Fotokluizen die offline werken, zonder account

1. Wat geen account echt betekent

Een account is een registratie op een server die weet wie je bent. Alles wat een cloudkluis voor je kan doen, komt voort uit die registratie. Alles wat hij tegen je kan doen ook. Haal die weg en er gelden ineens vier dingen:

• Er is geen server die je kent. Geen e-mailadres, geen gebruikers-ID, geen registratie van wanneer je de app opent.
• Er is niets om te resetten. Een vergeten wachtwoord is definitief, want niemand heeft een tweede kopie van de sleutel.
• Er is niets om te hacken. Geen gebruikerslijst die kan uitlekken, en geen account om via phishing te stelen of over te nemen.
• Er is niets om af te geven. Een ontwikkelaar zonder kopie van je gegevens en zonder sleutel heeft niets te geven, wie er ook om vraagt.

Dat is één ontwerpkeuze, van vier kanten bekeken. De tweede is de prijs, de andere drie zijn het voordeel. Je kunt de drie niet hebben zonder de ene.

2. De test met de vliegtuigmodus

De meeste beweringen over een kluis-app kun je alleen lezen. Deze kun je zelf uitproberen.

1. Installeer de app en stel hem in.
2. Zet de vliegtuigmodus aan en controleer of wifi ook uitstaat.
3. Maak een kluis aan, voeg foto’s toe, vergrendel, ontgrendel, bekijk, exporteer.

Een app die dat allemaal zonder verbinding doet, uploadt niets terwijl je offline bent. Dat heb je gezien, het is je niet verteld. Het sluit ook een heel ontwerp uit: een app die een server nodig heeft om te werken, loopt vast bij stap 3.

3. Wat je opgeeft

Een pagina met alleen de voordelen zou reclame zijn. Deze nadelen zijn echt, en voor sommige mensen geven ze de doorslag.

• Geen synchronisatie. De kluis staat op één telefoon. Een iPad of tweede telefoon ziet hem niet, tenzij je exporteert en importeert.
• Geen automatische kopie buiten de telefoon. Raak je de telefoon kwijt zonder export, dan is de kluis weg. Die gewoonte moet van jou komen, niet van de app.
• Geen herstel. Vergeet je het wachtwoord, dan kan niemand de inhoud terughalen. Zo raken mensen het vaakst foto’s kwijt in een versleutelde kluis, en het is veel waarschijnlijker dan welke aanval ook. Wat dat in de praktijk betekent is het lezen waard voordat je op zo’n kluis vertrouwt.
• Niemand om te bellen. Ondersteuning kan de app uitleggen. Ze kan je kluis niet openen, omdat die mogelijkheid niet bestaat.

Een kluis met een account maakt alle vier de afwegingen andersom. Geen van beide is de verkeerde keuze. De vier soorten apps staan op een rij, zodat je bewust kunt kiezen.

4. Hoe Obscura Photo Vault het doet

Dit is onze app, dus lees dit in het besef dat we belanghebbende zijn. De feiten kun je controleren op de manieren die hierboven staan en in het beveiligingsdocument.

• Geen account. Instellen is een wachtwoord kiezen. Er is geen aanmeldscherm, want er is niets om je voor aan te melden.
• Geen internet nodig. Geen enkele kluisfunctie heeft een verbinding nodig. Pro kopen of herstellen gaat via de App Store, zoals aankopen bij elke app.
• Geen server. Foto’s, video’s en de database worden op de telefoon versleuteld met AES-256-GCM, met een sleutel die uit je wachtwoord wordt gemaakt via 600.000 rondes PBKDF2, en ze blijven op de telefoon.
• Geen gegevens verzameld op het privacylabel in de App Store. Geen analytics, geen gebruiksrapportage. Dit is een formulier dat we zelf over onze eigen software hebben ingevuld, geen certificaat dat iemand heeft uitgegeven. Het verdient dezelfde scepsis als dat van ieder ander.
• Exporteren als reservekopie. Een kluis wordt geëxporteerd naar één versleuteld bestand, beschermd met dezelfde versleuteling en dezelfde wachtwoordverwerking als de kluis zelf. Daarom kun je het veilig in de cloud of op een computer bewaren. Importeer het op een nieuwe telefoon en de kluis is terug. Hoe dat samengaat met een reservekopie van je apparaat, staat in een kluis-app verwijderen of verhuizen.

