yang membolehkan Anda membuka sandaran pada telefon baharu.
• Pengepala fail dilindungi supaya perubahan atau bahagian yang ditukar ganti dapat dikesan.
• Anda memilih tempat untuk menyimpannya melalui skrin simpan Android sendiri. Ia tidak pernah melalui kami.
• Untuk memulihkan, buka fail dengan coraknya atau frasanya. Anda kemudian melukis corak baharu. Peti besi yang dipulihkan bermula tanpa frasa pemulihan.

Perlindungan lain dalam apl

• Tangkapan skrin, rakaman skrin dan pratonton dalam senarai apl terbaharu disekat pada setiap skrin.
• Secara lalai, apl dikunci sebaik sahaja Anda meninggalkannya. Anda boleh memilih 30 saat atau 1 minit sebagai gantinya.
• Sandaran awan dan pemindahan telefon ke telefon Android sendiri tidak merangkumi data LifeVeil. Gunakan fail sandaran sebagai gantinya.
• Apl tidak meminta akses kepada lokasi, kenalan atau "semua fail".
• Peti besi kosong untuk setiap corak baharu. Peti besi tanpa fail kelihatan sama sama ada ia telah disimpan atau belum, jadi orang yang memaksa Anda membuka apl tidak tahu apa lagi yang ada. Anda boleh mematikannya dalam Tetapan > Keselamatan, dan kemudian corak yang tidak membuka apa-apa akan menunjukkan ralat.

Melambatkan tekaan

Oleh sebab setiap corak membuka peti besi, tekaan kelihatan seperti banyak peti besi kosong dibuka. LifeVeil melambatkannya tanpa memberitahu pada skrin, dan masa menunggu adalah sama bagi setiap corak, termasuk corak yang betul.

• Dalam tempoh 24 jam, 10 pembukaan peti besi tanpa fail menambah 10 saat pada setiap buka kunci, 20 menambah 60 saat, dan 30 menambah 5 minit, iaitu paling lama.
• Tanda-tanda automasi terus membawa kepada tahap paling lama: corak yang disiapkan kurang daripada 2 saat antara satu sama lain tiga kali berturut-turut, atau sentuhan yang datang daripada perkhidmatan kebolehcapaian atau input yang disuntik dan bukannya jari.
• Setiap 24 jam tanpa pembukaan peti besi kosong mengurangkannya satu langkah. Mengundurkan jam telefon tidak memendekkannya.
• Ini hanya berfungsi di dalam apl. Ia tidak melambatkan tekaan pada komputer dengan fail yang disalin (lihat had di bawah).

AI dan tekaan corak

• AI tidak dapat melangkau pengiraan. Setiap tekaan masih perlu menjalankan Argon2id dengan memori 64 MiB. AI tidak memecahkan Argon2id atau AES, jadi tiada satu tekaan pun menjadi lebih murah.
• Apa yang diubah oleh AI ialah urutan tekaan. Ia boleh mempelajari bentuk yang disukai orang (huruf, segi empat, sudut permulaan kegemaran) dan mencubanya dahulu. Ia juga boleh membantu membaca corak daripada video yang dirakam dari belakang bahu Anda, atau daripada kesan comot pada skrin.
• Jadi pertahanannya berkaitan dengan corak, bukan pengiraan. Apl memberi amaran tentang bentuk yang biasa. Tahap keselamatan tertinggi menambah PIN 6 hingga 8 digit, jadi corak yang dilihat dalam video tidak mencukupi. Sembunyikan garisan corak tidak meninggalkan garisan untuk dirakam. Garam peranti dalam Android Keystore menghalang tekaan di luar telefon.

Had yang perlu Anda ketahui

Tiada apl yang dapat melindungi daripada segala-galanya. Inilah had LifeVeil yang sebenar.

Corak yang mudah boleh diteka

Bentuk yang pendek atau biasa (L, Z, garisan lurus) boleh diteka dengan memerhati Anda, melalui kesan comot pada skrin, atau dalam beberapa cubaan. Corak sebenar jauh lebih mudah diteka daripada yang digambarkan oleh bilangan corak yang mungkin. Gunakan lebih banyak titik dan lebih banyak belokan. Apl memberi amaran kepada Anda tentang corak yang terlalu mudah, dan sebelum ia menyimpan peti besi yang coraknya kurang daripada 6 titik.

Berapa lama tekaan boleh mengambil masa

Di dalam apl, setiap cubaan mengambil masa kira-kira satu saat, dan tekaan berulang melambatkan setiap buka kunci, sehingga 5 minit. Tetapi seseorang yang memiliki fail sandaran Anda, atau yang telah mengambil garam peranti daripada telefon yang telah di-root, boleh meneka pada komputer sebaliknya, tanpa masa menunggu. Argon2id memperlahankan proses ini, tetapi corak mempunyai jauh lebih sedikit kemungkinan berbanding kata laluan yang panjang. Anggaran kasar untuk satu kad grafik mewah (kelas RTX 4090) pada kira-kira 1,000 tekaan sesaat:

Ini adalah anggaran, bukan ukuran. Bilangan corak ialah had atas; corak sebenar jauh lebih sedikit. Perkakasan yang lebih banyak atau lebih pantas menjadikan tekaan lebih cepat secara berkadar. PIN pada tahap tertinggi mendarabkan angka ini sehingga 10⁸.

