Cum îți protejează Lockspeare pozele

Pe scurt

• Fiecare poză și fiecare videoclip e criptat pe telefon cu AES-256-GCM înainte să fie salvat.
• Cheia care îți deschide seiful e protejată de două ori: de PIN-ul sau modelul tău de deblocare și de o cheie hardware din Android Keystore, care nu părăsește niciodată telefonul.
• O copie a memoriei telefonului conține doar date criptate. Fără hardware-ul securizat al telefonului tău, nimeni nu poate încerca PIN-uri sau modele pe ea.
• Fraza de recuperare de 12 cuvinte este singura cale de a deschide un seif pe alt telefon sau dintr-un backup.
• Lockspeare nu are servere și nici conturi. Nu primim niciodată fișierele, PIN-ul sau modelul ori cheile tale.

Ce e criptat

Tot ce pui într-un seif: poze, videoclipuri, miniaturile lor, numele originale ale fișierelor, datele și albumele.

Fiecare fișier e criptat cu propria cheie, derivată din cheia principală a seifului. Fișierele mari sunt criptate în segmente de 1 MB, fiecare cu propria verificare de integritate, astfel încât videoclipurile pot fi redate fără a decripta tot fișierul deodată, iar orice modificare a unui fișier criptat e detectată. Pentru asta folosim biblioteca Tink de la Google, în loc să ne scriem propria criptare.

Fișierele criptate sunt păstrate în spațiul privat al aplicației Lockspeare, cu nume aleatorii. Fișierele din toate seifurile tale stau în același dosar, așa că dosarul nu arată cărui seif îi aparține un fișier.

Cum îți deschide PIN-ul sau modelul un seif

Când configurezi Lockspeare, alegi cum îl deblochezi: un PIN de cel puțin 6 cifre sau un model pe o grilă de 3×3, ca la ecranul de blocare. Toate seifurile de pe telefon folosesc același tip de blocare, așa că ecranul de blocare nu dezvăluie nimic.

Fiecare seif are o cheie principală aleatorie de 256 de biți, creată pe telefonul tău. Cheia asta nu e păstrată niciodată în formă lizibilă. E păstrată în două forme încuiate:

Încuiată cu PIN-ul sau modelul tău, pe acest telefon. PIN-ul sau modelul tău e transformat într-o cheie cu Argon2id, un algoritm făcut ca fiecare încercare de ghicire să fie lentă și să consume multă memorie. Rezultatul e apoi criptat din nou cu o cheie păstrată în Android Keystore, în hardware-ul securizat al telefonului. Această a doua cheie nu poate fi copiată de pe telefon.

Asta contează pentru că un PIN sau un model e scurt. Singur, ar putea fi ghicit rapid de un calculator care lucrează pe o copie a fișierelor tale. Legându-l de hardware-ul telefonului, încercările se pot face doar pe telefonul tău, iar fiecare durează.

Încuiată cu fraza de recuperare. Când creezi un seif, Lockspeare îți arată 12 cuvinte, alese la întâmplare dintr-o listă standard de 2.048 de cuvinte. Asta înseamnă aproximativ 128 de biți de aleatoriu, mult peste ce poate ghici cineva. Fraza deschide seiful dacă îți uiți PIN-ul sau modelul, treci pe un telefon nou sau restaurezi un backup.

Confirmi câteva dintre cuvinte înainte ca seiful să fie gata. Scrie-le undeva în siguranță. Noi nu avem o copie.

Seifuri separate și seiful-momeală

Fiecare PIN sau model deschide propriul seif. Poți folosi un al doilea PIN sau model pentru un seif-momeală cu poze nevinovate, în caz că cineva te presează vreodată să deblochezi aplicația.

Lockspeare păstrează mereu același număr de locuri pentru seifuri pe disc, fie că folosești un seif, fie mai multe. Locurile nefolosite sunt umplute cu date aleatorii care arată la fel ca un seif real, criptat. Aplicația nu are o listă de seifuri. Așa că nici ecranul, nici o copie a fișierelor tale nu arată câte seifuri ai.

O limită: ca să nu suprascrie un seif când creezi unul nou, aplicația păstrează o notă despre locurile ocupate, încuiată cu cheia hardware a telefonului. Cineva cu control total asupra telefonului tău deblocat ar putea citi nota și afla câte seifuri există, dar nu ce conțin.

Backupuri

Backupurile sunt opționale. Există două tipuri.

