Как Lockspeare защитава снимките ви

Накратко

• Всяка снимка и видео се криптира на телефона ви с AES-256-GCM, преди да бъде запазено.
• Ключът, който отваря сейфа ви, е защитен двойно: от PIN кода или фигурата ви и от хардуерно защитен ключ в Android Keystore, който никога не напуска телефона ви.
• Копие от паметта на телефона ви съдържа само криптирани данни. Без защитения хардуер на телефона ви никой не може да пробва PIN кодове или фигури срещу него.
• Фразата ви за възстановяване от 12 думи е единственият начин да отворите сейф на друг телефон или от резервно копие.
• Lockspeare няма сървъри и акаунти. Никога не получаваме вашите файлове, вашия PIN код или фигура, или вашите ключове.

Какво се криптира

Всичко, което сложите в сейф: снимки, видеа, техните миниатюри, оригинални имена на файлове, дати и албуми.

Всеки файл се криптира със собствен ключ, извлечен от главния ключ на сейфа. Големите файлове се криптират на сегменти от 1 MB, всеки със собствена проверка за цялост, така че видеата могат да се пускат, без целият файл да се декриптира наведнъж, и всяка промяна в криптиран файл се засича. За това използваме библиотеката Tink на Google, вместо да пишем собствено криптиране.

Криптираните файлове се съхраняват в личното хранилище на приложението Lockspeare със случайни имена. Файловете от всичките ви сейфове са в една и съща папка, така че папката не показва към кой сейф принадлежи даден файл.

Как PIN кодът или фигурата ви отваря сейф

Когато настройвате Lockspeare, избирате как да го отключвате: с PIN код от поне 6 цифри или с фигура върху мрежа 3×3, както на заключения екран. Всички сейфове на телефона използват един и същ вид заключване, така че заключеният екран не издава нищо.

Всеки сейф има случаен 256-битов главен ключ, създаден на телефона ви. Този ключ никога не се съхранява в четим вид. Той се пази в две заключени форми:

Заключен с PIN кода или фигурата ви, на този телефон. PIN кодът или фигурата ви се превръща в ключ с Argon2id – алгоритъм, създаден така, че всеки опит за отгатване да е бавен и да изисква много памет. Резултатът след това се криптира отново с ключ, който се пази в Android Keystore, в защитения хардуер на телефона ви. Този втори ключ не може да бъде копиран от телефона.

Това е важно, защото PIN кодът и фигурата са кратки. Сами по себе си те могат бързо да бъдат отгатнати от компютър, който работи с копие на файловете ви. Обвързването им с хардуера на телефона означава, че опити могат да се правят само на телефона ви и всеки от тях е бавен.

Заключен с фразата ви за възстановяване. Когато създавате сейф, Lockspeare ви показва 12 думи, избрани случайно от стандартен списък с 2048 думи. Това дава около 128 бита случайност – далеч повече, отколкото някой може да отгатне. Фразата отваря сейфа, ако забравите PIN кода или фигурата си, преминете на нов телефон или възстановите резервно копие.

Потвърждавате няколко от думите, преди сейфът да е готов. Запишете ги на сигурно място. Ние нямаме копие.

Отделни сейфове и сейф примамка

Всеки PIN код или всяка фигура отваря собствен сейф. Можете да използвате втори PIN код или втора фигура за сейф примамка с безобидни снимки, в случай че някой някога ви притисне да отключите приложението.

Lockspeare винаги пази един и същ брой места за сейфове в паметта, независимо дали използвате един или няколко сейфа. Неизползваните места са запълнени със случайни данни, които изглеждат точно като истински криптиран сейф. Приложението няма списък със сейфове. Така нито екранът, нито копие на файловете ви показва колко сейфа имате.

Едно ограничение: за да не презапише сейф, когато създавате нов, приложението пази бележка кои места са заети, заключена с хардуерния ключ на телефона. Някой с пълен контрол над отключения ви телефон би могъл да прочете тази бележка и да разбере колко сейфа съществуват, но не и какво има в тях.

Резервни копия

Резервните копия не са задължителни. Има два вида.

