Apps de cofre de fotos são seguros? Sete pontos para verificar antes de confiar em um
Apps de cofre de fotos são seguros quando criptografam os arquivos no dispositivo com uma cifra nomeada, guardam a chave onde ela não pode ser copiada e não têm uma conta capaz de redefinir o seu cofre. Um app que só coloca uma tela de PIN na frente das fotos tem a mesma aparência na App Store. As sete verificações abaixo mostram a diferença em poucos minutos.
Por que “apps de cofre de fotos são seguros?” tem duas respostas
Um cofre que não criptografa nada e um cofre que criptografa tudo parecem iguais na App Store: os dois mostram um cadeado, os dois dizem “privado”, os dois pedem um PIN. Então, apps de cofre de fotos são seguros ou não, um app por vez. Todo cofre sério informa com clareza as sete coisas abaixo; um app que não informa nenhuma delas já deu a resposta.
As sete verificações
1. A cifra tem nome?
Um app de cofre de fotos seguro nomeia a cifra e os parâmetros dela, como AES-256-GCM em blocos com uma chave por arquivo. “Nível militar”, “nível bancário” e “100% seguro” não nomeiam nada. Se a página na App Store, o site e as páginas de suporte nunca nomeiam um algoritmo, considere as fotos não criptografadas até que o desenvolvedor diga o contrário.
2. Onde está a chave, e ela pode ser copiada?
Uma chave derivada só de um PIN pode ser adivinhada em outro computador: basta copiar os arquivos e testar todos os PINs de quatro dígitos. Uma chave encapsulada pelo Secure Enclave não pode sair do iPhone, então cada tentativa precisa rodar naquele iPhone, que pode deixá-las mais lentas. Procure as palavras “Secure Enclave” e uma função de derivação de chave com o número de iterações.
3. Existe uma conta?
Uma conta com redefinição de senha é prática, e é uma segunda porta de entrada. Se o app redefine um PIN por e-mail, quem controla o endereço de e-mail consegue entrar; se ele mostra as suas fotos em um site, elas são descriptografadas nos servidores dele, pelo menos nesse momento. Um app sem conta não tem ninguém para redefinir nada, então a frase de recuperação fica sob a sua guarda.
4. O que diz o rótulo de privacidade?
O rótulo da App Store é preenchido pelo desenvolvedor, mas ainda assim separa os apps com código de publicidade e de análise dos apps sem esse código. “Dados Usados para Rastrear Você” significa que há código de rastreamento rodando dentro do app que guarda as suas fotos. “Dados Vinculados a Você” significa que os dados coletados estão ligados à sua identidade. “Dados Não Coletados” é a declaração do desenvolvedor de que o app não coleta absolutamente nada.
5. O que acontece quando você esquece a senha?
Leia a página de suporte. “Nós redefinimos para você” leva de volta à verificação 3. “Use a sua frase de recuperação” significa que ninguém mais consegue abrir o cofre. “Não há nada a fazer”, sem nenhuma frase, é honesto e implacável.
6. Há anúncios no app?
Um cofre gratuito com anúncios se paga deixando uma rede de anúncios entrar no app. A rede não vê as suas fotos, mas fica sabendo que você usa um cofre e com que frequência.
7. A criptografia pode ser verificada?
Código aberto ou uma especificação de formato publicada permitem que qualquer pessoa compare o app com a descrição dele. Poucos apps de cofre oferecem uma coisa ou outra. A segunda melhor opção é uma página técnica com parâmetros reais: um desenvolvedor que descreve por escrito o esquema de nonce pode ser cobrado por isso.
As verificações em uma tabela
| Verificação | Resposta fraca | Resposta forte |
|---|---|---|
| Cifra | Sem nome, “nível militar” | Com nome e parâmetros |
| Chave | Derivada só do PIN | Encapsulada pelo Secure Enclave, derivação de chave lenta com número de iterações informado |
| Conta | Conta de e-mail, acesso pela web | Nenhuma |
| Rótulo de privacidade | Dados Usados para Rastrear Você | Dados Não Coletados |
| Senha esquecida | Redefinida por e-mail | Frase de recuperação |
| Anúncios | Presentes | Nenhuma |
| Pode ser verificada | Nada publicado | Código aberto ou uma página técnica completa |
Como o Mirage Vault responde às sete
Nós desenvolvemos o Mirage Vault, então as respostas estão na página de segurança dele, onde podem ser verificadas: AES-256-GCM em blocos de 1 MiB com uma chave por arquivo; PBKDF2-HMAC-SHA256 com pelo menos 600.000 iterações, encapsulado por ECIES em uma chave P-256 no Secure Enclave; sem conta e sem servidor; sem código de análise, publicidade ou relatório de falhas, e um rótulo da App Store que diz Dados Não Coletados; uma frase de recuperação de 8 palavras em vez de uma redefinição. As páginas de comparação aplicam as mesmas verificações a outros apps, usando apenas o que eles afirmam, com a data de cada leitura.