Comment Mirage Vault chiffre et protège vos photos
Mirage Vault protège vos photos en chiffrant chacune d’elles sur l’iPhone lui-même avec AES-256-GCM, une clé aléatoire par fichier, et place la clé du coffre sous la protection de la Secure Enclave. Il n’y a ni compte ni serveur : le schéma, Face ID ou une phrase de récupération sont les seuls moyens d’entrer, et une copie des fichiers ne peut pas être ouverte ailleurs en essayant des schémas.
Qui regarde, et ce qu’il obtient
Chaque ligne correspond à une personne susceptible de regarder : ce qu’elle obtient avec Mirage Vault, et ce qui vous protège.
| Qui | Ce qu’elle voit | Ce qui vous protège |
|---|---|---|
| Quelqu’un qui jette un œil à votre écran d’accueil ou par-dessus votre épaule | Une icône banale ; l’écran de verrouillage est du sable vierge, sans nom d’app ni grille | La grille du schéma n’apparaît que sous votre doigt et s’estompe quand vous le levez ; le sélecteur d’apps affiche un aperçu vide |
| Quelqu’un qui tient votre iPhone déverrouillé | L’écran de verrouillage vide du coffre | Face ID ou le schéma ; après 5 tentatives erronées, un délai d’attente de 30 s démarre et double jusqu’à 1 heure ; verrouillage à la sortie de l’app, verrouillage écran vers le bas |
| Quelqu’un qui connaît le code de votre iPhone | Le même écran de verrouillage vide | Le coffre a sa propre clé. Le code de l’iPhone ne l’ouvre pas, et Face ID pour le coffre est lié aux visages enregistrés : ajouter un nouveau visage à l’iPhone désactive Face ID pour le coffre, jusqu’à ce que vous déverrouilliez avec le schéma et le réactiviez |
| Quelqu’un qui dispose d’une copie des fichiers ou de la sauvegarde iCloud | Des données d’apparence aléatoire, sous des noms aléatoires | AES-256-GCM avec une clé par fichier ; la clé du coffre est encapsulée par une clé Secure Enclave impossible à copier : le schéma ne peut donc pas être deviné hors ligne. La sauvegarde ne s’ouvre qu’avec la phrase de récupération de 8 mots |
| Quelqu’un qui vous force à déverrouiller | Le coffre que vous choisissez de montrer | Un faux coffre derrière un second schéma, et une Wipe Key : un schéma qui efface sur-le-champ les clés du vrai coffre et ouvre le faux coffre à la place (tous deux Mirage Pro). Les deux exigent que Face ID soit désactivé, car Face ID ouvre le vrai coffre dès l’ouverture de Mirage |
| Mirage, ou quiconque s’adresse à Mirage | Rien : il n’y a ni compte, ni serveur, ni copie de la clé | La phrase de récupération ne s’affiche qu’une fois et n’est jamais stockée ; personne chez Mirage ne vous la demandera jamais |
Comment Mirage Vault chiffre vos photos, concrètement
Voici les paramètres du code source de l’app, pas un résumé.
- Votre schéma ou code PIN passe par PBKDF2-HMAC-SHA256 avec au moins 600 000 itérations, calibrées pour prendre au moins 250 ms sur votre iPhone. Le résultat n’est jamais la clé du coffre elle-même.
- La Secure Enclave encapsule le résultat : ECIES avec une clé P-256 dans la Secure Enclave. La clé privée est créée dans la Secure Enclave et ne peut pas en être extraite : une copie des fichiers et du trousseau ne suffit donc pas pour essayer des schémas sur une autre machine.
- La clé du coffre (256 bits aléatoires, une par coffre) n’est désencapsulée qu’en mémoire, et seulement après un schéma correct, Face ID ou la phrase de récupération.
- Chaque fichier a sa propre clé aléatoire, encapsulée par la clé du coffre. Photos, vidéos, notes, numérisations, miniatures et aperçus sont tous des objets distincts.
- Chaque fichier est scellé par blocs de 1 MiB avec AES-256-GCM : un nonce neuf par bloc, et des données authentifiées qui lient le bloc à son fichier, à sa position et au fait qu’il soit ou non le dernier. Un bloc modifié, tronqué ou échangé est détecté, pas déchiffré.
Autres caractéristiques du format : les noms de fichiers sur le disque sont des identifiants aléatoires de 128 bits ; le conteneur relève de NSFileProtectionComplete et est exclu des sauvegardes de l’appareil ; l’en-tête contient 8 emplacements de clé de longueur identique, et les emplacements inutilisés sont remplis d’octets aléatoires : ils ne révèlent donc pas l’existence d’un faux coffre ou d’une Wipe Key. Les fichiers d’index peuvent toutefois laisser voir des signes d’un second coffre lors d’une investigation numérique ; c’est un point encore ouvert de l’audit de l’app. Face ID a sa propre clé Secure Enclave, créée avec l’ensemble actuel de visages enregistrés, sans repli sur le code de l’iPhone. Les vidéos se lisent via un chargeur de ressources chiffré, bloc par bloc, sans fichier temporaire déchiffré. Les enregistrements d’intrusion sont scellés avec HPKE (P-256, HKDF-SHA256, AES-256-GCM) pendant que le coffre est verrouillé : seule la clé du vrai coffre pourra les ouvrir plus tard.
Sauvegarde et récupération
La sauvegarde iCloud chiffrée est gratuite pour tous et activée par défaut. Elle envoie les mêmes objets chiffrés dans la base de données privée de votre propre compte iCloud ; Apple n’y voit que des données chiffrées, Mirage ne voit absolument rien. La sauvegarde ne s’ouvre qu’avec la phrase de récupération : 8 mots de la liste BIP-39 (88 bits), affichés une seule fois et jamais stockés. La phrase est la seule clé qui fonctionne sur un autre iPhone, car toutes les autres clés sont liées à la Secure Enclave de l’iPhone qui les a créées.
Ce qui a été vérifié, et par qui
Le format du conteneur et la couche applicative ont été examinés le 2026-10-31 : lecture du code, seconde revue du format par un autre relecteur, et une cible de tests de résistance couvrant la concurrence, la falsification, le fuzzing et les fuites de texte en clair (71 tests dans le paquet, tous réussis, y compris sous Thread Sanitizer). Le chiffrement des fichiers a résisté aux inversions de bits, aux mutations aléatoires, à la troncature à chaque limite et aux échanges de blocs entre fichiers : aucun texte en clair erroné n’a jamais été renvoyé. Les constats portaient sur la logique des coffres et des emplacements ainsi que sur la sauvegarde iCloud, et les constats critiques et élevés ont été corrigés le jour même ; le document d’audit consigne chacun avec son statut.
Le module MirageCrypto, qui définit le format du conteneur et les clés, est écrit comme un paquet autonome afin de pouvoir être publié sur GitHub. Cette page y renverra dès qu’il sera public.
Un résumé de l’app en un paragraphe, l’icône et des captures d’écran pour la presse se trouvent dans le kit presse.
Pages sur la sécurité
- Les applications coffre-fort photo sont-elles sûres ? Sept points à vérifier avant de leur faire confiance
Sept vérifications qui distinguent un coffre chiffré d’un dossier caché derrière un écran de code PIN.
- Une app calculatrice pour cacher des photos est-elle sûre ? Ce que le camouflage protège, et ce qu’il ne protège pas
Ce que vaut un camouflage en calculatrice, ce qu’il faut vérifier derrière, et comment Mirage se cache sans imiter une autre app.