Is Obscura Photo Vault veilig?
Waar het je foto’s tegen beschermt, waartegen niet, hoe waarschijnlijk elk risico is en hoe je de versleuteling op je eigen telefoon controleert in plaats van ons op ons woord te geloven.
Voor het doel waarvoor hij is gebouwd wel, en je hoeft ons niet op ons woord te geloven. Obscura Photo Vault vergrendelt je foto’s op je telefoon met een sleutel die wordt gemaakt uit een wachtwoord dat alleen jij kent. Er is geen account en geen server, dus we hebben geen kopie en geen manier om erin te komen. De code die het vergrendelen doet, is openbaar, en je kunt de bestanden op je eigen telefoon ermee testen.
Hij is niet tegen alles veilig. De waarschijnlijkste manier om je foto’s kwijt te raken, is je wachtwoord vergeten, want niemand kan het resetten. Hieronder staat waartegen de app je beschermt, waartegen niet, en hoe waarschijnlijk elk risico is.
1. Voor wie hij je foto’s afschermt
Wij maken de app, dus lees deze pagina met dat in je achterhoofd. We hebben geprobeerd haar zo te schrijven dat je ons niet hoeft te vertrouwen. Elke bewering linkt naar iets wat je kunt lezen of testen.
‘Veilig’ betekent pas iets als je zegt tegen wie. Dit is de eenvoudige versie, persoon voor persoon.
| Wie | Zijn je foto’s beschermd? |
|---|---|
| Iemand die je ontgrendelde telefoon oppakt | Ja, als de kluis vergrendeld is. Hij heeft een eigen wachtwoord, en standaard vergrendelt hij zichzelf na vijf minuten zonder gebruik. |
| Iemand die de toegangscode van je telefoon kent | Ja. Je toegangscode opent de kluis niet. |
| Iemand met een kopie van de gegevens van je telefoon, zoals een reservekopie of een verloren telefoon | Ja, als je wachtwoord sterk is. Met een zwak wachtwoord kan die persoon het na verloop van tijd raden. Zie hoe sterk het moet zijn. |
| Wij, de ontwikkelaar | Ja. We hebben geen server, geen account en nergens een kopie van. |
| Iemand die je vraagt of onder druk zet om hem te openen | Grotendeels, als je een tweede kluis instelt. Die opent als een echte kluis met echte foto’s, en niets in de app laat zien dat er nog een bestaat. Het is zwakker tegenover iemand die de opslag van de telefoon kan onderzoeken, of die weet dat de app meer dan één kluis toestaat. Zie waar Aparte kluizen ophoudt. |
| Iemand die het scherm ziet terwijl de kluis open is | Nee. Zodra een foto op het scherm staat, kan hij worden gezien. |
| Schadelijke software die de telefoon zelf is binnengedrongen | Niet terwijl de kluis open is. Gewone apps kunnen niet bij de kluis. Software die iOS zelf openbreekt, kan kopiëren wat openstaat. Zie hoe dit werkt. |
De eerste vier rijen zijn waar de app voor is gebouwd. De vijfde hangt af van een tweede kluis, en deel 5 behandelt waar die ophoudt. De laatste twee gebeuren terwijl de kluis open is, dus versleuteling alleen doet daar weinig tegen. De meeste kluis-apps hebben dezelfde grenzen, en onze gids over of kluis-apps veilig zijn legt uit waarom.
2. Wat er met een foto gebeurt in de app
Dit geldt voor versie 1.14 en nieuwer. Alle details staan in ons beveiligingsdocument.
Hij wordt vergrendeld voordat hij wordt opgeslagen
Als je een foto toevoegt, versleutelt de app hem in het geheugen. Alleen de vergrendelde versie wordt naar de telefoon geschreven. De kleine voorbeeldafbeeldingen worden ook vergrendeld, net als de lijst met mappen, namen en tags. Video’s zijn het enige geval waarin iOS even een leesbare kopie in een tijdelijk bestand bewaart terwijl de video binnenkomt. De app verwijdert die zodra de vergrendelde kopie is weggeschreven.
