Les apps de coffre-fort photo sont-elles sûres ?

1. Ce que « sûr » doit vouloir dire

Sûr face à quoi, et face à qui ? On demande deux tâches différentes à une app de coffre. La réponse honnête à « est-ce sûr ? » dépend de celle dont vous parlez.

• Garder une photo hors de vue quand quelqu’un tient le téléphone, ou quand un widget ou un Souvenir la fait réapparaître. Presque toutes les apps de ce genre le font. L’album Masqués intégré aussi.
• Rendre le fichier illisible pour une personne qui a le téléphone et le code, ou une copie du stockage. Seule une app qui chiffre les fichiers avec un mot de passe distinct du code le fait. C’est ce qu’est une app de coffre-fort photo au sens où le mot le laisse entendre.

Ces apps se vendent en promettant la seconde tâche et, souvent, remplissent la première. Ce n’est pas toujours malhonnête, car pour beaucoup de gens la première tâche est tout le problème. Cela devient un vrai souci quand quelqu’un choisit une app pour la seconde tâche et obtient la première. La suite de cette page explique comment faire la différence, puis ce que le second type ne peut toujours pas faire.

2. Cinq signes à vérifier

Tous se lisent sur la fiche App Store et sur le site du développeur, avant d’installer quoi que ce soit. Notre comparatif classé les applique à six apps nommées, avec leurs sources. Voici la version générale.

Elle nomme ce qu’elle chiffre, et comment

Une méthode de chiffrement, une façon de transformer votre mot de passe en clé avec un nombre d’itérations, et ce qui est couvert : photos, vidéos, miniatures, et la base de données des noms et des albums. Ce sont quatre choses distinctes. « AES-256-GCM, PBKDF2 à 600 000 itérations » est une affirmation que vous pouvez vérifier et opposer au développeur. « Niveau bancaire » ou « qualité militaire » ne promet rien. Une app qui ne chiffre que ses réglages pourrait le dire sans mentir. Ce que signifient ces termes fait l’objet d’un guide à part.

Elle dit si le développeur peut récupérer vos photos

C’est la question la plus révélatrice. Si la réponse est oui, le développeur détient quelque chose qui peut déverrouiller vos fichiers sans votre mot de passe. La protection vaut contre les tiers, pas contre le développeur. Si la réponse est non, un mot de passe oublié l’est pour toujours. Les deux sont légitimes. Le problème, c’est le développeur qui ne répond pas clairement.

Son étiquette de confidentialité correspond à son discours

La section Confidentialité de l’app est l’endroit où le développeur indique ce que l’app collecte. Lisez-la pour voir si elle colle au discours. Une app qui propose une sauvegarde en ligne et déclare du Contenu utilisateur, c’est logique. Une app dont tout le discours est « rien ne quitte votre téléphone » mais qui déclare beaucoup de pistage mérite une lecture attentive de sa politique de confidentialité. L’étiquette est la réponse du développeur lui-même, et personne ne la vérifie. Cela vaut aussi pour la nôtre.

Elle fonctionne en mode Avion

Le seul signe que vous pouvez tester plutôt que lire. Installez l’app, activez le mode Avion, utilisez-la normalement. Une app qui fonctionne entièrement hors ligne n’envoie rien tant qu’elle est hors ligne. Cela ne prouve pas ce qu’elle fait une fois en ligne. Mais c’est quelque chose que vous avez vu plutôt qu’entendu, et c’est rare dans cette catégorie.

Elle écrit ses limites

Le signe le plus fort qui soit. Toute conception réelle a des limites. Un développeur qui y a réfléchi peut les énoncer, car il a dû les comprendre pour construire l’app. Cherchez une page de sécurité qui emploie les mots « ne protège pas contre ». Si une page ne liste que des points forts, soit personne n’a cherché, soit quelqu’un l’a fait et a choisi de se taire.

3. Les risques communs à toutes les apps de coffre, y compris la nôtre

Un meilleur chiffrement ne les fait pas disparaître. Obscura Photo Vault est concerné par les quatre, et le document de sécurité le dit.

Un mot de passe oublié

Pour un coffre chiffré sans réinitialisation, c’est la façon la plus probable de perdre vos photos. Bien plus probable que n’importe quelle attaque. C’est le revers de « personne d’autre ne peut l’ouvrir ». Les deux habitudes qui vous en protègent, un gestionnaire de mots de passe et un export testé, sont décrites dans ce qui se passe si vous oubliez le mot de passe de votre coffre.

Les originaux

Un téléphone compromis pendant que le coffre est ouvert

Pour vous montrer une photo, l’app doit la déchiffrer. La clé et la photo lisible se trouvent donc en mémoire. Tout ce qui s’exécute dans l’app à ce moment-là peut atteindre les deux. Aucun chiffrement au niveau d’une app ne répare un téléphone compromis, et aucun développeur ne devrait prétendre le contraire.

L’app est visible, et le téléphone aussi

Une icône de coffre signale qu’il y a quelque chose dedans. Un déguisement change l’icône, pas l’historique d’achats de l’App Store ni la liste dans Réglages. Les captures d’écran, l’enregistrement de l’écran et le regard d’une personne par-dessus votre épaule interviennent tous après le déchiffrement de la photo. Le chiffrement cache le contenu. Il ne cache pas qu’il y a quelque chose à cacher.

