Negação plausível num cofre de fotos

1. A expressão, e o que realmente afirmamos

“Negação plausível” é uma expressão emprestada. No marketing de apps, ela costuma ficar vaga de propósito. Preferimos dizer exatamente o que queremos dizer, porque uma afirmação exata pode ser conferida e uma vaga não pode.

Esta é a afirmação exata. O Obscura Photo Vault mantém dez arquivos de cofre trancados no seu celular o tempo todo. Não se espera que alguém que copie esses arquivos, e só consiga lê-los, descubra quais têm um cofre real e quais nunca foram usados. O nome técnico disso é resistência à enumeração offline de espaços. Em palavras simples: os arquivos não revelam quantos cofres você usa.

Tudo nesta página decorre dessa frase. A seção 4 é a parte a ler com mais atenção. É onde a proteção termina.

2. Como isso é construído

O jeito comum de construir um segundo cofre “escondido” é uma marcação. Uma marcação é um sinal em algum lugar dos dados do app que diz que este cofre é o real, ou que este é de fachada. Isso falha no momento em que alguém lê os dados, porque a marcação é a resposta.

Aqui não há marcação. Em vez disso:

Os dez espaços são cofres reais

Quando você abre o app pela primeira vez, ele preenche cada espaço não usado com um arquivo de cofre completo e válido. Cada um recebe os próprios dados aleatórios, a própria chave trancada, o próprio banco de dados real, mas vazio, e o próprio preenchimento aleatório. Só os chamamos de espaços de fachada porque você nunca definiu uma senha para eles. No celular, eles parecem iguais a um cofre que você usa todos os dias.

Os espaços não usados também têm senhas reais

Cada espaço não usado é trancado com uma senha que o app cria a partir de um segredo guardado no seu celular. A ideia é que um espaço vazio nunca se revele pela falta de alguma coisa. Todo espaço tem uma senha, tenha sido você a escolhê-la ou não.

Os tamanhos dos arquivos são aleatórios

Cada banco de dados de cofre é preenchido até um tamanho aleatório entre 2 e 15 megabytes. Sem isso, só o tamanho do arquivo já revelaria qual cofre tem fotos.

O app nunca mostra uma lista de cofres

Dentro do app, não há lista de cofres, nem contagem, nem como alternar entre eles. A sua senha abre um cofre, e esse cofre é tudo o que você vê. Isso importa. Até a melhor arquitetura falha se a tela algum dia disser “Cofre 2 de 4”.

As fotos ficam num único conjunto compartilhado

As fotos e vídeos criptografados de todos os cofres ficam juntos numa pasta, com nomes de arquivo aleatórios. A pasta não agrupa os arquivos por cofre. Cada arquivo fica preso à chave de um cofre. Então um cofre de fachada não consegue reivindicar fotos que não são dele, nem ser levado a mostrá-las.

3. Por que o desbloqueio é lento de propósito

O tempo pode vazar a resposta. Suponha que o app testasse cada espaço por vez e parasse na primeira correspondência. Então um cofre no espaço 2 abriria mais rápido que um no espaço 9. Alguém cronometrando o desbloqueio algumas vezes poderia descobrir a disposição.

Por isso o app nunca para no meio do caminho. Todo desbloqueio testa todos os espaços, inclusive todos os não usados, e só decide depois de terminar os dez.

É por isso que o desbloqueio leva um instante. A demora é intencional. O mesmo vale para transformar a sua senha numa chave, que também é lento de propósito. As duas demoras são o preço visível da proteção descrita acima.

4. Onde termina

Quatro limites conhecidos. Nós os publicamos porque você não consegue avaliar se este recurso serve para você sem eles.

4.1 A contagem de arquivos de fotos

Colocar mais fotos no cofre de fachada não resolve isso. A comparação é entre totais, não entre arquivos individuais. Este limite só afeta alguém com acesso direto ao armazenamento do celular. De dentro do app, não há como ver isso. Um cofre de fachada aberto mostra as próprias fotos e nada sobre qualquer outro espaço.

4.2 Mais de dez cofres

Dez espaços sempre existem. Se você criar um décimo primeiro cofre, o app precisa criar um décimo primeiro arquivo. É justamente esse arquivo extra que entrega tudo. Alguém contando os arquivos de cofre vê onze onde o app normalmente tem dez.

Essa é uma troca real, e o app deixa a decisão com você. Se a organização importa mais para você do que esta proteção, você pode criar mais cofres. Se esta proteção é o motivo de você ter escolhido o app, fique em dez.

