사진 금고 앱이란 무엇이고 어떻게 작동하나요?

1. 정의, 그리고 중요한 단 하나의 차이

사진 금고 앱은 사진 앱과 분리된 자체 공간에 사진과 동영상을 저장하며, 열려면 자체 비밀번호나 PIN이 필요합니다. 정의는 그것이 전부입니다. 이 정의에는 전혀 다르게 작동하는 두 가지 설계가 들어 있습니다.

• 암호화하는 금고. 각 파일은 비밀번호로 만든 키로 뒤섞입니다. 저장 공간에 있는 것은 그 키 없이는 읽을 수 없습니다. 잠금 해제된 휴대폰이나 그 저장 공간의 사본을 가진 사람에게도 볼 것이 없습니다.
• 화면만 잠그는 금고. 파일은 앱의 저장 공간에 일반 이미지로 있습니다. 잠금은 앱 앞의 화면입니다. 저장 공간의 사본을 가진 사람은 일반 이미지를 갖게 됩니다.

위장, 위장 금고, 침입 알림, 클라우드 동기화 등 이런 앱의 나머지 모든 것은 이 둘 중 하나 위에 얹혀 있습니다. 사진을 숨기는 앱의 네 가지 종류에 대한 가이드에서 더 자세히 다룹니다. 이 페이지는 첫 번째 종류를 설명합니다. ‘금고’라는 말이 암시하는 것이 그쪽이기 때문입니다.

2. 암호화 금고 안에서 사진에 일어나는 일

Obscura Photo Vault를 예로 들겠습니다. 저희가 설계를 확실하게 설명할 수 있고 문서를 링크할 수 있는 앱이기 때문입니다.

1. 비밀번호를 정합니다. 앱은 비밀번호에 무작위 데이터를 섞어 PBKDF2를 600,000회 반복하는 느린 과정을 거쳐 키를 만듭니다. 이 키가 사진을 직접 여는 것은 아닙니다. 이 키는 무작위로 만든 두 번째 키를 열고, 금고의 데이터는 실제로 그 두 번째 키로 암호화됩니다. 금고는 비밀번호를 저장하지 않습니다. Face ID를 켜면 iOS가 키체인에 Face ID로 보호되는 비밀번호 사본을 보관합니다. 이는 편의 기능이지 두 번째 키가 아닙니다.
2. 사진을 가져옵니다. 앱은 보관함의 사진을 메모리로 읽어 들이고, 자체 저장 공간에 무엇이든 기록하기 전에 메모리에서 AES-256-GCM으로 암호화합니다. 휴대폰에 저장되는 것은 암호화된 파일, 암호화된 미리보기 이미지, 그리고 이름과 앨범이 담긴 암호화된 데이터베이스 항목입니다. 사진 앱의 원본은 그대로 있습니다.
3. 금고를 잠급니다. 키가 메모리에서 지워집니다. 휴대폰에 남는 것은 뒤섞인 데이터와, 비밀번호 없이는 쓸모없는 잠긴 키 사본입니다.
4. 잠금을 해제하고 봅니다. 비밀번호가 다시 키로 바뀌고, 두 번째 키가 열리며, 파일이 메모리에서 복호화되어 표시됩니다. 동영상도 메모리에서 복호화되며, 큰 파일은 재생하면서 한 조각씩 복호화하므로 읽을 수 있는 동영상 사본이 휴대폰에 기록되지 않습니다.
5. 원본을 삭제합니다. 앱이 대신 해 줄 수 없는 단계입니다. 사진 앱에서 삭제하고, 최근 삭제된 항목을 비우고, iCloud에 반영될 때까지 원본은 그 자리에 그대로 있습니다.

이름 중 GCM 부분은 사람들이 생각하는 것보다 중요합니다. 각 파일에 검사값이 붙어 있어서, 휴대폰에서 변조된 파일은 조용히 잘못된 데이터로 열리는 대신 아예 열리지 않습니다. 암호화 용어의 의미에서 각 용어를 쉬운 말로 설명합니다.

3. 막아 주는 것과 막지 못하는 것

‘대응함’은 설계가 그 상황을 다룬다는 뜻입니다. 어떤 앱도 공격받을 수 없다는 뜻은 아닙니다. 그것은 어떤 제품 페이지로도 답할 수 없는 별개의 질문입니다.

결정을 바꾸는 것은 표의 아래쪽 절반이며, 지금까지 만들어진 모든 금고 앱에 똑같이 해당합니다. 이를 밝히는 개발사라면 충분히 고민했다는 신호입니다. 저희는 보안 문서 11번 섹션에서 밝히고 있습니다. 이런 앱이 애초에 안전한지는 사진 금고 앱은 안전한가요에서 따로 답합니다.

4. 금고가 대신해 주지 못하는 것

가려진 항목 앨범. 금고를 쓰는 사람들도 대부분 가려진 항목 앨범을 함께 쓰며, 서로 다른 사진에 씁니다. 금고에는 휴대폰이 잠금 해제된 채 다른 사람 손에 있을 때 문제가 될 몇 장을 둡니다. 가려진 항목 앨범에는 위젯에 갑자기 뜨지만 않으면 되는 많은 사진을 둡니다. 둘을 나란히 비교한 가이드와 가려진 항목 앨범이 다루는 것과 다루지 못하는 모든 것을 참고하세요.

