Le déni plausible dans un coffre-fort photo

1. L’expression, et ce que nous affirmons vraiment

« Déni plausible » est une expression empruntée. Dans le marketing des apps, elle reste généralement vague, et c’est voulu. Nous préférons dire exactement ce que nous entendons, car une affirmation précise peut être vérifiée, et une affirmation vague ne le peut pas.

Voici l’affirmation exacte. Obscura Photo Vault conserve en permanence dix fichiers de coffre verrouillés sur votre téléphone. Une personne qui copie ces fichiers et peut seulement les lire ne devrait pas pouvoir déterminer lesquels contiennent un vrai coffre et lesquels n’ont jamais servi. Le terme technique est la résistance à l’énumération hors ligne des emplacements. En clair : les fichiers ne révèlent pas combien de coffres vous utilisez.

Tout ce qui figure sur cette page découle de cette phrase. La section 4 est celle à lire avec le plus d’attention. C’est là que la protection s’arrête.

2. Comment c’est conçu

La méthode habituelle pour créer un second coffre « caché » est un indicateur. Un indicateur est un marqueur placé quelque part dans les données de l’app, qui dit que ce coffre est le vrai, ou que celui-ci est un leurre. Cela échoue dès que quelqu’un lit les données, car l’indicateur donne la réponse.

Ici, il n’y a pas d’indicateur. À la place :

Les dix emplacements sont tous de vrais coffres

À la première ouverture, l’app remplit chaque emplacement inutilisé avec un fichier de coffre complet et valide. Chacun reçoit ses propres données aléatoires, sa propre clé verrouillée, sa propre base de données réelle mais vide, et son propre remplissage aléatoire. Nous les appelons emplacements leurres uniquement parce que vous n’avez jamais défini de mot de passe pour eux. Sur le téléphone, ils ont le même aspect qu’un coffre que vous utilisez tous les jours.

Les emplacements inutilisés ont aussi de vrais mots de passe

Chaque emplacement inutilisé est verrouillé par un mot de passe que l’app crée à partir d’un secret stocké sur votre téléphone. L’idée est que « vide » ne se voit jamais par l’absence de quelque chose. Chaque emplacement a un mot de passe, que vous l’ayez choisi ou non.

La taille des fichiers est aléatoire

Chaque base de données de coffre est complétée jusqu’à une taille aléatoire comprise entre 2 et 15 mégaoctets. Sans cela, la seule taille du fichier révélerait quel coffre contient des photos.

L’app n’affiche jamais de liste de coffres

Dans l’app, il n’y a ni liste de coffres, ni compteur, ni moyen de passer de l’un à l’autre. Votre mot de passe ouvre un coffre, et ce coffre est tout ce que vous voyez. C’est important. Même la meilleure conception échoue si l’écran affiche un jour « Coffre 2 sur 4 ».

Les photos sont stockées dans un espace commun

Les photos et vidéos chiffrées de tous les coffres sont stockées ensemble dans un seul dossier, sous des noms de fichiers aléatoires. Le dossier ne regroupe pas les fichiers par coffre. Chaque fichier est lié à la clé d’un seul coffre. Un coffre leurre ne peut donc pas s’approprier des photos qui ne sont pas les siennes, ni être amené à les afficher.

3. Pourquoi le déverrouillage est lent exprès

Le temps de réponse peut vendre la mèche. Supposons que l’app essaie chaque emplacement l’un après l’autre et s’arrête au premier qui correspond. Un coffre placé dans l’emplacement 2 s’ouvrirait alors plus vite qu’un coffre dans l’emplacement 9. En chronométrant quelques déverrouillages, on pourrait en déduire l’organisation.

L’app ne s’arrête donc jamais avant la fin. Chaque déverrouillage essaie tous les emplacements, y compris tous ceux qui sont inutilisés, et ne conclut qu’une fois les dix vérifiés.

C’est pour cela que le déverrouillage prend un moment. Ce délai est voulu. Il en va de même pour la transformation de votre mot de passe en clé, elle aussi lente exprès. Ces deux délais sont le prix visible de la protection décrite plus haut.

4. Où cela s’arrête

Quatre limites connues. Nous les publions parce que vous ne pouvez pas juger si cette fonction vous convient sans les connaître.

4.1 Le nombre de fichiers photo

Ajouter des photos au leurre ne règle pas le problème. La comparaison porte sur les totaux, pas sur la correspondance entre fichiers. Cette limite ne concerne qu’une personne ayant un accès direct au stockage du téléphone. Depuis l’app, impossible de la voir. Un leurre ouvert montre ses propres photos, et rien sur les autres emplacements.

4.2 Plus de dix coffres

Dix emplacements existent toujours. Si vous créez un onzième coffre, l’app doit créer un onzième fichier. Ce fichier supplémentaire est en lui-même l’indice. Une personne qui compte les fichiers de coffre en voit onze, là où l’app en a normalement dix.

C’est un vrai compromis, et l’app vous le laisse. Si l’organisation compte plus pour vous que cette protection, vous pouvez créer davantage de coffres. Si cette protection est la raison pour laquelle vous avez choisi l’app, restez à dix.

