Vaultine para denunciantes — manter um registo intacto e negável

Situações abrangidas

—Documentação que tem de ficar intacta até chegar a um advogado, um regulador ou um jornalista.

—Um telemóvel pessoal ou portátil que poderia ser plausivelmente inspecionado antes de estar pronto para se apresentar.

—Um dispositivo que poderia ser perdido, levado ou apagado, levando a única cópia do registo com ele.

—Não querer uma conta, um endereço de e-mail ou uma subscrição que vincule o material ao seu nome.

—Precisar de trazer um grande conjunto de documentos de uma só vez, em vez de um ficheiro de cada vez.

O que resolve

Sem conta ou e-mail de registo

Não há registo, não há e-mail e não há registo de subscrição a vincular um cofre à sua identidade.

Design zero-knowledge

A chave é derivada do seu código no seu dispositivo e nunca sai dele. Não mantemos chave e não temos cópia, para que não haja nada do nosso lado que pudesse ser solicitado ou entregue.

Cópia de segurança encriptada para o seu próprio Dropbox

Opcional e encriptada antes de sair do dispositivo, para que uma cópia exista noutro local que não o dispositivo que transporta. Esta é a funcionalidade que mais importa aqui.

Decoy Vault

Um segundo código abre um cofre separado abastecido com ficheiros que escolheu, para que uma verificação de dispositivo produza algo comum enquanto o cofre real permanece fechado.

Importação de pastas

Traga um diretório inteiro de uma vez, com a estrutura intacta, em vez de adicionar documentos um a um.

Frase de recuperação de 12 palavras

O acesso ao cofre não depende de o dispositivo sobreviver, ou de o sistema de qualquer outra pessoa permanecer disponível.

Preservação primeiro, não destruição

A maior parte do que se escreve sobre cofres resistentes à coerção pressupõe que o objetivo é fazer os ficheiros desaparecerem. Aqui, geralmente não é. Um registo que é apagado sob pressão falhou na única função que tinha, que era ainda existir quando chegasse a alguém capaz de agir sobre ele.

Portanto, as duas funcionalidades que mais importam nesta situação são as silenciosas. A cópia de segurança encriptada para o seu próprio Dropbox significa que existe uma cópia noutro local que não o dispositivo no seu bolso, encriptada antes de sair, e ilegível para o Dropbox ou qualquer outra pessoa sem a sua chave. A frase de recuperação de 12 palavras significa que o acesso também não depende desse dispositivo sobreviver.

Por que motivo o Duress Vault é a predefinição errada aqui

O Vaultine possui um Duress Vault: um código que abre um cofre vazio, apaga os seus cofres reais e, em seguida, torna-se o seu cofre principal de modo a que nada sugira que os outros existiram. É uma ferramenta genuinamente forte, e para algumas pessoas é exatamente a correta.

Para preservar documentação, geralmente não é. Destruir o registo sob pressão é o resultado que está a tentar evitar, não o que quer automatizar. O Decoy Vault é a funcionalidade adequada: um segundo código abre um cofre separado abastecido com ficheiros que escolheu, para que uma verificação comum de dispositivo produza um resultado comum enquanto o cofre real permanece fechado e intacto.

Ambos existem, ambos são configurados por si, e vale a pena decidir deliberadamente qual deles quer realmente configurar, em vez de ativar a opção mais dramática por predefinição.

Nada a intimar do nosso lado

O Vaultine não tem sistema de contas, nem subscrição de e-mail e nenhum servidor a armazenar os seus ficheiros ou a sua chave de encriptação. A chave é derivada do seu código no dispositivo e nunca sai de lá. Essa é uma descrição factual da arquitetura, e a sua consequência prática é que não há nenhuma cópia do lado do fornecedor de coisa alguma para alguém solicitar.

A única ligação que vale a pena afirmar claramente: a aplicação regista o dispositivo uma vez na primeira instalação para licenciamento e métricas de instalação. Esse check-in não contém conta, nem e-mail, e nem o conteúdo dos ficheiros, mas afirmar que «a aplicação nunca se liga a nada» seria um exagero, pelo que não o fazemos.

O que isto não faz

Um software pode encriptar um ficheiro. Não lhe pode dizer se divulgar algo é lícito onde está, se um canal interno é seguro para uso ou que proteções pode ou não ter. Essas são questões para um advogado ou um órgão de denúncia estabelecido, e devem ser consideradas antes da ação, e não depois. O Vaultine é uma ferramenta para manter um registo intacto e ilegível para outros durante esse tempo. Essa é a totalidade da alegação.

Em resumo

Tenha clareza sobre o que isto é. O Vaultine protege ficheiros. Não o protege a si, não é aconselhamento jurídico e não lhe pode dizer se revelar algo é lícito ou seguro na sua situação. Essas questões pertencem a um advogado ou a um canal de denúncia estabelecido, idealmente antes de agir em vez de depois. O que o software pode fazer é mais restrito e ainda vale a pena ter: manter um registo encriptado, mantê-lo negável durante uma verificação comum de dispositivo e manter uma cópia que sobrevive se o dispositivo que transporta não o fizer.

Perguntas frequentes

O que acontece aos meus ficheiros se o meu dispositivo for levado ou apagado?

Se ativou a cópia de segurança encriptada para o seu próprio Dropbox, existe uma cópia encriptada independentemente do dispositivo, e a sua frase de recuperação de 12 palavras restaura o acesso à mesma. A cópia de segurança é encriptada antes de sair do dispositivo, pelo que o Dropbox também não a consegue ler. Sem uma cópia de segurança, o cofre vive apenas nesse único dispositivo.

O Vaultine sabe quem eu sou ou guarda algo que poderia ser entregue?

Não há conta, nenhum registo de e-mail e nenhum servidor a guardar os seus ficheiros ou a sua chave de encriptação. A chave é derivada do seu código no seu dispositivo e nunca sai dele, pelo que não há nada do nosso lado a ser exigido. A aplicação regista o dispositivo uma vez na primeira instalação para licenciamento, o que não acarreta nenhuma conta e nada que o identifique pessoalmente.

Devo utilizar o Duress Vault para isto?

Normalmente não. O Duress Vault apaga os seus cofres reais, e a documentação que está a preservar é a única coisa que geralmente não quer que seja destruída. O Decoy Vault é a funcionalidade que se adapta a esta situação: desvia uma verificação de dispositivo sem tocar no cofre real. O Duress está disponível se as suas circunstâncias genuinamente o exigirem, mas é a predefinição errada aqui.

Posso trazer um grande conjunto de documentos de uma só vez?

Sim. A importação de pastas traz um diretório inteiro com a sua estrutura intacta, e as operações de ficheiros em massa são construídas para mover muitos ficheiros de uma só vez, em vez de alguns de cada vez.

Um registo só importa se sobreviver tempo suficiente para chegar a alguém que possa agir sobre ele.