Kako Lockspeare štiti vaše fotografije

Ukratko

• Svaka fotografija i videozapis šifrira se na vašem telefonu algoritmom AES-256-GCM prije spremanja.
• Ključ koji otvara vaš trezor zaštićen je dvaput: vašim PIN-om ili uzorkom i hardverski zaštićenim ključem u Android Keystoreu koji nikad ne napušta vaš telefon.
• Kopija pohrane vašeg telefona sadrži samo šifrirane podatke. Bez sigurnosnog hardvera vašeg telefona nitko na njoj ne može isprobavati PIN-ove ni uzorke.
• Vaša fraza za oporavak od 12 riječi jedini je način da otvorite trezor na drugom telefonu ili iz sigurnosne kopije.
• Lockspeare nema poslužitelje ni račune. Nikad ne primamo vaše datoteke, vaš PIN ili uzorak ni vaše ključeve.

Što se šifrira

Sve što stavite u trezor: fotografije, videozapisi, njihove minijature, izvorni nazivi datoteka, datumi i albumi.

Svaka se datoteka šifrira vlastitim ključem, izvedenim iz glavnog ključa trezora. Velike datoteke šifriraju se u segmentima od 1 MB, svaki s vlastitom provjerom cjelovitosti, pa se videozapisi mogu reproducirati bez dešifriranja cijele datoteke odjednom, a svaka promjena šifrirane datoteke bude otkrivena. Za to koristimo Googleovu biblioteku Tink umjesto da pišemo vlastito šifriranje.

Šifrirane datoteke spremaju se u privatnu pohranu aplikacije Lockspeare pod nasumičnim nazivima. Datoteke iz svih vaših trezora nalaze se u istoj mapi, pa mapa ne otkriva kojem trezoru datoteka pripada.

Kako vaš PIN ili uzorak otvara trezor

Kad postavljate Lockspeare, birate kako ćete ga otključavati: PIN-om od najmanje 6 znamenki ili uzorkom na mreži 3×3, kao na zaključanom zaslonu. Svi trezori na telefonu koriste istu vrstu zaključavanja, pa zaključani zaslon ništa ne odaje.

Svaki trezor ima nasumični 256-bitni glavni ključ, stvoren na vašem telefonu. Taj se ključ nikad ne sprema u čitljivom obliku. Sprema se u dva zaključana oblika:

Zaključan vašim PIN-om ili uzorkom, na ovom telefonu. Vaš se PIN ili uzorak pretvara u ključ algoritmom Argon2id, koji je osmišljen tako da svaki pokušaj pogađanja bude spor i troši puno memorije. Rezultat se zatim ponovno šifrira ključem koji se čuva u Android Keystoreu, unutar sigurnosnog hardvera vašeg telefona. Taj drugi ključ ne može se kopirati s telefona.

To je važno jer je PIN ili uzorak kratak. Sam po sebi, računalo bi ga moglo brzo pogoditi radeći na kopiji vaših datoteka. Vezanje uz hardver telefona znači da se pogađati može samo na vašem telefonu, i to sporo.

Zaključan vašom frazom za oporavak. Kad stvorite trezor, Lockspeare vam pokaže 12 riječi, nasumično odabranih sa standardnog popisa od 2048 riječi. To daje oko 128 bitova nasumičnosti, daleko više nego što itko može pogoditi. Fraza otvara trezor ako zaboravite PIN ili uzorak, prijeđete na novi telefon ili vraćate sigurnosnu kopiju.

Prije nego što trezor bude spreman, potvrdite nekoliko riječi. Zapišite ih i spremite na sigurno mjesto. Mi nemamo kopiju.

Odvojeni trezori i lažni trezor

Svaki PIN ili uzorak otvara svoj trezor. Drugi PIN ili uzorak možete koristiti za lažni trezor s bezazlenim fotografijama, za slučaj da vas netko ikad pritišće da otključate aplikaciju.

Lockspeare na disku uvijek drži isti broj mjesta za trezore, bez obzira koristite li jedan trezor ili više njih. Neiskorištena mjesta ispunjena su nasumičnim podacima koji izgledaju jednako kao pravi, šifrirani trezor. Aplikacija nema popis trezora. Zato ni zaslon ni kopija vaših datoteka ne pokazuju koliko trezora imate.

Jedno ograničenje: da ne bi prebrisala trezor kad stvarate novi, aplikacija vodi bilješku o tome koja su mjesta zauzeta, zaključanu hardverskim ključem vašeg telefona. Netko s potpunom kontrolom nad vašim otključanim telefonom mogao bi pročitati tu bilješku i saznati koliko trezora postoji, ali ne i što je u njima.

Sigurnosne kopije

Sigurnosne kopije nisu obavezne. Postoje dvije vrste.