Je wachtwoord ontgrendelt een sleutel, en de sleutel vergrendelt de foto’s
Elke kluis heeft een eigen hoofdsleutel. Dat is een lang willekeurig getal dat één keer wordt gemaakt, als je de kluis aanmaakt. Je wachtwoord vergrendelt je foto’s niet direct. Het ontgrendelt die hoofdsleutel.
Je wachtwoord omzetten in een sleutel is bewust traag. Het duurt ongeveer een seconde op een iPhone, omdat de app één stap 600.000 keer herhaalt. Een seconde is niets voor jou. Voor iemand die miljoenen gokken probeert, loopt dat op tot enorm veel tijd. Onze eenvoudige gids over de termen rond versleuteling legt de getallen uit.
Elk bestand heeft een verzegeling tegen knoeien
Elk vergrendeld bestand heeft een verzegeling. Wordt er ook maar één byte veranderd, dan weigert het bestand te openen. Het is zo gebouwd dat het je niets laat zien wat stilletjes is gewijzigd.
Video’s spelen af zonder leesbare kopie op de telefoon
Als je een video afspeelt, ontgrendelt de app alleen het deel dat wordt getoond, in het geheugen. Er wordt geen leesbare kopie van de video naar de opslag van de telefoon geschreven.
Als de kluis vergrendelt, wordt de sleutel gewist
Als je de kluis vergrendelt, wordt de hoofdsleutel uit het geheugen gewist. Om weer iets te zien, heb je het wachtwoord of Face ID nodig.
Waar je foto’s naartoe kunnen
Slechts drie plekken: de telefoon, de reservekopie van je iPhone en een exportbestand dat je zelf maakt. In de reservekopie en de export zijn de bestanden nog steeds vergrendeld. De app stuurt niets naar ons, want er is nergens om het naartoe te sturen.
3. Waarom je ons niet op ons woord hoeft te geloven
De meeste kluis-apps zeggen dat ze je foto’s veilig houden. Weinig apps zeggen hoe. In augustus 2026 hebben we de App Store-beschrijvingen gelezen van de vijf kluis-apps met de meeste beoordelingen. Geen ervan noemde de versleutelingsmethode en de instellingen. Eén zei ‘military-grade’ (militaire kwaliteit). De citaten staan in onze vergelijking van fotokluis-apps.
Zo’n term vraagt je om erop te vertrouwen. We hebben geprobeerd je meer te geven dan een term, in drie stappen. Bij elke stap hoef je ons iets minder te vertrouwen.
Stap 1: een geschreven ontwerp, met de grenzen
Het beveiligingsdocument beschrijft hoe de app je foto’s vergrendelt. Er staat ook een heel deel in over waar de app niet tegen beschermt. Een geschreven bewering laat je ons ergens aan houden. Maar het blijven woorden.
Stap 2: de code zelf
De code die het vergrendelen doet, is openbaar. Hij heet ObscuraCrypto, en iedereen kan hem op GitHub lezen. Hij dekt hoe je wachtwoord een sleutel wordt, en hoe elke foto, video, voorbeeldafbeelding, beveiligde map en elk reservekopiebestand wordt vergrendeld.
Voor de moeilijke delen gebruikt hij alleen Apples eigen bouwstenen, en geen code van andere bedrijven. Hij wordt geleverd met tests. Sommige van die tests openen voorbeeldbestanden die de app zelf heeft geschreven. Dat laat zien dat de openbare code leest wat de app schrijft.
Stap 3: je eigen telefoon
Dit is de stap die helemaal niet van ons afhangt. Het project bevat een stapsgewijze handleiding om de bestanden op je eigen iPhone te controleren. Je hebt een Mac en ongeveer twintig minuten nodig. Je maakt op de Mac een reservekopie van de telefoon, kopieert de kluisbestanden eruit en voert een paar controles uit:
- De bestanden zijn geen leesbare foto’s. Ze beginnen niet zoals een foto- of videobestand, en ze worden niet kleiner als je ze comprimeert, want vergrendelde data laat zich niet comprimeren.
- Alleen jouw wachtwoord opent jouw kluis. Het opent precies één kluisbestand. Elk ander bestand geeft hetzelfde antwoord: verkeerd wachtwoord.
