O que é um app de cofre de fotos e como ele funciona

1. A definição, e a única diferença que importa

Um app de cofre de fotos guarda fotos e vídeos num espaço próprio, separado do app Fotos, e precisa de uma senha ou PIN próprios para abrir. Essa é a definição inteira. Ela cobre dois tipos de app que se comportam de jeitos muito diferentes:

• Cofres que criptografam. Cada arquivo é embaralhado com uma chave gerada a partir da sua senha. O que fica no armazenamento não pode ser lido sem essa chave. Alguém com o celular desbloqueado, ou com uma cópia do armazenamento dele, não tem nada para ver.
• Cofres que só bloqueiam a tela. Os arquivos ficam no armazenamento do app como imagens comuns. O bloqueio é uma tela na frente do app. Alguém com uma cópia do armazenamento tem imagens comuns.

Todo o resto nesses apps, os disfarces, os cofres de fachada, os alertas de invasão, a sincronização na nuvem, fica em cima de um desses dois. O nosso guia sobre os quatro tipos de app que escondem fotos trata deles com mais detalhes. Esta página descreve o primeiro tipo, porque é o que a palavra “cofre” sugere.

2. O que acontece com uma foto dentro de um cofre com criptografia

Usamos o Obscura Photo Vault como exemplo prático, porque é o app cujo funcionamento interno podemos descrever com certeza e cuja documentação podemos indicar.

1. Você define uma senha. O app passa a senha por um processo lento, PBKDF2 com 600.000 iterações e dados aleatórios misturados, para gerar uma chave. Essa chave não desbloqueia as fotos diretamente. Ela desbloqueia uma segunda chave, aleatória, e é com essa segunda chave que os dados do cofre são de fato criptografados. O cofre não guarda a sua senha. Se você ativar o Face ID, o iOS guarda uma cópia da senha nas Chaves do iOS (iOS Keychain), atrás do Face ID. Isso é uma conveniência, não uma segunda chave.
2. Você traz uma foto. O app lê a foto da sua biblioteca para a memória e a criptografa ali com AES-256-GCM, antes de qualquer coisa ser gravada no próprio armazenamento. O que chega ao celular é o arquivo criptografado, a miniatura criptografada e um registro criptografado no banco de dados com o nome e o álbum. O original no Fotos fica intacto.
3. Você bloqueia o cofre. A chave é apagada da memória. O que sobra no celular são dados embaralhados e uma cópia trancada da chave, que não serve para nada sem a senha.
4. Você desbloqueia e vê. A senha é transformada na chave de novo, a segunda chave é desbloqueada e o arquivo é desembaralhado na memória para ser mostrado. O vídeo também é desembaralhado na memória, um pedaço por vez durante a reprodução no caso de arquivos grandes, então nenhuma cópia legível de um vídeo é gravada no celular.
5. Você apaga o original. Esse é o passo que o app não pode fazer por você. Até você apagá-lo do Fotos, esvaziar Apagados e deixar o iCloud acompanhar, o original continua onde estava.

A parte GCM do nome importa mais do que as pessoas imaginam. Ela significa que cada arquivo carrega um valor de verificação, então um arquivo que foi alterado no celular não abre, em vez de abrir silenciosamente com dados errados. O que significam os termos da criptografia explica cada um em palavras simples.

3. Contra o que ele protege, e contra o que não protege

Coberto significa que a arquitetura do app lida com a situação. Não significa que algum app esteja livre de ataques. Essa é outra questão, que nenhuma página de produto consegue resolver.

A metade de baixo da tabela é a parte que muda decisões, e ela é a mesma para todo app de cofre já feito. Um desenvolvedor que publica essa lista mostra que pensou no assunto. A nossa está na seção 11 do documento de segurança. A pergunta sobre se esses apps são seguros, afinal, tem um guia próprio: a segurança dos apps de cofre de fotos.

4. O que um cofre não substitui

O álbum Ocultos. A maioria das pessoas que usa um cofre continua usando o álbum Ocultos, para fotos diferentes. O cofre fica com as poucas que importariam se o celular desbloqueado estivesse nas mãos de outra pessoa. O álbum Ocultos fica com as muitas que só não deveriam aparecer num widget. Os dois, lado a lado, e tudo o que o álbum Ocultos cobre e não cobre.

