Qu’est-ce qu’une app de coffre-fort photo, et comment fonctionne-t-elle ?

1. La définition, et la seule différence qui compte

Une app de coffre-fort photo stocke des photos et des vidéos dans son propre espace, séparé de l’app Photos, et demande son propre mot de passe ou code PIN pour s’ouvrir. C’est toute la définition. Elle recouvre deux conceptions qui se comportent de façon très différente :

• Les coffres qui chiffrent. Chaque fichier est brouillé avec une clé issue de votre mot de passe. Ce qui se trouve dans le stockage ne peut pas être lu sans cette clé. Une personne qui a le téléphone déverrouillé, ou une copie de son stockage, n’a rien à regarder.
• Les coffres qui ne font que verrouiller l’écran. Les fichiers restent dans le stockage de l’app sous forme d’images ordinaires. Le verrou est un écran placé devant l’app. Une personne qui a une copie du stockage récupère des images ordinaires.

Tout le reste (déguisements, leurres, alertes d’intrusion, synchronisation en ligne) repose sur l’une de ces deux conceptions. Notre guide sur les quatre types d’apps qui cachent des photos les détaille davantage. Cette page décrit le premier type, car c’est celui que le mot « coffre » laisse entendre.

2. Ce qui arrive à une photo dans un coffre chiffré

Nous prenons Obscura Photo Vault comme exemple, car c’est celui dont nous pouvons décrire la conception avec certitude et dont nous pouvons mettre la documentation en lien.

1. Vous définissez un mot de passe. L’app le soumet à un procédé lent, PBKDF2 avec 600 000 itérations et des données aléatoires ajoutées, pour obtenir une clé. Cette clé ne déverrouille pas directement les photos. Elle déverrouille une seconde clé, aléatoire, et c’est avec cette seconde clé que les données du coffre sont réellement chiffrées. Le coffre ne stocke pas votre mot de passe. Si vous activez Face ID, iOS garde une copie du mot de passe dans son trousseau, protégée par Face ID. C’est une commodité, pas une seconde clé.
2. Vous importez une photo. L’app la charge en mémoire depuis votre photothèque et la chiffre sur place, avec AES-256-GCM, avant que quoi que ce soit ne soit écrit dans son propre stockage. Ce qui arrive sur le téléphone, c’est le fichier chiffré, sa miniature chiffrée, et une entrée chiffrée dans la base de données avec son nom et son album. L’original dans Photos n’est pas touché.
3. Vous verrouillez le coffre. La clé est effacée de la mémoire. Il reste sur le téléphone des données brouillées et une copie verrouillée de la clé, inutile sans le mot de passe.
4. Vous déverrouillez et regardez. Le mot de passe est de nouveau transformé en clé, la seconde clé est déverrouillée, et le fichier est déchiffré en mémoire pour être affiché. Les vidéos sont elles aussi déchiffrées en mémoire, morceau par morceau pendant la lecture pour les gros fichiers, si bien qu’aucune copie lisible d’une vidéo n’est écrite sur le téléphone.
5. Vous supprimez l’original. C’est l’étape que l’app ne peut pas faire à votre place. Tant que vous ne l’avez pas supprimé de Photos, que vous n’avez pas vidé Suppressions récentes et qu’iCloud n’a pas suivi, l’original reste où il était.

La partie GCM du nom compte plus qu’on ne le pense. Elle signifie que chaque fichier porte une valeur de contrôle : un fichier modifié sur le téléphone refuse de s’ouvrir au lieu de s’ouvrir discrètement avec des données erronées. Ce que signifient les termes du chiffrement explique chacun d’eux en termes simples.

3. Ce contre quoi il protège, et ce contre quoi il ne protège pas

Couvert signifie que la conception répond à la situation. Cela ne signifie pas qu’une app soit hors d’atteinte. C’est une autre question, qu’aucune fiche produit ne peut trancher.

C’est la moitié inférieure du tableau qui doit guider votre choix, et elle vaut pour toutes les apps de coffre jamais créées. Un développeur qui la publie vous montre qu’il a réfléchi à la question. La nôtre figure dans la section 11 du document de sécurité. Quant à savoir si ces apps sont sûres, la réponse se trouve dans les apps de coffre-fort photo sont-elles sûres.

4. Ce qu’un coffre ne remplace pas

L’album Masqués. La plupart des personnes qui utilisent un coffre se servent encore de l’album Masqués, pour d’autres photos. Le coffre accueille les quelques photos qui poseraient problème si le téléphone déverrouillé passait entre d’autres mains. L’album Masqués accueille les nombreuses photos qui ne doivent simplement pas surgir dans un widget. Les deux, côte à côte, et tout ce que l’album Masqués couvre et ne couvre pas.

