Plausibele ontkenning in een fotokluis

1. De term en wat we echt beweren

‘Plausibele ontkenning’ is een geleende term. In app-reclame blijft hij meestal bewust vaag. Wij zeggen liever precies wat we bedoelen, want een precieze bewering kun je controleren en een vage niet.

Dit is de precieze bewering. Obscura Photo Vault heeft altijd tien vergrendelde kluisbestanden op je telefoon. Van iemand die die bestanden kopieert en ze alleen kan lezen, wordt niet verwacht dat hij kan achterhalen welke een echte kluis bevatten en welke nooit zijn gebruikt. De technische naam hiervoor is weerstand tegen offline opsomming van plekken (offline slot enumeration). In gewone woorden: de bestanden verraden niet hoeveel kluizen je gebruikt.

Alles op deze pagina volgt uit die zin. Deel 4 is het deel dat je het zorgvuldigst moet lezen. Daar houdt de bescherming op.

2. Hoe het is gebouwd

De gebruikelijke manier om een ‘verborgen’ tweede kluis te bouwen, is een vlag. Een vlag is een markering ergens in de gegevens van de app die zegt dat deze kluis echt is, of dat deze een afleidingskluis is. Dat faalt zodra iemand de gegevens leest, want de vlag verraadt het antwoord.

Hier is geen vlag. In plaats daarvan:

Alle tien de plekken zijn echte kluizen

Als je de app voor het eerst opent, vult hij elke ongebruikte plek met een volledig, geldig kluisbestand. Elk krijgt eigen willekeurige gegevens, een eigen vergrendelde sleutel, een eigen echte maar lege database en een eigen willekeurige opvulling. We noemen ze afleidingsplekken alleen omdat jij er nooit een wachtwoord voor instelt. Op de telefoon zien ze er hetzelfde uit als een kluis die je elke dag gebruikt.

Ongebruikte plekken hebben ook echte wachtwoorden

Elke ongebruikte plek is vergrendeld met een wachtwoord dat de app maakt uit een geheim dat op je telefoon is opgeslagen. Het punt is dat ‘leeg’ nooit blijkt uit iets wat ontbreekt. Elke plek heeft een wachtwoord, of je het nu zelf hebt gekozen of niet.

Bestandsgroottes zijn willekeurig

Elke kluisdatabase wordt aangevuld tot een willekeurige grootte tussen 2 en 15 megabyte. Zonder dit zou de bestandsgrootte alleen al verraden welke kluis foto’s bevat.

De app toont nooit een lijst met kluizen

In de app zie je geen lijst met kluizen en geen aantal, en je kunt niet tussen kluizen wisselen. Je wachtwoord opent één kluis, en die kluis is alles wat je ziet. Dat is belangrijk. Zelfs het beste ontwerp faalt als het scherm ooit ‘Kluis 2 van 4’ zegt.

Foto’s staan in één gedeelde verzameling

Versleutelde foto’s en video’s uit alle kluizen staan samen in één map, onder willekeurige bestandsnamen. De map deelt bestanden niet in per kluis. Elk bestand is vergrendeld met de sleutel van één kluis. Een afleidingskluis kan dus geen foto’s opeisen die niet van hem zijn, en kan niet zo worden ingesteld dat hij ze toont.

3. Waarom ontgrendelen bewust traag is

Timing kan het antwoord verraden. Stel dat de app elke plek om de beurt probeerde en stopte bij de eerste die past. Dan zou een kluis op plek 2 sneller opengaan dan een op plek 9. Iemand die het ontgrendelen een paar keer timet, zou de indeling kunnen achterhalen.

Daarom stopt de app nooit vroeg. Elke ontgrendeling probeert elke plek, ook alle ongebruikte, en beslist pas als alle tien klaar zijn.

Ontgrendelen duurt dus even. De vertraging is bewust. Hetzelfde geldt voor het omzetten van je wachtwoord in een sleutel, dat ook bewust traag is. Beide vertragingen zijn de zichtbare prijs van de bescherming hierboven.

4. Waar het ophoudt

Vier bekende grenzen. We publiceren ze omdat je zonder deze grenzen niet kunt beoordelen of deze functie bij je past.

4.1 Het aantal fotobestanden

Extra foto’s aan de afleidingskluis toevoegen lost dit niet op. De vergelijking gaat over totale aantallen, niet over het koppelen van losse bestanden. Deze grens geldt alleen voor iemand met directe toegang tot de opslag van de telefoon. Vanuit de app is er geen manier om het te zien. Een geopende afleidingskluis toont zijn eigen foto’s en niets over een andere plek.

4.2 Meer dan tien kluizen

Er bestaan altijd tien plekken. Maak je een elfde kluis aan, dan moet de app een elfde bestand maken. Dat extra bestand verraadt zichzelf. Iemand die kluisbestanden telt, ziet er elf waar de app er normaal tien heeft.

Dit is een echte afweging, en de app laat die aan jou. Vind je ordening belangrijker dan deze bescherming, dan kun je meer kluizen aanmaken. Is deze bescherming de reden dat je de app hebt gekozen, blijf dan binnen tien.

