Glaubhafte Abstreitbarkeit in einem Foto-Tresor

1. Der Begriff und was wir tatsächlich behaupten

„Glaubhafte Abstreitbarkeit“ ist ein geliehener Begriff. Im App-Marketing bleibt er meist absichtlich vage. Wir sagen lieber genau, was wir meinen, denn eine genaue Aussage lässt sich überprüfen, eine vage nicht.

Hier die genaue Aussage. Obscura Photo Vault hält jederzeit zehn gesperrte Tresor-Dateien auf Ihrem iPhone bereit. Wer diese Dateien kopiert und sie nur lesen kann, kann voraussichtlich nicht herausfinden, welche davon einen echten Tresor enthalten und welche nie benutzt wurden. Der Fachbegriff dafür ist Widerstand gegen Offline-Aufzählung der Plätze (offline slot enumeration). Einfach gesagt: Die Dateien verraten nicht, wie viele Tresore Sie nutzen.

Alles auf dieser Seite folgt aus diesem Satz. Abschnitt 4 sollten Sie am sorgfältigsten lesen. Dort endet der Schutz.

2. Wie es aufgebaut ist

Üblicherweise baut man einen „versteckten“ zweiten Tresor mit einer Markierung. Eine Markierung ist ein Vermerk irgendwo in den Daten der App, der sagt: Dieser Tresor ist echt, oder dieser ist ein Ablenkungstresor. Das scheitert in dem Moment, in dem jemand die Daten ausliest, denn die Markierung ist die Antwort.

Hier gibt es keine Markierung. Stattdessen:

Alle zehn Plätze sind echte Tresore

Wenn Sie die App zum ersten Mal öffnen, füllt sie jeden unbenutzten Platz mit einer vollständigen, gültigen Tresor-Datei. Jede bekommt eigene Zufallsdaten, einen eigenen gesperrten Schlüssel, eine eigene echte, aber leere Datenbank und ein eigenes zufälliges Auffüllen. Wir nennen sie nur deshalb Ablenkungsplätze, weil Sie für sie nie ein Passwort festgelegt haben. Auf dem iPhone sehen sie genauso aus wie ein Tresor, den Sie täglich nutzen.

Auch unbenutzte Plätze haben echte Passwörter

Jeder unbenutzte Platz ist mit einem Passwort gesperrt, das die App aus einem auf Ihrem iPhone gespeicherten Geheimnis erzeugt. Der Sinn: „Leer“ zeigt sich nie dadurch, dass etwas fehlt. Jeder Platz hat ein Passwort, ob Sie es gewählt haben oder nicht.

Dateigrößen sind zufällig

Jede Tresor-Datenbank wird auf eine zufällige Größe zwischen 2 und 15 Megabyte aufgefüllt. Ohne das würde schon die Dateigröße verraten, welcher Tresor Fotos enthält.

Die App zeigt nie eine Liste der Tresore

In der App gibt es keine Liste der Tresore, keine Anzahl und keine Möglichkeit, zwischen ihnen zu wechseln. Ihr Passwort öffnet einen Tresor, und nur diesen sehen Sie. Das ist wichtig. Selbst die beste Bauweise scheitert, wenn auf dem Bildschirm jemals „Tresor 2 von 4“ steht.

Fotos liegen in einem gemeinsamen Speicher

Verschlüsselte Fotos und Videos aus allen Tresoren liegen zusammen in einem Ordner, unter zufälligen Dateinamen. Der Ordner sortiert die Dateien nicht nach Tresor. Jede Datei ist an den Schlüssel eines Tresors gebunden. Ein Ablenkungstresor kann also keine Fotos beanspruchen, die nicht seine eigenen sind, und kann nicht dazu gebracht werden, sie anzuzeigen.

3. Warum das Entsperren absichtlich langsam ist

Die Zeit kann die Antwort verraten. Angenommen, die App würde einen Platz nach dem anderen probieren und beim ersten Treffer aufhören. Dann würde sich ein Tresor auf Platz 2 schneller öffnen als einer auf Platz 9. Wer das Entsperren ein paar Mal stoppt, könnte die Belegung herausfinden.