Rahsiakan fail sandaran Anda

Fail sandaran tidak mengandungi garam peranti, jadi sesiapa yang mendapatkannya boleh mencuba corak di luar talian, seperti yang ditunjukkan di atas. Simpan fail itu hanya di tempat yang boleh dicapai oleh Anda seorang, seperti akaun awan Anda sendiri, dan gunakan corak yang lebih panjang.

Frasa pemulihan juga menunjukkan corak

Sesiapa yang memiliki frasa pemulihan peti besi boleh membuka peti besi itu, dan apl kemudian menunjukkan corak dan PINnya kepada mereka. Jika Anda menggunakan corak yang sama di tempat lain, seperti kunci skrin telefon Anda, mereka juga akan mengetahuinya. Simpan kertas itu sama selamat seperti fail itu sendiri.

Telefon yang telah di-root atau dijangkiti

Jika seseorang dapat menjalankan kod dengan kebenaran apl (contohnya pada telefon yang telah di-root, atau dengan perisian hasad yang mempunyai kawalan penuh), mereka boleh membuka garam peranti dan meneka di luar talian. Semasa peti besi dibuka, kunci berada dalam memori dan boleh dibaca dengan akses root atau penyahpepijat. Sesetengah salinan yang dibuat di dalam Android dan Flutter, serta foto yang ditunjukkan pada skrin, tidak dapat dipadamkan daripada memori dengan serta-merta.

Sesetengah maklumat kelihatan

Bilangan fail yang disulitkan dalam storan apl, anggaran saiznya, dan bila fail itu dicipta atau diubah tidak disembunyikan. Begitu juga hakikat bahawa LifeVeil telah dipasang.

Peti besi kosong hanya memperdaya skrin

Orang yang boleh membaca fail apl (contohnya pada telefon yang di-root) boleh mengira folder peti besi dan melihat bahawa tetapan ini dihidupkan. Pelambatan mengira peti besi kosong yang disimpan dan yang belum disimpan dengan cara yang sama, jadi masa menunggu itu sendiri tidak membezakannya.

Penyamaran hanya mengubah skrin utama

• Hanya ikon dan nama pelancar yang berubah. Senarai Tetapan > Apl, maklumat apl dan skrin storan pada telefon masih menunjukkan LifeVeil.
• Pembaca skrin mungkin masih menyebut "LifeVeil". Contohnya, pelancar Samsung One UI memberikan nama sebenar apl kepada TalkBack, dan apl tidak dapat mengubahnya.
• Menu kongsi Android sentiasa menunjukkan nama sebenar apl, jadi LifeVeil mengeluarkan dirinya daripada menu itu apabila Anda menukar ikon. Anda boleh menghidupkannya semula.
• Permintaan kebenaran Android menunjukkan nama sebenar, jadi apl meminta kebenaran sebelum Anda menukar ikon.
• Semasa ikon ditukar, apl tidak menghantar pemberitahuan.
• Kod penyamaran (4 hingga 8 digit) hanya menunjukkan skrin kunci. Ia tidak membuka fail Anda. Kod ini disimpan sebagai cincangan bergaram, tetapi dengan kemungkinan yang begitu sedikit, ia mudah ditemui jika seseorang mendapatkan fail tersebut.

Cap jari ialah laluan yang lebih lemah

Buka kunci cap jari melangkau Argon2id. Kekuatannya bergantung pada penderia cap jari dan Android Keystore telefon Anda. Anda boleh mematikannya dalam Tetapan pada bila-bila masa.

Butiran foto

• Bagi foto HEIC, PNG dan WebP, butiran tersembunyi (EXIF) kekal di dalam fail. Keseluruhan fail tetap disulitkan.
• Pada Android 10 dan versi lebih baharu, Android membuang lokasi GPS daripada foto yang dibaca oleh LifeVeil, kerana apl tidak meminta akses lokasi. Apabila foto asal dipadamkan daripada galeri, lokasi itu hilang.
• Foto yang ditambah melalui pemilih foto Android mendapat nama baharu berdasarkan tarikh, kerana pemilih tidak memberikan nama asal.

Penguncian dijeda semasa skrin sistem

Semasa skrin sistem dibuka (permintaan kebenaran, pengesahan pemadaman, pemilih foto atau fail, gesaan cap jari) dan semasa import atau eksport sedang berjalan, apl menunggu untuk dikunci. Jika Anda telah meninggalkan apl, ia dikunci 2 saat selepas proses itu tamat.

Peti besi berkongsi satu garam peranti

Semua peti besi pada telefon menggunakan garam peranti yang sama. Jika seseorang memiliki garam itu, satu tekaan menguji setiap peti besi sekali gus. Kos untuk menyerang satu peti besi tetap sama.

Perkara yang tidak dapat dihalang oleh mana-mana apl

Seseorang yang memerhati Anda melukis corak, atau kamera yang merakam skrin Anda.