L'idée : un code qui répond à la pression
La coercition fonctionne parce que le déverrouillage est binaire : soit vous refusez (défi visible, escalade), soit vous obtempérez (divulgation totale). Un code de contrainte ajoute une troisième voie : vous obtempérez — visiblement, coopérativement — et le système fait autre chose qu'une divulgation totale. La personne qui regarde voit un déverrouillage normal.
Les systèmes d'alarme utilisent ce principe depuis des décennies (un code de panique qui ouvre la porte et appelle discrètement à l'aide). L'appliquer au stockage chiffré est plus récent, et l'action associée au code varie selon les systèmes : ouvrir un leurre, prévenir quelqu'un, ou détruire le contenu.
Comment la destruction fonctionne réellement
Intuitivement, « effacer » semble lent — écraser des gigaoctets prend des minutes dont vous ne disposez pas. Les systèmes chiffrés procèdent autrement : ils détruisent les clés, pas les données. Les coffres cachés de Sealby sont chiffrés avec des clés que le NIP de contrainte efface ; ce qui reste sur le disque (et dans toute sauvegarde synchronisée) est du texte chiffré dont la clé n'existe plus. Cela prend quelques millisecondes et aucun outil forensique ne peut l'annuler, puisqu'il n'y a plus rien à trouver.
Le seul retour possible est la phrase de récupération d'un coffre conservée ailleurs — ce qui transforme l'effacement sous contrainte de « perte de données » en « les données ne sont plus sur cet appareil », à condition de s'y être préparé.
Les compromis, honnêtement
Un effacement sous contrainte comporte deux risques réels. Vous pouvez le déclencher vous-même — en saisissant de travers un code que vous avez voulu plausible — d'où la nécessité d'un code distinct et délibéré, que l'on répète mentalement mais que l'on n'utilise jamais à la légère. Et sa protection est une destruction : si celui qui exerce la pression attendait des données précises, leur absence peut elle-même faire monter la tension. Les coffres leurres couvrent les cas où montrer quelque chose est plus sûr que de ne rien montrer.
C'est pourquoi Sealby traite les leurres comme l'outil par défaut et le NIP de contrainte comme une option à activer. Le déni plausible désamorce ; la destruction met fin. Les deux existent parce que la pression prend des formes différentes.