写真保管庫アプリは安全か

1. 「安全」が意味すべきこと

何から、誰から安全なのでしょうか。保管庫アプリには、2つの違う仕事が求められています。「安全か」という質問への正直な答えは、どちらの意味で聞いているかによります。

• 写真を人目から遠ざけること。誰かがiPhoneを持っているときや、ウィジェットやメモリーで写真が出てきてしまうときです。この種のアプリのほとんどはこれができます。標準の「非表示」アルバムも同じです。
• ファイルを読めない状態に保つこと。iPhoneとパスコードを持っている人や、ストレージのコピーを持っている人に対してです。これができるのは、パスコードとは別のパスワードでファイルを暗号化するアプリだけです。それが、言葉が思わせる意味での写真保管庫アプリです。

こうしたアプリは2つ目の仕事をうたって売られ、実際には1つ目の仕事をしていることがよくあります。それがいつも不誠実とは限りません。多くの人にとっては、1つ目の仕事で問題がすべて解決するからです。問題になるのは、2つ目の仕事のためにアプリを選んだのに、1つ目しか得られなかったときです。このページの残りでは、その見分け方と、2つ目の種類にもできないことを説明します。

2. 確かめられる5つのサイン

どれも、何かをインストールする前に、App Storeの掲載ページと開発者のWebサイトで確認できます。順位つきの比較では、これを名前を挙げた6つのアプリに出典つきで当てはめています。ここではその一般的な形を説明します。

何を、どうやって暗号化しているかを示している

暗号化方式、パスワードを鍵に変える方法とその回数、そして対象範囲です。写真、ビデオ、サムネイル、名前やアルバムのデータベース。これらは4つの別々のものです。「AES-256-GCM、600,000回のPBKDF2」は、確かめられ、開発者に責任を問える主張です。「銀行レベル」や「軍用レベル」は何も約束していません。設定だけを暗号化しているアプリでも、正直にそう言えてしまいます。用語の意味は別のガイドで説明しています。

開発者が写真を取り戻せるかどうかを書いている

いちばん多くのことがわかる質問です。答えが「はい」なら、開発者はあなたのパスワードなしでファイルを開ける何かを持っています。その保護は外部の人に対するもので、開発者に対するものではありません。答えが「いいえ」なら、パスワードを忘れると取り返しがつきません。どちらも正当です。はっきり答えない開発者こそが問題です。

プライバシーラベルが売り文句と合っている

「Appのプライバシー」欄は、開発者がアプリの収集するものを申告する場所です。つじつまが合っているかを読んでください。クラウドバックアップを提供していてユーザコンテンツが挙がっているアプリは筋が通っています。「iPhoneの外には何も出ない」を売りにしているのに、大量のトラッキングが挙がっているアプリは、プライバシーポリシーをよく読む価値があります。ラベルは開発者自身の回答で、誰も確認していません。それは私たちのものにも当てはまります。

機内モードで動く

読むのではなく、試せる唯一のサインです。アプリをインストールし、機内モードをオンにして、ふつうに使ってみてください。完全にオフラインで動くアプリは、オフラインの間は何もアップロードしていません。オンラインのときに何をしているかの証明にはなりません。しかしそれは人から聞いた話ではなく自分の目で確かめた事実で、このジャンルではそうしたものはわずかです。

限界を文書にしている

これが最も信頼できるサインです。現実の設計にはどれも限界があります。よく考えた開発者ならそれを言葉にできます。アプリを作るために、それを突き詰める必要があったからです。「守れないもの」という言葉を使っているセキュリティのページを探してください。長所しか並べていないページは、誰も確かめていないか、確かめた人が言わないことにしたかのどちらかです。

3. 私たちのアプリを含む、すべての保管庫アプリに当てはまるリスク

これらは、暗号化を良くしてもなくなりません。Obscura Photo Vaultにも4つすべてが当てはまり、セキュリティ文書にもそう書いています。

パスワードを忘れること

リセットのない暗号化された保管庫では、写真を失う原因としてこれがいちばん可能性が高いものです。どんな攻撃よりもはるかに起こりやすいのです。これは「ほかの誰も開けない」という事実を、反対側から見たものです。それに備える2つの習慣、パスワードマネージャーと、開けることを確認した書き出しファイルは、保管庫のパスワードを忘れたらどうなるかで説明しています。

元の写真

保管庫が開いている間に侵害されたiPhone

写真を表示するには、アプリはそれを元に戻す必要があります。そのため鍵と読める状態の写真はメモリ上にあります。その瞬間にアプリの中で動いているものは、その両方に届きます。アプリ単位の暗号化では破られたiPhoneは直せません。そうでないと主張する開発者がいたら、それは誤りです。

アプリは見え、iPhoneも見える

保管庫のアイコンは、中に何かがあることを示しています。偽装で変わるのはアイコンで、App Storeの購入履歴や「設定」の一覧ではありません。スクリーンショット、画面収録、肩越しののぞき見は、どれも写真が元に戻されたあとに起きることです。暗号化は中身を隠します。隠しているものがあること自体は隠しません。

