La negabilità plausibile in una cassaforte per foto

1. L’espressione, e cosa affermiamo davvero

«Negabilità plausibile» è un’espressione presa in prestito. Nel marketing delle app di solito resta vaga di proposito. Noi preferiamo dire esattamente cosa intendiamo, perché un’affermazione precisa si può verificare e una vaga no.

Ecco l’affermazione precisa. Obscura Photo Vault tiene sempre dieci file di cassaforte bloccati sul tuo telefono. Chi copia quei file, e può solo leggerli, non dovrebbe riuscire a capire quali contengono una cassaforte vera e quali non sono mai stati usati. Il nome tecnico è resistenza all’enumerazione offline degli slot. In parole semplici: i file non rivelano quante casseforti usi.

Tutto ciò che c’è in questa pagina deriva da quella frase. La sezione 4 è quella da leggere con più attenzione. È lì che la protezione si ferma.

2. Come è costruita

Il modo più comune per creare una seconda cassaforte «nascosta» è un indicatore. Un indicatore è un segno da qualche parte nei dati dell’app che dice «questa cassaforte è vera» o «questa è un’esca». Non regge appena qualcuno legge i dati, perché l’indicatore è la risposta.

Qui non c’è nessun indicatore. Invece:

Tutti e dieci gli slot sono casseforti vere

Quando apri l’app per la prima volta, riempie ogni slot inutilizzato con un file di cassaforte completo e valido. Ognuno ha i suoi dati casuali, la sua chiave bloccata, il suo database vero ma vuoto e il suo riempimento casuale. Li chiamiamo slot esca solo perché non hai mai impostato una password per loro. Sul telefono sembrano uguali a una cassaforte che usi tutti i giorni.

Anche gli slot inutilizzati hanno password vere

Ogni slot inutilizzato è bloccato con una password che l’app crea da un segreto salvato sul tuo telefono. Così uno slot «vuoto» non si riconosce mai perché gli manca qualcosa. Ogni slot ha una password, che tu l’abbia scelta o no.

Le dimensioni dei file sono casuali

Ogni database di cassaforte viene riempito fino a una dimensione casuale tra 2 e 15 megabyte. Senza questo, la sola dimensione del file rivelerebbe quale cassaforte contiene foto.

L’app non mostra mai un elenco di casseforti

Dentro l’app non c’è un elenco di casseforti, non c’è un conteggio e non c’è modo di passare dall’una all’altra. La tua password apre una cassaforte, e quella cassaforte è tutto ciò che vedi. È importante. Anche il progetto migliore non regge se lo schermo dice anche una sola volta «Cassaforte 2 di 4».

Le foto sono salvate in un unico spazio comune

Le foto e i video crittografati di tutte le casseforti sono salvati insieme in un’unica cartella, con nomi di file casuali. La cartella non raggruppa i file per cassaforte. Ogni file è legato alla chiave di una sola cassaforte. Quindi una cassaforte esca non può rivendicare foto che non sono sue, né essere costretta a mostrarle.

3. Perché lo sblocco è lento di proposito

Il tempo può rivelare la risposta. Supponi che l’app provi uno slot alla volta e si fermi al primo che corrisponde. Allora una cassaforte nello slot 2 si aprirebbe più in fretta di una nello slot 9. Chi misura il tempo di sblocco qualche volta potrebbe ricostruire la disposizione.

Per questo l’app non si ferma mai in anticipo. Ogni sblocco prova tutti gli slot, compresi quelli inutilizzati, e decide solo dopo averli finiti tutti e dieci.

Ecco perché lo sblocco richiede un attimo. Il ritardo è voluto. Lo stesso vale per la trasformazione della password in una chiave, anche questa lenta di proposito. Entrambi i ritardi sono il prezzo visibile della protezione descritta sopra.

4. Dove si ferma

Quattro limiti noti. Li pubblichiamo perché senza conoscerli non puoi giudicare se questa funzione fa per te.

4.1 Il numero di file di foto

Aggiungere altre foto alla cassaforte esca non risolve il problema. Il confronto è sui totali, non sui singoli file. Questo limite riguarda solo chi ha accesso diretto alla memoria del telefono. Dall’interno dell’app non c’è modo di vederlo. Una cassaforte esca aperta mostra le sue foto e niente degli altri slot.

4.2 Più di dieci casseforti

Dieci slot esistono sempre. Se crei un’undicesima cassaforte, l’app deve creare un undicesimo file. Quel file in più è proprio ciò che ti tradisce. Chi conta i file delle casseforti ne vede undici dove l’app di solito ne ha dieci.

È un compromesso reale, e l’app lascia a te la scelta. Se l’organizzazione ti importa più di questa protezione, puoi creare altre casseforti. Se hai scelto l’app proprio per questa protezione, non superare le dieci.