4.3 iCloud-sleutelhanger

Het geheim waarmee de wachtwoorden voor ongebruikte plekken worden gemaakt, wordt via de iCloud-sleutelhanger tussen je apparaten gedeeld. Zo blijven de ongebruikte plekken gelijk op je iPhone en iPad. De prijs is deze: iemand die met je Apple-account kan inloggen, met de iCloud-sleutelhanger aan, kan met een ander apparaat die afleidingswachtwoorden achterhalen. Tegenover die ene persoon houdt de bescherming geen stand.

We hebben die afweging gemaakt voor consistentie tussen apparaten. Maak je je zorgen om juist die persoon, dan raadt het beveiligingsdocument aan om de iCloud-sleutelhanger op het apparaat uit te zetten.

4.4 De app is zichtbaar

Niets hiervan verbergt dat Obscura Photo Vault is geïnstalleerd. De app staat op je beginscherm en in de aankoopgeschiedenis van je Apple-account. Deze bescherming gaat over de bestanden op de telefoon. Ze verbergt niet dat je privéfoto’s bewaart.

5. Waar het echt goed voor is

De alledaagse situatie die dit oplost, komt vaak voor. Iemand houdt je ontgrendelde telefoon vast, of vraagt om je foto’s te zien, en je laat liever iets zien dan dat je weigert.

Omdat de app geen lijst met kluizen en geen aantal heeft, opent een tweede kluis met een ander wachtwoord een echte, werkende kluis met echte foto’s erin. Er is geen leeg scherm, geen label ‘afleidingsmodus’ en niets op het scherm dat erop wijst dat er nog een kluis bestaat. De ander ziet een app die gewoon wordt gebruikt, omdat dat ook zo is.

Dat is alles. Het is een nuttige bescherming voor een situatie waar veel mensen echt mee te maken krijgen. Meer is het niet.

6. Wat het niet is

We willen hier duidelijk zijn. Dit is het terrein waarop kluis-apps vaak veel suggereren en niets beloven.

Het is geen verdediging tegen iemand die blijft aandringen. Het is een eigenschap van bestanden op de telefoon. Het helpt niet tegen iemand die meekijkt terwijl je typt, iemand die weet dat de app meer dan één kluis heeft, of iemand die gewoon blijft vragen. Software kan zo’n situatie niet oplossen. Elke app die suggereert dat het wel kan, belooft te veel.

Het is geen juridisch advies, en geen hulpmiddel voor juridische situaties. We doen geen enkele bewering over hoe deze functie zich verhoudt tot welke juridische procedure dan ook, waar dan ook. Niets hier moet worden gelezen als advies daarvoor. Heb je een juridische vraag, stel die dan aan een advocaat, niet aan de website van een app-ontwikkelaar.

Het vervangt de versleuteling niet. De bescherming die het echte werk doet, is dat je bestanden zijn versleuteld met een sleutel die wordt gemaakt uit een wachtwoord dat jij hebt gekozen. De kluisplekken zitten daar bovenop. Als je er maar één mocht houden, houd dan de versleuteling.

7. Veelgestelde vragen

Wat is plausibele ontkenning in een fotokluis-app?

Het betekent dat de gegevens op de telefoon niet laten zien hoeveel kluizen echte foto’s bevatten. In Obscura Photo Vault is de bewering preciezer en beperkter. Er bestaan altijd tien kluisbestanden, allemaal geldig, dus van iemand die die bestanden leest, wordt niet verwacht dat hij kan zien welke in gebruik zijn. Het zaait twijfel in je voordeel, maar is geen garantie, en het heeft bekende grenzen.

Hoe werkt een afleidingskluis?

Je maakt een tweede kluis aan met een ander wachtwoord en vult die met foto’s die je gerust kunt laten zien. De app heeft geen lijst met kluizen en geen aantal. Met dat wachtwoord open je dus een echte, werkende kluis met echte foto’s, en niets wijst erop dat er nog een kluis bestaat. Het is een echte kluis, geen nep. Daarom werkt het juist: er is niets nep om te ontdekken.

Verbergt een afleidingskluis alles?

Nee, en de grenzen zijn openbaar. Iemand die de opslag van de telefoon rechtstreeks kan lezen, kan de foto’s in een geopende afleidingskluis tellen en dat vergelijken met het totale aantal fotobestanden op de telefoon. Verschillen de aantallen, dan staan er foto’s in andere kluizen. Meer dan tien kluizen aanmaken voegt ook een extra bestand toe dat zichzelf verraadt. En de app zelf is nooit verborgen.

Hoeveel kluizen moet ik aanmaken?

Twee is het gebruikelijke antwoord: de kluis die je gebruikt, en één met foto’s die je gerust kunt laten zien. Blijf op tien of minder als deze bescherming de reden is dat je de app hebt gekozen.

Weet de app welke kluis de echte is?

Nee. Dat onderscheid bestaat in de app niet. Een wachtwoord opent de plek waar het bij past. Er is geen markering die zegt dat deze de echte is, en daarom is er voor iemand die de bestanden leest ook niets te vinden.

Kan iemand aan de app zien hoeveel kluizen ik gebruik?

Niet aan de app zelf. Er is geen lijst, geen aantal en geen manier om tussen kluizen te wisselen. De bekende manieren om het te achterhalen, staan in deel 4, en voor allemaal is directe toegang tot de opslag van de telefoon nodig.

Waarom de zwakke punten publiceren?

Omdat je geen rekening kunt houden met een grens die je niet kent. En een bewering zonder genoemde grenzen kan niet worden gecontroleerd. De grenzen staan met meer technische details in het beveiligingsdocument.