Comment Lockspeare protège vos photos

En bref

• Chaque photo et chaque vidéo est chiffrée sur votre téléphone avec AES-256-GCM avant d’être enregistrée.
• La clé qui ouvre votre coffre-fort est protégée deux fois : par votre code PIN ou votre schéma, et par une clé matérielle dans l’Android Keystore qui ne quitte jamais votre téléphone.
• Une copie du stockage de votre téléphone ne contient que des données chiffrées. Sans le matériel sécurisé de votre téléphone, personne ne peut y tester des codes PIN ou des schémas.
• Votre phrase de récupération de 12 mots est le seul moyen d’ouvrir un coffre-fort sur un autre téléphone ou à partir d’une sauvegarde.
• Lockspeare n’a ni serveurs ni comptes. Nous ne recevons jamais vos fichiers, votre code PIN ou votre schéma, ou vos clés.

Ce qui est chiffré

Tout ce que vous mettez dans un coffre-fort : photos, vidéos, leurs miniatures, leurs noms de fichiers d’origine, leurs dates et leurs albums.

Chaque fichier est chiffré avec sa propre clé, dérivée de la clé principale de votre coffre-fort. Les gros fichiers sont chiffrés par segments de 1 Mo, chacun avec son propre contrôle d’intégrité : les vidéos peuvent ainsi être lues sans déchiffrer tout le fichier d’un coup, et toute modification d’un fichier chiffré est détectée. Nous utilisons pour cela la bibliothèque Tink de Google, au lieu d’écrire notre propre chiffrement.

Les fichiers chiffrés sont stockés dans l’espace privé de l’application Lockspeare, sous des noms aléatoires. Les fichiers de tous vos coffres-forts se trouvent dans le même dossier : le dossier ne révèle donc pas à quel coffre-fort appartient un fichier.

Comment votre code PIN ou votre schéma ouvre un coffre-fort

Lors de la configuration de Lockspeare, vous choisissez comment le déverrouiller : un code PIN d’au moins 6 chiffres, ou un schéma sur une grille de 3×3 comme celui de votre écran de verrouillage. Tous les coffres-forts du téléphone utilisent le même type de verrouillage, donc l’écran de verrouillage ne trahit rien.

Chaque coffre-fort a une clé principale aléatoire de 256 bits, créée sur votre téléphone. Cette clé n’est jamais stockée sous forme lisible. Elle est stockée sous deux formes verrouillées :

Verrouillée avec votre code PIN ou votre schéma, sur ce téléphone. Votre code PIN ou votre schéma est transformé en clé avec Argon2id, un algorithme conçu pour que chaque tentative soit lente et gourmande en mémoire. Le résultat est ensuite chiffré à nouveau avec une clé conservée dans l’Android Keystore, dans le matériel sécurisé de votre téléphone. Cette deuxième clé ne peut pas être copiée hors du téléphone.

C’est important, car un code PIN ou un schéma est court. À lui seul, il pourrait être deviné rapidement par un ordinateur travaillant sur une copie de vos fichiers. Le lier au matériel de votre téléphone signifie que les tentatives ne peuvent se faire que sur votre téléphone, et que chacune est lente.

Verrouillée avec votre phrase de récupération. Quand vous créez un coffre-fort, Lockspeare vous montre 12 mots, choisis au hasard dans une liste standard de 2 048 mots. Cela donne environ 128 bits d’aléa, bien au-delà de ce que quiconque peut deviner. La phrase ouvre le coffre-fort si vous oubliez votre code PIN ou votre schéma, changez de téléphone ou restaurez une sauvegarde.

Vous confirmez quelques-uns des mots avant que le coffre-fort soit prêt. Notez-les dans un endroit sûr. Nous n’en avons pas de copie.

Coffres-forts séparés et coffre-fort leurre

Chaque code PIN ou schéma ouvre son propre coffre-fort. Vous pouvez en utiliser un deuxième pour un coffre-fort leurre contenant des photos anodines, au cas où quelqu’un ferait un jour pression sur vous pour déverrouiller l’appli.

Lockspeare garde toujours le même nombre d’emplacements de coffre-fort sur le disque, que vous utilisiez un coffre-fort ou plusieurs. Les emplacements inutilisés sont remplis de données aléatoires qui ressemblent exactement à un vrai coffre-fort chiffré. L’appli n’a pas de liste de coffres-forts. Ni l’écran ni une copie de vos fichiers ne montrent donc combien de coffres-forts vous avez.

Une limite : pour éviter d’écraser un coffre-fort quand vous en créez un nouveau, l’appli garde une note des emplacements occupés, verrouillée avec la clé matérielle de votre téléphone. Une personne ayant le contrôle total de votre téléphone déverrouillé pourrait lire cette note et savoir combien de coffres-forts existent, mais pas ce qu’ils contiennent.

Sauvegardes

Les sauvegardes sont facultatives. Il en existe deux types.