Google Drive. Lockspeare съхранява резервното копие в скрита папка на приложението в собствения ви Google Drive. Качва файловете точно както се пазят на телефона ви: вече криптирани. Качва и ключа на сейфа ви, заключен с фразата за възстановяване. Никога не качва копието, заключено с PIN кода или фигурата ви, защото то работи само с хардуера на телефона ви.

За да възстановите на нов телефон, въвеждате фразата си за възстановяване и после избирате нов PIN код или нова фигура.

Lockspeare иска разрешение само за собствената си скрита папка в Drive, а не достъп до другите ви файлове. Google може да вижда колко файла с резервни копия има, приблизително колко са големи и кога са качени. Не може да види какво има в тях.

Файл с резервно копие. Можете също да експортирате сейф като един криптиран файл и да го запазите където искате: в друга облачна услуга, на карта с памет или на компютъра си. Той се отваря само с фразата ви за възстановяване.

Вграденото автоматично резервно копие на Android е изключено за Lockspeare. То не би могло да възстанови ключовете, обвързани с хардуера, така че би копирало само данни, които никой не може да използва.

Докато използвате приложението

• Екранните снимки, записът на екрана и прегледът в последните приложения са блокирани.
• Сейфът се заключва веднага щом излезете от приложението, освен ако не изберете кратко забавяне.
• Заключването изчиства ключовете и всички декриптирани прегледи от паметта и временното хранилище на приложението. Приложенията за Android работят в система, която може да прави вътрешни копия на паметта, затова изчистваме всичко, което контролираме, но не можем да обещаем, че в паметта не остава копие, докато тя не бъде използвана отново.
• Снимките и видеата, които правите с камерата в Lockspeare, отиват направо в сейфа и никога не се появяват в галерията ви, така че облачните резервни копия на снимки никога не ги виждат. Снимките се криптират директно от паметта. Видеорекордерът на Android се нуждае от файл, затова по време на запис видеото се записва в личното хранилище на Lockspeare, криптира се веднага щом спрете, а некриптираният файл се изтрива.

Преместване на снимки от галерията

Когато добавите снимка от галерията, Lockspeare първо я криптира, после отваря отново криптираното копие и проверява дали съвпада с оригинала. Едва тогава предлага да изтрие оригинала чрез вградения диалог за потвърждение на Android.

Две места са извън обсега на Lockspeare и ви напомняме за тях след всяко внасяне:

• Кошчето на галерията ви. Много приложения за галерия пазят изтритите снимки около 30 дни. Изпразнете го, за да ги премахнете завинаги.
• Облачни резервни копия на снимки. Ако снимката вече е била архивирана от облачна услуга за снимки, това копие остава там, докато не го изтриете.

Какво напуска телефона ви

• Нищо, по подразбиране. Lockspeare работи изцяло офлайн.
• Google Drive, само ако включите резервното копие, и само криптирани файлове.
• Google Play, за обработка на покупки.
• Отчети за сривове, само ако ги включите в настройките. Те съдържат технически подробности като модела на телефона и къде е спряло приложението. Никога вашите файлове, имена на файлове, PIN код или фигура.

В приложението няма реклами, рекламни идентификатори и библиотеки за анализи.

От какво Lockspeare не може да защити

Честността за ограниченията е част от сигурността. Lockspeare не защитава от:

• Някой, който ви гледа, докато въвеждате PIN кода си или чертаете фигурата си. Закривайте екрана.
• Компрометиран телефон, докато сейфът ви е отворен. Зловреден софтуер с дълбок достъп до телефона ви или хакната операционна система могат да видят какво има на екрана ви.
• Някой с пълен контрол над отключения ви телефон и неограничено време. Той може да пробва PIN кодове или фигури на самия телефон. Argon2id прави всеки опит бавен, а по-дълъг PIN код или по-дълга фигура прави задачата много по-трудна, но краткото си остава кратко.
• Това да се види, че Lockspeare е инсталиран, колко криптирани данни съдържа и приблизителният размер на всеки криптиран файл.
• Загуба и на PIN кода или фигурата, и на фразата за възстановяване. Тогава никой не може да отвори сейфа, включително ние.

Независим преглед

Този дизайн все още не е минал независим одит. Планираме да бъде прегледан преди старта на Lockspeare и ще публикуваме резултата тук. Ако откриете проблем, пишете на security@lockspeare.com.