Wat een fotokluis-app is en hoe hij werkt

1. De definitie en het verschil dat er echt toe doet

Een fotokluis-app bewaart foto’s en video’s in een eigen ruimte, apart van de Foto’s-app, en heeft een eigen wachtwoord of pincode nodig om te openen. Dat is de hele definitie. Ze dekt twee ontwerpen die zich heel verschillend gedragen:

• Kluizen die versleutelen. Elk bestand wordt versleuteld met een sleutel die uit je wachtwoord wordt gemaakt. Wat in de opslag staat, is zonder die sleutel niet te lezen. Iemand met de ontgrendelde telefoon, of een kopie van de opslag, heeft niets om naar te kijken.
• Kluizen die alleen het scherm vergrendelen. Bestanden staan als gewone afbeeldingen in de opslag van de app. Het slot is een scherm vóór de app. Iemand met een kopie van de opslag heeft gewone afbeeldingen.

Al het andere aan deze apps, de vermommingen, de afleidingskluizen, de inbraakmeldingen, de cloudsynchronisatie, zit bovenop een van die twee. Onze gids over de vier soorten apps die foto’s verbergen gaat er dieper op in. Deze pagina beschrijft de eerste soort, omdat het woord ‘kluis’ die doet vermoeden.

2. Wat er met een foto gebeurt in een versleutelde kluis

We gebruiken Obscura Photo Vault als voorbeeld, omdat we het ontwerp daarvan met zekerheid kunnen beschrijven en de documentatie kunnen linken.

1. Je stelt een wachtwoord in. De app haalt het door een langzaam proces, PBKDF2 met 600.000 rondes en bijgemengde willekeurige gegevens, om er een sleutel van te maken. Die sleutel ontgrendelt de foto’s niet direct. Hij ontgrendelt een tweede, willekeurige sleutel, en met die tweede sleutel zijn de gegevens van de kluis echt versleuteld. De kluis bewaart je wachtwoord niet. Zet je Face ID aan, dan bewaart iOS een kopie van het wachtwoord in de sleutelhanger, achter Face ID. Dat is gemak, geen tweede sleutel.
2. Je voegt een foto toe. De app leest hem uit je bibliotheek in het geheugen en versleutelt hem daar met AES-256-GCM, voordat er iets naar de eigen opslag wordt geschreven. Wat op de telefoon terechtkomt, is het versleutelde bestand, de versleutelde miniatuur en een versleutelde database-invoer met de naam en het album. Het origineel in Foto’s blijft onaangeroerd.
3. Je vergrendelt de kluis. De sleutel wordt uit het geheugen gewist. Wat op de telefoon overblijft, is versleutelde data en een vergrendelde kopie van de sleutel die zonder het wachtwoord nutteloos is.
4. Je ontgrendelt en bekijkt. Het wachtwoord wordt weer omgezet in de sleutel, de tweede sleutel wordt ontgrendeld, en het bestand wordt in het geheugen ontsleuteld om te tonen. Video wordt ook in het geheugen ontsleuteld, bij grote bestanden stuk voor stuk tijdens het afspelen, zodat er geen leesbare kopie van een video naar de telefoon wordt geschreven.
5. Je verwijdert het origineel. Dit is de stap die de app niet voor je kan doen. Tot je het uit Foto’s verwijdert, Recent verwijderd leegmaakt en iCloud is bijgewerkt, staat het origineel nog waar het stond.

Het GCM-deel van de naam is belangrijker dan mensen denken. Het betekent dat elk bestand een controlewaarde heeft, zodat een bestand dat op de telefoon is gewijzigd, niet opent in plaats van stilletjes als verkeerde data te openen. Wat de termen rond versleuteling betekenen legt elk ervan in gewone taal uit.

3. Waar hij tegen beschermt, en waartegen niet

Gedekt betekent dat het ontwerp de situatie aanpakt. Het betekent niet dat een app onaantastbaar is. Dat is een aparte vraag die geen productpagina kan beantwoorden.

De onderste helft van de tabel is het deel dat je keuze bepaalt, en die is hetzelfde voor elke kluis-app die ooit is gemaakt. Een ontwikkelaar die dat vermeldt, laat zien dat hij erover heeft nagedacht. Die van ons staat in deel 11 van het beveiligingsdocument. Of deze apps überhaupt veilig zijn, krijgt een eigen antwoord in zijn fotokluis-apps veilig?

4. Wat een kluis niet vervangt

Het album Verborgen. De meeste mensen die een kluis gebruiken, gebruiken het album Verborgen ook nog, voor andere foto’s. De kluis krijgt de paar foto’s die echt een probleem zouden zijn als de telefoon ontgrendeld in andermans handen viel. Het album Verborgen krijgt de vele die alleen niet in een widget moeten opduiken. Zie de twee naast elkaar en alles wat het album Verborgen wel en niet dekt.