Google Drive. Lockspeare stocke la sauvegarde dans un dossier d’application masqué de votre propre Google Drive. Il envoie les fichiers exactement tels qu’ils sont stockés sur votre téléphone : déjà chiffrés. Il envoie aussi la clé de votre coffre-fort verrouillée avec votre phrase de récupération. Il n’envoie jamais la copie verrouillée avec votre code PIN ou votre schéma, car cette copie ne fonctionne qu’avec le matériel de votre téléphone.

Pour restaurer sur un nouveau téléphone, vous saisissez votre phrase de récupération, puis choisissez un nouveau code PIN ou un nouveau schéma.

Lockspeare demande uniquement l’accès à son propre dossier masqué dans votre Drive, pas à vos autres fichiers. Google peut voir combien il y a de fichiers de sauvegarde, leur taille approximative et quand ils ont été envoyés. Il ne peut pas voir ce qu’ils contiennent.

Fichier de sauvegarde. Vous pouvez aussi exporter un coffre-fort sous forme d’un seul fichier chiffré et l’enregistrer où vous voulez : un autre service cloud, une carte mémoire ou votre ordinateur. Il ne s’ouvre qu’avec votre phrase de récupération.

La sauvegarde automatique d’Android est désactivée pour Lockspeare. Elle ne pourrait pas restaurer les clés liées au matériel, et ne copierait donc que des données inutilisables.

Pendant que vous utilisez l’appli

• Les captures d’écran, les enregistrements d’écran et l’aperçu dans vos applis récentes sont bloqués.
• Le coffre-fort se verrouille dès que vous quittez l’appli, sauf si vous choisissez un court délai.
• Le verrouillage efface les clés et tous les aperçus déchiffrés de la mémoire de l’appli et de son stockage temporaire. Les applis Android tournent sur un système qui peut faire des copies internes de la mémoire : nous effaçons tout ce que nous contrôlons, mais nous ne pouvons pas promettre qu’aucune copie ne reste en mémoire jusqu’à ce qu’elle soit réutilisée.
• Les photos et vidéos que vous prenez avec l’appareil photo intégré à Lockspeare vont directement dans le coffre-fort et n’apparaissent jamais dans votre galerie : les sauvegardes de photos dans le cloud ne les voient donc jamais. Les photos sont chiffrées depuis la mémoire. L’enregistreur vidéo d’Android a besoin d’un fichier : une vidéo est donc écrite dans l’espace privé de Lockspeare pendant l’enregistrement, chiffrée dès que vous arrêtez, et le fichier non chiffré est supprimé.

Importer des photos depuis votre galerie

Quand vous ajoutez une photo depuis votre galerie, Lockspeare la chiffre d’abord, puis rouvre la copie chiffrée et vérifie qu’elle correspond à l’original. Ce n’est qu’ensuite qu’il propose de supprimer l’original, via la boîte de dialogue de confirmation d’Android.

Deux endroits échappent à Lockspeare, et nous vous les rappelons après chaque importation :

• La corbeille de votre galerie. De nombreuses applis de galerie conservent les photos supprimées pendant environ 30 jours. Videz-la pour les supprimer définitivement.
• Les sauvegardes de photos dans le cloud. Si une photo a déjà été sauvegardée par un service de photos en ligne, cette copie y reste jusqu’à ce que vous la supprimiez.

Ce qui quitte votre téléphone

• Rien, par défaut. Lockspeare fonctionne entièrement hors connexion.
• Google Drive, uniquement si vous activez la sauvegarde, et uniquement des fichiers chiffrés.
• Google Play, pour traiter les achats.
• Les rapports de plantage, uniquement si vous les activez dans les paramètres. Ils contiennent des détails techniques comme le modèle du téléphone et l’endroit où l’appli a planté. Jamais vos fichiers, noms de fichiers, votre code PIN ou votre schéma.

L’appli ne contient ni publicités, ni identifiants publicitaires, ni bibliothèques d’analyse.

Ce contre quoi Lockspeare ne peut pas vous protéger

Être honnête sur ses limites fait partie de la sécurité. Lockspeare ne protège pas contre :

• Quelqu’un qui vous regarde saisir votre code PIN ou dessiner votre schéma. Cachez l’écran.
• Un téléphone compromis pendant que votre coffre-fort est ouvert. Un logiciel malveillant disposant d’un accès profond à votre téléphone, ou un système d’exploitation piraté, peut voir ce qui s’affiche à l’écran.
• Quelqu’un qui a le contrôle total de votre téléphone déverrouillé et tout son temps. Il pourrait essayer des codes PIN ou des schémas sur le téléphone lui-même. Argon2id rend chaque tentative lente, et un code PIN ou un schéma plus long complique beaucoup la tâche, mais ce qui est court reste court.
• Le fait de voir que Lockspeare est installé, la quantité de données chiffrées qu’il contient et la taille approximative de chaque fichier chiffré.
• La perte à la fois de votre code PIN ou schéma et de votre phrase de récupération. Personne ne peut alors ouvrir le coffre-fort, pas même nous.

Audit indépendant

Cette conception n’a pas encore fait l’objet d’un audit indépendant. Nous prévoyons de la faire examiner avant le lancement de Lockspeare, et nous publierons le résultat ici. Si vous trouvez un problème, écrivez à security@lockspeare.com.