Zijn fotokluis-apps veilig?

1. Wat veilig moet betekenen

Veilig waartegen, en voor wie? Van een kluis-app wordt verwacht dat hij twee verschillende taken doet. Het eerlijke antwoord op ‘is hij veilig?’ hangt af van welke je bedoelt.

• Een foto uit het zicht houden als iemand de telefoon vasthoudt, of als een widget of een herinnering hem laat zien. Bijna elke app van dit soort doet dit. Het ingebouwde album Verborgen ook.
• Het bestand onleesbaar houden voor iemand die de telefoon en de toegangscode heeft, of een kopie van de opslag. Alleen een app die de bestanden versleutelt met een wachtwoord dat los staat van de toegangscode, doet dit. Dat is wat een fotokluis-app is in de betekenis die het woord doet vermoeden.

Deze apps worden verkocht met de tweede taak als belofte en leveren vaak de eerste. Dat is niet altijd oneerlijk, want voor veel mensen is de eerste taak het hele probleem. Het wordt een probleem als iemand een app kiest voor de tweede taak en de eerste krijgt. De rest van deze pagina gaat over hoe je dat ziet, en daarna over wat de tweede soort nog steeds niet kan.

2. Vijf kenmerken die je kunt controleren

Allemaal uit de App Store-beschrijving en de website van de ontwikkelaar, voordat je iets installeert. Onze gerangschikte vergelijking past ze met bronnen toe op zes genoemde apps. Dit is de algemene versie.

De app noemt wat hij versleutelt, en hoe

Een versleutelingsmethode, een manier om van je wachtwoord een sleutel te maken met een aantal rondes, en wat er wordt gedekt: foto’s, video’s, miniaturen en de database met namen en albums. Dat zijn vier aparte dingen. ‘AES-256-GCM, PBKDF2 met 600.000 rondes’ is een bewering die je kunt controleren en waar je de ontwikkelaar aan kunt houden. ‘Bankniveau’ of ‘militaire kwaliteit’ belooft niets. Een app die alleen zijn instellingen versleutelt, zou het naar waarheid kunnen zeggen. Wat de termen betekenen is een aparte gids.

De app zegt of de ontwikkelaar je foto’s kan terughalen

Dit is de veelzeggendste vraag van allemaal. Is het antwoord ja, dan heeft de ontwikkelaar iets in handen dat je bestanden zonder je wachtwoord kan ontgrendelen. De bescherming geldt dan tegen buitenstaanders, niet tegen de ontwikkelaar. Is het antwoord nee, dan is een vergeten wachtwoord definitief. Beide zijn legitiem. Een ontwikkelaar die geen duidelijk antwoord geeft, is het probleem.

Het privacylabel past bij het verhaal

Het gedeelte App-privacy is waar de ontwikkelaar zegt wat de app verzamelt. Kijk of het klopt met de rest. Een app die een reservekopie in de cloud biedt en Gebruikersinhoud vermeldt, is logisch. Een app die vooral belooft dat ‘niets je telefoon verlaat’, maar veel tracking vermeldt, verdient een nadere blik op het privacybeleid. Het label is het eigen antwoord van de ontwikkelaar, en niemand controleert het. Dat geldt ook voor het onze.

De app werkt in de vliegtuigmodus

Het enige kenmerk dat je kunt testen in plaats van alleen lezen. Installeer de app, zet de vliegtuigmodus aan en gebruik hem gewoon. Een app die volledig offline werkt, uploadt niets terwijl hij offline is. Dat bewijst niet wat hij doet als hij online is. Maar het is iets wat je hebt gezien in plaats van iets wat je is verteld, en daar zijn er weinig van in deze categorie.

De app schrijft zijn grenzen op

Het sterkste signaal van allemaal. Elk echt ontwerp heeft grenzen. Een ontwikkelaar die erover heeft nagedacht, kan ze benoemen, omdat hij ze moest uitzoeken om de app te bouwen. Zoek naar een beveiligingspagina met de woorden ‘beschermt niet tegen’. Een pagina met alleen sterke punten betekent dat niemand heeft gekeken, of dat iemand dat wel deed en ervoor koos het niet te zeggen.

3. Risico’s van elke kluis-app, ook de onze

Deze verdwijnen niet met betere versleuteling. Obscura Photo Vault heeft met alle vier te maken, en het beveiligingsdocument zegt dat ook.

Een vergeten wachtwoord

Bij een versleutelde kluis zonder reset is dit de waarschijnlijkste manier om je foto’s kwijt te raken. Het is veel waarschijnlijker dan welke aanval ook. Het is hetzelfde feit als ‘niemand anders kan hem openen’, van de andere kant bekeken. De twee gewoonten die ertegen beschermen, een wachtwoordbeheerder en een geteste export, staan in wat er gebeurt als je je kluiswachtwoord vergeet.

De originelen

Een gehackte telefoon terwijl de kluis open is

Om je een foto te laten zien, moet de app hem ontsleutelen. De sleutel en de leesbare foto staan dus in het geheugen. Alles wat op dat moment binnen de app draait, kan bij allebei. Geen versleuteling op app-niveau lost een gehackte telefoon op, en geen ontwikkelaar hoort iets anders te beweren.

De app is zichtbaar, en de telefoon ook

Een kluissymbool verraadt dat er iets in zit. Een vermomming verandert het symbool, niet de aankoopgeschiedenis in de App Store of de lijst in Instellingen. Schermafbeeldingen, schermopnamen en iemand die over je schouder meekijkt, gebeuren allemaal nadat de foto is ontsleuteld. Versleuteling verbergt de inhoud. Ze verbergt niet dat er iets te verbergen is.

