Второй пароль, опустошающий аккаунт

Что происходит, когда вы его вводите

Экран блокировки принимает оба кода. Ввод настоящего разблокирует приложение. Ввод кода принуждения запускает стирание и показывает экран приветствия — ровно такой же, какой показала бы только что установленная программа: тот же экран, те же формулировки, без сообщений, без задержки, без следа аккаунта, который был здесь секунду назад.

Порядок стирания выбран намеренно: сначала уходит то, что можно прочитать. Сообщения и контакты удаляются раньше ключей, поэтому процесс, убитый на середине, оставит сломанную установку, а не читаемую переписку. Фраза восстановления удаляется из хранилища ключей, оба пароля стираются, и вместе с ними отключается биометрическая разблокировка.

Счётчик неудачных попыток обнуляется тоже. Приложение, которое только что стёрли, но которое ещё четыре минуты отказывается принимать пароль, очевидно не является свежей установкой — и именно в этой детали весь смысл.

Почему два кода неотличимы

Код принуждения бесполезен, если приложение ведёт себя с ним иначе. Это обеспечивают две вещи.

Первая: оба хеша хранятся под одной солью, поэтому введённый код вычисляется один раз и сравнивается сразу с обоими за постоянное время. В ранней версии у кода принуждения была своя соль — это означало второе вычисление ключа при каждой разблокировке: оно удваивало ожидание для всех, а пропуск его при несовпадении сделал бы путь кода принуждения измеримо быстрее для того, кто держит телефон и смотрит на экран.

Вторая: код принуждения обязан совпадать по длине с вашим паролем. Клавиатура отправляет код сразу после последней цифры, поэтому код другой длины нельзя было бы ввести в принципе — получилась бы настройка, которая молча ничего не делает, и обнаружилось бы это в худший возможный момент. Задать несовпадающую длину приложение не даёт.

Сменить обычный пароль на код принуждения тоже нельзя. Проверка сначала сверяет настоящий пароль, поэтому совпадение разрешилось бы как «разблокировать», а код принуждения тихо перестал бы работать. Такая смена отклоняется.

Чего он не делает

Он ничего не стирает в цепочке. Уже опубликованный шифротекст постоянен и публичен. Без ключей его никто не прочитает, но факт, что с адреса шли сообщения, и когда именно, остаётся видимым навсегда. Код принуждения уничтожает копию на вашем устройстве. Он не отменяет отправку.

Он не стирает телефон или компьютер. Уходят только данные самого PrivaMesh. Фотографии, другие мессенджеры и всё прочее остаются нетронутыми.

Он никого не оповещает. Нет ни тихой тревоги, ни сообщения контакту, ни сервера, которому можно было бы сообщить. Стирание — всё действие целиком.

Он не показывает подставной аккаунт. Некоторые инструменты вместо этого открывают второй, безобидный профиль. PrivaMesh опустошает настоящий и показывает приложение при первом запуске. Что из этого безопаснее — зависит от того, кто спрашивает и что он уже знает; наше обещание проще, и его мы можем сдержать.

Он не поможет, если устройство уже скопировали. У того, кто снял образ хранилища до того, как вы что-либо ввели, эта копия остаётся. Код принуждения защищает момент, когда вас просят разблокировать, а не время до него.

Он необратим. Фраза восстановления вернёт личность и контакты на новом устройстве, но никогда — переписку: прямая секретность уничтожает эти ключи после использования. Введённый по ошибке код принуждения стоит вам всей истории, навсегда. Выбирайте два кода, которые невозможно перепутать под давлением.

Перебор ограничен для обоих кодов одинаково

Пять неверных вводов запускают нарастающую паузу — 30 секунд, минута, две, четыре и так далее до часа, — показанную на экране, чтобы ожидание было понятным, а не загадочным. Биометрическая разблокировка во время паузы не принимается, поэтому обойти ожидание ею нельзя. Перед сравнением коды растягиваются медленной функцией вывода ключа — именно это делает перебор короткого цифрового кода дорогим для того, кто держит копию хранилища.

Подтверждение пароля внутри настроек — чтобы показать фразу или сменить код — в этот счётчик не идёт. Защищать уже разблокированное приложение от перебора не даёт ничего, а блокировка собственного аккаунта из-за опечатки стоит вполне реального. Эта же проверка отклоняет код принуждения: он не пароль, и принимать его здесь означало бы разрешить ему менять настройку, ради защиты которой он существует.

На каждом клиенте, где функция есть, поведение одинаковое: те же два кода, то же правило равной длины, то же сравнение за постоянное время, та же пауза при переборе. Различия только в том, что именно приходится удалять на каждой системе, потому что база Windows, база Android и хранилище ключей iOS ломаются по-разному, если удалять их небрежно.

Все три реализации открыты, и их можно прочитать прежде, чем доверять: iOS, Windows и Android.