Πώς το Lockspeare προστατεύει τις φωτογραφίες σου

Με λίγα λόγια

• Κάθε φωτογραφία και κάθε βίντεο κρυπτογραφείται στο κινητό σου με AES-256-GCM πριν αποθηκευτεί.
• Το κλειδί που ανοίγει το θησαυροφυλάκιό σου προστατεύεται διπλά: από το PIN ή το μοτίβο σου και από ένα κλειδί υλικού (hardware) στο Android Keystore, που δεν φεύγει ποτέ από το κινητό σου.
• Ένα αντίγραφο του αποθηκευτικού χώρου του κινητού σου περιέχει μόνο κρυπτογραφημένα δεδομένα. Χωρίς το ασφαλές υλικό του κινητού σου, κανείς δεν μπορεί να δοκιμάσει PIN ή μοτίβα πάνω του.
• Η φράση ανάκτησης των 12 λέξεων είναι ο μόνος τρόπος να ανοίξεις ένα θησαυροφυλάκιο σε άλλο κινητό ή από αντίγραφο ασφαλείας.
• Το Lockspeare δεν έχει διακομιστές ούτε λογαριασμούς. Δεν λαμβάνουμε ποτέ τα αρχεία σου, το PIN ή το μοτίβο σου, ή τα κλειδιά σου.

Τι κρυπτογραφείται

Ό,τι βάζεις σε ένα θησαυροφυλάκιο: φωτογραφίες, βίντεο, οι μικρογραφίες τους, τα αρχικά ονόματα αρχείων, οι ημερομηνίες και τα άλμπουμ.

Κάθε αρχείο κρυπτογραφείται με το δικό του κλειδί, που προκύπτει από το κύριο κλειδί του θησαυροφυλακίου. Τα μεγάλα αρχεία κρυπτογραφούνται σε τμήματα του 1 MB, το καθένα με δικό του έλεγχο ακεραιότητας. Έτσι τα βίντεο παίζουν χωρίς να χρειάζεται αποκρυπτογράφηση ολόκληρου του αρχείου μονομιάς, και κάθε αλλαγή σε κρυπτογραφημένο αρχείο εντοπίζεται. Γι’ αυτό χρησιμοποιούμε τη βιβλιοθήκη Tink της Google, αντί να γράψουμε δική μας κρυπτογράφηση.

Τα κρυπτογραφημένα αρχεία αποθηκεύονται στον ιδιωτικό χώρο της εφαρμογής Lockspeare με τυχαία ονόματα. Τα αρχεία όλων των θησαυροφυλακίων σου βρίσκονται στον ίδιο φάκελο, οπότε ο φάκελος δεν δείχνει σε ποιο θησαυροφυλάκιο ανήκει κάθε αρχείο.

Πώς το PIN ή το μοτίβο σου ανοίγει ένα θησαυροφυλάκιο

Όταν ρυθμίζεις το Lockspeare, επιλέγεις πώς θα το ξεκλειδώνεις: με PIN τουλάχιστον 6 ψηφίων ή με μοτίβο σε πλέγμα 3×3, όπως στην οθόνη κλειδώματος. Όλα τα θησαυροφυλάκια στο κινητό χρησιμοποιούν το ίδιο είδος κλειδώματος, οπότε η οθόνη κλειδώματος δεν προδίδει τίποτα.

Κάθε θησαυροφυλάκιο έχει ένα τυχαίο κύριο κλειδί 256 bit, που δημιουργείται στο κινητό σου. Αυτό το κλειδί δεν αποθηκεύεται ποτέ σε αναγνώσιμη μορφή. Αποθηκεύεται σε δύο κλειδωμένες μορφές:

Κλειδωμένο με το PIN ή το μοτίβο σου, σε αυτό το κινητό. Το PIN ή το μοτίβο σου μετατρέπεται σε κλειδί με το Argon2id, έναν αλγόριθμο σχεδιασμένο ώστε κάθε δοκιμή να είναι αργή και να χρειάζεται πολλή μνήμη. Το αποτέλεσμα κρυπτογραφείται ξανά με ένα κλειδί που φυλάσσεται στο Android Keystore, μέσα στο ασφαλές υλικό του κινητού σου. Αυτό το δεύτερο κλειδί δεν μπορεί να αντιγραφεί έξω από το κινητό.

