Como o Mirage Vault protege suas fotos
O Mirage Vault protege suas fotos criptografando cada uma no próprio iPhone com AES-256-GCM, com uma chave aleatória por arquivo, e trancando a chave do cofre com o Secure Enclave. Não há conta nem servidor: o padrão, o Face ID ou uma frase de recuperação são as únicas formas de entrar, e uma cópia dos arquivos não pode ser aberta por tentativa e erro em outro lugar.
Quem está olhando e o que consegue
Cada linha é uma pessoa que pode olhar, o que ela consegue com o Mirage Vault e o que protege você.
| Quem | O que ela vê | O que protege você |
|---|---|---|
| Alguém que olha de relance a sua Tela de Início ou por cima do seu ombro | Um ícone comum; a tela de bloqueio é areia lisa, sem nome do app e sem grade | A grade de padrão só aparece sob o seu dedo e some depois que você o levanta; o Seletor de Apps mostra uma miniatura em branco |
| Alguém com o seu iPhone desbloqueado nas mãos | A tela de bloqueio em branco do cofre | O Face ID ou o padrão; 5 tentativas erradas iniciam uma pausa de 30 s, que vai dobrando até 1 hora; bloqueio ao sair, bloqueio com a tela virada para baixo |
| Alguém que sabe o código do seu iPhone | A mesma tela de bloqueio em branco | O cofre tem chave própria. O código do iPhone não o abre, e o Face ID do cofre está vinculado aos rostos cadastrados: adicionar um novo rosto ao iPhone desativa o Face ID do cofre até que você desbloqueie com o padrão e o ative de novo |
| Alguém com uma cópia dos arquivos ou do backup no iCloud | Dados com aparência aleatória sob nomes aleatórios | AES-256-GCM com uma chave por arquivo; a chave do cofre é encapsulada por uma chave do Secure Enclave que não pode ser copiada, então o padrão não pode ser adivinhado offline. O backup só abre com a frase de recuperação de 8 palavras |
| Alguém que força você a desbloquear | O cofre que você escolher mostrar | Um cofre falso por trás de um segundo padrão, e uma Wipe Key: um padrão que apaga na hora as chaves do cofre verdadeiro e abre o cofre falso no lugar dele (os dois no Mirage Pro). Os dois exigem o Face ID desativado, porque o Face ID abre o cofre verdadeiro assim que o Mirage abre |
| O Mirage, ou qualquer pessoa que peça ao Mirage | Nada: não há conta, nem servidor, nem cópia da chave | A frase de recuperação é mostrada uma única vez e nunca é armazenada; ninguém do Mirage jamais vai pedi-la |
O que a criptografia é de fato
Estes são os parâmetros do código-fonte do app, não um resumo.
- Seu padrão ou PIN passa pelo PBKDF2-HMAC-SHA256 com pelo menos 600.000 iterações, calibradas para levar pelo menos 250 ms no seu iPhone. O resultado nunca é a própria chave do cofre.
- O Secure Enclave encapsula o resultado: ECIES em uma chave P-256 no Secure Enclave. A chave privada é criada dentro do Secure Enclave e não pode ser lida, então uma cópia dos arquivos e do Porta-chaves não basta para testar padrões em outra máquina.
- A chave do cofre (256 bits aleatórios, uma por cofre) só é desencapsulada na memória, e só depois de um padrão correto, do Face ID ou da frase de recuperação.
- Cada arquivo tem a própria chave aleatória, encapsulada pela chave do cofre. Fotos, vídeos, notas, digitalizações, miniaturas e prévias são todos objetos separados.
- Cada arquivo é selado em blocos de 1 MiB com AES-256-GCM: um nonce novo por bloco e dados autenticados que vinculam o bloco ao arquivo, à posição dele e à indicação de ser ou não o último. Um bloco alterado, truncado ou trocado é detectado, não descriptografado.
Outros fatos do formato: os nomes dos arquivos no disco são identificadores aleatórios de 128 bits; o contêiner fica sob NSFileProtectionComplete e é excluído dos backups do dispositivo; o cabeçalho guarda 8 slots de chave de tamanho idêntico, e os slots não usados são preenchidos com bytes aleatórios, então eles não revelam se existe um cofre falso ou uma Wipe Key. Os arquivos de índice ainda podem mostrar sinais de um segundo cofre a uma análise forense; este é um item em aberto da auditoria do app. O Face ID tem uma chave própria no Secure Enclave, criada com o conjunto atual de rostos cadastrados, sem recorrer ao código do iPhone. Os vídeos são reproduzidos por meio de um carregador de recursos criptografado, bloco a bloco, sem um arquivo temporário descriptografado. Os registros de invasão são selados com HPKE (P-256, HKDF-SHA256, AES-256-GCM) enquanto o cofre está bloqueado, de modo que só a chave do cofre verdadeiro consegue abri-los depois.
Backup e recuperação
O backup criptografado no iCloud é grátis para todos e vem ativado por padrão. Ele envia os mesmos objetos criptografados para o banco de dados privado da sua própria conta do iCloud; a Apple vê apenas dados cifrados, e o Mirage não vê absolutamente nada. O backup só abre com a frase de recuperação: 8 palavras da lista BIP-39 (88 bits), mostradas uma única vez e nunca armazenadas. A frase é a única chave que funciona em outro iPhone, porque todas as outras chaves estão vinculadas ao Secure Enclave do iPhone que as criou.
O que foi verificado e por quem
O formato do contêiner e a camada do app foram revisados em 2026-10-31: leitura do código, uma segunda revisão do formato por outro revisor e um alvo de testes de estresse com verificações de concorrência, adulteração, fuzzing e vazamento de texto puro (71 testes no pacote, todos passando, também sob o Thread Sanitizer). A criptografia dos arquivos resistiu a inversões de bits, mutações aleatórias, truncamento em cada limite e troca de blocos entre arquivos: nenhum texto puro errado foi retornado. Os problemas encontrados estavam na lógica de cofres e slots e no backup no iCloud, e os críticos e os de gravidade alta foram corrigidos no mesmo dia; o documento da auditoria registra cada um com o respectivo status.
O módulo MirageCrypto, que define o formato do contêiner e as chaves, foi escrito como um pacote independente para poder ser publicado no GitHub. Esta página vai trazer o link quando ele for público.
Um resumo do app em um parágrafo, o ícone e as capturas de tela para cobertura estão no kit de imprensa.
Páginas de segurança
- Apps de cofre de fotos são seguros? Sete pontos para verificar antes de confiar em um
Sete verificações que separam um cofre criptografado de uma pasta escondida com uma tela de PIN.
- App calculadora para esconder fotos é seguro? O que o disfarce protege e o que não protege
Quanto vale um disfarce de calculadora, o que verificar por trás dele e como o Mirage se esconde sem imitar outro app.