Google Drive. Lockspeare sprema sigurnosnu kopiju u skrivenu mapu aplikacije na vašem Google Driveu. Prenosi datoteke točno onakve kakve su spremljene na telefonu: već šifrirane. Prenosi i ključ vašeg trezora zaključan frazom za oporavak. Nikad ne prenosi kopiju zaključanu PIN-om ili uzorkom jer ta kopija radi samo s hardverom vašeg telefona.

Za vraćanje na novom telefonu unesete frazu za oporavak, a zatim odaberete novi PIN ili uzorak.

Lockspeare traži dopuštenje samo za svoju skrivenu mapu na vašem Driveu, a ne pristup ostalim vašim datotekama. Google može vidjeti koliko ima datoteka sigurnosne kopije, otprilike koliko su velike i kad su prenesene. Ne može vidjeti što je u njima.

Datoteka sigurnosne kopije. Trezor možete izvesti i kao jednu šifriranu datoteku i spremiti je bilo gdje: u drugu uslugu u oblaku, na memorijsku karticu ili na računalo. Otvara se samo frazom za oporavak.

Androidovo automatsko sigurnosno kopiranje isključeno je za Lockspeare. Ono ne bi moglo vratiti ključeve vezane uz hardver, pa bi samo kopiralo podatke koje nitko ne može koristiti.

Dok koristite aplikaciju

• Snimke zaslona, snimanje zaslona i pregled u nedavnim aplikacijama su blokirani.
• Trezor se zaključava čim napustite aplikaciju, osim ako ne odaberete kratku odgodu.
• Zaključavanje briše ključeve i sve dešifrirane preglede iz memorije aplikacije i privremene pohrane. Android aplikacije rade na sustavu koji može praviti interne kopije memorije, pa brišemo sve što kontroliramo, ali ne možemo obećati da nijedna kopija ne ostaje u memoriji dok se ta memorija ponovno ne iskoristi.
• Fotografije i videozapisi koje snimite kamerom unutar Lockspearea idu izravno u trezor i nikad se ne pojavljuju u galeriji, pa ih sigurnosne kopije fotografija u oblaku nikad ne vide. Fotografije se šifriraju iz memorije. Androidov snimač videozapisa treba datoteku, pa se videozapis tijekom snimanja zapisuje u privatnu pohranu Lockspearea, šifrira čim zaustavite snimanje, a nešifrirana datoteka se briše.

Premještanje fotografija iz galerije

Kad dodate fotografiju iz galerije, Lockspeare je najprije šifrira, zatim ponovno otvori šifriranu kopiju i provjeri odgovara li izvorniku. Tek tada nudi brisanje izvornika, putem Androidova vlastitog dijaloga za potvrdu.

Dva su mjesta izvan dosega Lockspearea, i na oba vas podsjećamo nakon svakog uvoza:

• Otpad vaše galerije. Mnoge aplikacije za galeriju čuvaju izbrisane fotografije oko 30 dana. Ispraznite ga kako biste ih trajno uklonili.
• Sigurnosne kopije fotografija u oblaku. Ako je neka usluga za fotografije u oblaku već spremila kopiju fotografije, ta kopija ostaje ondje dok je ne izbrišete.

Što napušta vaš telefon

• Ništa, prema zadanim postavkama. Lockspeare radi potpuno izvan mreže.
• Google Drive, samo ako uključite sigurnosno kopiranje, i samo šifrirane datoteke.
• Google Play, za obradu kupnji.
• Izvješća o rušenju, samo ako ih uključite u Postavkama. Sadrže tehničke pojedinosti poput modela telefona i mjesta na kojem je aplikacija zakazala. Nikad vaše datoteke, nazive datoteka, PIN ili uzorak.

U aplikaciji nema oglasa, oglasnih ID-ova ni biblioteka za analitiku.

Od čega Lockspeare ne može zaštititi

Iskrenost o ograničenjima dio je sigurnosti. Lockspeare ne štiti od:

• Nekoga tko vas gleda dok unosite PIN ili crtate uzorak. Zaklonite zaslon.
• Kompromitiranog telefona dok je trezor otvoren. Zlonamjerni softver s dubokim pristupom telefonu ili hakiran operativni sustav može vidjeti što je na zaslonu.
• Nekoga s potpunom kontrolom nad vašim otključanim telefonom i neograničenim vremenom. Mogao bi isprobavati PIN-ove ili uzorke na samom telefonu. Argon2id usporava svaki pokušaj, a duži PIN ili uzorak znatno otežava posao, ali kratak je i dalje kratak.
• Toga da se vidi da je Lockspeare instaliran, koliko šifriranih podataka sadrži i približna veličina svake šifrirane datoteke.
• Gubitka i PIN-a ili uzorka i fraze za oporavak. Tada trezor nitko ne može otvoriti, pa ni mi.

Neovisna provjera

Ovaj dizajn još nije neovisno revidiran. Planiramo ga dati na provjeru prije lansiranja Lockspearea i rezultat ćemo objaviti ovdje. Ako pronađete problem, pišite na security@lockspeare.com.