Αυτό έχει σημασία, γιατί ένα PIN ή ένα μοτίβο είναι μικρό. Από μόνο του, θα μπορούσε να μαντευτεί γρήγορα από έναν υπολογιστή που δουλεύει πάνω σε αντίγραφο των αρχείων σου. Όταν δένεται με το υλικό του κινητού σου, οι δοκιμές γίνονται μόνο στο κινητό σου, και η καθεμία είναι αργή.

Κλειδωμένο με τη φράση ανάκτησης. Όταν δημιουργείς ένα θησαυροφυλάκιο, το Lockspeare σού δείχνει 12 λέξεις, επιλεγμένες τυχαία από μια τυποποιημένη λίστα 2.048 λέξεων. Αυτό δίνει περίπου 128 bit τυχαιότητας, πολύ πέρα από ό,τι μπορεί να μαντέψει οποιοσδήποτε. Η φράση ανοίγει το θησαυροφυλάκιο αν ξεχάσεις το PIN ή το μοτίβο σου, αλλάξεις κινητό ή επαναφέρεις αντίγραφο ασφαλείας.

Επιβεβαιώνεις μερικές από τις λέξεις πριν το θησαυροφυλάκιο είναι έτοιμο. Γράψ’ τες κάπου ασφαλές. Εμείς δεν έχουμε αντίγραφο.

Ξεχωριστά θησαυροφυλάκια και το ψεύτικο θησαυροφυλάκιο

Κάθε PIN ή μοτίβο ανοίγει το δικό του θησαυροφυλάκιο. Μπορείς να χρησιμοποιήσεις ένα δεύτερο για ένα ψεύτικο θησαυροφυλάκιο με αθώες φωτογραφίες, σε περίπτωση που κάποιος σε πιέσει ποτέ να ξεκλειδώσεις την εφαρμογή.

Το Lockspeare κρατά πάντα τον ίδιο αριθμό θέσεων θησαυροφυλακίων στον αποθηκευτικό χώρο, είτε χρησιμοποιείς ένα θησαυροφυλάκιο είτε περισσότερα. Οι αχρησιμοποίητες θέσεις γεμίζουν με τυχαία δεδομένα που μοιάζουν ακριβώς με ένα πραγματικό, κρυπτογραφημένο θησαυροφυλάκιο. Η εφαρμογή δεν έχει λίστα θησαυροφυλακίων. Έτσι ούτε η οθόνη ούτε ένα αντίγραφο των αρχείων σου δείχνει πόσα θησαυροφυλάκια έχεις.

Ένας περιορισμός: για να μην αντικατασταθεί ένα θησαυροφυλάκιο όταν δημιουργείς καινούργιο, η εφαρμογή κρατά μια σημείωση για το ποιες θέσεις είναι πιασμένες, κλειδωμένη με το κλειδί υλικού του κινητού σου. Κάποιος με πλήρη έλεγχο του ξεκλείδωτου κινητού σου θα μπορούσε να διαβάσει αυτή τη σημείωση και να μάθει πόσα θησαυροφυλάκια υπάρχουν, όχι όμως τι περιέχουν.

Αντίγραφα ασφαλείας

Τα αντίγραφα ασφαλείας είναι προαιρετικά. Υπάρχουν δύο είδη.