Google Drive. Lockspeare păstrează backupul într-un dosar ascuns al aplicației din propriul tău Google Drive. Încarcă fișierele exact cum sunt păstrate pe telefon: deja criptate. Încarcă și cheia seifului, încuiată cu fraza de recuperare. Nu încarcă niciodată copia încuiată cu PIN-ul sau modelul, pentru că aceasta funcționează doar cu hardware-ul telefonului tău.

Ca să restaurezi pe un telefon nou, introduci fraza de recuperare, apoi alegi un PIN sau un model nou.

Lockspeare cere permisiune doar pentru propriul dosar ascuns din Drive-ul tău, nu acces la celelalte fișiere. Google poate vedea câte fișiere de backup există, cam cât de mari sunt și când au fost încărcate. Nu poate vedea ce conțin.

Fișier de backup. Poți și să exporți un seif ca un singur fișier criptat și să-l salvezi oriunde: alt serviciu de cloud, un card de memorie sau calculatorul tău. Se deschide doar cu fraza de recuperare.

Backupul automat al Android este dezactivat pentru Lockspeare. Nu ar putea restaura cheile legate de hardware, așa că ar copia doar date pe care nu le poate folosi nimeni.

În timp ce folosești aplicația

• Capturile de ecran, înregistrările de ecran și previzualizarea din aplicațiile recente sunt blocate.
• Seiful se încuie imediat ce ieși din aplicație, dacă nu alegi o scurtă întârziere.
• La încuiere, cheile și orice previzualizare decriptată sunt șterse din memoria și spațiul temporar al aplicației. Aplicațiile Android rulează pe un sistem care poate face copii interne ale memoriei, așa că ștergem tot ce controlăm, dar nu putem promite că nu rămâne nicio copie în memorie până când aceasta e refolosită.
• Pozele și videoclipurile pe care le faci cu camera din Lockspeare ajung direct în seif și nu apar niciodată în galerie, așa că backupurile foto în cloud nu le văd niciodată. Pozele sunt criptate direct din memorie. Înregistratorul video al Android are nevoie de un fișier, așa că videoclipul e scris în spațiul privat al Lockspeare cât timp înregistrezi, e criptat imediat ce te oprești, iar fișierul necriptat e șters.

Mutarea pozelor din galerie

Când adaugi o poză din galerie, Lockspeare o criptează mai întâi, apoi redeschide copia criptată și verifică dacă se potrivește cu originalul. Abia după aceea îți propune să ștergi originalul, prin fereastra de confirmare a Android.

Două locuri sunt în afara controlului Lockspeare și ți le amintim pe amândouă după fiecare import:

• Coșul de gunoi al galeriei. Multe aplicații de galerie păstrează pozele șterse cam 30 de zile. Golește-l ca să scapi de ele definitiv.
• Backupurile foto în cloud. Dacă o poză a fost deja salvată de un serviciu foto în cloud, copia rămâne acolo până o ștergi.

Ce pleacă de pe telefon

• Nimic, implicit. Lockspeare funcționează complet offline.
• Google Drive, doar dacă activezi backupul și doar fișiere criptate.
• Google Play, pentru procesarea achizițiilor.
• Rapoarte de erori, doar dacă le pornești din Setări. Conțin detalii tehnice, cum ar fi modelul telefonului și locul unde s-a blocat aplicația. Niciodată fișierele tale, numele fișierelor, PIN-ul sau modelul.

Aplicația nu are reclame, ID-uri de publicitate sau biblioteci de analiză.

De ce nu te poate proteja Lockspeare

Să fii sincer despre limite face parte din securitate. Lockspeare nu te protejează de:

• Cineva care se uită cum îți introduci PIN-ul sau îți desenezi modelul. Acoperă ecranul.
• Un telefon compromis cât timp seiful e deschis. Un malware cu acces profund la telefon sau un sistem de operare spart poate vedea ce e pe ecran.
• Cineva cu control total asupra telefonului tău deblocat și timp nelimitat. Ar putea încerca PIN-uri sau modele chiar pe telefon. Argon2id face fiecare încercare lentă, iar un PIN sau un model mai lung îngreunează mult treaba, dar unul scurt rămâne scurt.
• Faptul că se vede că Lockspeare e instalat, câte date criptate conține și dimensiunea aproximativă a fiecărui fișier criptat.
• Pierderea atât a PIN-ului sau a modelului, cât și a frazei de recuperare. Atunci nimeni nu mai poate deschide seiful, nici noi.

Audit independent

Acest design nu a fost încă auditat independent. Plănuim să fie verificat înainte de lansarea Lockspeare și vom publica rezultatul aici. Dacă găsești o problemă, scrie-ne la security@lockspeare.com.