Cara Lockspeare melindungi foto Anda

Versi singkatnya

• Setiap foto dan video dienkripsi di ponsel Anda dengan AES-256-GCM sebelum disimpan.
• Kunci yang membuka brankas Anda dilindungi dua kali: oleh PIN atau pola Anda, dan oleh kunci berbasis perangkat keras di Android Keystore yang tidak pernah keluar dari ponsel Anda.
• Salinan penyimpanan ponsel Anda hanya berisi data terenkripsi. Tanpa perangkat keras aman ponsel Anda, tidak ada yang bisa mencoba-coba PIN atau pola terhadapnya.
• Frasa pemulihan 12 kata adalah satu-satunya cara membuka brankas di ponsel lain atau dari cadangan.
• Lockspeare tidak punya server dan tidak memakai akun. Kami tidak pernah menerima file, PIN atau pola, atau kunci Anda.

Apa yang dienkripsi

Semua yang Anda masukkan ke brankas: foto, video, thumbnail-nya, nama file aslinya, tanggal, dan album.

Setiap file dienkripsi dengan kuncinya sendiri, yang diturunkan dari kunci utama brankas Anda. File besar dienkripsi per segmen 1 MB, masing-masing dengan pemeriksaan integritasnya sendiri, sehingga video bisa diputar tanpa harus mendekripsi seluruh file sekaligus, dan setiap perubahan pada file terenkripsi akan terdeteksi. Untuk ini kami memakai pustaka Tink dari Google, bukan membuat enkripsi sendiri.

File terenkripsi disimpan di penyimpanan aplikasi pribadi Lockspeare dengan nama acak. File dari semua brankas Anda berada di folder yang sama, jadi folder itu tidak menunjukkan file mana milik brankas yang mana.

Bagaimana PIN atau pola Anda membuka brankas

Saat menyiapkan Lockspeare, Anda memilih cara membukanya: PIN minimal 6 digit, atau pola pada kisi 3×3 seperti di layar kunci Anda. Semua brankas di ponsel memakai jenis kunci yang sama, jadi layar kunci tidak membocorkan apa pun.

Setiap brankas punya kunci utama 256-bit acak yang dibuat di ponsel Anda. Kunci ini tidak pernah disimpan dalam bentuk yang bisa dibaca. Kunci itu disimpan dalam dua bentuk terkunci:

Dikunci dengan PIN atau pola Anda, di ponsel ini. PIN atau pola Anda diubah menjadi kunci dengan Argon2id, algoritma yang dirancang agar setiap tebakan lambat dan memakan banyak memori. Hasilnya lalu dienkripsi lagi dengan kunci yang disimpan di Android Keystore, di dalam perangkat keras aman ponsel Anda. Kunci kedua itu tidak bisa disalin keluar dari ponsel.

Ini penting karena PIN atau pola itu pendek. Kalau berdiri sendiri, keduanya bisa ditebak dengan cepat oleh komputer yang bekerja pada salinan file Anda. Dengan mengikatnya ke perangkat keras ponsel Anda, tebakan hanya bisa dilakukan di ponsel Anda, dan setiap tebakan berjalan lambat.

Dikunci dengan frasa pemulihan Anda. Saat Anda membuat brankas, Lockspeare menampilkan 12 kata yang dipilih secara acak dari daftar standar berisi 2.048 kata. Ini memberi sekitar 128 bit keacakan, jauh di luar kemampuan siapa pun untuk menebaknya. Frasa ini membuka brankas jika Anda lupa PIN atau pola, pindah ke ponsel baru, atau memulihkan cadangan.

Anda mengonfirmasi beberapa kata itu sebelum brankas siap. Catat semuanya di tempat yang aman. Kami tidak menyimpan salinannya.

Brankas terpisah dan brankas pengalih

Setiap PIN atau pola membuka brankasnya sendiri. Anda bisa memakai yang kedua untuk brankas pengalih berisi foto-foto biasa, untuk berjaga-jaga jika suatu saat ada yang menekan Anda untuk membuka aplikasi.

Lockspeare selalu menyimpan jumlah slot brankas yang sama di penyimpanan, baik Anda memakai satu brankas maupun beberapa. Slot yang tidak dipakai diisi data acak yang tampak sama persis dengan brankas sungguhan yang terenkripsi. Aplikasi tidak menyimpan daftar brankas. Jadi, baik layar maupun salinan file Anda tidak menunjukkan berapa banyak brankas yang Anda punya.

Satu batasan: agar tidak menimpa brankas saat Anda membuat brankas baru, aplikasi menyimpan catatan slot mana saja yang sudah terpakai, yang dikunci dengan kunci perangkat keras ponsel Anda. Seseorang yang menguasai penuh ponsel Anda dalam keadaan tidak terkunci bisa membaca catatan itu dan mengetahui berapa banyak brankas yang ada, meski tidak bisa mengetahui isinya.

Cadangan

Pencadangan bersifat opsional. Ada dua jenis.

Google Drive. Lockspeare menyimpan cadangan di folder aplikasi tersembunyi di Google Drive Anda sendiri. File diunggah persis seperti yang tersimpan di ponsel Anda: sudah terenkripsi. Lockspeare juga mengunggah kunci brankas Anda yang dikunci dengan frasa pemulihan. Salinan yang dikunci dengan PIN atau pola tidak pernah diunggah, karena salinan itu hanya berfungsi dengan perangkat keras ponsel Anda.