- Een wachtwoordwijziging herschrijft niets. Wijzig je wachtwoord en controleer opnieuw: elk fotobestand is precies hetzelfde als eerst. Alleen het slot op de hoofdsleutel is veranderd.
- Knoeien wordt opgemerkt. Verander één byte van een bestand en het weigert te openen.
Hiervoor heb je geen enkele hulp van ons nodig. In gewone woorden: je controleert wat wij over de app zeggen aan de hand van de bestanden op je eigen telefoon.
Nee. Goede versleuteling is zo gebouwd dat ze veilig blijft, ook als iedereen weet hoe ze werkt. Het enige geheim is de sleutel, die hier uit je wachtwoord komt. Dit idee staat bekend als het principe van Kerckhoffs, en het dateert uit 1883. Vergrendeling die alleen werkt zolang de methode geheim is, zou juist reden tot zorg zijn. Openbare code betekent ook dat iedereen een fout kan vinden en die aan ons kan melden.
Als de app ooit verdwijnt
Hetzelfde openbare project bevat een kleine tool voor de Mac. Die kan een Obscura-reservekopiebestand met je wachtwoord openen en je foto’s en video’s als gewone bestanden wegschrijven. Een reservekopiebestand dat je bewaart, hangt dus niet af van de app of van ons. Foto’s in een map met een eigen wachtwoord zijn de uitzondering, omdat hun tweede sleutel in de app zit.
4. Wat de openbare code niet bewijst
De code publiceren is een grote stap, maar heeft grenzen. Dit zijn de belangrijkste.
- Dat de app op je telefoon ermee is gebouwd. Apple ondertekent en versleutelt elke app uit de App Store opnieuw voordat hij bij jou komt. Daarom kan niemand buiten Apple bewijzen van welke code een download afkomstig is. Wat de controles hierboven wel bewijzen, is dat je bestanden precies overeenkomen met de openbare code. Dat kan niet toevallig gebeuren.
- De rest van de app. De schermen, de database, hoe de tien kluisplekken werken en het wissen van sleutels uit het geheugen zitten niet in de openbare code. Het beveiligingsdocument beschrijft ze, maar die code kun je niet lezen.
- Dat een expert hem heeft beoordeeld. Geen extern beveiligingsbedrijf heeft de app of de code geaudit. Openbare code maakt een beoordeling mogelijk. Het betekent niet dat er een is geweest.
5. De risico’s die blijven en hoe waarschijnlijk ze zijn
Ze staan van meest waarschijnlijk naar minst waarschijnlijk. Bij elk staat hoe waarschijnlijk het is en hoe erg het zou zijn.
- Je wachtwoord vergeten
- De originelen die in Foto’s achterblijven
- Een zwak wachtwoord en iemand met een kopie van je gegevens
- Iemand ziet het scherm terwijl de kluis open is
- Face ID gebruikt door iemand die bij je is
- Aparte kluizen en waar het ophoudt
- Een klein, zeldzaam risico bij heel grote videoverzamelingen
- Schadelijke software op de telefoon
- De app is zichtbaar op je telefoon
Je wachtwoord vergeten
Hoe waarschijnlijk: de waarschijnlijkste manier om je foto’s kwijt te raken, veel waarschijnlijker dan welke aanval ook. Hoe erg: definitief. Niemand kan het resetten, ook wij niet.
Dit is hetzelfde feit als ‘niemand anders kan hem openen’, van de andere kant bekeken. Bewaar het wachtwoord in een wachtwoordbeheerder, en bewaar een exportbestand op een veilige plek. Onze gids over een vergeten kluiswachtwoord behandelt beide.
De originelen die in Foto’s achterblijven
Hoe waarschijnlijk: komt heel vaak voor. Hoe erg: de foto blijft leesbaar voor iedereen met de toegangscode van je telefoon.
Wie een foto aan de kluis toevoegt, maakt een kopie. Het origineel blijft in je bibliotheek tot je het verwijdert. Daarna staat het 30 dagen in Recent verwijderd, en in iCloud-foto’s tot de verwijdering daar is doorgevoerd. Een kluis-app kan niet al die plekken zelf opruimen, dus de originelen verwijderen is aan jou. Onze gids over waar foto’s op een iPhone blijven staan noemt alle plekken.
