Pașii, în ordine
- 1
Pasul 1
La detecție, fișierul e mutat în data/quarantine/ și criptat cu o cheie derivată din SHA-256 al conținutului, IV aleator de 12 bytes și tag de 16 bytes.
- 2
Pasul 2
Metadatele (cale originală, hash, detecții) rămân în SQLite. Fișierul original e șters de pe disc, nu doar redenumit.
- 3
Pasul 3
Restaurarea verifică tag-ul GCM înainte de a scrie ceva. Dacă blob-ul a fost modificat, operația e refuzată, nu „aproape reușită”.
- 4
Pasul 4
Formatul vechi DQ1 (XOR) rămâne suportat la citire, ca instalările mai vechi să nu rămână cu fișiere inaccesibile.