Sunt sigure aplicațiile seif pentru poze? Șapte lucruri de verificat înainte să aveți încredere în una
Aplicațiile seif pentru poze sunt sigure atunci când criptează fișierele pe dispozitiv cu un cifru numit, păstrează cheia acolo unde nu poate fi copiată și nu au niciun cont prin care seiful să poată fi resetat. O aplicație care doar pune un ecran cu PIN în fața pozelor arată la fel în App Store. Cele șapte verificări de mai jos le deosebesc în câteva minute.
De ce întrebarea „sunt sigure aplicațiile seif pentru poze?” are două răspunsuri
Un seif care nu criptează nimic și un seif care criptează totul arată la fel în App Store: amândouă afișează un lacăt, amândouă spun „privat”, amândouă cer un PIN. Așadar, aplicațiile seif pentru poze sunt sigure sau nu, aplicație cu aplicație. Orice seif serios afirmă clar cele șapte lucruri de mai jos; o aplicație care nu afirmă niciunul v-a dat deja răspunsul.
Cele șapte verificări
1. Cifrul este numit?
O aplicație seif pentru poze sigură își numește cifrul și parametrii, de exemplu AES-256-GCM în blocuri, cu o cheie pentru fiecare fișier. „De nivel militar”, „de nivel bancar” și „100% sigur” nu numesc nimic. Dacă pagina din App Store, site-ul și paginile de asistență nu numesc niciodată un algoritm, considerați pozele necriptate până când dezvoltatorul spune altceva.
2. Unde este cheia și poate fi copiată?
O cheie derivată doar dintr-un PIN poate fi ghicită pe alt computer: se copiază fișierele, apoi se încearcă fiecare PIN din patru cifre. O cheie împachetată cu Secure Enclave nu poate părăsi iPhone-ul, așa că fiecare încercare trebuie să ruleze pe acel iPhone, care o poate încetini. Căutați cuvintele „Secure Enclave” și o funcție de derivare a cheii cu un număr de iterații.
3. Există un cont?
Un cont cu resetare a parolei este comod și este o a doua cale de acces. Dacă aplicația resetează un PIN prin e-mail, oricine controlează adresa de e-mail poate intra; dacă vă afișează pozele pe un site web, acestea sunt decriptate pe serverele ei cel puțin în acel moment. O aplicație fără cont nu are pe nimeni care să reseteze ceva, așa că păstrarea frazei de recuperare devine responsabilitatea dvs.
4. Ce spune eticheta de confidențialitate?
Eticheta din App Store este scrisă de dezvoltator, dar tot deosebește aplicațiile care au cod de publicitate și de statistici de cele care nu au. „Date utilizate pentru a vă urmări” înseamnă că în aplicația care vă păstrează pozele rulează cod de urmărire. „Date asociate cu dvs.” înseamnă că datele colectate sunt legate de identitatea dvs. „Date necolectate” este declarația dezvoltatorului că aplicația nu colectează absolut nimic.
5. Ce se întâmplă când uitați parola?
Citiți pagina de asistență. „O vom reseta” vă trimite înapoi la verificarea 3. „Folosiți fraza de recuperare” înseamnă că nimeni altcineva nu poate deschide seiful. „Nu se mai poate face nimic”, fără nicio frază, este cinstit și necruțător.
6. Există reclame în aplicație?
Un seif gratuit cu reclame se finanțează lăsând o rețea de publicitate să intre în aplicație. Rețeaua nu vă vede pozele, dar află că folosiți un seif și cât de des.
7. Poate fi verificată criptarea?
Codul deschis sau o specificație publicată a formatului permite oricui să compare aplicația cu descrierea ei. Puține aplicații seif oferă vreuna dintre ele. Următoarea variantă bună este o pagină tehnică cu parametri reali: un dezvoltator care descrie schema de nonce-uri poate fi tras la răspundere pentru ea.
Verificările într-un singur tabel
| Verificare | Răspuns slab | Răspuns solid |
|---|---|---|
| Cifru | Nenumit, „de nivel militar” | Numit, cu parametri |
| Cheie | Derivată doar din PIN | Împachetată cu Secure Enclave, derivare lentă a cheii, cu un număr de iterații declarat |
| Cont | Cont de e-mail, acces web | Niciunul |
| Etichetă de confidențialitate | Date utilizate pentru a vă urmări | Date necolectate |
| Parolă uitată | Resetare prin e-mail | Fraza de recuperare |
| Reclame | Prezente | Niciunul |
| Poate fi verificată | Nimic publicat | Cod deschis sau o pagină tehnică completă |
Cum răspunde Mirage Vault la cele șapte
Noi dezvoltăm Mirage Vault, așa că răspunsurile se află pe pagina sa despre securitate, unde pot fi verificate: AES-256-GCM în blocuri de 1 MiB, cu o cheie pentru fiecare fișier; PBKDF2-HMAC-SHA256 cu cel puțin 600.000 de iterații, împachetat prin ECIES cu o cheie P-256 din Secure Enclave; fără cont și fără server; fără cod de statistici, de publicitate sau de raportare a erorilor și o etichetă din App Store care indică Date necolectate; o frază de recuperare din 8 cuvinte în locul unei resetări. Paginile de comparație aplică aceleași verificări altor aplicații, folosind doar ce afirmă acestea, cu data la care a fost citită fiecare.