Come Mirage Vault protegge le foto: crittografia e chiavi
Mirage Vault protegge le foto crittografandole una per una sull’iPhone stesso con AES-256-GCM, con una chiave casuale per ogni file, e custodisce la chiave della cassaforte dietro il Secure Enclave. Non ci sono account né server: la sequenza, Face ID o una frase di recupero sono gli unici modi per entrare, e una copia dei file non si può aprire per tentativi altrove.
Chi guarda, e cosa ottiene
Ogni riga è una persona che potrebbe guardare, cosa ottiene con Mirage Vault e cosa ti protegge.
| Chi | Cosa vede | Cosa ti protegge |
|---|---|---|
| Chi dà un’occhiata alla tua schermata Home o sbircia da sopra la spalla | Un’icona anonima; la schermata di blocco è sabbia vuota, senza nome dell’app e senza griglia | La griglia della sequenza compare solo sotto il dito e svanisce quando lo sollevi; il selettore app mostra un’istantanea vuota |
| Chi ha in mano il tuo iPhone sbloccato | La schermata di blocco vuota della cassaforte | Face ID o la sequenza; 5 tentativi errati avviano una pausa di 30 s che raddoppia fino a 1 ora; blocco all’uscita, blocco a faccia in giù |
| Chi conosce il codice del tuo iPhone | La stessa schermata di blocco vuota | La cassaforte ha una chiave propria. Il codice dell’iPhone non la apre, e il Face ID della cassaforte è legato ai volti registrati: se aggiungi un nuovo volto all’iPhone, il Face ID della cassaforte si disattiva finché non sblocchi con la sequenza e lo riattivi |
| Chi ha una copia dei file o del backup su iCloud | Dati dall’aspetto casuale con nomi casuali | AES-256-GCM con una chiave per ogni file; la chiave della cassaforte è cifrata da una chiave del Secure Enclave che non può essere copiata, quindi la sequenza non si può indovinare offline. Il backup si apre solo con la frase di recupero di 8 parole |
| Chi ti costringe a sbloccare | La cassaforte che scegli di mostrare | Una cassaforte esca dietro una seconda sequenza, e una Wipe Key: una sequenza che cancella all’istante le chiavi della cassaforte vera e apre invece quella esca (entrambe Mirage Pro). Entrambe richiedono Face ID disattivato, perché Face ID apre la cassaforte vera non appena Mirage si apre |
| Mirage, o chiunque lo chieda a Mirage | Niente: non ci sono account, server né copie della chiave | La frase di recupero viene mostrata una sola volta e non viene mai memorizzata; nessuno di Mirage te la chiederà mai |
In cosa consiste davvero la crittografia
Questi sono i parametri presenti nel codice sorgente dell’app, non un riassunto.
- La tua sequenza o il tuo PIN passano attraverso PBKDF2-HMAC-SHA256 con almeno 600.000 iterazioni, calibrate per richiedere almeno 250 ms sul tuo iPhone. Il risultato non è mai la chiave della cassaforte stessa.
- Il Secure Enclave cifra il risultato: ECIES con una chiave P-256 nel Secure Enclave. La chiave privata viene creata all’interno del Secure Enclave e non può essere letta, quindi una copia dei file e del Portachiavi non basta per provare sequenze su un altro computer.
- La chiave della cassaforte (256 bit casuali, una per cassaforte) viene decifrata solo in memoria, e solo dopo una sequenza corretta, Face ID o la frase di recupero.
- Ogni file ha una propria chiave casuale, cifrata con la chiave della cassaforte. Foto, video, note, scansioni, miniature e anteprime sono tutti oggetti separati.
- Ogni file è sigillato in blocchi da 1 MiB con AES-256-GCM: un nonce nuovo per ogni blocco e dati autenticati che legano il blocco al suo file, alla sua posizione e al fatto che sia o meno l’ultimo. Un blocco modificato, troncato o scambiato viene rilevato, non decifrato.
Altri dati sul formato: i nomi dei file sul disco sono identificatori casuali a 128 bit; il contenitore è protetto da NSFileProtectionComplete ed escluso dai backup del dispositivo; l’intestazione contiene 8 slot di chiavi di lunghezza identica, e gli slot inutilizzati sono riempiti di byte casuali, quindi gli slot non rivelano se esiste una cassaforte esca o una Wipe Key. I file indice possono comunque mostrare tracce di una seconda cassaforte a un’analisi forense; è un punto ancora aperto dell’audit dell’app. Face ID ha una propria chiave nel Secure Enclave, creata con l’insieme attuale dei volti registrati, senza ripiego sul codice dell’iPhone. I video si riproducono tramite un caricatore di risorse crittografate, blocco per blocco, senza un file temporaneo decifrato. Le registrazioni delle intrusioni vengono sigillate con HPKE (P-256, HKDF-SHA256, AES-256-GCM) mentre la cassaforte è bloccata, quindi in seguito solo la chiave della cassaforte vera può aprirle.
Backup e recupero
Il backup crittografato su iCloud è gratuito per tutti e attivo per impostazione predefinita. Carica gli stessi oggetti crittografati nel database privato del tuo account iCloud; Apple vede solo dati cifrati, Mirage non vede assolutamente nulla. Il backup si apre solo con la frase di recupero: 8 parole dall’elenco BIP-39 (88 bit), mostrate una sola volta e mai memorizzate. La frase è l’unica chiave che funziona su un altro iPhone, perché ogni altra chiave è legata al Secure Enclave dell’iPhone che l’ha creata.
Cosa è stato verificato, e da chi
Il formato del contenitore e il livello applicativo sono stati esaminati il 2026-10-31: lettura del codice, una seconda revisione del formato da parte di un altro revisore e un target di stress test con verifiche su concorrenza, manomissione, fuzzing e fughe di testo in chiaro (71 test nel pacchetto, tutti superati, anche con Thread Sanitizer). La crittografia dei file ha retto a inversioni di bit, mutazioni casuali, troncamenti a ogni confine e scambi di blocchi tra file: non è mai stato restituito un testo in chiaro errato. I problemi riscontrati riguardavano la logica delle cassaforti e degli slot e il backup su iCloud, e quelli critici e gravi sono stati corretti lo stesso giorno; il documento dell’audit registra ciascuno con il suo stato.
Il modulo MirageCrypto, che definisce il formato del contenitore e le chiavi, è scritto come pacchetto autonomo per poter essere pubblicato su GitHub. Questa pagina conterrà il link quando sarà pubblico.
Un riassunto dell’app in un paragrafo, l’icona e gli screenshot per gli articoli sono nella cartella stampa.
Pagine sulla sicurezza
- Le app cassaforte per foto sono sicure? Sette cose da controllare prima di fidarti
Sette controlli che distinguono una cassaforte crittografata da una cartella nascosta dietro una schermata con PIN.
- Un’app calcolatrice segreta è sicura? Cosa protegge il camuffamento, e cosa no
Quanto vale il camuffamento da calcolatrice, cosa controllare dietro e come Mirage si nasconde senza imitare un’altra app.