Apps de cofre de fotos são seguros?

1. O que seguro precisa significar

Seguro contra o quê, e contra quem? Esperamos que um app de cofre faça dois trabalhos diferentes. A resposta honesta para “ele é seguro?” depende de qual deles você tem em mente.

• Manter uma foto longe dos olhos quando alguém está com o celular na mão, ou quando um widget ou uma Memória a mostra. Quase todo app desse tipo faz isso. O álbum Ocultos, que vem no iPhone, também.
• Manter o arquivo ilegível para uma pessoa que tem o celular e o código, ou uma cópia do armazenamento. Só um app que criptografa os arquivos com uma senha separada do código faz isso. Isso é o que é um app de cofre de fotos no sentido que a palavra sugere.

Esses apps são vendidos pelo segundo trabalho e muitas vezes entregam o primeiro. Isso nem sempre é desonesto, porque, para muita gente, o primeiro trabalho é o problema inteiro. Vira um problema quando alguém escolhe um app pelo segundo trabalho e recebe o primeiro. O resto desta página mostra como diferenciar, e depois o que o segundo tipo ainda não consegue fazer.

2. Cinco sinais que você pode conferir

Todos a partir da página na App Store e do site do desenvolvedor, antes de instalar qualquer coisa. A nossa comparação com classificação aplica estes sinais a seis apps identificados, com fontes. Esta é a versão geral.

Ele diz o que criptografa, e como

Um método de criptografia, uma forma de transformar a sua senha numa chave com um número de iterações, e o que está coberto: fotos, vídeos, miniaturas e o banco de dados de nomes e álbuns. São quatro coisas separadas. “AES-256-GCM, PBKDF2 com 600.000 iterações” é uma afirmação que você pode conferir e cobrar do desenvolvedor. “Nível bancário” ou “nível militar” não promete nada. Um app que criptografa só os ajustes poderia dizer isso sem mentir. O que os termos significam é outro guia.

Ele diz se o desenvolvedor consegue recuperar as suas fotos

Essa é a pergunta mais reveladora. Se a resposta é sim, o desenvolvedor guarda algo que consegue desbloquear os seus arquivos sem a sua senha. A proteção é contra pessoas de fora, não contra o desenvolvedor. Se a resposta é não, uma senha esquecida é definitiva. As duas são legítimas. O problema é um desenvolvedor que não responde com clareza.

O rótulo de privacidade combina com a proposta

A seção Privacidade do App é onde o desenvolvedor diz o que o app coleta. Veja se ele combina com a proposta. Um app que oferece backup na nuvem e declara Conteúdo do Usuário faz sentido. Um app cuja proposta inteira é “nada sai do seu celular”, mas que declara muito rastreamento, merece uma leitura mais atenta da política de privacidade. O rótulo é a resposta do próprio desenvolvedor, e ninguém o confere. Isso vale para o nosso também.

Ele funciona no Modo Avião

O único sinal que você pode testar em vez de ler. Instale o app, ative o Modo Avião e use normalmente. Um app que funciona totalmente offline não está enviando nada enquanto está offline. Isso não prova o que ele faz quando está online. Mas é algo que você viu, não algo que contaram para você, e existem poucas coisas assim nesta categoria.

Ele registra os próprios limites por escrito

O sinal mais forte que existe. Toda solução real tem limites. Um desenvolvedor que pensou no assunto consegue apontá-los, porque precisou lidar com eles para construir o app. Procure uma página de segurança que use as palavras “não protege contra”. Uma página que lista só pontos fortes significa que ninguém olhou, ou que alguém olhou e preferiu não dizer.

3. Riscos que valem para todo app de cofre, inclusive o nosso

Estes não desaparecem com uma criptografia melhor. O Obscura Photo Vault está sujeito aos quatro, e o documento de segurança diz isso.

Uma senha esquecida

Num cofre com criptografia e sem redefinição, essa é a forma mais provável de perder as suas fotos. É muito mais provável do que qualquer ataque. É o mesmo fato que “ninguém mais consegue abrir”, visto do outro lado. Os dois hábitos que protegem contra isso, um gerenciador de senhas e uma exportação testada, estão em o que acontece se você esquecer a senha do cofre.

Os originais

Um celular comprometido enquanto o cofre está aberto

Para mostrar uma foto, o app precisa desembaralhá-la. Então a chave e a foto legível ficam na memória. Qualquer coisa rodando dentro do app nesse momento consegue alcançar as duas. Nenhuma criptografia no nível do app resolve um celular comprometido, e nenhum desenvolvedor deveria afirmar o contrário.

O app fica visível, e o celular também

Um ícone de cofre diz que há algo dentro. Um disfarce muda o ícone, não o histórico de compras da App Store nem a lista nos Ajustes. Capturas de tela, gravação de tela e alguém olhando por cima do seu ombro acontecem depois que a foto é desembaralhada. A criptografia esconde o conteúdo. Não esconde que existe algo a esconder.