Deshalb hört die App nie vorzeitig auf. Jedes Entsperren probiert jeden Platz, auch alle unbenutzten, und entscheidet erst, wenn alle zehn durchlaufen sind.

Darum dauert das Entsperren einen Moment. Die Verzögerung ist gewollt. Dasselbe gilt dafür, wie aus Ihrem Passwort ein Schlüssel wird, was ebenfalls absichtlich langsam ist. Beide Verzögerungen sind der sichtbare Preis des oben beschriebenen Schutzes.

4. Wo es endet

Vier bekannte Grenzen. Wir veröffentlichen sie, weil Sie ohne sie nicht beurteilen können, ob diese Funktion zu Ihnen passt.

4.1 Die Anzahl der Fotodateien

Zusätzliche Fotos im Ablenkungstresor ändern daran nichts. Verglichen wird die Gesamtzahl, nicht die Zuordnung einzelner Dateien. Diese Grenze betrifft nur jemanden mit direktem Zugriff auf den Speicher des iPhones. In der App selbst ist sie nicht zu sehen. Ein geöffneter Ablenkungstresor zeigt seine eigenen Fotos und nichts über einen anderen Platz.

4.2 Mehr als zehn Tresore

Zehn Plätze gibt es immer. Wenn Sie einen elften Tresor erstellen, muss die App eine elfte Datei anlegen. Diese zusätzliche Datei verrät sich selbst. Wer die Tresor-Dateien zählt, sieht elf, wo die App normalerweise zehn hat.

Das ist ein echter Kompromiss, und die App überlässt ihn Ihnen. Ist Ihnen Ordnung wichtiger als dieser Schutz, können Sie mehr Tresore erstellen. Ist dieser Schutz der Grund, warum Sie die App gewählt haben, bleiben Sie bei zehn.

4.3 iCloud-Schlüsselbund

Das Geheimnis, aus dem die Passwörter für unbenutzte Plätze entstehen, wird über den iCloud-Schlüsselbund (iCloud Keychain) zwischen Ihren Geräten geteilt. So bleiben die unbenutzten Plätze auf iPhone und iPad einheitlich. Der Preis dafür: Wer sich mit Ihrem Apple Account anmelden kann und den iCloud-Schlüsselbund aktiviert hat, könnte auf einem anderen Gerät diese Ablenkungspasswörter herausfinden. Gegenüber genau dieser Person hält der Schutz nicht.

Wir haben diesen Kompromiss zugunsten der Einheitlichkeit über Geräte hinweg gewählt. Wenn genau diese Person Ihnen Sorgen macht, empfiehlt das Sicherheitsdokument, den iCloud-Schlüsselbund auf dem Gerät zu deaktivieren.

4.4 Die App ist sichtbar

Nichts davon verbirgt, dass Obscura Photo Vault installiert ist. Die App erscheint auf Ihrem Home-Bildschirm und in der Kaufhistorie Ihres Apple Accounts. Dieser Schutz betrifft die Dateien auf dem iPhone. Er verbirgt nicht, dass Sie private Fotos aufbewahren.

5. Wofür es wirklich gut ist

Die Alltagssituation, die es löst, ist häufig. Jemand hält Ihr entsperrtes iPhone in der Hand oder möchte Ihre Fotos sehen, und Sie zeigen lieber etwas, als abzulehnen.

Weil die App keine Liste der Tresore und keine Anzahl hat, zeigt ein zweiter Tresor mit einem anderen Passwort einen echten, funktionierenden Tresor mit echten Fotos. Es gibt keinen leeren Bildschirm, keine Aufschrift „Ablenkungsmodus“ und nichts auf dem Bildschirm, was auf einen weiteren Tresor hindeutet. Die Person sieht eine App, die ganz normal benutzt wird, und genau das ist auch der Fall.

Das ist alles. Es ist ein nützlicher Schutz für eine Situation, die viele Menschen tatsächlich erleben. Mehr ist es nicht.

6. Was es nicht ist

Hier wollen wir deutlich sein. In diesem Bereich deuten Tresor-Apps gern viel an und versprechen nichts.

