Zijn fotokluis-apps veilig? Zeven dingen om te controleren voordat je er een vertrouwt
Fotokluis-apps zijn veilig als ze bestanden op het toestel versleutelen met een benoemd algoritme, de sleutel bewaren waar die niet te kopiëren is, en geen account hebben waarmee je kluis kan worden gereset. Een app die alleen een pincodescherm voor de foto's zet, ziet er in de App Store hetzelfde uit. Met de zeven controles hieronder zie je in een paar minuten het verschil.
Waarom 'zijn fotokluis-apps veilig' twee antwoorden heeft
Een kluis die niets versleutelt en een kluis die alles versleutelt, lijken in de App Store op elkaar: beide tonen een slot, beide zeggen 'privé', beide vragen om een pincode. Of fotokluis-apps veilig zijn, verschilt dus per app. Elke serieuze kluis vermeldt de zeven punten hieronder duidelijk; een app die er geen enkele vermeldt, heeft je het antwoord al gegeven.
De zeven controles
1. Wordt het algoritme genoemd?
Een veilige fotokluis-app noemt het algoritme en de parameters, zoals AES-256-GCM in blokken met een sleutel per bestand. 'Van militaire kwaliteit', 'op bankniveau' en '100% veilig' noemen niets. Noemen de App Store-pagina, de website en de supportpagina's nooit een algoritme, behandel de foto's dan als onversleuteld tot de ontwikkelaar iets anders zegt.
2. Waar staat de sleutel, en kan hij worden gekopieerd?
Een sleutel die alleen uit een pincode wordt afgeleid, is op een andere computer te raden: kopieer de bestanden en probeer elke pincode van vier cijfers. Een sleutel die met de Secure Enclave is versleuteld, kan de iPhone niet verlaten, dus elke gok moet op die iPhone worden gedaan, en die kan het raden afremmen. Zoek naar de woorden 'Secure Enclave' en naar een sleutelafleidingsfunctie met een aantal rondes.
3. Is er een account?
Een account met wachtwoordreset is handig, en het is een tweede ingang. Reset de app een pincode via e-mail, dan kan iedereen die het e-mailadres in handen heeft binnenkomen; toont de app je foto's op een website, dan worden ze op de servers op zijn minst op dat moment ontsleuteld. Een app zonder account heeft niemand die iets kan resetten, dus de herstelzin moet je zelf bewaren.
4. Wat zegt het privacylabel?
Het label in de App Store wordt door de ontwikkelaar ingevuld, maar het scheidt nog steeds apps met advertentie- en analysecode van apps zonder. 'Gegevens die worden gebruikt om je te volgen' betekent dat er trackingcode draait in de app die je foto's bewaart. 'Aan jou gekoppelde gegevens' betekent dat de verzamelde gegevens aan je identiteit zijn gekoppeld. 'Er worden geen gegevens verzameld' is de verklaring van de ontwikkelaar dat de app helemaal niets verzamelt.
5. Wat gebeurt er als je het wachtwoord vergeet?
Lees de supportpagina. 'We resetten het voor je' leidt terug naar controle 3. 'Gebruik je herstelzin' betekent dat niemand anders de kluis kan openen. 'Er is niets aan te doen', zonder herstelzin, is eerlijk en genadeloos.
6. Zitten er advertenties in de app?
Een gratis kluis met advertenties betaalt zichzelf door een advertentienetwerk in de app toe te laten. Het netwerk ziet je foto's niet, maar leert wel dat je een kluis gebruikt, en hoe vaak.
7. Is de versleuteling te controleren?
Open code of een gepubliceerde formaatspecificatie laat iedereen de app met de beschrijving vergelijken. Weinig kluis-apps bieden een van beide. Het beste alternatief is een technische pagina met echte parameters: een ontwikkelaar die het nonce-schema opschrijft, kun je daarop aanspreken.
De controles in één tabel
| Controle | Zwak antwoord | Sterk antwoord |
|---|---|---|
| Algoritme | Niet genoemd, 'van militaire kwaliteit' | Genoemd, met parameters |
| Sleutel | Alleen afgeleid uit de pincode | Versleuteld met de Secure Enclave, trage sleutelafleiding met een vermeld aantal rondes |
| Account | E-mailaccount, toegang via het web | Geen |
| Privacylabel | Gegevens die worden gebruikt om je te volgen | Er worden geen gegevens verzameld |
| Vergeten wachtwoord | Reset via e-mail | Herstelzin |
| Advertenties | Aanwezig | Geen |
| Is het te controleren | Niets gepubliceerd | Open code of een volledige technische pagina |
Hoe Mirage Vault de zeven beantwoordt
Wij maken Mirage Vault, dus de antwoorden staan op de eigen beveiligingspagina, waar ze te controleren zijn: AES-256-GCM in blokken van 1 MiB met een sleutel per bestand; PBKDF2-HMAC-SHA256 met minstens 600.000 rondes, versleuteld via ECIES met een P-256-sleutel in de Secure Enclave; geen account en geen server; geen analyse-, advertentie- of crashrapportagecode, en een label in de App Store dat 'Er worden geen gegevens verzameld' luidt; een herstelzin van 8 woorden in plaats van een reset. De vergelijkingspagina's passen dezelfde controles toe op andere apps, alleen op basis van wat die vermelden, met de datum waarop elke app is gelezen.