Voor de duidelijkheid: we beweren niet dat we de enige app zijn die zo is gebouwd. Andere apps in deze categorie zijn dat ook. De gerangschikte vergelijking laat zien wat elk ervan publiceert.

5. Waar offline niet tegen beschermt

Geen server hebben haalt één hele groep risico’s weg. De andere blijven precies waar ze waren.

• Een gehackte telefoon terwijl de kluis open is. De sleutel en de leesbare foto staan in het geheugen, zodat ze getoond kunnen worden. Daar komt geen server aan te pas, en er is er ook geen nodig.
• Iemand die je wachtwoord kent. Offline verandert hier niets aan.
• Reservekopieën van het apparaat. Een iCloud- of computerreservekopie van de telefoon bevat gegevens van apps. Bij een versleutelde kluis zijn die gegevens versleuteld en is het wachtwoord nodig. Maar ze bestaan, op een plek die je misschien niet als de kluis ziet.
• De originelen. De foto die je hebt geïmporteerd, staat nog in Foto’s, daarna in Recent verwijderd, en dan in iCloud-foto’s tot de verwijdering daar is doorgevoerd. Het offline ontwerp van de kluis reikt tot geen van die plekken.
• Dat de app zichtbaar is. Geïnstalleerde apps verschijnen in Instellingen en in de aankoopgeschiedenis, of ze nu internet gebruiken of niet.

Daarom is ‘offline’ één eigenschap van vele, geen eindoordeel. Zijn fotokluis-apps veilig? behandelt de rest.

6. Veelgestelde vragen

Is er een fotokluis-app waarvoor je geen account nodig hebt?

Ja. Obscura Photo Vault heeft geen aanmelding en geen server. Je stelt een wachtwoord in en vanaf dan werkt de app zonder internetverbinding. Andere apps in deze categorie zijn op dezelfde manier gebouwd. Kijk in de App Store-beschrijving, want een verplicht account staat daar altijd vermeld. Een app die je volledig in de vliegtuigmodus kunt gebruiken, uploadt niets zolang hij offline is.

Uploaden offline fotokluis-apps je foto’s?

Een app zonder server heeft nergens om naartoe te uploaden, en dat is de bewering die je kunt testen: zet de vliegtuigmodus aan en gebruik de app. Wat de test niet bewijst, is wat een app doet als hij online is, of wat zijn privacylabel zegt, want dat is het eigen antwoord van de ontwikkelaar. Lees het label én doe de test.

Wat geef je op met een offline kluis?

Synchronisatie tussen apparaten. Een kopie die een verloren telefoon overleeft, tenzij je er zelf een exporteert. En elke vorm van wachtwoordreset, want er is geen account om een reset naartoe te sturen. Dat zijn dezelfde feiten als geen server en geen gegevensverzameling, van de andere kant bekeken.

Verzamelt Obscura Photo Vault gegevens?

Op het privacylabel in de App Store staat Geen gegevens verzameld. De app heeft geen analytics, geen gebruiksrapportage en geen server. Dat label is ons eigen antwoord en niemand controleert het, net als bij elke ontwikkelaar. Wat je zelf kunt controleren, is dat de app helemaal zonder verbinding werkt.

Kun je van een offline kluis toch een reservekopie maken?

Ja, op twee manieren. Een versleuteld exportbestand kun je overal bewaren, ook in de cloud, want zonder het wachtwoord is het niet te lezen. En een iCloud- of computerreservekopie van de telefoon neemt de gegevens van de app mee als bestanden die al versleuteld zijn. Op de nieuwe telefoon heb je dan nog steeds het kluiswachtwoord nodig.