Een reservekopie. Een versleutelde kluis op je telefoon is één kopie, op één telefoon. Raakt de telefoon kwijt en is de kluis nooit geëxporteerd, dan zijn de foto’s weg. Bij een kluis zonder server moet je zelf ergens een export bewaren. Bij een kluis met een server moet je weten wie de sleutels heeft.

Je geheugen. Als de kluis geen wachtwoord kan resetten, kan niets anders het ook. De twee gewoonten die dit afdekken, staan in wat er gebeurt als je je kluiswachtwoord vergeet.

5. Veelvoorkomende functies uitgelegd

Ontgrendelen met Face ID of Touch ID

Een snelle route, geen tweede sleutel. In een goed gebouwde kluis haalt het je bewaarde wachtwoord op uit de iOS-sleutelhanger in plaats van het te vervangen. iOS schakelt die snelle route uit als er een nieuw gezicht of een nieuwe vingerafdruk aan de telefoon wordt toegevoegd.

Afleidingskluizen

Een tweede kluis met een ander wachtwoord, met foto’s die je gerust kunt laten zien. Goed gedaan is de afleidingskluis een echte kluis, toont de app geen lijst of aantal, en verraden de bestanden op de telefoon niet welke kluizen in gebruik zijn. Is het niet meer dan een markering in een instellingenbestand, dan verraadt die markering alles. Hoe dan ook heeft het ontwerp bekende grenzen. Die van ons staan in plausibele ontkenning in een fotokluis.

Vermomde symbolen

De app ziet eruit als een rekenmachine of een hulpprogramma. Dit verandert wat een blik op het beginscherm laat zien, en niets aan hoe de bestanden worden opgeslagen. Het helpt tegen een vluchtige blik, niet tegen iemand die echt gaat zoeken.

Mapwachtwoorden

Een tweede wachtwoord op een map in de kluis. In een versleuteld ontwerp betekent dit een tweede laag versleuteling met een sleutel die uit het mapwachtwoord wordt gemaakt, zodat voor de inhoud van de map beide wachtwoorden nodig zijn.

Versleutelde export

Eén bestand met de hele kluis, even sterk versleuteld als de kluis zelf, dat je op een ander apparaat kunt importeren. Zo overleeft een kluis zonder server een verloren telefoon. Het telt pas als reservekopie als je hebt getest dat het importeren lukt.

6. Veelgestelde vragen

Wat is een fotokluis-app?

Een app die foto’s en video’s buiten je gewone fotobibliotheek bewaart, achter een eigen slot. Het verschil dat ertoe doet, is of de app de bestanden versleutelt, zodat ze niet te lezen zijn zonder een sleutel die uit je wachtwoord wordt gemaakt, of alleen een pincodescherm voor gewone bestanden zet. Van buiten zien beide er hetzelfde uit.

Hoe werkt een fotokluis-app?

Je importeert een foto uit je bibliotheek en de app kopieert hem naar zijn eigen opslag. In een versleutelde kluis wordt die kopie op dat moment versleuteld met een sleutel die uit je wachtwoord wordt gemaakt, en hij blijft versleuteld op de telefoon. Om hem te bekijken, ontgrendel je de kluis. De app ontsleutelt het bestand in het geheugen, toont het en gooit de leesbare kopie weg als de kluis vergrendelt. Het origineel in je bibliotheek blijft onaangeroerd tot je het verwijdert.

Wat is het verschil tussen een fotokluis en het album Verborgen?

Het album Verborgen verandert waar een foto in Foto’s verschijnt en gaat open met de toegangscode van je telefoon. Een fotokluis haalt de foto helemaal uit Foto’s en gaat open met een eigen wachtwoord. Als de kluis versleutelt, is dat wachtwoord ook de enige manier om het bestand te lezen. Het album Verborgen synchroniseert nog steeds met iCloud. Een kluis beslist zelf of er iets de telefoon verlaat.

Waar bewaart een fotokluis-app je foto’s?

In zijn eigen opslag op de telefoon, apart van je fotobibliotheek. In een versleutelde kluis staat in die opslag versleutelde data in plaats van afbeeldingen. Kluizen die om een account draaien, bewaren ook een kopie op de servers van de ontwikkelaar, en daardoor zijn synchronisatie en wachtwoordreset mogelijk. De App Store-beschrijving vertelt je welk ontwerp je voor je hebt, want een verplicht account staat er altijd in.

Wat is een afleidingskluis?

Een tweede kluis, die met een ander wachtwoord opengaat, met foto’s die je gerust kunt laten zien. In een goed gebouwd ontwerp is de afleidingskluis een echte kluis en geen nep, en toont de app geen lijst of aantal kluizen. Het openen van de afleidingskluis verraadt dus niets over of er andere bestaan. Het ontwerp heeft bekende grenzen, en een serieuze ontwikkelaar publiceert die.