照片保險箱中的合理推諉

1. 這個說法，以及我們實際的聲明

「合理推諉」是一個借來的詞。在 App 行銷中，它通常被刻意說得很模糊。我們寧可把意思說清楚，因為明確的聲明可以查證，模糊的則不行。

確切的聲明是這樣的：Obscura Photo Vault 隨時在你的手機上保留十個已鎖定的保險箱檔案。複製了這些檔案、而且只能讀取它們的人，照理無法推算出哪些是真正在用的保險箱、哪些從未使用過。技術上的名稱是「抵抗離線位置列舉」。用白話說：這些檔案不會透露你用了幾個保險箱。

本頁的所有內容都源自這句話。第 4 節是最需要仔細閱讀的部分，那裡說明了保護在哪裡失效。

2. 它是如何打造的

打造「隱藏」第二個保險箱的常見做法是使用旗標。旗標是 App 資料中某處的一個標記，寫著這個保險箱是真的，或那個是誘餌。只要有人讀取資料，這種做法就會失效，因為旗標本身就是答案。

這裡沒有旗標。取而代之的是：

十個位置全都是真正的保險箱

你第一次開啟 App 時，它會在每個未使用的位置填入一個完整、有效的保險箱檔案。每一個都有自己的隨機資料、自己的已鎖定金鑰、自己真實但空白的資料庫，以及自己的隨機填充資料。我們稱它們為誘餌位置，只是因為你從未替它們設定密碼。在手機上，它們看起來和你每天使用的保險箱一模一樣。

未使用的位置也有真正的密碼

每個未使用的位置，都用 App 根據儲存在你手機上的一組祕密所產生的密碼鎖住。重點在於，「空的」永遠不會因為少了什麼東西而被看出來。每個位置都有密碼，不論是不是你設定的。

檔案大小是隨機的

每個保險箱資料庫都會被填充到 2 到 15 MB 之間的隨機大小。如果不這樣做，光看檔案大小就能知道哪個保險箱裡有照片。

App 從不顯示保險箱清單

App 裡沒有保險箱清單、沒有數量顯示，也無法在保險箱之間切換。你的密碼打開一個保險箱，你看到的就只有那個保險箱。這很重要。即使是最好的設計，只要畫面上出現「保險箱 2／4」，也會前功盡棄。

照片存放在同一個共用區

所有保險箱的加密照片和影片，都以隨機檔名一起存放在同一個資料夾裡。這個資料夾不會依保險箱分組。每個檔案都只鎖定在一個保險箱的金鑰上。所以誘餌保險箱無法認領不屬於它的照片，也無法被迫顯示它們。

3. 為什麼解鎖刻意放慢

時間差可能洩露答案。假設 App 依序嘗試每個位置，並在第一個符合的地方停下，那麼位於第 2 個位置的保險箱就會比第 9 個位置的打開得快。有人只要測量幾次解鎖時間，就能推算出配置。

所以 App 從不提早停下。每次解鎖都會嘗試每一個位置，包括所有未使用的位置，並且要等十個全部完成後才做出判斷。

這就是解鎖需要一點時間的原因，這段延遲是刻意的。把你的密碼轉換成金鑰也是一樣，同樣刻意放慢。這兩段延遲，就是上述保護看得見的代價。

4. 它的極限在哪裡

有四個已知的限制。我們公開這些限制，因為不知道它們，你就無法判斷這項功能是否適合你。

4.1 照片檔案的數量

在誘餌保險箱裡多放幾張照片也解決不了這個問題，因為比較的是總數，而不是逐一比對檔案。這個限制只影響能直接存取手機儲存空間的人。從 App 裡面完全看不出來。已開啟的誘餌保險箱只會顯示它自己的照片，不會透露其他位置的任何資訊。

4.2 超過十個保險箱

手機上永遠存在十個位置。如果你建立第十一個保險箱，App 就必須建立第十一個檔案，而這個多出來的檔案本身就是破綻。計算保險箱檔案的人，會在 App 通常只有十個的地方看到十一個。

這是一個真實的取捨，App 把決定權交給你。如果對你來說分類整理比這項保護更重要，你可以建立更多保險箱。如果你選擇這個 App 正是為了這項保護，請保持在十個以內。