Een zwak wachtwoord en iemand met een kopie van je gegevens
Hoe waarschijnlijk: laag. Er is een kopie van de gegevens van je telefoon nodig, zoals een reservekopie op een computer, plus tijd en moeite. Hoe erg: die persoon kan die kluis openen.
Met een kopie kan iemand wachtwoorden op een computer proberen, zo snel als die kan. De trage sleutelstap maakt elke gok duurder, maar kan een zwak wachtwoord niet redden. Het openbare project geeft deze ruwe tijden voor één krachtige videokaart:
| Je wachtwoord | Ziet eruit als | Ruwe tijd om het te raden |
|---|---|---|
| Een veelgebruikt woord of patroon | zonneschijn, wachtwoord1, Anna1990, qwerty123 | Minuten |
| 6 willekeurige kleine letters | kqmzvt | Uren tot dagen |
| 8 willekeurige letters en cijfers | T7mq2XpL | Jaren |
| 4 willekeurige woorden, of 12 of meer willekeurige tekens | baan augurk lantaarn mist, j4Rk9wQz2LpT | Buiten bereik |
Dit zijn alleen voorbeelden, dus gebruik ze niet. Een wachtwoord dat op een webpagina staat, is een van de eerste die een aanvaller probeert. ‘Willekeurig’ is hier het sleutelwoord: een naam met een jaartal, of een regel uit een liedje, is een patroon, ook als het lang is. Laat een wachtwoordbeheerder de woorden of tekens voor je kiezen.
Gebruik vier of meer willekeurige woorden. Op de telefoon zelf gaat raden langzaam, maar de extra wachttijden van de app beginnen pas na 100 foute wachtwoorden op rij. Die telling begint ook opnieuw als de app opnieuw start. Dat zeggen we in het beveiligingsdocument. De echte rem is de seconde die elke gok kost.
Iemand ziet het scherm terwijl de kluis open is
Hoe waarschijnlijk: hangt af van je situatie. Hoe erg: die persoon ziet wat er op het scherm staat.
Versleuteling beschermt alleen vergrendelde bestanden. De app verbergt zijn inhoud in de appkiezer. Standaard vergrendelt hij zichzelf na vijf minuten zonder gebruik. Je kunt hem meteen laten vergrendelen, of automatisch vergrendelen uitzetten, en dan blijft hij open tot je hem zelf vergrendelt.
Face ID gebruikt door iemand die bij je is
Hoe waarschijnlijk: laag. Er is iemand nodig die bij jou en je telefoon is. Hoe erg: de kluis gaat open.
Aan een gezicht is makkelijker te komen dan aan een wachtwoord. Maak je je zorgen om iemand dicht bij je, zet dan Face ID voor de kluis uit en gebruik alleen het wachtwoord.
Aparte kluizen en waar het ophoudt
Hoe waarschijnlijk: laag. Voor de bekende gaten is directe toegang tot de opslag van je telefoon nodig, of iemand die de app goed kent. Hoe erg: iemand kan zien dat je meer dan één kluis gebruikt.
In de alledaagse situatie werkt het goed. Iemand vraagt om je foto’s te zien, en je opent een tweede kluis met foto’s die je gerust kunt laten zien. Het is een echte kluis, geen nep. De app heeft geen lijst met kluizen en geen aantal, en niets op het scherm wijst erop dat er nog een kluis bestaat.
De bestanden op de telefoon zijn daarop afgestemd. De app heeft altijd tien kluisbestanden, gebruikt of niet, en ze worden op dezelfde manier gemaakt. Bij ontgrendelen wordt elk ervan gecontroleerd, dus de tijd die dat kost, laat niet zien welke kluis openging. Voor een tweede kluis heb je de Pro-versie van de app nodig.
De bekende gaten liggen buiten de app: het totale aantal fotobestanden, een elfde kluis en de iCloud-sleutelhanger. Iemand die weet dat de app meer dan één kluis toestaat, kan ook gewoon blijven vragen. Onze gids over Aparte kluizen legt elk ervan uit.
Een klein, zeldzaam risico bij heel grote videoverzamelingen
Hoe waarschijnlijk: heel onwaarschijnlijk. Ongeveer 1 op 35.000 bij 500 grote video’s in één kluis, en ongeveer 1 op 90 bij 10.000. Hoe erg: beperkt.