4. Riscos específicos de cofres com servidor

Um cofre que sincroniza com uma conta ganha coisas reais: acesso de vários aparelhos, uma cópia que sobrevive à perda do celular e, normalmente, uma redefinição de senha. Ele também ganha um segundo lugar onde os seus dados ficam, com riscos que um cofre só no celular não tem:

• Um servidor que guarda cópias, com o próprio risco de sofrer uma invasão, a própria equipe e a própria exposição legal.
• Uma conta que pode ser atacada, por phishing, por clonagem de chip (SIM swap) ou pela reutilização de uma senha vazada, à parte da senha do cofre.
• Um processo de recuperação, que é um caminho que pode dar errado, ser enganado ou ser forçado. Se ele consegue devolver as suas fotos a você, em princípio consegue entregá-las a alguém convincente o bastante.
• Uma dependência de o desenvolvedor continuar existindo. Um cofre só no celular que você exportou sobrevive ao desenvolvedor. Um cofre na nuvem talvez não.

Nada disso torna os cofres na nuvem inseguros como grupo. Torna-os uma troca diferente. Onde ficam as chaves de criptografia é o que decide como essa troca termina. O nosso guia sobre os quatro tipos de app coloca os tipos lado a lado.

5. O que não dá para conferir de fora

Duas coisas, e uma página como esta que sugerisse o contrário estaria vendendo algo.

Se o app faz o que a descrição diz. Sem o código-fonte ou uma auditoria independente, “AES-256-GCM” é uma afirmação. Tudo o que está acima testa se um desenvolvedor é específico e franco. Isso costuma andar junto com cuidado. Não prova que o app está correto. O nosso app também não passou por auditoria. Publicamos o código que criptografa os arquivos dele, e o que isso prova e o que não prova é outro guia.

Se há erros sutis. Na maioria das vezes, falhas reais de criptografia vêm de bons métodos usados de um jeito um pouco errado: um número reutilizado que nunca deveria ser, uma chave gerada de forma barata demais, uma miniatura deixada legível num cache. Nada disso aparece numa página de produto, e muitas vezes nem é visível de fora da empresa.

Então o objetivo realista não é a certeza. É reduzir as opções a desenvolvedores que fazem afirmações que você pode conferir e que descrevem os próprios limites. Depois, guarde uma exportação testada num lugar seguro, o que protege você contra o desenvolvedor e também contra a perda do celular. Como fazer isso, e o que apagar o app realmente remove, está em apagar um app de cofre ou levá-lo para outro iPhone.

6. Perguntas frequentes

Apps de cofre de fotos são seguros?

Alguns são, num sentido específico. Eles criptografam os seus arquivos no celular com uma chave gerada a partir de uma senha que só você tem, e dizem por escrito contra o que isso não protege. Outros colocam uma tela de PIN na frente de arquivos comuns, o que protege contra uma olhada e pouco mais. A palavra cofre não diz qual é qual. O que diz é a afirmação sobre criptografia na página da loja, o rótulo de privacidade e se o desenvolvedor registra os limites por escrito.

Apps de cofre de fotos conseguem ver as suas fotos?

Depende do tipo. Um app sem servidor e sem conta não tem para onde enviá-las, e você pode testar isso no Modo Avião. Um app que sincroniza com uma conta na nuvem guarda cópias nos servidores. Se o desenvolvedor consegue lê-las depende de quem guarda as chaves de criptografia. Se o desenvolvedor consegue redefinir a sua senha e devolver as suas fotos, ele guarda uma chave. Os rótulos de privacidade são a resposta do próprio desenvolvedor, inclusive o nosso, então trate-os como afirmações.

Qual é o maior risco de usar um app de cofre de fotos?

Num cofre com criptografia e sem redefinição, esquecer a senha. Isso é definitivo. Em todo tipo de cofre, os originais. A foto que você moveu continua na sua biblioteca até você apagá-la, depois fica em Apagados por trinta dias, e no iCloud até a exclusão chegar lá. Um cofre só é tão privado quanto a limpeza feita depois.

Um cofre de fotos pode ser hackeado?

Qualquer software pode ter falhas, e nenhum app deste site é descrito como imune a ataques. O que a criptografia muda é o que um atacante precisa: a sua senha, ou acesso ao celular enquanto o cofre está desbloqueado. Um cofre que criptografa, e diz onde estão os seus limites, reduz os caminhos de entrada. Não os elimina.

Um app de cofre é mais seguro que o álbum Ocultos do iPhone?

Contra coisas diferentes. O álbum Ocultos abre com o código do celular e sincroniza com o iCloud. Um cofre com criptografia só abre com a própria senha e pode manter tudo no celular. Se o risco é uma olhada, os dois são iguais. Se o risco é alguém com o seu código ou a sua Conta Apple, só o cofre com criptografia resolve.