Es ist kein Schutz gegen eine Person, die nicht lockerlässt. Es ist eine Eigenschaft von Dateien auf dem iPhone. Es hilft nicht gegen jemanden, der Ihnen beim Tippen zusieht, der weiß, dass die App mehr als einen Tresor hat, oder der einfach immer weiter fragt. Software kann eine solche Situation nicht lösen. Jede App, die das andeutet, übertreibt.

Es ist keine Rechtsberatung und kein Werkzeug für rechtliche Situationen. Wir behaupten nichts darüber, wie sich diese Funktion in irgendeinem rechtlichen Verfahren irgendwo verhält. Nichts hier ist als Anleitung dafür zu verstehen. Wenn Sie eine rechtliche Frage haben, fragen Sie einen Anwalt, nicht die Website eines App-Entwicklers.

Es ist kein Ersatz für die Verschlüsselung. Der Schutz, der die eigentliche Arbeit leistet, ist, dass Ihre Dateien mit einem Schlüssel verschlüsselt sind, der aus einem von Ihnen gewählten Passwort entsteht. Die Tresor-Plätze bauen darauf auf. Müssten Sie sich für eines entscheiden, behalten Sie die Verschlüsselung.

7. Häufige Fragen

Was bedeutet glaubhafte Abstreitbarkeit bei einer Foto-Tresor-App?

Es bedeutet, dass die auf dem iPhone gespeicherten Daten nicht verraten, wie viele Tresore echte Fotos enthalten. Bei Obscura Photo Vault ist die genaue Aussage enger gefasst. Es gibt immer zehn Tresor-Dateien, alle gültig, sodass jemand, der diese Dateien ausliest, voraussichtlich nicht erkennen kann, welche davon benutzt werden. Das verschafft Ihnen Zweifel zu Ihren Gunsten, keine Garantie, und es hat bekannte Grenzen.

Wie funktioniert ein Ablenkungstresor?

Sie erstellen einen zweiten Tresor mit einem anderen Passwort und füllen ihn mit Fotos, die Sie ohne Bedenken zeigen können. Die App hat keine Liste der Tresore und keine Anzahl. Wer dieses Passwort eingibt, sieht also einen echten, funktionierenden Tresor mit echten Fotos und nichts, was auf einen weiteren Tresor hindeutet. Es ist ein echter Tresor, kein gefälschter. Genau deshalb funktioniert es: Es gibt nichts Gefälschtes, das man entdecken könnte.

Verbirgt ein Ablenkungstresor alles?

Nein, und die Grenzen sind veröffentlicht. Wer den Speicher des iPhones direkt auslesen kann, kann die Fotos in einem geöffneten Ablenkungstresor zählen und mit der Gesamtzahl der Fotodateien auf dem iPhone vergleichen. Weichen die Zahlen ab, enthalten andere Tresore Fotos. Wer mehr als zehn Tresore erstellt, erzeugt außerdem eine zusätzliche Datei, die sich selbst verrät. Und die App selbst ist nie versteckt.

Wie viele Tresore sollte ich erstellen?

Meist lautet die Antwort zwei: den, den Sie nutzen, und einen mit Fotos, die Sie gern zeigen. Bleiben Sie bei zehn oder weniger, wenn dieser Schutz der Grund ist, warum Sie die App gewählt haben.

Weiß die App, welcher Tresor der echte ist?

Nein. So etwas gibt es in der App nicht. Ein Passwort öffnet den Platz, zu dem es passt. Es gibt keine Markierung, die sagt: Dieser hier ist der echte. Genau deshalb findet jemand, der die Dateien ausliest, nichts.

Kann jemand an der App erkennen, wie viele Tresore ich nutze?

Nicht an der App selbst. Es gibt keine Liste, keine Anzahl und keine Möglichkeit, zwischen Tresoren zu wechseln. Die bekannten Wege, es herauszufinden, stehen in Abschnitt 4, und alle setzen direkten Zugriff auf den Speicher des iPhones voraus.

Warum die Schwächen veröffentlichen?

Weil Sie eine Grenze, von der Sie nichts wissen, nicht einplanen können. Und eine Aussage ohne genannte Grenzen lässt sich nicht überprüfen. Die Grenzen stehen technisch ausführlicher im Sicherheitsdokument.