Le app cassaforte per foto sono sicure?

1. Cosa deve significare sicura

Sicura da cosa, e da chi? Da un’app cassaforte ci si aspettano due cose diverse. La risposta onesta a «è sicura?» dipende da quale delle due intendi.

• Tenere una foto fuori dalla vista quando qualcuno ha in mano il telefono, o quando un widget o un Ricordo la fa comparire. Quasi tutte le app di questo tipo lo fanno. Lo fa anche l’album Nascosti integrato.
• Rendere il file illeggibile per chi ha il telefono e il codice, o una copia della memoria. Lo fa solo un’app che crittografa i file con una password separata dal codice. Ecco cos’è un’app cassaforte per foto, nel senso che la parola fa pensare.

Queste app vengono vendute per la seconda cosa e spesso fanno la prima. Non è sempre disonesto, perché per molte persone il problema è tutto nella prima. Diventa un problema quando qualcuno sceglie un’app per la seconda e ottiene la prima. Il resto di questa pagina spiega come capirlo, e poi cosa nemmeno il secondo tipo di app può fare.

2. Cinque segnali che puoi verificare

Tutti dalla scheda dell’App Store e dal sito dello sviluppatore, prima di installare qualsiasi cosa. Il nostro confronto con classifica li applica a sei app con nome e fonti. Questa è la versione generale.

Dice cosa crittografa, e come

Un metodo di crittografia, un modo per trasformare la password in una chiave con un numero di iterazioni, e cosa viene coperto: foto, video, miniature e il database con nomi e album. Sono quattro cose separate. «AES-256-GCM, PBKDF2 a 600.000 iterazioni» è un’affermazione che puoi verificare e su cui puoi chiedere conto allo sviluppatore. «Livello bancario» o «di livello militare» non promette niente. Un’app che crittografa solo le sue impostazioni potrebbe dirlo senza mentire. Cosa significano i termini è spiegato in una guida separata.

Dice se lo sviluppatore può recuperare le tue foto

È in assoluto la domanda più rivelatrice. Se la risposta è sì, lo sviluppatore ha qualcosa che può sbloccare i tuoi file senza la tua password. La protezione vale contro gli estranei, non contro lo sviluppatore. Se la risposta è no, una password dimenticata è persa per sempre. Sono legittime entrambe. Il problema è uno sviluppatore che non risponde in modo chiaro.

L’etichetta sulla privacy corrisponde a ciò che promette

La sezione Privacy dell’app è dove lo sviluppatore dice cosa raccoglie l’app. Leggila per vedere se torna. Un’app che offre il backup nel cloud e dichiara Contenuti utente ha senso. Un’app che si presenta tutta con «niente lascia il tuo telefono», ma dichiara molto tracciamento, merita una lettura più attenta della sua informativa sulla privacy. L’etichetta è la risposta dello sviluppatore stesso, e nessuno la controlla. Vale anche per la nostra.

Funziona in modalità Uso in aereo

È l’unico segnale che puoi mettere alla prova invece di limitarti a leggerlo. Installa l’app, attiva la modalità Uso in aereo e usala normalmente. Un’app che funziona completamente offline non sta caricando niente mentre è offline. Questo non dimostra cosa fa quando è online. Ma è qualcosa che hai visto, non qualcosa che ti hanno detto, e in questa categoria cose così sono poche.

Mette per iscritto i suoi limiti

È il segnale più forte che esista. Ogni progetto reale ha dei limiti. Uno sviluppatore che ci ha ragionato sa dirli, perché ha dovuto capirli per costruire l’app. Cerca una pagina sulla sicurezza che usi le parole «non protegge da». Una pagina che elenca solo punti di forza significa che nessuno ci ha pensato, oppure che qualcuno l’ha fatto e ha scelto di non dirlo.

3. Rischi che valgono per ogni app cassaforte, compresa la nostra

Questi non spariscono con una crittografia migliore. Obscura Photo Vault è soggetta a tutti e quattro, e il documento sulla sicurezza lo dice.

Una password dimenticata

Per una cassaforte crittografata senza reimpostazione, è il modo più probabile di perdere le foto. È molto più probabile di qualsiasi attacco. È lo stesso fatto di «nessun altro può aprirla», visto dall’altra parte. Le due abitudini che ti proteggono, un gestore di password e un’esportazione verificata, sono in cosa succede se dimentichi la password della cassaforte.

Gli originali

Un telefono compromesso mentre la cassaforte è aperta

Per mostrarti una foto, l’app deve decifrarla. Quindi la chiave e la foto leggibile sono in memoria. Qualsiasi cosa sia in esecuzione dentro l’app in quel momento può raggiungere entrambe. Nessuna crittografia a livello di app ripara un telefono compromesso, e nessuno sviluppatore dovrebbe sostenere il contrario.

L’app si vede, e anche il telefono

L’icona di una cassaforte dice che dentro c’è qualcosa. Un travestimento cambia l’icona, non la cronologia acquisti dell’App Store né l’elenco in Impostazioni. Gli screenshot, la registrazione dello schermo e chi guarda da sopra la tua spalla arrivano tutti dopo che la foto è stata decifrata. La crittografia nasconde il contenuto. Non nasconde che c’è qualcosa da nascondere.

