Czy aplikacje typu sejf na zdjęcia są bezpieczne?

1. Co musi znaczyć „bezpieczny”

Bezpieczny przed czym i przed kim? Od aplikacji z sejfem oczekuje się dwóch różnych rzeczy. Uczciwa odpowiedź na pytanie „czy jest bezpieczna” zależy od tego, o którą chodzi.

• Trzymanie zdjęcia poza zasięgiem wzroku, gdy ktoś trzyma telefon albo gdy widżet lub Wspomnienie je wyświetla. Robi to prawie każda aplikacja tego rodzaju. Robi to też wbudowany album Ukryte.
• Utrzymanie pliku w stanie nieczytelnym dla osoby, która ma telefon i kod albo kopię pamięci. Robi to tylko aplikacja, która szyfruje pliki hasłem innym niż kod telefonu. To jest aplikacja typu sejf na zdjęcia w takim sensie, jaki sugeruje to słowo.

Te aplikacje reklamuje się tak, jakby robiły to drugie, a często robią to pierwsze. Nie zawsze jest to nieuczciwe, bo dla wielu osób pierwsza rzecz to cały problem. Kłopot zaczyna się, gdy ktoś wybiera aplikację do drugiego zadania, a dostaje pierwsze. Reszta tej strony mówi, jak to rozpoznać, a potem, czego nawet ten drugi rodzaj nie potrafi.

2. Pięć oznak, które możesz sprawdzić

Wszystkie na podstawie opisu w App Store i strony dewelopera, zanim cokolwiek zainstalujesz. Nasz ranking porównawczy stosuje je do sześciu wymienionych aplikacji ze źródłami. Tu jest wersja ogólna.

Podaje, co szyfruje i jak

Metoda szyfrowania, sposób zamiany hasła w klucz z liczbą rund i to, co jest objęte: zdjęcia, filmy, miniatury i baza danych z nazwami i albumami. To cztery osobne rzeczy. „AES-256-GCM, PBKDF2 z 600 000 rund” to twierdzenie, które możesz sprawdzić i z którego możesz rozliczyć dewelopera. „Na poziomie bankowym” czy „klasy wojskowej” niczego nie obiecuje. Aplikacja, która szyfruje tylko swoje ustawienia, mogłaby tak napisać zgodnie z prawdą. Co oznaczają te terminy, wyjaśnia osobny poradnik.

Mówi, czy deweloper może odzyskać Twoje zdjęcia

To najbardziej wymowne pojedyncze pytanie. Jeśli odpowiedź brzmi „tak”, deweloper ma coś, co może odblokować Twoje pliki bez Twojego hasła. Ochrona działa wtedy przed osobami z zewnątrz, a nie przed deweloperem. Jeśli odpowiedź brzmi „nie”, zapomniane hasło oznacza utratę dostępu na zawsze. Obie odpowiedzi są uprawnione. Problemem jest deweloper, który nie chce odpowiedzieć jasno.

Etykieta prywatności pasuje do obietnic

W sekcji Prywatność aplikacji deweloper podaje, co aplikacja zbiera. Sprawdź, czy to pasuje. Aplikacja, która oferuje kopię zapasową w chmurze i wymienia Zawartość użytkownika, ma sens. Aplikacja, której cała obietnica brzmi „nic nie opuszcza telefonu”, a która wymienia intensywne śledzenie, zasługuje na uważniejszą lekturę polityki prywatności. Etykieta to odpowiedź samego dewelopera i nikt jej nie sprawdza. Dotyczy to także naszej.

Działa w trybie samolotowym

Jedyna oznaka, którą możesz przetestować, a nie tylko przeczytać. Zainstaluj aplikację, włącz tryb samolotowy i używaj jej normalnie. Aplikacja, która w pełni działa offline, niczego nie wysyła, gdy jest offline. To nie dowodzi, co robi online. Ale to coś, co widzisz na własne oczy, a nie coś, co Ci powiedziano, a takich rzeczy w tej kategorii jest niewiele.

