الأمان

مِمَّن ومِمَّ نحمي

صُمّم VaultWell لتهديدات الخصوصية اليومية، من النوع الذي يواجهه معظم الناس فعلًا.

• شخص يلتقط هاتفك. شريك، أو قريب، أو زميل، أو غريب يعثر عليه. من دون المسار تبقى الخزنة مغلقة، حتى لو كان يعرف رمز قفل هاتفك.
• شخص يضغط عليك لفتح القفل. يمكنك فتح خزنة يومية أو خزنة الإكراه. لا شيء على الشاشة يُظهر وجود خزائن أخرى.
• شخص ينسخ ملفات التطبيق. المفاتيح مربوطة بعتاد الأمان في هاتفك، فلا يمكن تجربة التخمينات على حاسوب سريع.
• شخص يعبث بالملفات المحفوظة. كل جزء مشفّر موثَّق، فتُكتشف التغييرات بدلًا من أن تُعرض.

لم يُصمَّم لمقاومة مهاجم ثبّت برامج خبيثة على هاتفك مسبقًا، أو يراقبك وأنت ترسم مسارك، أو يستطيع إجبارك على كشف كل مسار لديك. لا يستطيع أي تطبيق أن يعد بذلك.

كيف يعمل التشفير

1. المسار. ترتيب الخلايا التي ترسمها على خلايا الشهد (ثماني على الأقل، بلا تكرار) يصبح المُدخل.
2. Argon2id. يُقوّى هذا المُدخل باستخدام Argon2id مع 64 MiB من الذاكرة وتمريرتين، فيكلّف كل تخمين وقتًا وذاكرة حقيقيين.
3. الربط بالعتاد. تُدمج النتيجة مع سرّ محفوظ في Secure Enclave على iPhone، أو في Android Keystore (StrongBox حيث يتوفر). لا يمكن تصدير هذا السر، لذا لا يمكن استخراج المفتاح إلا على هاتفك.
4. المفتاح الرئيسي. لكل خزنة مفتاح رئيسي عشوائي بطول 256 بت، لا يُخزَّن إلا مشفّرًا بالمفتاح المستمد من مسارك.
5. AES-GCM على أجزاء. تُشفَّر العناصر باستخدام AES-256-GCM على أجزاء بحجم 1 MiB. كل جزء مربوط بعنصره وموضعه، فلا يمكن تبديل الأجزاء أو إعادة ترتيبها أو اقتطاعها من دون أن يفشل الفتح. وتُشفَّر أيضًا الصور المصغّرة وقائمة العناصر والإعدادات.

لا يوجد حساب ولا خادم. لا تغادر مفاتيحك هاتفك أبدًا، ولا يُرسل إلينا أي شيء من خزائنك.

الخزائن المخفية، وما قد يراه الفاحص رغم ذلك

على الشاشة، لا يكشف VaultWell شيئًا. شاشة القفل هي خلايا الشهد فقط. يبدو المسار الخاطئ والمسار الذي لم يُستخدم قط متطابقين. لا توجد قائمة بالخزائن ولا عدد لها. يُحشى ملف إعدادات كل خزنة إلى الحجم نفسه، فلا يمكن معرفة خيارات الخزنة من الخارج، بما في ذلك إن كانت خزنة الإكراه.

أما على وحدة التخزين، فنريد أن نكون دقيقين. تُحفظ كل خزنة في مجلد مشفّر خاص بها. من يملك وصولًا كاملًا إلى ملفات التطبيق الخام، مثلًا عبر استخراج جنائي من هاتف غير مقفل، يمكنه عدّ هذه المجلدات، وعدّ الخزائن التي عُيّنت لها عبارة استرداد. لن يستطيع فتحها أو رؤية ما بداخلها، لكنه قد يستنتج وجود أكثر من خزنة واحدة. نخطط لتقليل ذلك، مثلًا بإدخالات تمويهية، وسننشر التفاصيل عند حدوث التغيير.

خزنة الإكراه

عند فتح خزنة الإكراه بمسارها، يحذف VaultWell أولًا ملف المفتاح لكل خزنة أخرى وملفات الاسترداد الخاصة بها، ثم يزيل مجلدات تلك الخزائن. من دون ملفات المفاتيح لا يمكن فك تشفير البيانات. بعد ذلك تُفتح خزنة الإكراه كأي خزنة أخرى، دون أي رسالة على الشاشة.

• المحو نهائي على الهاتف. لا يمكن التراجع عنه.
• فتح خزنة الإكراه بعبارة الاسترداد الخاصة بها لا يمحو شيئًا.
• لا تتأثر النسخ الاحتياطية والمشاركات المحفوظة في مكان آخر.

النسخ الاحتياطية والمشاركات

النسخ الاحتياطية (.vwbackup) يجب أن تُفتح على هاتف جديد، لذا لا يمكنها استخدام عتاد هاتفك القديم. بدلًا من ذلك، تقفل كل نسخة احتياطية المفتاح الرئيسي للخزنة باستخدام Argon2id المستمد من مسارك (وعبارتك إن عُيّنت) مع ملح عشوائي جديد. تبقى العناصر مشفّرة تمامًا كما خُزّنت. يعتمد أمان النسخة الاحتياطية على قوة مسارك أو عبارتك، لذا احتفظ بملفات النسخ الاحتياطية بشكل خاص.

المشاركات (.vwshare) تستخدم مفتاحًا عشوائيًا جديدًا، مقفلًا بعبارة مشاركة منفصلة. يُعاد تشفير العناصر به، فلا يعرف المستلم مفتاح خزنتك أبدًا. حدود مرات الفتح وانتهاء الصلاحية والحفظ خارج النسخة يفرضها التطبيق، لا التشفير، لأنه لا يوجد خادم. ويظل بإمكان شخص مُصِرّ يملك العبارة أن ينسخ ما يراه.

ما لا ندّعيه

• لم يكتمل أي تدقيق بعد. هناك تدقيق أمني مستقل مُخطَّط له قبل الإطلاق. سننشر نتيجته.
• ليس خفيًا. التطبيق ظاهر على هاتفك، حتى مع أيقونة التمويه، وقد يُظهر الفحص الجنائي وجود عدة خزائن.
• لا يمنع لقطات الشاشة على iPhone. يحمي VaultWell من التقاط الشاشة، لكن iOS لا يسمح للتطبيقات بحظر لقطات الشاشة؛ ويخبرك VaultWell عند التقاط إحداها. لا يستطيع أي تطبيق منع تصوير الشاشة.
• لا استرداد من جهتنا. إذا فقدت مسارك وعبارتك، فلا نستطيع المساعدة. فهي لا تكون لدينا أبدًا.

الإبلاغ عن مشكلة

إذا وجدت مشكلة أمنية، فسنكون ممتنين لسماعها منك بشكل خاص أولًا، وسنذكر اسمك إن رغبت. ستُضاف بيانات التواصل قبل الإطلاق.