Ako Lockspeare chráni vaše fotky

Stručne

• Každá fotka a video sa pred uložením zašifruje vo vašom telefóne pomocou AES-256-GCM.
• Kľúč, ktorý otvára váš trezor, je chránený dvakrát: vaším PIN kódom alebo vzorom a hardvérovým kľúčom v Android Keystore, ktorý nikdy neopustí váš telefón.
• Kópia úložiska vášho telefónu obsahuje len zašifrované dáta. Bez zabezpečeného hardvéru vášho telefónu na nej nikto nemôže skúšať PIN kódy ani vzory.
• Vaša fráza na obnovenie s 12 slovami je jediný spôsob, ako otvoriť trezor na inom telefóne alebo zo zálohy.
• Lockspeare nemá servery ani účty. Nikdy nedostaneme vaše súbory, PIN kód, vzor ani kľúče.

Čo sa šifruje

Všetko, čo vložíte do trezoru: fotky, videá, ich miniatúry, ich pôvodné názvy súborov, dátumy a albumy.

Každý súbor sa šifruje vlastným kľúčom, odvodeným od hlavného kľúča trezoru. Veľké súbory sa šifrujú po 1 MB segmentoch, každý s vlastnou kontrolou integrity, takže videá sa dajú prehrávať bez dešifrovania celého súboru naraz a akákoľvek zmena zašifrovaného súboru sa odhalí. Používame na to knižnicu Tink od Googlu, namiesto toho, aby sme si písali vlastné šifrovanie.

Zašifrované súbory sú uložené v súkromnom úložisku aplikácie Lockspeare pod náhodnými názvami. Súbory zo všetkých vašich trezorov sú v tom istom priečinku, takže z priečinka nie je vidieť, do ktorého trezoru súbor patrí.

Ako váš PIN kód alebo vzor otvára trezor

Pri nastavení Lockspeare si zvolíte, ako ho budete odomykať: PIN kód s aspoň 6 číslicami alebo vzor na mriežke 3×3, ako na uzamknutej obrazovke. Všetky trezory v telefóne používajú rovnaký druh zámky, takže uzamknutá obrazovka nič neprezradí.

Každý trezor má náhodný 256-bitový hlavný kľúč, vytvorený vo vašom telefóne. Tento kľúč sa nikdy neukladá v čitateľnej podobe. Je uložený v dvoch uzamknutých podobách:

Uzamknutý vaším PIN kódom alebo vzorom, v tomto telefóne. Váš PIN kód alebo vzor sa pomocou Argon2id premení na kľúč. Argon2id je algoritmus navrhnutý tak, aby bol každý pokus pomalý a náročný na pamäť. Výsledok sa potom ešte raz zašifruje kľúčom uloženým v Android Keystore, v zabezpečenom hardvéri vášho telefónu. Tento druhý kľúč sa z telefónu nedá skopírovať.

Je to dôležité, pretože PIN kód alebo vzor je krátky. Sám osebe by sa dal na počítači, ktorý pracuje s kópiou vašich súborov, rýchlo uhádnuť. Prepojenie s hardvérom telefónu znamená, že hádať sa dá len vo vašom telefóne a každý pokus je pomalý.

Uzamknutý vašou frázou na obnovenie. Keď vytvoríte trezor, Lockspeare vám ukáže 12 slov, náhodne vybraných zo štandardného zoznamu 2 048 slov. To dáva približne 128 bitov náhodnosti, čo je ďaleko za hranicou toho, čo dokáže ktokoľvek uhádnuť. Fráza otvorí trezor, ak zabudnete PIN kód alebo vzor, prejdete na nový telefón alebo obnovujete zálohu.

Pred dokončením trezoru niekoľko slov potvrdíte. Zapíšte si ich na bezpečné miesto. My kópiu nemáme.

Samostatné trezory a falošný trezor

Každý PIN kód alebo vzor otvára vlastný trezor. Druhý PIN kód alebo vzor môžete použiť na falošný trezor s nevinnými fotkami pre prípad, že by vás niekto niekedy nútil aplikáciu odomknúť.

Lockspeare má na disku vždy rovnaký počet miest pre trezory, či už používate jeden trezor, alebo viac. Nepoužité miesta sú vyplnené náhodnými dátami, ktoré vyzerajú rovnako ako skutočný zašifrovaný trezor. Aplikácia nemá zoznam trezorov. Ani obrazovka, ani kópia vašich súborov teda neukáže, koľko trezorov máte.

Jedno obmedzenie: aby aplikácia pri vytváraní nového trezoru neprepísala existujúci, uchováva si záznam o tom, ktoré miesta sú obsadené, uzamknutý hardvérovým kľúčom vášho telefónu. Niekto s úplnou kontrolou nad vaším odomknutým telefónom by si tento záznam mohol prečítať a zistiť, koľko trezorov existuje, no nie, čo obsahujú.

Zálohy

Zálohy sú voliteľné. Sú dva druhy.