4. Les risques propres aux coffres avec serveur

Un coffre qui se synchronise avec un compte gagne de vrais avantages : l’accès depuis plusieurs appareils, une copie qui survit à la perte du téléphone, et généralement une réinitialisation du mot de passe. Mais vos données vivent alors aussi à un second endroit, avec des risques qu’un coffre limité au téléphone n’a pas :

• Un serveur qui détient des copies, avec son propre risque de fuite, son propre personnel et sa propre exposition juridique.
• Un compte qui peut être attaqué, par hameçonnage, par échange de carte SIM ou par réutilisation d’un mot de passe divulgué, indépendamment du mot de passe du coffre.
• Une procédure de récupération, c’est-à-dire un chemin qui peut mal tourner, être trompé ou être forcé. Si elle peut vous rendre vos photos, en principe elle peut les donner à quelqu’un d’assez convaincant.
• Une dépendance à la survie du développeur. Un coffre limité au téléphone que vous avez exporté survit au développeur. Un coffre en ligne, peut-être pas.

Rien de tout cela ne rend les coffres en ligne dangereux en tant que catégorie. Ils relèvent simplement d’un autre compromis, et c’est l’emplacement des clés de chiffrement qui le fait pencher d’un côté ou de l’autre. Notre guide des quatre types d’apps compare ces conceptions côte à côte.

5. Ce que vous ne pouvez pas vérifier de l’extérieur

Deux choses, et une page comme celle-ci qui laisserait entendre le contraire chercherait à vendre quelque chose.

Si l’app fait ce que dit sa description. Sans le code source ou un audit indépendant, « AES-256-GCM » reste une affirmation. Tout ce qui précède vérifie si un développeur est précis et franc. Cela va généralement de pair avec le soin. Cela ne prouve pas que l’app est correcte. Personne n’a audité notre app non plus. Nous avons publié le code qui chiffre ses fichiers, et ce que cela prouve et ne prouve pas fait l’objet d’un guide à part.

S’il existe des erreurs subtiles. La plupart des vraies défaillances de chiffrement viennent de bonnes méthodes légèrement mal utilisées : un nombre réutilisé alors qu’il ne devrait jamais l’être, une clé produite à trop bas coût, une miniature laissée lisible dans un cache. Rien de cela ne se voit sur une fiche produit, et souvent pas du tout depuis l’extérieur de l’entreprise.

L’objectif réaliste n’est donc pas la certitude. C’est de réduire le choix aux développeurs qui font des affirmations vérifiables et qui décrivent leurs propres limites. Gardez ensuite un export testé en lieu sûr, ce qui vous protège du développeur autant que du téléphone. La façon de faire, et ce que la suppression de l’app efface réellement, se trouvent dans supprimer ou transférer une app de coffre.

6. Questions fréquentes

Les apps de coffre-fort photo sont-elles sûres ?

Certaines le sont, dans un sens précis. Elles chiffrent vos fichiers sur le téléphone avec une clé issue d’un mot de passe que personne d’autre que vous ne détient, et elles disent par écrit ce contre quoi cela ne protège pas. D’autres placent un écran de code PIN devant des fichiers ordinaires, ce qui protège d’un coup d’œil et de pas grand-chose d’autre. Le mot coffre ne vous dit pas de quel type il s’agit. Ce qui vous le dit, c’est l’affirmation de chiffrement sur la fiche App Store, l’étiquette de confidentialité, et le fait que le développeur écrive ou non les limites.

Les apps de coffre-fort photo peuvent-elles voir vos photos ?

Cela dépend du type. Une app sans serveur et sans compte n’a nulle part où les envoyer, et vous pouvez le tester en mode Avion. Une app qui se synchronise avec un compte en ligne garde des copies sur ses serveurs. Que le développeur puisse les lire dépend de qui détient les clés de chiffrement. Si le développeur peut réinitialiser votre mot de passe et vous rendre vos photos, il détient une clé. Les étiquettes de confidentialité sont la réponse du développeur lui-même, la nôtre comprise : considérez-les comme des affirmations.

Quel est le plus grand risque d’une app de coffre-fort photo ?

Pour un coffre chiffré sans réinitialisation, oublier le mot de passe. C’est définitif. Pour tous les types de coffre, les originaux. La photo que vous avez déplacée reste dans votre photothèque jusqu’à ce que vous la supprimiez, puis dans Suppressions récentes pendant trente jours, et dans iCloud jusqu’à ce que la suppression y soit répercutée. Un coffre n’est privé que si le ménage est fait ensuite.

Un coffre-fort photo peut-il être piraté ?

Tout logiciel peut avoir des failles, et aucune app sur ce site n’est présentée comme hors d’atteinte. Ce que le chiffrement change, c’est ce dont un attaquant a besoin : votre mot de passe, ou l’accès au téléphone pendant que le coffre est déverrouillé. Un coffre qui chiffre, et qui dit où sont ses limites, réduit les points d’entrée. Il ne les supprime pas.

Une app de coffre est-elle plus sûre que l’album Masqués de l’iPhone ?

Ils répondent à des risques différents. L’album Masqués s’ouvre avec le code de votre téléphone et se synchronise avec iCloud. Un coffre chiffré ne s’ouvre qu’avec son propre mot de passe et peut tout garder sur le téléphone. Si le risque est un coup d’œil, les deux se valent. Si le risque est une personne qui connaît votre code ou a accès à votre compte Apple, seul le coffre chiffré y répond.