Проблемът, който заключеният трезор не решава
Представете си физически сейф в коридора. Колкото и добра да е ключалката, самият сейф казва: тук има нещо ценно. Всеки, който го види, може да поиска да бъде отворен — крадец, насилнически партньор или служител на контролен пункт. Само шифроването е като този сейф: съдържанието е защитено, но съществуването му е очевидно.
Отричаемото хранилище премахва сейфа от коридора. При правилен дизайн няма видим трезор, няма записан брой трезори и няма начин да се установи, че изобщо има такъв. Искането „отвори останалите“ се проваля не защото отказвате, а защото „останалите“ не могат да бъдат показани като съществуващи.
Как работи отричаемият трезор
Три свойства трябва да действат заедно. Първо, всеки трезор е независим: шифрован е с ключове от собствения му ПИН, графичен ключ или паролна фраза, така че отварянето на един не казва нищо за друг. Второ, няма регистър: никъде не се пази индекс, списък или брояч и самият софтуер не знае колко са. Трето, шифрованият текст изглежда като шум: неразкрит трезор не се различава от случайни неизползвани данни нито за човек, нито за криминалистичен инструмент.
Резултатът обръща обичайното отключване. В Sealby ПИН не „отключва приложението“, а избира трезор. Правилният ПИН показва своя трезор; всяка друга въведена стойност създава нов празен трезор по същия начин. Дори сгрешеният ПИН не се различава от отварянето на винаги празен трезор, защото това е едно и също.
Кратка история
Идеята е по-стара от смартфоните. Настолни инструменти — най-вече TrueCrypt и неговите наследници — предлагат скрити томове: шифрован контейнер в свободното място на друг, при който две пароли разкриват две различни реалности. Изследователите формализират свойството като отричаемо шифроване. Днес залогът е преместен: най-личното устройство е телефонът в джоба и именно него хората действително са принуждавани да отключват.
Какво не е отричаемостта
Честните граници трябва да са ясни. Отричаемостта защитава данните в покой срещу проверка. Не помага срещу някой, който гледа въвеждането на ПИН, срещу собствено потвърждение, че трезорът съществува, или срещу нешифровани копия другаде — синхронизирана фотобиблиотека, чат или стар архив. И не е оправдание за нарушаване на закона; тя е начин личният живот да остане личен под натиск, който не би трябвало да го определя.