Cómo protege Lockspeare tus fotos

La versión corta

• Cada foto y cada video se cifra en tu teléfono con AES-256-GCM antes de guardarse.
• La clave que abre tu bóveda está protegida dos veces: por tu PIN o tu patrón y por una clave respaldada por hardware en Android Keystore que nunca sale de tu teléfono.
• Una copia del almacenamiento de tu teléfono solo contiene datos cifrados. Sin el hardware de seguridad de tu teléfono, nadie puede probar PIN ni patrones contra ella.
• Tu frase de recuperación de 12 palabras es la única forma de abrir una bóveda en otro teléfono o desde una copia de seguridad.
• Lockspeare no tiene servidores ni cuentas. Nunca recibimos tus archivos, tu PIN o tu patrón, ni tus claves.

Qué se cifra

Todo lo que pones en una bóveda: fotos, videos, sus miniaturas, sus nombres de archivo originales, sus fechas y sus álbumes.

Cada archivo se cifra con su propia clave, derivada de la clave maestra de tu bóveda. Los archivos grandes se cifran en segmentos de 1 MB, cada uno con su propia comprobación de integridad, así que los videos se pueden reproducir sin descifrar el archivo entero de una vez, y cualquier cambio en un archivo cifrado se detecta. Para esto usamos la biblioteca Tink de Google, en lugar de escribir nuestro propio cifrado.

Los archivos cifrados se guardan en el almacenamiento privado de Lockspeare con nombres aleatorios. Los archivos de todas tus bóvedas están en la misma carpeta, así que la carpeta no revela a qué bóveda pertenece cada archivo.

Cómo abre tu PIN o tu patrón una bóveda

Al configurar Lockspeare, eliges cómo desbloquearla: un PIN de al menos 6 dígitos o un patrón en una cuadrícula de 3×3, como el de tu pantalla de bloqueo. Todas las bóvedas del teléfono usan el mismo tipo de bloqueo, así que la pantalla de bloqueo no revela nada.

Cada bóveda tiene una clave maestra aleatoria de 256 bits, creada en tu teléfono. Esa clave nunca se guarda de forma legible. Se guarda de dos formas bloqueadas:

Bloqueada con tu PIN o tu patrón, en este teléfono. Tu PIN o tu patrón se convierte en una clave con Argon2id, un algoritmo diseñado para que cada intento sea lento y consuma mucha memoria. Después, el resultado se vuelve a cifrar con una clave guardada en Android Keystore, dentro del hardware de seguridad de tu teléfono. Esa segunda clave no se puede copiar fuera del teléfono.

Esto importa porque un PIN o un patrón es corto. Por sí solo, una computadora que trabajara con una copia de tus archivos podría adivinarlo rápido. Al vincularlo al hardware de tu teléfono, los intentos solo se pueden hacer en tu teléfono, y cada uno es lento.

Bloqueada con tu frase de recuperación. Cuando creas una bóveda, Lockspeare te muestra 12 palabras elegidas al azar de una lista estándar de 2048 palabras. Eso da unos 128 bits de aleatoriedad, mucho más de lo que nadie puede adivinar. La frase abre la bóveda si olvidas tu PIN o tu patrón, cambias de teléfono o restauras una copia de seguridad.

Confirmas algunas de las palabras antes de que la bóveda esté lista. Anótalas en un lugar seguro. Nosotros no tenemos ninguna copia.

Bóvedas separadas y la bóveda señuelo

Cada PIN o patrón abre su propia bóveda. Puedes usar otro para una bóveda señuelo con fotos inofensivas, por si alguien te presiona alguna vez para desbloquear la app.

Lockspeare mantiene siempre el mismo número de espacios para bóvedas en el disco, tanto si usas una bóveda como varias. Los espacios sin usar se rellenan con datos aleatorios que tienen el mismo aspecto que una bóveda real cifrada. La app no tiene ninguna lista de bóvedas. Así que ni la pantalla ni una copia de tus archivos muestran cuántas bóvedas tienes.

Un límite: para no sobrescribir una bóveda al crear una nueva, la app guarda una nota de qué espacios están ocupados, bloqueada con la clave de hardware de tu teléfono. Alguien con control total de tu teléfono desbloqueado podría leer esa nota y saber cuántas bóvedas existen, aunque no lo que contienen.

Copias de seguridad

Las copias de seguridad son opcionales. Hay dos tipos.