Google Drive. Το Lockspeare αποθηκεύει το αντίγραφο ασφαλείας σε έναν κρυφό φάκελο εφαρμογής στο δικό σου Google Drive. Ανεβάζει τα αρχεία ακριβώς όπως είναι αποθηκευμένα στο κινητό σου: ήδη κρυπτογραφημένα. Ανεβάζει επίσης το κλειδί του θησαυροφυλακίου σου κλειδωμένο με τη φράση ανάκτησης. Δεν ανεβάζει ποτέ το αντίγραφο που είναι κλειδωμένο με το PIN ή το μοτίβο σου, γιατί αυτό λειτουργεί μόνο με το υλικό του κινητού σου.

Για επαναφορά σε νέο κινητό, εισάγεις τη φράση ανάκτησης και μετά επιλέγεις νέο PIN ή μοτίβο.

Το Lockspeare ζητά άδεια μόνο για τον δικό του κρυφό φάκελο στο Drive σου, όχι πρόσβαση στα υπόλοιπα αρχεία σου. Η Google μπορεί να δει πόσα αρχεία αντιγράφων ασφαλείας υπάρχουν, περίπου πόσο μεγάλα είναι και πότε ανέβηκαν. Δεν μπορεί να δει τι περιέχουν.

Αρχείο αντιγράφου ασφαλείας. Μπορείς επίσης να εξαγάγεις ένα θησαυροφυλάκιο ως ένα ενιαίο κρυπτογραφημένο αρχείο και να το αποθηκεύσεις όπου θέλεις: σε άλλη υπηρεσία cloud, σε κάρτα μνήμης ή στον υπολογιστή σου. Ανοίγει μόνο με τη φράση ανάκτησης.

Η αυτόματη δημιουργία αντιγράφων ασφαλείας του ίδιου του Android είναι απενεργοποιημένη για το Lockspeare. Δεν θα μπορούσε να επαναφέρει τα κλειδιά που είναι δεμένα με το υλικό, οπότε θα αντέγραφε μόνο δεδομένα που κανείς δεν μπορεί να χρησιμοποιήσει.

Όσο χρησιμοποιείς την εφαρμογή

• Τα στιγμιότυπα οθόνης, οι εγγραφές οθόνης και η προεπισκόπηση στις πρόσφατες εφαρμογές μπλοκάρονται.
• Το θησαυροφυλάκιο κλειδώνει μόλις βγεις από την εφαρμογή, εκτός αν επιλέξεις μια μικρή καθυστέρηση.
• Το κλείδωμα σβήνει τα κλειδιά και όποιες αποκρυπτογραφημένες προεπισκοπήσεις από τη μνήμη και τον προσωρινό χώρο αποθήκευσης της εφαρμογής. Οι εφαρμογές Android τρέχουν σε ένα σύστημα που μπορεί να φτιάχνει εσωτερικά αντίγραφα της μνήμης, οπότε σβήνουμε ό,τι ελέγχουμε, αλλά δεν μπορούμε να υποσχεθούμε ότι δεν μένει κανένα αντίγραφο στη μνήμη μέχρι να ξαναχρησιμοποιηθεί.
• Οι φωτογραφίες και τα βίντεο που τραβάς με την κάμερα μέσα στο Lockspeare πηγαίνουν κατευθείαν στο θησαυροφυλάκιο και δεν εμφανίζονται ποτέ στη συλλογή σου, οπότε τα αντίγραφα ασφαλείας φωτογραφιών στο cloud δεν τα βλέπουν ποτέ. Οι φωτογραφίες κρυπτογραφούνται από τη μνήμη. Η εγγραφή βίντεο του Android χρειάζεται αρχείο, οπότε το βίντεο γράφεται στον ιδιωτικό χώρο του Lockspeare όσο τραβάς, κρυπτογραφείται μόλις σταματήσεις, και το μη κρυπτογραφημένο αρχείο διαγράφεται.

Μεταφορά φωτογραφιών από τη συλλογή σου

Όταν προσθέτεις μια φωτογραφία από τη συλλογή σου, το Lockspeare πρώτα την κρυπτογραφεί, μετά ανοίγει ξανά το κρυπτογραφημένο αντίγραφο και ελέγχει ότι ταιριάζει με το πρωτότυπο. Μόνο τότε προτείνει να διαγραφεί το πρωτότυπο, μέσα από το παράθυρο επιβεβαίωσης του ίδιου του Android.