Untuk memulihkan di ponsel baru, Anda memasukkan frasa pemulihan, lalu memilih PIN atau pola baru.

Lockspeare hanya meminta izin untuk folder tersembunyinya sendiri di Drive Anda, bukan akses ke file Anda yang lain. Google dapat melihat berapa banyak file cadangan yang ada, kira-kira seberapa besar ukurannya, dan kapan diunggah. Google tidak bisa melihat isinya.

File cadangan. Anda juga bisa mengekspor brankas sebagai satu file terenkripsi dan menyimpannya di mana saja: layanan cloud lain, kartu memori, atau komputer Anda. File ini hanya bisa dibuka dengan frasa pemulihan Anda.

Pencadangan otomatis bawaan Android dinonaktifkan untuk Lockspeare. Fitur itu tidak bisa memulihkan kunci yang terikat ke perangkat keras, jadi hanya akan menyalin data yang tidak bisa dipakai siapa pun.

Saat Anda memakai aplikasi

• Tangkapan layar, perekaman layar, dan pratinjau di daftar aplikasi terbaru diblokir.
• Brankas langsung terkunci begitu Anda keluar dari aplikasi, kecuali Anda memilih jeda singkat.
• Saat terkunci, kunci dan pratinjau yang sudah didekripsi dihapus dari memori dan penyimpanan sementara aplikasi. Aplikasi Android berjalan di sistem yang bisa membuat salinan internal memori, jadi kami menghapus semua yang bisa kami kendalikan, tetapi tidak bisa menjamin tidak ada salinan yang tersisa di memori sampai area itu dipakai ulang.
• Foto dan video yang Anda ambil dengan kamera di dalam Lockspeare langsung masuk ke brankas dan tidak pernah muncul di galeri, jadi pencadangan foto ke cloud tidak pernah melihatnya. Foto dienkripsi langsung dari memori. Perekam video Android memerlukan file, jadi video ditulis ke penyimpanan pribadi Lockspeare selama Anda merekam, dienkripsi begitu Anda berhenti, lalu file yang tidak terenkripsi dihapus.

Memindahkan foto dari galeri

Saat Anda menambahkan foto dari galeri, Lockspeare mengenkripsinya terlebih dahulu, lalu membuka kembali salinan terenkripsinya dan memeriksa bahwa isinya sama dengan aslinya. Baru setelah itu Lockspeare menawarkan untuk menghapus file aslinya, melalui dialog konfirmasi bawaan Android.

Ada dua tempat yang berada di luar jangkauan Lockspeare, dan kami mengingatkan Anda tentang keduanya setelah setiap impor:

• Folder sampah galeri Anda. Banyak aplikasi galeri menyimpan foto yang dihapus selama sekitar 30 hari. Kosongkan untuk menghapusnya secara permanen.
• Pencadangan foto ke cloud. Jika foto sudah dicadangkan oleh layanan foto cloud, salinan itu tetap ada di sana sampai Anda menghapusnya.

Apa yang keluar dari ponsel Anda

• Tidak ada, secara default. Lockspeare berfungsi sepenuhnya secara offline.
• Google Drive, hanya jika Anda mengaktifkan pencadangan, dan hanya file terenkripsi.
• Google Play, untuk memproses pembelian.
• Laporan error, hanya jika Anda mengaktifkannya di Setelan. Isinya detail teknis seperti model ponsel dan bagian aplikasi yang gagal. Tidak pernah berisi file, nama file, PIN, atau pola Anda.

Tidak ada iklan, tidak ada ID iklan, dan tidak ada pustaka analitik di aplikasi.

Apa yang tidak bisa dilindungi Lockspeare

Jujur tentang batasan adalah bagian dari keamanan. Lockspeare tidak melindungi dari:

• Seseorang yang melihat Anda memasukkan PIN atau menggambar pola. Tutupi layar.
• Ponsel yang sudah disusupi saat brankas Anda terbuka. Malware dengan akses mendalam ke ponsel Anda, atau sistem operasi yang diretas, bisa melihat apa yang ada di layar Anda.
• Seseorang yang menguasai penuh ponsel Anda dalam keadaan tidak terkunci dan punya waktu tak terbatas. Mereka bisa mencoba-coba PIN atau pola di ponsel itu sendiri. Argon2id membuat setiap percobaan lambat, dan PIN atau pola yang lebih panjang membuat pekerjaan itu jauh lebih sulit, tetapi yang pendek tetaplah pendek.
• Terlihatnya fakta bahwa Lockspeare terpasang, seberapa banyak data terenkripsi yang disimpannya, dan perkiraan ukuran setiap file terenkripsi.
• Kehilangan PIN atau pola sekaligus frasa pemulihan. Tidak ada yang bisa membuka brankas dalam kondisi itu, termasuk kami.

Tinjauan independen

Desain ini belum diaudit secara independen. Kami berencana meminta peninjauan sebelum Lockspeare diluncurkan, dan kami akan memublikasikan hasilnya di sini. Jika Anda menemukan masalah, kirim email ke security@lockspeare.com.