Spisuje swoje ograniczenia

To najmocniejsza oznaka. Każda prawdziwa konstrukcja ma ograniczenia. Deweloper, który to przemyślał, potrafi je wymienić, bo musiał je rozpracować, budując aplikację. Szukaj strony o bezpieczeństwie, na której padają słowa „nie chroni przed”. Jeśli strona wymienia tylko zalety, to albo nikt nie sprawdził, albo ktoś sprawdził i postanowił o tym nie mówić.

3. Ryzyka dotyczące każdej aplikacji z sejfem, także naszej

Lepsze szyfrowanie ich nie usuwa. Obscura Photo Vault podlega wszystkim czterem i dokument o bezpieczeństwie mówi o tym wprost.

Zapomniane hasło

W przypadku zaszyfrowanego sejfu bez resetu to najbardziej prawdopodobny sposób utraty zdjęć. Jest dużo bardziej prawdopodobny niż jakikolwiek atak. To ten sam fakt co „nikt inny go nie otworzy”, tylko widziany z drugiej strony. Dwa nawyki, które przed tym chronią, czyli menedżer haseł i przetestowany eksport, opisuje poradnik co się dzieje, gdy zapomnisz hasła do sejfu.

Oryginały

Telefon przejęty, gdy sejf jest otwarty

Aby pokazać Ci zdjęcie, aplikacja musi je odszyfrować. Klucz i czytelne zdjęcie są więc w pamięci. Wszystko, co działa w tym momencie wewnątrz aplikacji, ma dostęp do obu. Żadne szyfrowanie na poziomie aplikacji nie naprawi przejętego telefonu i żaden deweloper nie powinien twierdzić inaczej.

Aplikacja jest widoczna, telefon też

Ikona sejfu mówi, że coś w nim jest. Kamuflaż zmienia ikonę, ale nie historię zakupów w App Store ani listę w Ustawieniach. Zrzuty ekranu, nagrywanie ekranu i ktoś zaglądający przez ramię to rzeczy, które dzieją się po odszyfrowaniu zdjęcia. Szyfrowanie ukrywa zawartość. Nie ukrywa tego, że jest coś do ukrycia.

4. Ryzyka typowe dla sejfów z serwerem

Sejf synchronizujący się z kontem zyskuje realne rzeczy: dostęp z kilku urządzeń, kopię, która przetrwa utratę telefonu, i zwykle reset hasła. Zyskuje też drugie miejsce, w którym są Twoje dane, z ryzykami, których sejf tylko na telefonie nie ma:

• Serwer przechowujący kopie, z własnym ryzykiem włamania, własnymi pracownikami i własną odpowiedzialnością prawną.
• Konto, które można zaatakować przez phishing, przejęcie karty SIM lub użycie hasła z wycieku, niezależnie od hasła sejfu.
• Proces odzyskiwania, czyli ścieżka, która może zawieść, zostać oszukana lub wymuszona. Jeśli może oddać zdjęcia Tobie, w zasadzie może je oddać komuś wystarczająco przekonującemu.
• Zależność od tego, czy deweloper nadal działa. Wyeksportowany sejf tylko na telefonie przetrwa dewelopera. Sejf w chmurze może nie przetrwać.

Nic z tego nie czyni sejfów w chmurze niebezpiecznymi jako grupy. Czyni je innym kompromisem. O tym, jak ten kompromis wypada, decyduje to, gdzie są klucze szyfrowania. Nasz poradnik o czterech rodzajach aplikacji zestawia te konstrukcje obok siebie.

5. Czego nie sprawdzisz z zewnątrz

Dwóch rzeczy. Strona taka jak ta, która sugerowałaby co innego, próbowałaby Ci coś sprzedać.

Czy aplikacja robi to, co mówi jej opis. Bez kodu źródłowego lub niezależnego audytu „AES-256-GCM” jest twierdzeniem. Wszystko powyżej sprawdza, czy deweloper mówi konkretnie i otwarcie. Zwykle idzie to w parze ze starannością. Nie dowodzi, że aplikacja jest poprawna. Naszej aplikacji też nikt nie audytował. Opublikowaliśmy kod, który szyfruje jej pliki, a czego to dowodzi, a czego nie, wyjaśnia osobny poradnik.