Um backup. Um cofre com criptografia no seu celular é uma única cópia, num único celular. Se o celular se perder e o cofre nunca tiver sido exportado, as fotos se foram. Um cofre sem servidor precisa que você guarde uma exportação em algum lugar. Um cofre com servidor precisa que você saiba quem guarda as chaves.

A sua memória. Se o cofre não consegue redefinir uma senha, nada mais consegue. Os dois hábitos que cobrem isso estão em o que acontece se você esquecer a senha do cofre.

5. Recursos comuns, explicados

Desbloqueio com Face ID ou Touch ID

Um atalho, não uma segunda chave. Num cofre bem construído, ele busca a sua senha salva nas Chaves do iOS em vez de substituí-la. O iOS desativa o atalho quando um novo rosto ou uma nova digital é adicionado ao celular.

Cofres de fachada

Um segundo cofre com outra senha, com fotos que você não se importa de mostrar. Feito do jeito certo, o cofre de fachada é um cofre real, o app não mostra lista nem contagem e os arquivos no celular não revelam quais cofres estão em uso. Se for feito com uma simples marcação num arquivo de ajustes, essa marcação entrega tudo. De qualquer forma, ele tem limites conhecidos. Os nossos estão em negação plausível num cofre de fotos.

Ícones disfarçados

O app parece uma calculadora ou um utilitário. Isso muda o que uma olhada na Tela de Início mostra e nada na forma como os arquivos são guardados. É útil contra uma olhada e inútil contra uma análise.

Senhas de pastas

Uma segunda senha numa pasta dentro do cofre. Num cofre com criptografia, isso significa uma segunda camada de criptografia com uma chave gerada a partir da senha da pasta, então o conteúdo da pasta precisa das duas senhas.

Exportação criptografada

Um único arquivo com o cofre inteiro, criptografado com a mesma força do próprio cofre, que você pode importar em outro aparelho. É assim que um cofre sem servidor sobrevive à perda do celular. Ele só conta como backup depois que você testar se ele importa direito.

6. Perguntas frequentes

O que é um app de cofre de fotos?

Um app que guarda fotos e vídeos fora da sua fototeca principal, atrás de um bloqueio próprio. A diferença que importa é se o app criptografa os arquivos, para que não possam ser lidos sem uma chave gerada a partir da sua senha, ou se só coloca uma tela de PIN na frente de arquivos comuns. Por fora, os dois parecem iguais.

Como funciona um app de cofre de fotos?

Você traz uma foto da sua biblioteca, e o app a copia para o próprio armazenamento. Num cofre com criptografia, a cópia é criptografada nesse momento com uma chave gerada a partir da sua senha, e continua criptografada no celular. Para vê-la, você desbloqueia o cofre. O app desembaralha o arquivo na memória, mostra a foto e descarta a cópia legível quando o cofre bloqueia. O original na sua biblioteca fica intacto até você apagá-lo.

Qual a diferença entre um cofre de fotos e o álbum Ocultos?

O álbum Ocultos muda onde uma foto aparece no Fotos e abre com o código do celular. Um cofre de fotos tira a foto do Fotos por completo e abre com a própria senha. Se o cofre usa criptografia, essa senha também é a única forma de ler o arquivo. O álbum Ocultos continua sincronizando com o iCloud. Um cofre decide por conta própria se algo sai do celular.

Onde um app de cofre de fotos guarda as suas fotos?

No próprio armazenamento, no celular, separado da sua fototeca. Num cofre com criptografia, esse armazenamento guarda dados embaralhados em vez de imagens. Cofres que dependem de uma conta também guardam uma cópia nos servidores do desenvolvedor, o que torna possíveis a sincronização e a redefinição de senha. A página na App Store mostra qual tipo de cofre você está vendo, porque a exigência de conta é sempre informada.

O que é um cofre de fachada?

Um segundo cofre, aberto por outra senha, com fotos que você não se importa de mostrar. Num app bem feito, o cofre de fachada é um cofre real, não um falso, e o app não mostra lista nem contagem de cofres. Então abrir o cofre de fachada não revela nada sobre a existência de outros. Ele tem limites conhecidos, que um desenvolvedor sério publica.