4. Rischi propri delle casseforti con un server

Una cassaforte che sincronizza con un account guadagna cose reali: accesso da più dispositivi, una copia che sopravvive alla perdita del telefono e di solito la possibilità di reimpostare la password. Guadagna anche un secondo posto in cui stanno i tuoi dati, con rischi che una cassaforte solo sul telefono non ha:

• Un server che conserva copie, con il suo rischio di violazioni, il suo personale e la sua esposizione legale.
• Un account che può essere attaccato, con il phishing, lo scambio di SIM o il riuso di una password trapelata, separatamente dalla password della cassaforte.
• Una procedura di recupero, cioè una strada che può andare storta, essere ingannata o essere forzata. Se può restituirti le foto, in linea di principio può darle a chiunque sia abbastanza convincente.
• La dipendenza dalla sopravvivenza dello sviluppatore. Una cassaforte solo sul telefono che hai esportato sopravvive allo sviluppatore. Una cassaforte nel cloud forse no.

Niente di questo rende insicure le casseforti nel cloud in quanto tali. Le rende un compromesso diverso. Dove stanno le chiavi di crittografia è ciò che decide come va a finire quel compromesso. La nostra guida ai quattro tipi di app mette i diversi progetti a confronto.

5. Cosa non puoi verificare dall’esterno

Due cose, e una pagina come questa che lasciasse intendere il contrario starebbe cercando di venderti qualcosa.

Se l’app fa quello che dice la sua descrizione. Senza il codice sorgente o una verifica indipendente, «AES-256-GCM» è un’affermazione. Tutto quello che c’è sopra verifica se uno sviluppatore è preciso e sincero. Di solito questo va di pari passo con la cura. Non dimostra che l’app sia corretta. Nemmeno la nostra app è stata verificata da nessuno. Abbiamo pubblicato il codice che crittografa i suoi file, e cosa dimostra e cosa non dimostra è spiegato in una guida separata.

Se ci sono errori sottili. La maggior parte dei veri fallimenti della crittografia sono buoni metodi usati in modo leggermente sbagliato: un numero riusato che non andrebbe mai riusato, una chiave ricavata con troppo poco sforzo, una miniatura lasciata leggibile in una cache. Niente di questo si vede nella pagina di un prodotto, e spesso nemmeno dall’esterno dell’azienda.

Quindi l’obiettivo realistico non è la certezza. È restringere la scelta agli sviluppatori che fanno affermazioni verificabili e che descrivono i propri limiti. Poi tieni un’esportazione verificata in un posto sicuro, che ti protegge sia dallo sviluppatore sia dal telefono. Come farlo, e cosa rimuove davvero l’eliminazione dell’app, è in eliminare o trasferire un’app cassaforte.

6. Domande frequenti

Le app cassaforte per foto sono sicure?

Alcune sì, in un senso preciso. Crittografano i tuoi file sul telefono con una chiave ricavata da una password che hai solo tu, e dicono per iscritto da cosa non proteggono. Altre mettono una schermata con il PIN davanti a file normali, che protegge da un’occhiata e poco altro. La parola cassaforte non ti dice di che tipo è. Te lo dicono la dichiarazione sulla crittografia nella scheda dell’App Store, l’etichetta sulla privacy e il fatto che lo sviluppatore metta per iscritto i limiti.

Le app cassaforte possono vedere le tue foto?

Dipende dal tipo. Un’app senza server e senza account non ha dove mandarle, e puoi verificarlo con la modalità Uso in aereo. Un’app che sincronizza con un account cloud tiene copie sui suoi server. Se lo sviluppatore può leggerle dipende da chi ha le chiavi di crittografia. Se lo sviluppatore può reimpostare la tua password e restituirti le foto, lo sviluppatore ha una chiave. Le etichette sulla privacy sono la risposta dello sviluppatore stesso, compresa la nostra, quindi trattale come dichiarazioni.

Qual è il rischio più grande di un’app cassaforte per foto?

Per una cassaforte crittografata senza reimpostazione, dimenticare la password. È definitivo. Per qualsiasi tipo di cassaforte, gli originali. La foto che hai spostato resta nella libreria finché non la elimini, poi in Eliminati di recente per trenta giorni, e in iCloud finché l’eliminazione non si sincronizza. Una cassaforte è privata solo se poi fai pulizia.

Una cassaforte per foto può essere violata?

Qualsiasi software può avere difetti, e nessuna app su questo sito viene descritta come inattaccabile. Ciò che la crittografia cambia è quello che serve a un attaccante: la tua password, o l’accesso al telefono mentre la cassaforte è sbloccata. Una cassaforte che crittografa, e dice dove sono i suoi limiti, riduce le vie d’accesso. Non le elimina.

Un’app cassaforte è più sicura dell’album Nascosti di iPhone?

Contro cose diverse. L’album Nascosti si apre con il codice del telefono e si sincronizza su iCloud. Una cassaforte crittografata si apre solo con la sua password e può tenere tutto sul telefono. Se il rischio è un’occhiata, sono equivalenti. Se il rischio è qualcuno che conosce il tuo codice o ha il tuo Account Apple, solo la cassaforte crittografata risolve il problema.