Δύο σημεία είναι εκτός εμβέλειας του Lockspeare, και σου τα θυμίζουμε και τα δύο μετά από κάθε εισαγωγή:

• Ο κάδος της συλλογής σου. Πολλές εφαρμογές συλλογής κρατούν τις διαγραμμένες φωτογραφίες για περίπου 30 ημέρες. Άδειασέ τον για να φύγουν οριστικά.
• Αντίγραφα ασφαλείας φωτογραφιών στο cloud. Αν μια φωτογραφία είχε ήδη αποθηκευτεί από μια υπηρεσία cloud για φωτογραφίες, εκείνο το αντίγραφο μένει εκεί μέχρι να το διαγράψεις.

Τι φεύγει από το κινητό σου

• Τίποτα, από προεπιλογή. Το Lockspeare λειτουργεί πλήρως εκτός σύνδεσης.
• Google Drive, μόνο αν ενεργοποιήσεις τα αντίγραφα ασφαλείας, και μόνο κρυπτογραφημένα αρχεία.
• Google Play, για την επεξεργασία των αγορών.
• Αναφορές σφαλμάτων, μόνο αν τις ενεργοποιήσεις στις Ρυθμίσεις. Περιέχουν τεχνικές λεπτομέρειες, όπως το μοντέλο του κινητού και το σημείο όπου απέτυχε η εφαρμογή. Ποτέ τα αρχεία σου, τα ονόματα αρχείων, το PIN ή το μοτίβο σου.

Η εφαρμογή δεν έχει διαφημίσεις, αναγνωριστικά διαφήμισης ούτε βιβλιοθήκες ανάλυσης δεδομένων (analytics).

Από τι δεν μπορεί να σε προστατέψει το Lockspeare

Η ειλικρίνεια για τα όρια είναι μέρος της ασφάλειας. Το Lockspeare δεν προστατεύει από:

• Κάποιον που σε βλέπει να πληκτρολογείς το PIN ή να σχεδιάζεις το μοτίβο σου. Κάλυψε την οθόνη.
• Ένα παραβιασμένο κινητό όσο το θησαυροφυλάκιό σου είναι ανοιχτό. Κακόβουλο λογισμικό με βαθιά πρόσβαση στο κινητό σου ή ένα παραβιασμένο λειτουργικό σύστημα μπορεί να δει ό,τι υπάρχει στην οθόνη σου.
• Κάποιον με πλήρη έλεγχο του ξεκλείδωτου κινητού σου και απεριόριστο χρόνο. Θα μπορούσε να δοκιμάζει PIN ή μοτίβα πάνω στο ίδιο το κινητό. Το Argon2id κάνει κάθε δοκιμή αργή, και ένα μεγαλύτερο PIN ή μοτίβο κάνει τη δουλειά πολύ πιο δύσκολη, αλλά το μικρό παραμένει μικρό.
• Το να φαίνεται ότι το Lockspeare είναι εγκατεστημένο, πόσα κρυπτογραφημένα δεδομένα περιέχει και το κατά προσέγγιση μέγεθος κάθε κρυπτογραφημένου αρχείου.
• Την απώλεια τόσο του PIN ή του μοτίβου όσο και της φράσης ανάκτησης. Τότε κανείς δεν μπορεί να ανοίξει το θησαυροφυλάκιο, ούτε εμείς.

Ανεξάρτητος έλεγχος

Αυτός ο σχεδιασμός δεν έχει ακόμη ελεγχθεί από ανεξάρτητο φορέα. Σκοπεύουμε να τον υποβάλουμε σε έλεγχο πριν κυκλοφορήσει το Lockspeare, και θα δημοσιεύσουμε το αποτέλεσμα εδώ. Αν βρεις κάποιο πρόβλημα, γράψε στο security@lockspeare.com.