4. Risico’s van kluizen met een server

Een kluis die met een account synchroniseert, wint echte dingen: toegang vanaf meerdere apparaten, een kopie die een verloren telefoon overleeft, en meestal een wachtwoordreset. Hij krijgt er ook een tweede plek bij waar je gegevens staan, met risico’s die een kluis die alleen op de telefoon staat niet heeft:

• Een server met kopieën, met een eigen risico op een datalek, eigen personeel en eigen juridische risico’s.
• Een account dat kan worden aangevallen, via phishing, simkaartfraude of een hergebruikt gelekt wachtwoord, los van het kluiswachtwoord.
• Een herstelprocedure: een route die mis kan gaan, die om de tuin kan worden geleid of kan worden afgedwongen. Als die je je foto’s terug kan geven, kan die ze in principe ook geven aan iemand die overtuigend genoeg is.
• Afhankelijkheid van het voortbestaan van de ontwikkelaar. Een kluis op de telefoon die je hebt geëxporteerd, overleeft de ontwikkelaar. Een cloudkluis misschien niet.

Niets hiervan maakt cloudkluizen als groep onveilig. Het maakt ze een andere afweging. Waar de versleutelingssleutels liggen, bepaalt hoe die afweging uitvalt. Onze gids over de vier soorten apps zet de ontwerpen naast elkaar.

5. Wat je van buitenaf niet kunt controleren

Twee dingen, en een pagina als deze die iets anders suggereerde, zou je iets proberen te verkopen.

Of de app doet wat de beschrijving zegt. Zonder de broncode of een onafhankelijke audit is ‘AES-256-GCM’ een bewering. Alles hierboven test of een ontwikkelaar concreet en open is. Dat gaat meestal samen met zorgvuldigheid. Het bewijst niet dat de app klopt. Ook onze app heeft niemand geaudit. We hebben de code gepubliceerd die de bestanden versleutelt, en wat dat wel en niet bewijst is een aparte gids.

Of er subtiele fouten in zitten. De meeste echte fouten in versleuteling zijn goede methoden die net iets verkeerd worden gebruikt: een getal dat opnieuw wordt gebruikt terwijl dat nooit mag, een sleutel die te goedkoop wordt gemaakt, een miniatuur die leesbaar in een cache blijft staan. Niets daarvan is zichtbaar op een productpagina, en vaak zelfs helemaal niet voor buitenstaanders.

Het realistische doel is dus geen zekerheid. Het gaat erom het veld te beperken tot ontwikkelaars die beweringen doen die je kunt controleren en die hun eigen grenzen beschrijven. Bewaar daarna een geteste export op een veilige plek, die je zowel tegen de ontwikkelaar als tegen de telefoon beschermt. Hoe je dat doet, en wat het verwijderen van de app echt weghaalt, staat in een kluis-app verwijderen of verhuizen.

6. Veelgestelde vragen

Zijn fotokluis-apps veilig?

Sommige wel, in een specifieke betekenis. Ze versleutelen je bestanden op de telefoon met een sleutel die wordt gemaakt uit een wachtwoord dat alleen jij hebt, en ze zeggen op schrift waar dat niet tegen beschermt. Andere zetten een pincodescherm voor gewone bestanden, en dat beschermt tegen een vluchtige blik en weinig meer. Het woord kluis vertelt je niet welke van de twee. Wat je wel iets vertelt: de bewering over versleuteling in de beschrijving, het privacylabel en of de ontwikkelaar de grenzen opschrijft.

Kunnen fotokluis-apps je foto’s zien?

Dat hangt af van de soort. Een app zonder server en zonder account heeft nergens om ze naartoe te sturen, en dat kun je testen in de vliegtuigmodus. Een app die met een cloudaccount synchroniseert, bewaart kopieën op zijn servers. Of de ontwikkelaar die kan lezen, hangt af van wie de versleutelingssleutels heeft. Als de ontwikkelaar je wachtwoord kan resetten en je je foto’s terug kan geven, heeft de ontwikkelaar een sleutel. Privacylabels zijn het eigen antwoord van de ontwikkelaar, het onze inbegrepen, dus zie ze als beweringen.

Wat is het grootste risico van een fotokluis-app?

Bij een versleutelde kluis zonder reset: het wachtwoord vergeten. Dat is definitief. Bij elke soort kluis: de originelen. De foto die je hebt verplaatst, staat nog in je bibliotheek tot je hem verwijdert, daarna dertig dagen in Recent verwijderd, en in iCloud tot de verwijdering daar is doorgevoerd. Een kluis is maar zo privé als je opruimwerk achteraf.

Kan een fotokluis worden gehackt?

Alle software kan fouten bevatten, en geen enkele app op deze site wordt onaantastbaar genoemd. Wat versleuteling verandert, is wat een aanvaller nodig heeft: je wachtwoord, of toegang tot de telefoon terwijl de kluis ontgrendeld is. Een kluis die versleutelt en zegt waar zijn grenzen liggen, beperkt de manieren om binnen te komen. Hij haalt ze niet weg.

Is een kluis-app veiliger dan het album Verborgen op iPhone?

Ze beschermen tegen verschillende dingen. Het album Verborgen gaat open met de toegangscode van je telefoon en synchroniseert met iCloud. Een versleutelde kluis gaat alleen open met een eigen wachtwoord en kan alles op de telefoon houden. Gaat het om een vluchtige blik, dan zijn ze gelijk. Gaat het om iemand met je toegangscode of je Apple-account, dan helpt alleen de versleutelde kluis.