Czy są subtelne błędy. Większość prawdziwych porażek szyfrowania to dobre metody użyte odrobinę źle: liczba użyta ponownie, choć nigdy nie powinna, klucz utworzony zbyt tanim kosztem, miniatura zostawiona w czytelnej postaci w pamięci podręcznej. Niczego z tego nie widać na stronie produktu, a często w ogóle nie da się tego dostrzec spoza firmy.

Realistycznym celem nie jest więc pewność. Jest nim zawężenie wyboru do deweloperów, którzy składają sprawdzalne twierdzenia i opisują własne ograniczenia. Potem trzymaj przetestowany eksport w bezpiecznym miejscu, co chroni Cię zarówno przed deweloperem, jak i przed utratą telefonu. Jak to zrobić i co naprawdę usuwa skasowanie aplikacji, opisuje poradnik usuwanie lub przenoszenie aplikacji z sejfem.

6. Częste pytania

Czy aplikacje typu sejf na zdjęcia są bezpieczne?

Niektóre tak, w konkretnym sensie. Szyfrują pliki na telefonie kluczem utworzonym z hasła, które znasz tylko Ty, i piszą wprost, przed czym to nie chroni. Inne stawiają ekran z PIN-em przed zwykłymi plikami, co chroni przed przelotnym spojrzeniem i niewiele więcej. Słowo „sejf” nie mówi, z którym rodzajem masz do czynienia. Mówi to twierdzenie o szyfrowaniu w opisie, etykieta prywatności i to, czy deweloper spisuje ograniczenia.

Czy aplikacje typu sejf widzą Twoje zdjęcia?

To zależy od rodzaju. Aplikacja bez serwera i bez konta nie ma dokąd ich wysłać, a możesz to sprawdzić w trybie samolotowym. Aplikacja synchronizująca się z kontem w chmurze trzyma kopie na swoich serwerach. To, czy deweloper może je odczytać, zależy od tego, kto ma klucze szyfrowania. Jeśli deweloper może zresetować Twoje hasło i oddać Ci zdjęcia, ma klucz. Etykiety prywatności to odpowiedź samego dewelopera, także nasza, więc traktuj je jako twierdzenia.

Jakie jest największe ryzyko korzystania z sejfu na zdjęcia?

W przypadku zaszyfrowanego sejfu bez resetu: zapomnienie hasła. To nieodwracalne. W przypadku każdego sejfu: oryginały. Przeniesione zdjęcie nadal jest w bibliotece, dopóki go nie usuniesz, potem przez trzydzieści dni w Ostatnio usuniętych i w iCloud, dopóki usunięcie tam nie dotrze. Sejf jest tak prywatny, jak dokładne jest sprzątanie po przeniesieniu.

Czy sejf na zdjęcia można zhakować?

Każde oprogramowanie może mieć błędy i żadna aplikacja na tej stronie nie jest opisana jako odporna na każdy atak. Szyfrowanie zmienia to, czego potrzebuje atakujący: Twojego hasła albo dostępu do telefonu, gdy sejf jest odblokowany. Sejf, który szyfruje i mówi, gdzie są jego ograniczenia, zawęża drogi dostępu. Nie usuwa ich.

Czy aplikacja z sejfem jest bezpieczniejsza niż album Ukryte na iPhonie?

Chroni przed czym innym. Album Ukryte otwiera kod telefonu i synchronizuje się z iCloud. Zaszyfrowany sejf otwiera tylko jego własne hasło i może trzymać wszystko na telefonie. Jeśli ryzykiem jest przelotne spojrzenie, są równoważne. Jeśli ryzykiem jest ktoś, kto zna Twój kod lub ma dostęp do Twojego Konta Apple, radzi sobie z tym tylko zaszyfrowany sejf.