4.3 Portachiavi iCloud

Il segreto usato per creare le password degli slot inutilizzati è condiviso tra i tuoi dispositivi tramite il Portachiavi iCloud. Così gli slot inutilizzati restano coerenti tra iPhone e iPad. Il prezzo è questo: chi può accedere al tuo Account Apple, con il Portachiavi iCloud attivo, potrebbe usare un altro dispositivo per ricavare quelle password esca. Contro quella persona, la protezione non regge.

Abbiamo fatto questo compromesso per la coerenza tra dispositivi. Se è quella la persona che ti preoccupa, il documento sulla sicurezza suggerisce di disattivare il Portachiavi iCloud sul dispositivo.

4.4 L’app si vede

Niente di tutto questo nasconde che Obscura Photo Vault è installata. L’app compare sulla schermata Home e nella cronologia acquisti del tuo Account Apple. Questa protezione riguarda i file sul telefono. Non nasconde il fatto che tieni foto private.

5. A cosa serve davvero

La situazione quotidiana che risolve è comune. Qualcuno ha in mano il tuo telefono sbloccato, o ti chiede di vedere le tue foto, e preferisci mostrargli qualcosa piuttosto che rifiutare.

Siccome l’app non ha un elenco di casseforti né un conteggio, aprire una seconda cassaforte con una password diversa mostra una cassaforte vera e funzionante, con foto vere. Non c’è una schermata vuota, nessuna etichetta «modalità esca» e niente sullo schermo che faccia pensare a un’altra cassaforte. La persona vede un’app usata normalmente, perché lo è.

Tutto qui. È una protezione utile per una situazione che molte persone vivono davvero. Non è niente di più.

6. Cosa non è

Qui vogliamo essere diretti. È il campo in cui le app cassaforte tendono a far intendere molto e a non promettere niente.

Non è una difesa contro chi insiste. È una proprietà dei file sul telefono. Non aiuta contro chi ti guarda mentre digiti, chi sa che l’app ha più di una cassaforte o chi continua semplicemente a chiedere. Un software non può risolvere una situazione del genere. Un’app che lascia intendere il contrario promette troppo.

Non è una consulenza legale, né uno strumento per situazioni legali. Non affermiamo nulla su come questa funzione si comporti in qualsiasi procedimento legale, in nessun paese. Niente qui va letto come una guida in tal senso. Se hai una domanda legale, chiedi a un avvocato, non al sito di uno sviluppatore di app.

Non sostituisce la crittografia. La protezione che fa il vero lavoro è che i tuoi file sono crittografati con una chiave ricavata da una password scelta da te. Gli slot delle casseforti stanno sopra a questo. Se dovessi tenerne solo una, tieni la crittografia.

7. Domande frequenti

Cos’è la negabilità plausibile in un’app cassaforte per foto?

Significa che i dati salvati sul telefono non mostrano quante casseforti contengono foto vere. In Obscura Photo Vault l’affermazione precisa è più ristretta. Esistono sempre dieci file di cassaforte, tutti validi, quindi chi legge quei file non dovrebbe riuscire a capire quali sono in uso. Ti dà un dubbio a tuo favore, non una garanzia, e ha limiti noti.

Come funziona una cassaforte esca?

Crei una seconda cassaforte con una password diversa e ci metti foto che non ti dispiace mostrare. L’app non ha un elenco delle casseforti né un conteggio. Quindi, con quella password, si apre una cassaforte vera e funzionante, con foto vere, e niente fa pensare all’esistenza di un’altra cassaforte. È una cassaforte vera, non finta. Ed è proprio per questo che funziona: non c’è niente di finto da scoprire.

Una cassaforte esca nasconde tutto?

No, e i limiti sono pubblicati. Chi può leggere direttamente la memoria del telefono può contare le foto in una cassaforte esca aperta e confrontare quel numero con il totale dei file di foto sul telefono. Se i numeri non coincidono, altre casseforti contengono foto. Creare più di dieci casseforti aggiunge anche un file in più che si tradisce da solo. E l’app stessa non è mai nascosta.

Quante casseforti dovrei creare?

Di solito due: quella che usi e una con foto che mostreresti senza problemi. Non superare le dieci se hai scelto l’app proprio per questa protezione.

L’app sa qual è la cassaforte vera?

No. Dentro l’app non esiste una cosa del genere. Una password apre lo slot a cui corrisponde. Non c’è nessun indicatore che dica «questa è quella vera», ed è proprio per questo che chi legge i file non ha niente da trovare.

Qualcuno può capire quante casseforti uso guardando l’app?

Non dall’app stessa. Non c’è un elenco, non c’è un conteggio e non c’è modo di passare da una cassaforte all’altra. I modi noti per scoprirlo sono nella sezione 4, e richiedono tutti l’accesso diretto alla memoria del telefono.

Perché pubblicare i punti deboli?

Perché di un limite che non conosci non puoi tenere conto. E un’affermazione senza limiti dichiarati non si può verificare. I limiti sono descritti con più dettagli tecnici nel documento sulla sicurezza.