Slik beskytter Lockspeare bildene dine

Kortversjonen

• Hvert bilde og hver video krypteres på telefonen med AES-256-GCM før det lagres.
• Nøkkelen som åpner hvelvet ditt, er beskyttet to ganger: av PIN-koden eller mønsteret ditt, og av en maskinvarebasert nøkkel i Android Keystore som aldri forlater telefonen.
• En kopi av lagringen på telefonen inneholder bare krypterte data. Uten den sikre maskinvaren i telefonen din kan ingen prøve PIN-koder eller mønstre mot den.
• Gjenopprettingsfrasen på 12 ord er den eneste måten å åpne et hvelv på en annen telefon eller fra en sikkerhetskopi.
• Lockspeare har ingen servere og ingen kontoer. Vi mottar aldri filene dine, PIN-koden eller mønsteret ditt, eller nøklene dine.

Hva som krypteres

Alt du legger i et hvelv: bilder, videoer, miniatyrbildene deres, de opprinnelige filnavnene, datoer og album.

Hver fil krypteres med sin egen nøkkel, avledet fra hovednøkkelen til hvelvet. Store filer krypteres i segmenter på 1 MB, hvert med sin egen integritetskontroll. Slik kan videoer spilles av uten at hele filen dekrypteres på en gang, og enhver endring i en kryptert fil blir oppdaget. Vi bruker Googles Tink-bibliotek til dette, i stedet for å skrive vår egen kryptering.

Krypterte filer lagres i Lockspeares private applagring med tilfeldige navn. Filer fra alle hvelvene dine ligger i samme mappe, så mappen viser ikke hvilket hvelv en fil hører til.

Slik åpner PIN-koden eller mønsteret ditt et hvelv

Når du konfigurerer Lockspeare, velger du hvordan appen skal låses opp: en PIN-kode på minst 6 sifre, eller et mønster på et 3×3-rutenett som på låseskjermen din. Alle hvelvene på telefonen bruker samme type lås, så låseskjermen avslører ingenting.

Hvert hvelv har en tilfeldig 256-biters hovednøkkel, laget på telefonen din. Den nøkkelen lagres aldri i lesbar form. Den lagres i to låste former:

Låst med PIN-koden eller mønsteret ditt, på denne telefonen. PIN-koden eller mønsteret ditt gjøres om til en nøkkel med Argon2id, en algoritme som er laget for å gjøre hver gjetning treg og minnekrevende. Resultatet krypteres så på nytt med en nøkkel som ligger i Android Keystore, inne i den sikre maskinvaren i telefonen. Den andre nøkkelen kan ikke kopieres ut av telefonen.

Dette er viktig fordi en PIN-kode eller et mønster er kort. Alene kunne låsen raskt blitt gjettet av en datamaskin som jobber med en kopi av filene dine. Når den knyttes til maskinvaren i telefonen, kan gjetninger bare gjøres på telefonen din, og hver av dem tar tid.

Låst med gjenopprettingsfrasen din. Når du oppretter et hvelv, viser Lockspeare deg 12 ord, valgt tilfeldig fra en standardliste med 2048 ord. Det gir omtrent 128 biter med tilfeldighet, langt mer enn noen kan gjette. Frasen åpner hvelvet hvis du glemmer PIN-koden eller mønsteret, bytter til en ny telefon eller gjenoppretter en sikkerhetskopi.

Du bekrefter noen av ordene før hvelvet er klart. Skriv dem ned et trygt sted. Vi har ingen kopi.

Separate hvelv og lokkehvelvet

Hver PIN-kode eller hvert mønster åpner sitt eget hvelv. Du kan bruke en annen PIN-kode eller et annet mønster til et lokkehvelv med harmløse bilder, i tilfelle noen en dag presser deg til å låse opp appen.

Lockspeare har alltid like mange hvelvplasser på disken, enten du bruker ett hvelv eller flere. Ubrukte plasser fylles med tilfeldige data som ser ut akkurat som et ekte, kryptert hvelv. Appen har ingen liste over hvelv. Så verken skjermen eller en kopi av filene dine viser hvor mange hvelv du har.

Én begrensning: For å unngå å overskrive et hvelv når du oppretter et nytt, fører appen et notat over hvilke plasser som er tatt, låst med maskinvarenøkkelen i telefonen. Noen med full kontroll over den opplåste telefonen din kan lese det notatet og finne ut hvor mange hvelv som finnes, men ikke hva som er i dem.

Sikkerhetskopier

Sikkerhetskopier er valgfrie. Det finnes to typer.

