写真保管庫アプリとは？そのしくみを解説

1. 定義と、大切なただ一つの違い

写真保管庫アプリは、写真とビデオを写真アプリとは別の専用の場所に保存し、開くのに独自のパスワードやPINを必要とします。定義はそれだけです。しかしその中には、まったく違う動きをする2つの設計が含まれています：

• 暗号化する保管庫。各ファイルは、パスワードから作った鍵でスクランブルされます。ストレージにあるものは、その鍵がなければ読めません。ロックを解除したiPhoneや、そのストレージのコピーを持っている人にも、見られるものはありません。
• 画面をロックするだけの保管庫。ファイルはふつうの画像として、アプリのストレージに置かれています。ロックはアプリの前にある画面です。ストレージのコピーを持っている人は、ふつうの画像を手にしています。

偽装、ダミー、侵入アラート、クラウド同期など、こうしたアプリのそれ以外の要素はすべて、この2つのどちらかの上に乗っています。写真を隠すアプリの4つの種類のガイドで、より詳しく説明しています。このページで説明するのは前者です。「保管庫」という言葉が思わせるのはそちらだからです。

2. 暗号化された保管庫の中で写真に起きること

具体例としてObscura Photo Vaultを使います。設計を確実に説明でき、資料にリンクできるのがこのアプリだからです。

1. パスワードを設定する。アプリはそれを、ランダムなデータを混ぜた600,000回のPBKDF2という遅い処理にかけて、鍵を作ります。その鍵は写真を直接開けるのではありません。もう1つのランダムな鍵を開け、保管庫のデータを実際に暗号化しているのはその2つ目の鍵です。保管庫はパスワードを保存しません。Face IDをオンにすると、iOSがパスワードのコピーをキーチェーンにFace IDで保護して保管します。それは便利さのためで、2つ目の鍵ではありません。
2. 写真を取り込む。アプリはライブラリから写真をメモリに読み込み、そこでAES-256-GCMにより暗号化します。自分のストレージに何かが書き込まれるのはその後です。iPhoneに保存されるのは、暗号化されたファイル、暗号化されたサムネイル、そして名前とアルバムが記録された暗号化されたデータベースの項目です。写真アプリにある元の写真には手を触れません。
3. 保管庫をロックする。鍵はメモリから消去されます。iPhoneに残るのは、スクランブルされたデータと、パスワードがなければ役に立たない、ロックされた鍵のコピーです。
4. ロックを解除して見る。パスワードが再び鍵に変えられ、2つ目の鍵のロックが解除され、ファイルは表示のためにメモリ上で元に戻されます。ビデオもメモリ上で元に戻され、大きなファイルなら再生に合わせて1断片ずつ戻されるため、読める状態のビデオのコピーがiPhoneに書き込まれることはありません。
5. 元の写真を削除する。これはアプリが代わりにできない手順です。写真アプリから削除し、「最近削除した項目」を空にし、iCloudに反映されるまでは、元の写真は元の場所に残っています。

名前にあるGCMの部分は、思っている以上に大切です。各ファイルにチェック用の値がつくため、iPhone上で書き換えられたファイルは、黙って間違ったデータとして開くのではなく、開けなくなります。暗号化の用語の意味で、それぞれをわかりやすく説明しています。

3. 守れるものと守れないもの

「対応できる」とは、設計がその状況に対処しているという意味です。どのアプリも攻撃を受けないという意味ではありません。それは製品ページでは決着がつかない、別の問題です。

判断を変えるのは表の下半分で、これまでに作られたどの保管庫アプリでも同じです。それを明記している開発者は、きちんと考え抜いていることを示しています。私たちのものはセキュリティ文書のセクション11にあります。そもそもこうしたアプリが安全かどうかについては、写真保管庫アプリは安全かで別に答えています。

4. 保管庫が代わりにならないもの

「非表示」アルバム。保管庫を使う人のほとんどは、別の写真のために「非表示」アルバムも使っています。保管庫には、ロックを解除したiPhoneがほかの誰かの手に渡ったら困る、ごくわずかな写真を入れます。「非表示」アルバムには、ウィジェットに出てきてほしくないだけの、たくさんの写真を入れます。2つを並べた比較と、「非表示」アルバムが守るものと守らないものをご覧ください。

