¿Son seguras las apps de bóveda de fotos?

1. Qué debe significar «segura»

¿Segura frente a qué y frente a quién? A una app de bóveda se le piden dos tareas distintas. La respuesta sincera a «¿es segura?» depende de a cuál te refieras.

• Mantener una foto fuera de la vista cuando alguien tiene el teléfono en la mano, o cuando un widget o un recuerdo la saca. Casi todas las apps de este tipo lo hacen. También el álbum Oculto integrado.
• Que el archivo sea ilegible para una persona que tiene el teléfono y el código, o una copia del almacenamiento. Solo lo hace una app que cifra los archivos con una contraseña distinta del código. Eso es una app de bóveda de fotos en el sentido que sugiere la palabra.

Estas apps se venden por la segunda tarea y a menudo cumplen la primera. No siempre es engañoso, porque para mucha gente la primera tarea es todo el problema. Se convierte en un problema cuando alguien elige una app para la segunda tarea y obtiene la primera. El resto de esta página explica cómo distinguirlas, y después lo que el segundo tipo sigue sin poder hacer.

2. Cinco señales que puedes comprobar

Todas a partir de la ficha del App Store y de la web del desarrollador, antes de instalar nada. Nuestra comparativa clasificada las aplica a seis apps concretas, con fuentes. Esta es la versión general.

Nombra qué cifra y cómo

Un método de cifrado, una forma de convertir tu contraseña en una clave con un número de rondas, y qué cubre: fotos, videos, miniaturas y la base de datos de nombres y álbumes. Son cuatro cosas distintas. «AES-256-GCM, PBKDF2 con 600.000 rondas» es una afirmación que puedes comprobar y exigir al desarrollador. «Nivel bancario» o «grado militar» no promete nada. Una app que solo cifra su configuración podría decirlo sin mentir. Qué significan los términos se explica en otra guía.

Dice si el desarrollador puede devolverte tus fotos

Es la pregunta más reveladora de todas. Si la respuesta es sí, el desarrollador tiene algo que puede desbloquear tus archivos sin tu contraseña. La protección es frente a terceros, no frente al desarrollador. Si la respuesta es no, una contraseña olvidada es permanente. Las dos son legítimas. El problema es un desarrollador que no responde con claridad.

Su etiqueta de privacidad encaja con lo que promete

La sección de privacidad de la app es donde el desarrollador dice qué recopila la app. Léela para ver si encaja. Una app que ofrece copia de seguridad en la nube y declara Contenido del usuario tiene sentido. Una app cuyo único argumento es «nada sale de tu teléfono», pero que declara mucho seguimiento, merece una lectura más atenta de su política de privacidad. La etiqueta es la respuesta del propio desarrollador, y nadie la comprueba. Eso también vale para la nuestra.

Funciona en modo Avión

La única señal que puedes poner a prueba en lugar de leerla. Instala la app, activa el modo Avión y úsala con normalidad. Una app que funciona por completo sin conexión no está subiendo nada mientras está sin conexión. Eso no demuestra qué hace cuando tiene conexión. Pero es algo que has visto, no algo que te han contado, y en esta categoría hay pocas cosas así.

Pone por escrito sus límites

Es la señal más clara que existe. Todo diseño real tiene límites. Un desarrollador que lo ha pensado a fondo puede enumerarlos, porque tuvo que resolverlos para construir la app. Busca una página de seguridad que use las palabras «no protege frente a». Una página que solo enumera puntos fuertes significa que nadie se fijó, o que alguien lo hizo y decidió no decirlo.

3. Riesgos que afectan a cualquier app de bóveda, incluida la nuestra

Estos no desaparecen con un mejor cifrado. Obscura Photo Vault está expuesta a los cuatro, y el documento de seguridad lo dice.

Una contraseña olvidada

En una bóveda cifrada sin restablecimiento, es la forma más probable de perder tus fotos. Es mucho más probable que cualquier ataque. Es el mismo hecho que «nadie más puede abrirla», visto desde el otro lado. Los dos hábitos que te protegen, un gestor de contraseñas y una exportación probada, están en qué pasa si olvidas la contraseña de tu bóveda.

Los originales

Un teléfono comprometido mientras la bóveda está abierta

Para mostrarte una foto, la app tiene que descifrarla. Así que la clave y la foto legible están en memoria. Cualquier cosa que se ejecute dentro de la app en ese momento puede llegar a las dos. Ningún cifrado a nivel de app arregla un teléfono comprometido, y ningún desarrollador debería afirmar lo contrario.

La app se ve, y el teléfono también

El icono de una bóveda dice que hay algo dentro. Un disfraz cambia el icono, no el historial de compras del App Store ni la lista de Configuración (Ajustes). Las capturas de pantalla, la grabación de pantalla y alguien que mira por encima de tu hombro ocurren después de que la foto se descifra. El cifrado oculta el contenido. No oculta que hay algo que ocultar.

