Zo beveiligt Mirage Vault je foto's
Mirage Vault beveiligt je foto's door elke foto op de iPhone zelf te versleutelen met AES-256-GCM, met één willekeurige sleutel per bestand, en de kluissleutel achter de Secure Enclave te zetten. Er is geen account en geen server: het patroon, Face ID of een herstelzin zijn de enige manieren om binnen te komen, en een kopie van de bestanden is elders niet door raden te openen.
Wie er kijkt, en wat die persoon krijgt
Elke rij is één persoon die zou kunnen kijken, wat die met Mirage Vault te zien krijgt, en wat jou beschermt.
| Wie | Wat ze zien | Wat jou beschermt |
|---|---|---|
| Iemand die op je beginscherm of over je schouder meekijkt | Een gewoon appsymbool; het vergrendelscherm is effen zand zonder appnaam en zonder raster | Het patroonraster verschijnt alleen onder je vinger en vervaagt als je loslaat; de appkiezer toont een lege momentopname |
| Iemand die je ontgrendelde iPhone vasthoudt | Het lege vergrendelscherm van de kluis | Face ID of het patroon; 5 verkeerde pogingen starten een wachttijd van 30 s die verdubbelt tot maximaal 1 uur; vergrendelen bij verlaten, vergrendelen met het scherm naar beneden |
| Iemand die de toegangscode van je iPhone kent | Hetzelfde lege vergrendelscherm | De kluis heeft een eigen sleutel. De toegangscode van de iPhone opent hem niet, en Face ID voor de kluis is gebonden aan de geregistreerde gezichten: een nieuw gezicht toevoegen aan de iPhone zet Face ID voor de kluis uit, tot je met het patroon ontgrendelt en het weer aanzet |
| Iemand met een kopie van de bestanden of van de back-up in iCloud | Willekeurig ogende data onder willekeurige namen | AES-256-GCM met een sleutel per bestand; de kluissleutel is versleuteld met een sleutel in de Secure Enclave die niet te kopiëren is, dus het patroon is niet offline te raden. De back-up opent alleen met de herstelzin van 8 woorden |
| Iemand die je dwingt te ontgrendelen | Welke kluis je ook kiest te laten zien | Een nepkluis achter een tweede patroon, en een Wipe Key: een patroon dat ter plekke de sleutels van de echte kluis wist en in plaats daarvan de nepkluis opent (allebei Mirage Pro). Beide werken alleen met Face ID uit, omdat Face ID de echte kluis opent zodra Mirage opent |
| Mirage, of iedereen die het Mirage vraagt | Niets: er is geen account, geen server en geen kopie van de sleutel | De herstelzin wordt één keer getoond en nergens opgeslagen; niemand van Mirage zal er ooit naar vragen |
Wat de versleuteling precies is
Dit zijn de parameters in de broncode van de app, geen samenvatting.
- Je patroon of pincode gaat door PBKDF2-HMAC-SHA256 met minstens 600.000 iteraties, gekalibreerd op minstens 250 ms op je iPhone. Het resultaat is nooit de kluissleutel zelf.
- De Secure Enclave versleutelt het resultaat: ECIES met een P-256-sleutel in de Secure Enclave. De privésleutel wordt in de Secure Enclave aangemaakt en kan niet worden uitgelezen, dus een kopie van de bestanden en de sleutelhanger is niet genoeg om patronen op een ander apparaat te proberen.
- De kluissleutel (256 willekeurige bits, één per kluis) wordt alleen in het geheugen ontsleuteld, en pas na een juist patroon, Face ID of de herstelzin.
- Elk bestand heeft een eigen willekeurige sleutel, versleuteld met de kluissleutel. Foto's, video's, notities, scans, miniaturen en previews zijn allemaal afzonderlijke objecten.
- Elk bestand wordt verzegeld in blokken van 1 MiB met AES-256-GCM: een nieuwe nonce per blok en geauthenticeerde data die het blok koppelt aan het bestand, de positie en of het het laatste blok is. Een gewijzigd, ingekort of verwisseld blok wordt gedetecteerd, niet ontsleuteld.
Andere eigenschappen van het formaat: bestandsnamen op de schijf zijn willekeurige 128-bits identificatoren; de container valt onder NSFileProtectionComplete en is uitgesloten van reservekopieën van het toestel; de header bevat 8 sleutelslots van identieke lengte, en ongebruikte slots zijn gevuld met willekeurige bytes, dus de slots verraden niet of er een nepkluis of een Wipe Key bestaat. De indexbestanden kunnen bij forensisch onderzoek nog wel aanwijzingen voor een tweede kluis tonen; dit is een openstaand punt uit de audit van de app. Face ID heeft een eigen sleutel in de Secure Enclave, aangemaakt met de huidige set geregistreerde gezichten, zonder terugval op de toegangscode van de iPhone. Video's spelen af via een versleutelde resource-loader, blok voor blok, zonder tijdelijk ontsleuteld bestand. Inbraakverslagen worden verzegeld met HPKE (P-256, HKDF-SHA256, AES-256-GCM) terwijl de kluis vergrendeld is, zodat alleen de sleutel van de echte kluis ze later kan openen.
Back-up en herstel
Versleutelde back-up in iCloud is gratis voor iedereen en staat standaard aan. De back-up uploadt dezelfde versleutelde objecten naar de privédatabase van je eigen iCloud-account; Apple ziet alleen versleutelde gegevens, Mirage ziet helemaal niets. De back-up opent alleen met de herstelzin: 8 woorden uit de BIP-39-lijst (88 bits), één keer getoond en nergens opgeslagen. De herstelzin is de enige sleutel die op een andere iPhone werkt, omdat elke andere sleutel gebonden is aan de Secure Enclave van de iPhone die hem heeft aangemaakt.
Wat is gecontroleerd, en door wie
Het containerformaat en de applaag zijn op 2026-10-31 beoordeeld: code lezen, een tweede beoordeling van het formaat door een andere reviewer, en een stresstest met gelijktijdigheid, manipulatie, fuzzing en controles op lekken van onversleutelde data (71 tests in het pakket, allemaal geslaagd, ook onder Thread Sanitizer). De bestandsversleuteling hield stand tegen bitflips, willekeurige mutaties, inkorting op elke grens en het verwisselen van blokken tussen bestanden: er werd nooit verkeerde ontsleutelde data teruggegeven. De bevindingen zaten in de logica van kluizen en slots en in de back-up in iCloud, en de kritieke en ernstige bevindingen zijn dezelfde dag opgelost; het auditdocument legt elke bevinding met de status vast.
De module MirageCrypto, die het containerformaat en de sleutels definieert, is geschreven als losstaand pakket zodat hij op GitHub kan worden gepubliceerd. Deze pagina linkt ernaar zodra hij openbaar is.
Een samenvatting van de app in één alinea, het appsymbool en schermafbeeldingen voor berichtgeving staan in de persmap.
Pagina's over beveiliging
- Zijn fotokluis-apps veilig? Zeven dingen om te controleren voordat je er een vertrouwt
Zeven controles die een versleutelde kluis onderscheiden van een verborgen map met een pincodescherm.
- Is een rekenmachine-kluis veilig? Wat de vermomming beschermt, en wat niet
Wat een rekenmachine als vermomming waard is, wat je erachter moet controleren, en hoe Mirage verbergt zonder een andere app na te bootsen.