バックアップ。iPhone上の暗号化された保管庫は、1台のiPhoneにある1つのコピーです。iPhoneをなくし、保管庫を一度も書き出していなければ、写真は失われます。サーバーのない保管庫では、どこかに書き出したファイルを保管しておく必要があります。サーバーのある保管庫では、誰が鍵を持っているのかを知っておく必要があります。

あなたの記憶。保管庫がパスワードをリセットできないなら、ほかの何にもできません。これに備える2つの習慣は保管庫のパスワードを忘れたらどうなるかで説明しています。

5. よくある機能の解説

Face IDやTouch IDによるロック解除

近道であって、2つ目の鍵ではありません。よくできた保管庫では、パスワードを置き換えるのではなく、iOSのキーチェーンに保存したパスワードを取り出します。iPhoneに新しい顔や指紋が追加されると、iOSはこの近道を無効にします。

ダミーの保管庫

別のパスワードで開く2つ目の保管庫で、見せても構わない写真を入れておくものです。きちんと作られていれば、ダミーは本物の保管庫で、アプリは一覧も数も表示せず、iPhone上のファイルからはどの保管庫が使われているかわかりません。設定ファイル内の目印で区別しているなら、その目印を見れば答えがわかってしまいます。どちらにしても既知の限界があります。私たちのものは写真保管庫における「もっともらしい否認」にあります。

偽装アイコン

アプリを計算機やユーティリティのように見せるものです。これで変わるのはホーム画面をちらっと見たときの見え方で、ファイルの保存のされ方は何も変わりません。ちらっと見られる程度なら役立ちますが、本格的に調べられたら役に立ちません。

フォルダのパスワード

保管庫の中のフォルダにかける2つ目のパスワードです。暗号化する設計では、フォルダのパスワードから作った鍵による2層目の暗号化を意味し、フォルダの中身を見るには両方のパスワードが必要になります。

暗号化された書き出し

保管庫全体を1つのファイルにまとめたもので、保管庫そのものと同じ強さで暗号化され、別のデバイスで読み込めます。サーバーのない保管庫が、iPhoneの紛失を乗り越えるための方法です。実際に読み込めることを確かめて初めて、バックアップと呼べます。

6. よくある質問

写真保管庫アプリとは何ですか？

写真とビデオをメインの写真ライブラリの外に、独自のロックをかけて保管するアプリです。大切な違いは、アプリがファイルを暗号化し、パスワードから作った鍵がなければ読めないようにしているのか、それともふつうのファイルの前にPIN画面を置いているだけなのかです。外から見ると、どちらも同じに見えます。

写真保管庫アプリはどう動くのですか？

ライブラリから写真を取り込むと、アプリはそれを自分のストレージにコピーします。暗号化された保管庫では、そのコピーはその時点でパスワードから作った鍵で暗号化され、iPhone上では暗号化されたままです。見るときは保管庫のロックを解除します。アプリはファイルをメモリ上で元に戻して表示し、保管庫がロックされると読める状態のコピーを捨てます。ライブラリにある元の写真は、削除するまでそのままです。

写真保管庫と「非表示」アルバムの違いは何ですか？

「非表示」アルバムは、写真アプリで写真が表示される場所を変え、iPhoneのパスコードで開きます。写真保管庫は写真を写真アプリから完全に移し、独自のパスワードで開きます。保管庫が暗号化するなら、そのパスワードがファイルを読む唯一の手段でもあります。「非表示」アルバムはiCloudに同期され続けます。保管庫は、何かをiPhoneの外に出すかどうかを自分で決めます。

写真保管庫アプリは写真をどこに保存していますか？

iPhone上の、写真ライブラリとは別のアプリ専用のストレージです。暗号化された保管庫では、そのストレージにあるのは画像ではなく、スクランブルされたデータです。アカウントを前提にした保管庫は、開発者のサーバーにもコピーを置いていて、それが同期やパスワードのリセットを可能にしています。アカウントが必要なら必ず書かれているので、App Storeの掲載ページを見ればどちらの設計かがわかります。

ダミーの保管庫とは何ですか？

別のパスワードで開く2つ目の保管庫で、見せても構わない写真を入れておくものです。よくできた設計では、ダミーは偽物ではなく本物の保管庫で、アプリは保管庫の一覧も数も表示しません。そのためダミーを開いても、ほかの保管庫があるかどうかは何もわかりません。既知の限界があり、真剣な開発者はそれを公開しています。