4.3 iCloud 鑰匙圈

用來產生未使用位置密碼的那組祕密，會透過 iCloud 鑰匙圈在你的裝置之間共享。這讓你的 iPhone 和 iPad 上的未使用位置保持一致。代價是：能登入你的 Apple 帳號、而且開啟了 iCloud 鑰匙圈的人，可以用另一台裝置推算出那些誘餌密碼。面對這樣的人，這項保護並不成立。

我們為了跨裝置的一致性做了這個取捨。如果你擔心的正是這樣的人，安全性白皮書建議在裝置上關閉 iCloud 鑰匙圈。

4.4 App 本身是看得見的

這裡的任何設計，都無法隱藏你安裝了 Obscura Photo Vault 這件事。App 會出現在你的主畫面上，也會出現在你 Apple 帳號的購買記錄中。這項保護針對的是手機上的檔案，並不會隱藏你保存私密照片這件事。

5. 它實際上適合用在哪裡

它解決的是一個很常見的日常情境：有人拿著你已解鎖的手機，或要求看你的照片，而你寧可給對方看點什麼，也不想直接拒絕。

因為 App 沒有保險箱清單、也沒有數量顯示，用另一組密碼打開第二個保險箱時，看到的是一個真實、可正常使用、裡面有真實照片的保險箱。沒有空白畫面，沒有「誘餌模式」標籤，畫面上也沒有任何東西暗示還有其他保險箱存在。對方看到的是一個被正常使用的 App，因為它本來就是。

就是這樣而已。對於許多人實際會遇到的情境，這是一項有用的保護，但也僅止於此。

6. 它不是什麼

我們想在這裡說得直接一點。保險箱 App 在這個領域往往暗示很多，卻什麼也沒承諾。

它無法防範一個執意追問的人。它是手機上檔案的一種特性。面對看著你輸入密碼的人、知道這個 App 有不只一個保險箱的人，或只是不斷追問的人，它幫不上忙。軟體解決不了這樣的處境，任何暗示可以的 App 都是在誇大。

它不是法律建議，也不是用來應付法律情況的工具。對於這項功能在任何地方的任何法律程序中會有什麼效果，我們不做任何聲明。這裡的任何內容都不應被視為這方面的指引。如果你有法律問題，請諮詢律師，而不是 App 開發者的網站。

它不能取代加密。真正發揮作用的保護，是你的檔案以一把由你所選密碼產生的金鑰加密。保險箱位置的設計建立在這之上。如果只能保留一項，請保留加密。

7. 常見問題

照片保險箱 App 中的合理推諉是什麼意思？

意思是手機上儲存的資料，不會透露有幾個保險箱存有真實照片。在 Obscura Photo Vault 中，確切的聲明範圍更窄：手機上永遠存在十個保險箱檔案，而且每一個都是有效的，因此讀取這些檔案的人，照理無法分辨哪些正在使用中。它為你製造有利的疑點，而不是保證，而且有已知的限制。

誘餌保險箱如何運作？

你用另一組密碼建立第二個保險箱，放進你不介意給人看的照片。App 沒有保險箱清單，也沒有數量顯示。所以輸入那組密碼，打開的是一個真實、可正常使用、裝著真實照片的保險箱，沒有任何跡象暗示還有其他保險箱存在。它是真的保險箱，不是假的。這正是它有效的原因：沒有任何假的東西可以被識破。

誘餌保險箱能隱藏一切嗎？

不能，而且這些限制都已公開。能直接讀取手機儲存空間的人，可以計算已開啟的誘餌保險箱中的照片數量，再和手機上照片檔案的總數比較。如果數字不同，就表示其他保險箱裡有照片。建立超過十個保險箱也會多出一個檔案，這個檔案本身就會露出破綻。而且 App 本身從來不會被隱藏。

我應該建立幾個保險箱？

通常的答案是兩個：一個你自己使用，另一個放你願意給人看的照片。如果你選擇這個 App 正是為了這項保護，請保持在十個以內。

App 知道哪個保險箱是真的嗎？

不知道。App 裡根本沒有這種東西。密碼符合哪個位置，就打開哪個位置。沒有任何標記寫著「這個是真的」，這正是讀取檔案的人什麼也找不到的原因。

別人看 App 就能知道我用了幾個保險箱嗎？

從 App 本身看不出來。沒有清單、沒有數量，也無法在保險箱之間切換。已知能推算出來的方法列在第 4 節，而且每一種都需要直接存取手機的儲存空間。

為什麼要公開弱點？

因為你不知道的限制，你就無法預先防範。而沒有說明限制的聲明，也無從查證。安全性白皮書中有這些限制更技術性的細節。