Google Drive. Lockspeare lagrer sikkerhetskopien i en skjult appmappe i din egen Google Drive. Appen laster opp filene nøyaktig slik de er lagret på telefonen: allerede kryptert. Den laster også opp hvelvnøkkelen låst med gjenopprettingsfrasen din. Den laster aldri opp kopien som er låst med PIN-koden eller mønsteret ditt, fordi den kopien bare fungerer med maskinvaren i telefonen din.

For å gjenopprette på en ny telefon skriver du inn gjenopprettingsfrasen og velger så en ny PIN-kode eller et nytt mønster.

Lockspeare ber bare om tilgang til sin egen skjulte mappe i Drive, ikke til de andre filene dine. Google kan se hvor mange sikkerhetskopifiler det er, omtrent hvor store de er og når de ble lastet opp. Google kan ikke se hva som er i dem.

Sikkerhetskopifil. Du kan også eksportere et hvelv som én kryptert fil og lagre den hvor som helst: i en annen skytjeneste, på et minnekort eller på datamaskinen. Den kan bare åpnes med gjenopprettingsfrasen din.

Androids egen automatiske sikkerhetskopiering er slått av for Lockspeare. Den kunne ikke gjenopprettet de maskinvarebundne nøklene, så den ville bare kopiert data som ingen kan bruke.

Mens du bruker appen

• Skjermbilder, skjermopptak og forhåndsvisningen i nylige apper er blokkert.
• Hvelvet låses så snart du forlater appen, med mindre du velger en kort forsinkelse.
• Når hvelvet låses, fjernes nøklene og eventuelle dekrypterte forhåndsvisninger fra appens minne og midlertidige lagring. Android-apper kjører på et system som kan lage interne kopier av minnet, så vi fjerner alt vi har kontroll over, men kan ikke love at ingen kopi blir liggende i minnet til det brukes på nytt.
• Bilder og videoer du tar med kameraet inne i Lockspeare, går rett inn i hvelvet og vises aldri i galleriet, så sikkerhetskopiering av bilder til skyen ser dem aldri. Bilder krypteres direkte fra minnet. Androids videoopptaker trenger en fil, så en video skrives til Lockspeares private lagring mens du filmer, krypteres så snart du stopper, og den ukrypterte filen slettes.

Flytte bilder inn fra galleriet

Når du legger til et bilde fra galleriet, krypterer Lockspeare det først, åpner så den krypterte kopien på nytt og sjekker at den stemmer med originalen. Først da tilbyr appen å slette originalen, via Androids egen bekreftelsesdialog.

To steder er utenfor Lockspeares rekkevidde, og vi minner deg på begge etter hver import:

• Galleriets papirkurv. Mange galleriapper beholder slettede bilder i omtrent 30 dager. Tøm den for å fjerne dem for godt.
• Sikkerhetskopiering av bilder til skyen. Hvis et bilde allerede er sikkerhetskopiert av en skytjeneste for bilder, blir den kopien liggende der til du sletter den.

Hva som forlater telefonen din

• Ingenting, som standard. Lockspeare fungerer helt uten nett.
• Google Drive, bare hvis du slår på sikkerhetskopiering, og bare krypterte filer.
• Google Play, for å behandle kjøp.
• Krasjrapporter, bare hvis du slår dem på i innstillingene. De inneholder tekniske detaljer som telefonmodell og hvor appen feilet. Aldri filene, filnavnene, PIN-koden eller mønsteret ditt.

Det er ingen reklame, ingen annonse-ID-er og ingen analysebiblioteker i appen.

Hva Lockspeare ikke kan beskytte mot

Å være ærlig om begrensninger er en del av sikkerhet. Lockspeare beskytter ikke mot:

• Noen som ser deg taste inn PIN-koden eller tegne mønsteret. Skjerm skjermen.
• En kompromittert telefon mens hvelvet er åpent. Skadevare med dyp tilgang til telefonen, eller et hacket operativsystem, kan se det som er på skjermen.
• Noen med full kontroll over den opplåste telefonen din og ubegrenset tid. De kan prøve PIN-koder eller mønstre på selve telefonen. Argon2id gjør hvert forsøk tregt, og en lengre PIN-kode eller et lengre mønster gjør jobben mye vanskeligere, men kort er fortsatt kort.
• At det synes at Lockspeare er installert, hvor mye krypterte data appen inneholder, og omtrent hvor stor hver krypterte fil er.
• At du mister både PIN-koden eller mønsteret og gjenopprettingsfrasen. Da kan ingen åpne hvelvet, heller ikke vi.

Uavhengig gjennomgang

Dette designet har ennå ikke blitt revidert av en uavhengig part. Vi planlegger å få det gjennomgått før Lockspeare lanseres, og vi vil publisere resultatet her. Hvis du finner et problem, skriv til security@lockspeare.com.