4.3 Chaves do iCloud

O segredo usado para criar as senhas dos espaços não usados é compartilhado entre os seus aparelhos pelas Chaves do iCloud. Isso mantém os espaços não usados consistentes entre o seu iPhone e o seu iPad. O custo é este: alguém que consegue entrar na sua Conta Apple, com as Chaves do iCloud ativadas, poderia usar outro aparelho para descobrir essas senhas de fachada. Contra essa pessoa, a proteção não se sustenta.

Fizemos essa troca pela consistência entre aparelhos. Se essa pessoa é quem preocupa você, o documento de segurança sugere desativar as Chaves do iCloud no aparelho.

4.4 O app fica visível

Nada aqui esconde o fato de que o Obscura Photo Vault está instalado. O app aparece na sua Tela de Início e no histórico de compras da sua Conta Apple. Esta proteção trata dos arquivos no celular. Ela não esconde que você guarda fotos privadas.

5. Para que isso realmente serve

A situação do dia a dia que isso resolve é comum. Alguém está com o seu celular desbloqueado na mão, ou pede para ver as suas fotos, e você prefere mostrar algo a recusar.

Como o app não tem lista de cofres nem contagem, abrir um segundo cofre com outra senha mostra um cofre real, funcionando, com fotos reais. Não há tela vazia, nem rótulo de “modo fachada”, nem nada na tela que sugira a existência de outro cofre. A pessoa vê um app sendo usado normalmente, porque é isso que está acontecendo.

Isso é tudo. É uma proteção útil para uma situação que muita gente realmente enfrenta. Não é mais do que isso.

6. O que isso não é

Queremos ser diretos aqui. Essa é a área em que os apps de cofre costumam sugerir muito e não prometer nada.

Não é uma defesa contra uma pessoa que insiste. É uma característica dos arquivos no celular. Não ajuda contra alguém que vê você digitar, alguém que sabe que o app tem mais de um cofre, ou alguém que simplesmente continua perguntando. Software não resolve uma situação como essa. Qualquer app que sugira o contrário está exagerando.

Não é aconselhamento jurídico, nem uma ferramenta para situações legais. Não fazemos nenhuma afirmação sobre como este recurso se comporta diante de qualquer processo legal, em qualquer lugar. Nada aqui deve ser lido como orientação para isso. Se você tem uma questão jurídica, pergunte a um advogado, não ao site de um desenvolvedor de apps.

Não substitui a criptografia. A proteção que faz o trabalho de verdade é que os seus arquivos são criptografados com uma chave gerada a partir de uma senha que você escolheu. Os espaços de cofre ficam em cima disso. Se você só pudesse ficar com uma das duas, fique com a criptografia.

7. Perguntas frequentes

O que é negação plausível num app de cofre de fotos?

Significa que os dados guardados no celular não mostram quantos cofres têm fotos reais. No Obscura Photo Vault, a afirmação exata é mais restrita. Dez arquivos de cofre sempre existem, todos válidos, então não se espera que alguém lendo esses arquivos consiga dizer quais estão em uso. Isso coloca a dúvida a seu favor, não é uma garantia, e tem limites conhecidos.

Como funciona um cofre de fachada?

Você cria um segundo cofre com outra senha e coloca nele fotos que não se importa de mostrar. O app não tem lista de cofres nem contagem. Então abrir com essa senha mostra um cofre real, funcionando, com fotos reais, e nada que sugira a existência de outro cofre. É um cofre real, não um falso. É exatamente por isso que funciona: não há nada falso para detectar.

Um cofre de fachada esconde tudo?

Não, e os limites são publicados. Alguém que consegue ler o armazenamento do celular diretamente pode contar as fotos de um cofre de fachada aberto e comparar com o número total de arquivos de fotos no celular. Se os números forem diferentes, outros cofres têm fotos. Criar mais de dez cofres também acrescenta um arquivo extra que se denuncia. E o próprio app nunca fica escondido.

Quantos cofres devo criar?

A resposta habitual é dois: o que você usa e um com fotos que você não se importa de mostrar. Fique em dez ou menos se essa proteção for o motivo de você ter escolhido o app.

O app sabe qual é o cofre verdadeiro?

Não. Isso não existe dentro do app. Uma senha abre o espaço em que ela se encaixa. Não há nenhuma marcação dizendo que este é o verdadeiro, e é exatamente por isso que não há nada para alguém encontrar lendo os arquivos.

Alguém consegue saber quantos cofres eu uso olhando o app?

Não pelo próprio app. Não há lista, nem contagem, nem como passar de um cofre para outro. As formas conhecidas de descobrir estão na seção 4, e todas exigem acesso direto ao armazenamento do celular.

Por que publicar os pontos fracos?

Porque um limite que você não conhece é um limite contra o qual você não consegue se planejar. E uma afirmação sem limites declarados não pode ser conferida. Os limites estão no documento de segurança, com mais detalhes técnicos.