4. Riesgos propios de las bóvedas con servidor

Una bóveda que se sincroniza con una cuenta gana cosas reales: acceso desde varios dispositivos, una copia que sobrevive a la pérdida del teléfono y, normalmente, un restablecimiento de contraseña. También gana un segundo lugar donde viven tus datos, con riesgos que no tiene una bóveda que solo vive en el teléfono:

• Un servidor que guarda copias, con su propio riesgo de sufrir una filtración, su propio personal y su propia exposición legal.
• Una cuenta que se puede atacar, con phishing, con un duplicado de SIM (SIM swapping) o reutilizando una contraseña filtrada, al margen de la contraseña de la bóveda.
• Un proceso de recuperación, que es una vía que puede fallar, ser engañada o forzada. Si puede devolverte tus fotos, en principio puede dárselas a alguien lo bastante convincente.
• Depender de que el desarrollador siga en el negocio. Una bóveda que solo vive en el teléfono y que has exportado sobrevive al desarrollador. Una bóveda en la nube quizá no.

Nada de esto hace que las bóvedas en la nube sean inseguras como grupo. Suponen una concesión distinta. Lo que decide cuánto se cede es dónde viven las claves de cifrado. Nuestra guía de los cuatro tipos de app compara los diseños punto por punto.

5. Lo que no puedes comprobar desde fuera

Dos cosas, y una página como esta que insinuara lo contrario estaría vendiendo algo.

Si la app hace lo que dice su descripción. Sin el código fuente o una auditoría independiente, «AES-256-GCM» es una afirmación. Todo lo anterior comprueba si un desarrollador es concreto y franco. Eso suele ir de la mano del cuidado. No demuestra que la app sea correcta. Nadie ha auditado tampoco nuestra app. Hemos publicado el código que cifra sus archivos, y lo que eso demuestra y lo que no lo explicamos en otra guía.

Si hay errores sutiles. La mayoría de los fallos reales de cifrado son buenos métodos usados de forma ligeramente incorrecta: un número que se reutiliza cuando nunca debería, una clave generada con demasiado poco esfuerzo, una miniatura que se queda legible en una caché. Nada de eso se ve en una página de producto, y a menudo tampoco desde fuera de la empresa.

Así que el objetivo realista no es la certeza. Es reducir la lista a desarrolladores que hacen afirmaciones que puedes comprobar y que describen sus propios límites. Y después guardar una exportación probada en un lugar seguro, lo que te protege frente al desarrollador además de frente al teléfono. Cómo hacerlo, y qué borra de verdad eliminar la app, está en eliminar o mover una app de bóveda.

6. Preguntas frecuentes

¿Son seguras las apps de bóveda de fotos?

Algunas lo son, en un sentido concreto. Cifran tus archivos en el teléfono con una clave generada a partir de una contraseña que solo tienes tú, y dicen por escrito frente a qué no protege eso. Otras ponen una pantalla con PIN delante de archivos normales, lo que protege frente a un vistazo y poco más. La palabra bóveda no te dice cuál es cuál. Lo que te lo dice es la afirmación sobre el cifrado de la ficha, la etiqueta de privacidad y si el desarrollador pone por escrito los límites.

¿Las apps de bóveda de fotos pueden ver tus fotos?

Depende del tipo. Una app sin servidor ni cuenta no tiene adónde enviarlas, y eso lo puedes comprobar en modo Avión. Una app que se sincroniza con una cuenta en la nube guarda copias en sus servidores. Que el desarrollador pueda leerlas depende de quién tenga las claves de cifrado. Si el desarrollador puede restablecer tu contraseña y devolverte tus fotos, tiene una clave. Las etiquetas de privacidad son la respuesta del propio desarrollador, incluida la nuestra, así que trátalas como afirmaciones.

¿Cuál es el mayor riesgo de usar una app de bóveda de fotos?

En una bóveda cifrada sin restablecimiento, olvidar la contraseña. Eso es permanente. En cualquier tipo de bóveda, los originales. La foto que pasaste sigue en tu fototeca hasta que la eliminas, después en el álbum Eliminado durante treinta días, y en iCloud hasta que la eliminación se sincroniza. Una bóveda solo es tan privada como la limpieza que hagas después.

¿Se puede hackear una bóveda de fotos?

Cualquier software puede tener fallos, y en este sitio ninguna app se presenta como inmune a los ataques. Lo que cambia el cifrado es lo que necesita un atacante: tu contraseña, o acceso al teléfono mientras la bóveda está desbloqueada. Una bóveda que cifra, y que dice dónde están sus límites, reduce las vías de entrada. No las elimina.

¿Es más segura una app de bóveda que el álbum Oculto del iPhone?

Frente a cosas distintas. El álbum Oculto se abre con el código del iPhone y se sincroniza con iCloud. Una bóveda cifrada solo se abre con su propia contraseña y puede guardarlo todo en el teléfono. Si el riesgo es un vistazo, son iguales. Si el riesgo es alguien con tu código o con tu cuenta de Apple, solo la bóveda cifrada lo resuelve.