Google Drive. Lockspeare guarda la copia de seguridad en una carpeta oculta de la app dentro de tu propio Google Drive. Sube los archivos exactamente como están guardados en tu teléfono: ya cifrados. También sube la clave de tu bóveda bloqueada con tu frase de recuperación. Nunca sube la copia bloqueada con tu PIN o tu patrón, porque esa copia solo funciona con el hardware de tu teléfono.

Para restaurarla en un teléfono nuevo, introduces tu frase de recuperación y luego eliges un PIN o un patrón nuevo.

Lockspeare solo pide permiso para su propia carpeta oculta en tu Drive, no para acceder a tus otros archivos. Google puede ver cuántos archivos de copia de seguridad hay, más o menos cuánto ocupan y cuándo se subieron. No puede ver qué contienen.

Archivo de copia de seguridad. También puedes exportar una bóveda como un único archivo cifrado y guardarlo donde quieras: otro servicio en la nube, una tarjeta de memoria o tu computadora. Solo se abre con tu frase de recuperación.

La copia de seguridad automática de Android está desactivada para Lockspeare. No podría restaurar las claves vinculadas al hardware, así que solo copiaría datos que nadie puede usar.

Mientras usas la app

• Se bloquean las capturas de pantalla, las grabaciones de pantalla y la vista previa en apps recientes.
• La bóveda se bloquea en cuanto sales de la app, salvo que elijas un breve retraso.
• Al bloquearse, se borran las claves y cualquier vista previa descifrada de la memoria y del almacenamiento temporal de la app. Las apps de Android funcionan sobre un sistema que puede hacer copias internas de la memoria, así que borramos todo lo que controlamos, pero no podemos prometer que no quede ninguna copia en la memoria hasta que se reutilice.
• Las fotos y los videos que tomas con la cámara dentro de Lockspeare van directamente a la bóveda y nunca aparecen en tu galería, así que las copias de seguridad de fotos en la nube nunca los ven. Las fotos se cifran desde la memoria. La grabadora de video de Android necesita un archivo, así que el video se escribe en el almacenamiento privado de Lockspeare mientras grabas, se cifra en cuanto paras y el archivo sin cifrar se elimina.

Pasar fotos desde tu galería

Cuando añades una foto desde tu galería, Lockspeare primero la cifra, luego vuelve a abrir la copia cifrada y comprueba que coincide con la original. Solo entonces te ofrece eliminar la original, mediante el cuadro de confirmación del propio Android.

Hay dos lugares fuera del alcance de Lockspeare, y te los recordamos después de cada importación:

• La papelera de tu galería. Muchas apps de galería guardan las fotos eliminadas unos 30 días. Vacíala para borrarlas definitivamente.
• Las copias de seguridad de fotos en la nube. Si un servicio de fotos en la nube ya había guardado una copia de la foto, esa copia sigue allí hasta que la elimines.

Qué sale de tu teléfono

• Nada, de forma predeterminada. Lockspeare funciona completamente sin conexión.
• Google Drive, solo si activas la copia de seguridad, y solo archivos cifrados.
• Google Play, para procesar las compras.
• Informes de errores, solo si los activas en Ajustes. Contienen datos técnicos como el modelo del teléfono y el punto en el que falló la app. Nunca tus archivos, los nombres de tus archivos, tu PIN ni tu patrón.

La app no tiene anuncios, ni identificadores de publicidad, ni bibliotecas de analítica.

De qué no puede protegerte Lockspeare

Ser honestos sobre los límites también es parte de la seguridad. Lockspeare no te protege de:

• Alguien que te mire mientras introduces el PIN o dibujas el patrón. Tapa la pantalla.
• Un teléfono comprometido mientras tu bóveda está abierta. Un malware con acceso profundo a tu teléfono, o un sistema operativo hackeado, puede ver lo que hay en tu pantalla.
• Alguien con control total de tu teléfono desbloqueado y tiempo ilimitado. Podría probar PIN o patrones en el propio teléfono. Argon2id hace que cada intento sea lento, y un PIN o un patrón más largo complica mucho la tarea, pero uno corto sigue siendo corto.
• Que se vea que Lockspeare está instalada, cuántos datos cifrados contiene y el tamaño aproximado de cada archivo cifrado.
• Perder tanto tu PIN o tu patrón como tu frase de recuperación. En ese caso nadie puede abrir la bóveda, ni siquiera nosotros.

Revisión independiente

Este diseño todavía no ha sido auditado de forma independiente. Tenemos previsto que se revise antes del lanzamiento de Lockspeare y publicaremos el resultado aquí. Si encuentras un problema, escribe a security@lockspeare.com.