4.3 Le Trousseau iCloud

Le secret qui sert à créer les mots de passe des emplacements inutilisés est partagé entre vos appareils via le Trousseau iCloud. Ainsi, les emplacements inutilisés restent cohérents entre votre iPhone et votre iPad. La contrepartie : une personne capable de se connecter à votre compte Apple, avec le Trousseau iCloud activé, pourrait utiliser un autre appareil pour retrouver ces mots de passe leurres. Face à cette personne précise, la protection ne tient pas.

Nous avons fait ce choix pour la cohérence entre appareils. Si c’est cette personne qui vous inquiète, le document de sécurité suggère de désactiver le Trousseau iCloud sur l’appareil.

4.4 L’app est visible

Rien ici ne cache le fait qu’Obscura Photo Vault est installé. L’app apparaît sur votre écran d’accueil et dans l’historique d’achats de votre compte Apple. Cette protection porte sur les fichiers du téléphone. Elle ne cache pas le fait que vous gardez des photos privées.

5. À quoi cela sert vraiment

Cela répond à une situation du quotidien, et fréquente. Quelqu’un tient votre téléphone déverrouillé, ou vous demande à voir vos photos, et vous préférez lui montrer quelque chose plutôt que de refuser.

Comme l’app n’a ni liste de coffres ni compteur, ouvrir un second coffre avec un autre mot de passe affiche un vrai coffre qui fonctionne, avec de vraies photos. Pas d’écran vide, pas d’étiquette « mode leurre », rien à l’écran qui laisse deviner qu’un autre coffre existe. La personne voit une app utilisée normalement, parce que c’est le cas.

C’est tout. C’est une protection utile pour une situation que beaucoup de gens vivent vraiment. Ce n’est rien de plus.

6. Ce que ce n’est pas

Nous voulons être directs. C’est le domaine où les apps de coffre ont tendance à beaucoup suggérer sans rien promettre.

Ce n’est pas une défense contre une personne qui insiste. C’est une propriété des fichiers sur le téléphone. Cela n’aide pas face à quelqu’un qui vous regarde taper, quelqu’un qui sait que l’app contient plus d’un coffre, ou quelqu’un qui continue simplement à demander. Un logiciel ne peut pas résoudre ce genre de situation. Toute app qui laisse entendre le contraire en promet trop.

Ce n’est pas un conseil juridique, ni un outil pour des situations juridiques. Nous n’affirmons rien sur la façon dont cette fonction s’articule avec une procédure judiciaire, où que ce soit. Rien ici ne doit être lu comme une recommandation en la matière. Si vous avez une question juridique, posez-la à un avocat, pas au site d’un développeur d’apps.

Ce n’est pas un substitut au chiffrement. La protection qui fait le vrai travail, c’est que vos fichiers sont chiffrés avec une clé issue d’un mot de passe que vous avez choisi. Les emplacements de coffre viennent s’ajouter par-dessus. Si vous ne deviez en garder qu’une, gardez le chiffrement.

7. Questions fréquentes

Qu’est-ce que le déni plausible dans une app de coffre-fort photo ?

Cela signifie que les données stockées sur le téléphone ne révèlent pas combien de coffres contiennent de vraies photos. Dans Obscura Photo Vault, l’affirmation exacte est plus étroite. Dix fichiers de coffre existent en permanence, tous valides : une personne qui lit ces fichiers ne devrait donc pas pouvoir dire lesquels sont utilisés. Cela crée un doute en votre faveur, pas une garantie, et cela a des limites connues.

Comment fonctionne un coffre leurre ?

Vous créez un second coffre avec un autre mot de passe et vous y mettez des photos que vous acceptez de montrer. L’app n’a ni liste de coffres ni compteur. Saisir ce mot de passe ouvre donc un vrai coffre qui fonctionne, avec de vraies photos, sans rien qui laisse deviner qu’un autre coffre existe. C’est un vrai coffre, pas un faux. C’est justement pour cela que cela fonctionne : il n’y a rien de faux à détecter.

Un coffre leurre cache-t-il tout ?

Non, et les limites sont publiées. Une personne capable de lire directement le stockage du téléphone peut compter les photos d’un coffre leurre ouvert et comparer ce nombre au total des fichiers photo présents sur le téléphone. Si les chiffres diffèrent, d’autres coffres contiennent des photos. Créer plus de dix coffres ajoute aussi un fichier supplémentaire qui se trahit lui-même. Et l’app elle-même n’est jamais cachée.

Combien de coffres dois-je créer ?

En général, deux : celui que vous utilisez, et un qui contient des photos que vous acceptez de montrer. Restez à dix ou moins si cette protection est la raison pour laquelle vous avez choisi l’app.

L’app sait-elle quel coffre est le vrai ?

Non. Cette notion n’existe pas dans l’app. Un mot de passe ouvre l’emplacement auquel il correspond. Aucun marqueur n’indique que celui-ci est le vrai, et c’est justement pour cela qu’une personne qui lit les fichiers n’a rien à trouver.

Peut-on savoir combien de coffres j’utilise en regardant l’app ?

Pas depuis l’app elle-même. Il n’y a ni liste, ni compteur, ni moyen de passer d’un coffre à l’autre. Les moyens connus de le deviner sont décrits dans la section 4, et tous exigent un accès direct au stockage du téléphone.

Pourquoi publier les faiblesses ?

Parce qu’on ne peut pas tenir compte d’une limite que l’on ignore. Et une affirmation sans limites déclarées ne peut pas être vérifiée. Les limites figurent dans le document de sécurité, avec plus de détails techniques.