4. サーバーのある保管庫に特有のリスク

アカウントと同期する保管庫には、本物の利点があります。複数のデバイスからのアクセス、iPhoneをなくしても残るコピー、そしてたいていはパスワードのリセットです。同時に、データが置かれる2つ目の場所も生まれ、そこにはiPhoneだけで完結する保管庫にはないリスクがあります：

• コピーを持っているサーバーには、独自の漏えいのリスク、独自のスタッフ、独自の法的なリスクがあります。
• 攻撃されうるアカウントは、フィッシング、SIMスワップ、流出したパスワードの使い回しによって、保管庫のパスワードとは別に狙われます。
• 復旧の手続きは、うまくいかなかったり、だまされたり、強制されたりしうる経路です。写真をあなたに返せるなら、原理的には十分に説得力のある誰かにも渡せてしまいます。
• 開発者が事業を続けることへの依存。書き出しておいたiPhoneだけの保管庫は、開発者がいなくなっても残ります。クラウド型の保管庫は残らないかもしれません。

だからといって、クラウド型の保管庫がまとめて危険だというわけではありません。違う種類のトレードオフだということです。そのトレードオフの中身を決めるのは、暗号化の鍵がどこにあるかです。アプリの4つの種類のガイドで、設計を並べて比較しています。

5. 外からは確かめられないこと

2つあります。そうでないかのようにほのめかすページは、何かを売りつけようとしています。

アプリが説明どおりに動いているか。ソースコードや独立した監査がなければ、「AES-256-GCM」は主張にすぎません。ここまでの内容はすべて、開発者が具体的で率直かどうかを確かめるものです。それはたいてい丁寧な仕事と結びついていますが、アプリが正しいことの証明にはなりません。私たちのアプリも、誰にも監査されていません。ファイルを暗号化するコードは公開していて、それで証明できることとできないことは別のガイドで説明しています。

細かな誤りがないか。現実の暗号化の失敗のほとんどは、良い方式を少しだけ間違って使うことです。二度と使ってはいけない数値の使い回し、安易に作られた鍵、キャッシュに読める状態で残ったサムネイル。そのどれも製品ページからは見えず、多くの場合、会社の外からはまったく見えません。

ですから、現実的な目標は確実さではありません。確かめられる主張をし、自らの限界を説明している開発者に候補を絞ることです。そのうえで、開けることを確認した書き出しファイルを安全な場所に保管してください。それはiPhoneだけでなく、開発者からもあなたを守ってくれます。その方法と、アプリを削除すると実際に何が消えるのかは保管庫アプリの削除と移行で説明しています。

6. よくある質問

写真保管庫アプリは安全ですか？

具体的な意味で安全と言えるものはあります。あなただけが持つパスワードから作った鍵でiPhone上のファイルを暗号化し、それで守れないものを文書で示しているアプリです。ほかに、ふつうのファイルの前にPIN画面を置くだけのアプリもあり、それはちらっと見られるのを防ぐ以外にはほとんど役に立ちません。保管庫という言葉だけでは、どちらなのかはわかりません。わかるのは、掲載ページの暗号化についての主張、プライバシーラベル、そして開発者が限界を書いているかどうかです。

写真保管庫アプリは私の写真を見られますか？

種類によります。サーバーもアカウントもないアプリには送り先がなく、それは機内モードで試せます。クラウドのアカウントと同期するアプリは、サーバーにコピーを置いています。開発者がそれを読めるかどうかは、誰が暗号化の鍵を持っているかで決まります。開発者がパスワードをリセットして写真を返せるなら、開発者が鍵を持っています。プライバシーラベルは私たちのものも含めて開発者自身の回答なので、主張として扱ってください。

写真保管庫アプリを使ういちばん大きなリスクは何ですか？

リセットのない暗号化された保管庫なら、パスワードを忘れることです。取り返しがつきません。どの種類の保管庫でも、元の写真です。移した写真は、削除するまでライブラリに残り、削除したあとも30日間は「最近削除した項目」に、削除が反映されるまではiCloudに残ります。保管庫のプライバシーは、そのあとの後片づけしだいです。

写真保管庫はハッキングされることがありますか？

どんなソフトウェアにも欠陥はありえ、このサイトのどのアプリも、攻撃を受けないとは説明していません。暗号化で変わるのは、攻撃者に必要なものです。あなたのパスワードか、保管庫のロックが解除されている間のiPhoneへのアクセスです。暗号化し、限界がどこにあるかを示している保管庫は、侵入の経路を狭めます。なくすわけではありません。

保管庫アプリはiPhoneの「非表示」アルバムより安全ですか？

守るものが違います。「非表示」アルバムはiPhoneのパスコードで開き、iCloudに同期されます。暗号化された保管庫は独自のパスワードでしか開かず、すべてをiPhoneの中にとどめておけます。リスクがちらっと見られることなら、どちらも同じです。リスクがパスコードを知っている人やあなたのAppleアカウントを使える人なら、対処できるのは暗号化された保管庫だけです。