Elke grote video krijgt een kort willekeurig label dat hem van de andere onderscheidt. Twee video’s kunnen, zelden, hetzelfde label krijgen. Iemand met beide bestanden zou dan iets kunnen afleiden over hoe de twee samenhangen. Ook dan kan die persoon de kluis of een ander bestand niet openen. Een toekomstige versie van het bestandsformaat neemt dit risico weg.
Schadelijke software op de telefoon
Hoe waarschijnlijk: zeldzaam voor de meeste mensen. Apple noemt aanvallen die een bijgewerkte iPhone binnendringen “uiterst zeldzaam en zeer geavanceerd”. Hoe erg: ernstig, als het gebeurt terwijl je de kluis gebruikt.
Gewone apps kunnen niet bij de kluis. iOS houdt de bestanden en het geheugen van elke app gescheiden, dus een andere app op je telefoon kan de kluisbestanden niet lezen en niet in de app kijken terwijl die draait. Het risico is software die die muur doorbreekt. Dat betekent een fout in iOS zelf, een gejailbreakte telefoon, of een apparaatprofiel dat is geïnstalleerd door iemand die je niet vertrouwt.
Waar zulke software bij kan, hangt af van wat de kluis doet:
- Terwijl de kluis vergrendeld is: alleen vergrendelde bestanden. Dat is hetzelfde als iemand met een kopie van je gegevens, en een sterk wachtwoord beschermt je op dezelfde manier.
- Terwijl de kluis open is: de hoofdsleutel staat in het geheugen van de app, net als de foto’s op het scherm. Software die de telefoon is binnengedrongen, kan ze kopiëren.
- Terwijl je ontgrendelt: ze kan het scherm bekijken, of het wachtwoord onderscheppen terwijl je het typt.
Dit soort aanval hoeft de versleuteling dus niet te kraken. Hij wacht tot jij de kluis opent. Hoe lang de kluis open blijft, hangt af van je instelling voor automatisch vergrendelen. Standaard vergrendelt hij na vijf minuten zonder gebruik, en je kunt dat korter maken. Zet je automatisch vergrendelen uit, dan blijven de kluis en zijn sleutel open tot je hem zelf vergrendelt.
Als de kluis vergrendelt, wist de app de sleutel uit het geheugen. Hij bewaart geen leesbare kopie van je foto’s in de opslag zodra ze zijn toegevoegd, dus een vergrendelde kluis laat niets leesbaars achter.
Wat je kunt doen: houd iOS up-to-date, jailbreak je telefoon niet, en installeer geen profielen van mensen die je niet vertrouwt. Laat automatisch vergrendelen aanstaan, met een korte wachttijd. Denk je dat iemand het specifiek op jou heeft gemunt, dan is de Isolatiemodus (Lockdown Mode) van Apple daarvoor gemaakt.
De app is zichtbaar op je telefoon
Hoe waarschijnlijk: zeker. Hoe erg: voor de meeste mensen beperkt.
De app staat op je beginscherm en in je aankopen in de App Store. Versleuteling verbergt wat er in de kluis zit. Ze verbergt niet dat de kluis bestaat.
6. Wat wij wel en niet kunnen
De app heeft geen account en geen server. Dat bepaalt wat we voor je kunnen doen, in beide richtingen.
- We kunnen je foto’s niet zien. Ze komen nooit bij ons.
- We kunnen je wachtwoord niet resetten en geen kluis voor je terughalen.
- We kunnen je foto’s niet kwijtraken bij een datalek. We hebben niets van je om kwijt te raken.
- We verzamelen geen gegevens over je. Op het privacylabel in de App Store staat Geen gegevens verzameld. Dat label is ons eigen antwoord, en Apple controleert het niet. Je kunt het testen: de app werkt volledig in de vliegtuigmodus.
Staat iCloud-reservekopie aan, dan zit je kluis daarin, als vergrendelde bestanden. Apple kan ze zonder je wachtwoord niet lezen. Onze gids over een kluis-app verhuizen of verwijderen behandelt reservekopieën en nieuwe telefoons.