Une sauvegarde. Un coffre chiffré sur votre téléphone, c’est une seule copie, sur un seul téléphone. Si le téléphone est perdu et que le coffre n’a jamais été exporté, les photos sont perdues. Un coffre sans serveur exige que vous gardiez un export quelque part. Un coffre avec serveur exige que vous sachiez qui détient les clés.

Votre mémoire. Si le coffre ne peut pas réinitialiser un mot de passe, rien d’autre ne le peut. Les deux habitudes qui couvrent ce risque sont décrites dans que se passe-t-il si vous oubliez le mot de passe de votre coffre.

5. Les fonctions courantes, expliquées

Déverrouillage par Face ID ou Touch ID

Un raccourci, pas une seconde clé. Dans un coffre bien conçu, il récupère votre mot de passe enregistré dans le trousseau iOS au lieu de le remplacer. iOS retire ce raccourci quand un nouveau visage ou une nouvelle empreinte est ajouté au téléphone.

Coffres leurres

Un second coffre avec un autre mot de passe, qui contient des photos que vous acceptez de montrer. Bien fait, le leurre est un vrai coffre, l’app n’affiche ni liste ni nombre de coffres, et les fichiers sur le téléphone ne révèlent pas quels coffres sont utilisés. Si le leurre repose sur un simple marqueur dans un fichier de réglages, ce marqueur trahit la réponse. Dans les deux cas, il y a des limites connues. Les nôtres sont décrites dans le déni plausible dans un coffre-fort photo.

Icônes déguisées

L’app ressemble à une calculatrice ou à un utilitaire. Cela change ce que montre un coup d’œil à l’écran d’accueil, et rien à la façon dont les fichiers sont stockés. C’est utile face à un coup d’œil, inutile face à un examen attentif.

Mots de passe de dossier

Un second mot de passe sur un dossier à l’intérieur du coffre. Dans une conception chiffrée, cela signifie une seconde couche de chiffrement avec une clé issue du mot de passe du dossier : son contenu exige alors les deux mots de passe.

Export chiffré

Un seul fichier qui contient tout le coffre, chiffré aussi solidement que le coffre lui-même, et que vous pouvez importer sur un autre appareil. C’est ainsi qu’un coffre sans serveur survit à la perte d’un téléphone. Il ne compte comme sauvegarde qu’une fois que vous avez vérifié qu’il s’importe correctement.

6. Questions fréquentes

Qu’est-ce qu’une app de coffre-fort photo ?

Une app qui garde des photos et des vidéos en dehors de votre photothèque principale, derrière son propre verrou. La différence qui compte : soit l’app chiffre les fichiers, qui ne peuvent alors pas être lus sans une clé issue de votre mot de passe, soit elle place seulement un écran de code PIN devant des fichiers ordinaires. Vues de l’extérieur, les deux se ressemblent.

Comment fonctionne une app de coffre-fort photo ?

Vous importez une photo depuis votre photothèque, et l’app la copie dans son propre espace de stockage. Dans un coffre chiffré, la copie est chiffrée à ce moment-là avec une clé issue de votre mot de passe, et elle reste chiffrée sur le téléphone. Pour la voir, vous déverrouillez le coffre. L’app déchiffre le fichier en mémoire, l’affiche, puis efface la copie lisible quand le coffre se verrouille. L’original dans votre photothèque n’est pas touché tant que vous ne le supprimez pas.

Quelle est la différence entre un coffre-fort photo et l’album Masqués ?

L’album Masqués change l’endroit où une photo apparaît dans Photos et s’ouvre avec le code de votre téléphone. Un coffre-fort photo sort complètement la photo de Photos et s’ouvre avec son propre mot de passe. Si le coffre chiffre, ce mot de passe est aussi le seul moyen de lire le fichier. L’album Masqués continue de se synchroniser avec iCloud. Un coffre décide lui-même si quelque chose quitte le téléphone.

Où une app de coffre-fort photo stocke-t-elle vos photos ?

Dans son propre espace de stockage sur le téléphone, séparé de votre photothèque. Dans un coffre chiffré, cet espace contient des données brouillées plutôt que des images. Les coffres conçus autour d’un compte gardent aussi une copie sur les serveurs du développeur, ce qui rend possibles la synchronisation et la réinitialisation du mot de passe. La fiche App Store vous indique de quelle conception il s’agit, car l’obligation de créer un compte y est toujours mentionnée.

Qu’est-ce qu’un coffre leurre ?

Un second coffre, ouvert par un autre mot de passe, qui contient des photos que vous acceptez de montrer. Dans une conception soignée, le leurre est un vrai coffre et non un faux, et l’app n’affiche ni liste ni nombre de coffres. Ouvrir le leurre ne révèle donc rien sur l’existence d’autres coffres. Il a des limites connues, qu’un développeur sérieux publie.