백업. 휴대폰 안의 암호화 금고는 휴대폰 한 대에 있는 사본 하나입니다. 휴대폰을 잃었는데 금고를 내보낸 적이 없다면 사진은 사라집니다. 서버가 없는 금고라면 내보낸 파일을 어딘가에 보관해야 합니다. 서버가 있는 금고라면 누가 키를 가지고 있는지 알아야 합니다.

내 기억력. 금고가 비밀번호를 재설정할 수 없다면, 다른 무엇으로도 재설정할 수 없습니다. 이를 대비하는 두 가지 습관은 금고 비밀번호를 잊으면 어떻게 되는지에 있습니다.

5. 흔한 기능 설명

Face ID 또는 Touch ID 잠금 해제

두 번째 키가 아니라 지름길입니다. 잘 만든 금고에서는 비밀번호를 대체하는 것이 아니라 iOS 키체인에 저장된 비밀번호를 가져옵니다. 휴대폰에 새 얼굴이나 지문이 추가되면 iOS가 이 지름길을 없앱니다.

위장 금고

다른 비밀번호를 쓰는 두 번째 금고로, 보여 줘도 괜찮은 사진을 담아 둡니다. 제대로 만들면 위장 금고는 실제 금고이고, 앱은 목록이나 개수를 보여 주지 않으며, 휴대폰의 파일만으로는 어떤 금고가 쓰이고 있는지 드러나지 않습니다. 설정 파일에 표시를 남기는 방식으로 만들면 그 표시가 곧 답이 됩니다. 어느 쪽이든 알려진 한계가 있습니다. 저희의 한계는 사진 금고의 그럴듯한 부인 가능성에 있습니다.

위장 아이콘

앱이 계산기나 유틸리티처럼 보입니다. 홈 화면을 힐끗 볼 때 보이는 것만 바뀔 뿐, 파일이 저장되는 방식은 전혀 바뀌지 않습니다. 힐끗 보는 사람에게는 통하지만, 자세히 살펴보는 사람에게는 통하지 않습니다.

폴더 비밀번호

금고 안의 폴더에 거는 두 번째 비밀번호입니다. 암호화 설계에서는 폴더 비밀번호로 만든 키로 한 겹 더 암호화한다는 뜻이므로, 폴더의 내용을 보려면 두 비밀번호가 모두 필요합니다.

암호화된 내보내기

금고 전체를 담은 파일 하나로, 금고 자체만큼 강하게 암호화되며 다른 기기에서 가져올 수 있습니다. 서버가 없는 금고가 휴대폰을 잃어도 살아남는 방법입니다. 실제로 가져올 수 있는지 확인한 뒤에야 백업이라고 할 수 있습니다.

6. 자주 묻는 질문

사진 금고 앱이란 무엇인가요?

사진과 동영상을 기본 사진 보관함 밖에, 자체 잠금 뒤에 보관하는 앱입니다. 중요한 차이는 앱이 파일을 암호화해서 비밀번호로 만든 키 없이는 읽을 수 없게 하는지, 아니면 일반 파일 앞에 PIN 화면만 두는지입니다. 겉으로는 둘 다 똑같아 보입니다.

사진 금고 앱은 어떻게 작동하나요?

보관함에서 사진을 가져오면 앱이 사진을 자체 저장 공간으로 복사합니다. 암호화 금고에서는 그 순간 비밀번호로 만든 키로 사본이 암호화되며, 휴대폰에서 암호화된 상태로 유지됩니다. 사진을 보려면 금고의 잠금을 해제합니다. 앱은 메모리에서 파일을 복호화해 보여 주고, 금고가 잠기면 읽을 수 있는 사본을 버립니다. 보관함의 원본은 삭제할 때까지 그대로 있습니다.

사진 금고와 가려진 항목 앨범은 어떻게 다른가요?

가려진 항목 앨범은 사진 앱에서 사진이 보이는 위치를 바꾸며 기기 암호로 열립니다. 사진 금고는 사진을 사진 앱 밖으로 완전히 옮기며 자체 비밀번호로 열립니다. 금고가 암호화한다면 그 비밀번호가 파일을 읽는 유일한 방법이기도 합니다. 가려진 항목 앨범은 여전히 iCloud와 동기화됩니다. 휴대폰 밖으로 무언가를 내보낼지 여부는 금고가 스스로 결정합니다.

사진 금고 앱은 사진을 어디에 저장하나요?

사진 보관함과는 별개인, 휴대폰 안의 자체 저장 공간에 저장합니다. 암호화 금고라면 그 저장 공간에는 이미지가 아니라 뒤섞인 데이터가 있습니다. 계정을 중심으로 만든 금고는 개발사 서버에도 사본을 보관하며, 그래서 동기화와 비밀번호 재설정이 가능합니다. 계정이 필요하다는 점은 항상 명시되므로, App Store 설명을 보면 어떤 설계인지 알 수 있습니다.

위장 금고란 무엇인가요?

다른 비밀번호로 열리는 두 번째 금고로, 보여 줘도 괜찮은 사진을 담아 둡니다. 잘 만든 설계에서는 위장 금고가 가짜가 아니라 실제 금고이며, 앱은 금고 목록이나 개수를 보여 주지 않습니다. 그래서 위장 금고를 열어도 다른 금고가 있는지 드러나지 않습니다. 알려진 한계가 있으며, 진지한 개발사라면 이를 공개합니다.