Google Drive. Lockspeare ukladá zálohu do skrytého priečinka aplikácie na vašom vlastnom Google Drive. Nahrá súbory presne tak, ako sú uložené v telefóne: už zašifrované. Nahrá aj kľúč vášho trezoru uzamknutý frázou na obnovenie. Nikdy nenahrá kópiu uzamknutú PIN kódom alebo vzorom, pretože tá funguje len s hardvérom vášho telefónu.

Na obnovenie v novom telefóne zadáte frázu na obnovenie a potom si zvolíte nový PIN kód alebo vzor.

Lockspeare žiada len o povolenie pre svoj vlastný skrytý priečinok na vašom Drive, nie o prístup k vašim ostatným súborom. Google vidí, koľko je záložných súborov, aké sú približne veľké a kedy boli nahrané. Čo je v nich, vidieť nemôže.

Záložný súbor. Trezor môžete exportovať aj ako jeden zašifrovaný súbor a uložiť ho kamkoľvek: do inej cloudovej služby, na pamäťovú kartu alebo do počítača. Otvorí sa len s vašou frázou na obnovenie.

Vlastné automatické zálohovanie Androidu je pre Lockspeare vypnuté. Nedokázalo by obnoviť kľúče viazané na hardvér, takže by len skopírovalo dáta, ktoré nikto nemôže použiť.

Keď aplikáciu používate

• Snímky obrazovky, nahrávanie obrazovky a náhľad v nedávnych aplikáciách sú blokované.
• Trezor sa uzamkne hneď, ako aplikáciu opustíte, pokiaľ si nezvolíte krátke oneskorenie.
• Uzamknutie vymaže kľúče a všetky dešifrované náhľady z pamäte a dočasného úložiska aplikácie. Aplikácie pre Android bežia v systéme, ktorý si môže robiť interné kópie pamäte, takže vymažeme všetko, čo máme pod kontrolou, no nemôžeme sľúbiť, že v pamäti nezostane žiadna kópia, kým sa pamäť znovu nepoužije.
• Fotky a videá, ktoré nasnímate fotoaparátom priamo v Lockspeare, idú rovno do trezoru a nikdy sa neobjavia v galérii, takže ich cloudové zálohy fotiek nikdy neuvidia. Fotky sa šifrujú priamo z pamäte. Nahrávač videa v Androide potrebuje súbor, preto sa video počas nahrávania zapisuje do súkromného úložiska Lockspeare, zašifruje sa hneď, ako nahrávanie zastavíte, a nezašifrovaný súbor sa vymaže.

Presúvanie fotiek z galérie

Keď pridáte fotku z galérie, Lockspeare ju najprv zašifruje, potom zašifrovanú kópiu znovu otvorí a skontroluje, či sa zhoduje s originálom. Až potom ponúkne odstránenie originálu cez vlastné potvrdzovacie okno Androidu.

Dve miesta sú mimo dosahu Lockspeare a na obe vás upozorníme po každom importe:

• Kôš vašej galérie. Mnohé aplikácie galérie uchovávajú odstránené fotky asi 30 dní. Vyprázdnite ho, aby ste ich odstránili natrvalo.
• Cloudové zálohy fotiek. Ak už fotku zálohovala cloudová služba na fotky, táto kópia tam zostane, kým ju nevymažete.

Čo opúšťa váš telefón

• Predvolene nič. Lockspeare funguje úplne offline.
• Google Drive, len ak zapnete zálohovanie, a len zašifrované súbory.
• Google Play, na spracovanie nákupov.
• Hlásenia o pádoch, len ak ich zapnete v Nastaveniach. Obsahujú technické údaje, napríklad model telefónu a miesto, kde aplikácia zlyhala. Nikdy nie vaše súbory, názvy súborov, PIN kód ani vzor.

V aplikácii nie sú žiadne reklamy, reklamné identifikátory ani analytické knižnice.

Pred čím Lockspeare nedokáže chrániť

Úprimnosť o obmedzeniach je súčasťou bezpečnosti. Lockspeare nechráni pred:

• Niekým, kto sa pozerá, ako zadávate PIN kód alebo kreslíte vzor. Zakryte obrazovku.
• Napadnutým telefónom, kým je trezor otvorený. Malvér s hlbokým prístupom do telefónu alebo napadnutý operačný systém vidí, čo je na obrazovke.
• Niekým s úplnou kontrolou nad vaším odomknutým telefónom a neobmedzeným časom. Mohol by skúšať PIN kódy alebo vzory priamo v telefóne. Argon2id robí každý pokus pomalým a dlhší PIN kód alebo vzor túto prácu výrazne sťažuje, no krátky zostáva krátkym.
• Zistením, že je Lockspeare nainštalovaný, koľko zašifrovaných dát obsahuje a akú približnú veľkosť má každý zašifrovaný súbor.
• Stratou PIN kódu alebo vzoru aj frázy na obnovenie. Vtedy trezor nemôže otvoriť nikto, ani my.

Nezávislá kontrola

Tento návrh zatiaľ neprešiel nezávislým auditom. Plánujeme ho dať skontrolovať pred spustením Lockspeare a výsledok zverejníme tu. Ak nájdete problém, napíšte na security@lockspeare.com.