7. Voor wie het geschikt is, en voor wie niet
Het past bij je als je foto’s wilt die onleesbaar blijven voor iemand met je telefoon of toegangscode, en je je wachtwoord goed bewaart. Het past ook bij je als je de beweringen wilt controleren, niet alleen lezen.
Kies iets anders als je iemand nodig hebt die een vergeten wachtwoord kan resetten, of als je wilt dat je foto’s via een cloudaccount tussen apparaten synchroniseren. Een cloudkluis is een andere afweging. Onze gids over de veiligheid van kluis-apps zet uiteen wat die oplevert en wat die kost.
8. Veelgestelde vragen
Is Obscura Photo Vault veilig?
Voor het doel waarvoor hij is gebouwd wel, en je kunt het controleren. Je foto’s worden op je telefoon vergrendeld met een sleutel die wordt gemaakt uit een wachtwoord dat alleen jij kent. Er is geen account en geen server. De code die het vergrendelen doet, is openbaar. Hij beschermt je niet tegen alles. Het grootste echte risico is dat je je wachtwoord vergeet, want niemand kan het resetten.
Kan de ontwikkelaar van Obscura Photo Vault mijn foto’s zien?
Nee. De app heeft geen server en geen account, dus je foto’s komen nooit bij ons. We hebben je wachtwoord niet en ook geen sleutel. Daarom kunnen we ook geen vergeten wachtwoord resetten of een kluis voor je terughalen.
Is Obscura Photo Vault opensource?
De versleuteling wel. De code die van je wachtwoord een sleutel maakt en je foto’s, video’s, mappen en reservekopieën vergrendelt, is op GitHub gepubliceerd als ObscuraCrypto. De rest van de app, zoals de schermen en de database, niet.
Is Obscura Photo Vault onafhankelijk geaudit?
Nee. Geen extern beveiligingsbedrijf heeft de app of de versleutelingscode beoordeeld. De code is openbaar zodat iedereen dat kan doen, en het beveiligingsdocument beschrijft het ontwerp in detail. Daardoor is een beoordeling mogelijk. Het betekent niet dat er een is geweest.
Kan ik mijn foto’s terugkrijgen zonder de app?
Ja, uit een reservekopiebestand. Het openbare project ObscuraCrypto bevat een kleine tool voor de Mac die een Obscura-reservekopiebestand met je wachtwoord opent en de foto’s en video’s als gewone bestanden wegschrijft. Foto’s in een map met een eigen wachtwoord zijn de uitzondering. Hun tweede sleutel zit in de app.
Is Obscura Photo Vault hetzelfde als de camera-app Obscura?
Nee. Obscura Photo Vault is een versleutelde fotokluis van Orlio Inc. Obscura, de handmatige camera-app, is een andere app van een andere ontwikkelaar. Deze pagina gaat alleen over de fotokluis.
Bronnen
- Beveiligingsdocument van Obscura Photo Vault, vooral deel 11, grenzen van het dreigingsmodel, en deel 9, authenticatie
- ObscuraCrypto op GitHub, de opensource-versleutelingscode, met de tabel over wachtwoordsterkte en het risico van videolabels
- ObscuraCrypto: Verifying Obscura Photo Vault's encryption, de controles die je op je eigen telefoon kunt uitvoeren
- De beste fotokluis-apps voor iPhone, met de citaten uit de beschrijvingen, opgehaald op 28 augustus 2026
- OWASP Password Storage Cheat Sheet, over 600.000 PBKDF2-rondes
- Kerckhoffs's principle, over waarom openbare versleutelingscode geen zwakte is
- Apple Support: Delete photos on your iPhone or iPad, over Recent verwijderd
- Apple Support: What does iCloud back up?
- Apple Support: About Lockdown Mode, over hoe zeldzaam aanvallen op een bijgewerkte iPhone zijn
Obscura Photo Vault
Een versleutelde fotokluis voor iPhone. Foto’s en video’s worden op je apparaat versleuteld met AES-256-GCM. Er zijn geen accounts, geen servers en geen analytics, en de app heeft geen netwerkverbinding nodig. Als je je wachtwoord vergeet, kan niemand de inhoud herstellen, ook wij niet.
Bekijk in de App Store →