Како Lockspeare штити ваше фотографије

Укратко

• Свака фотографија и сваки видео шифрују се на телефону помоћу AES-256-GCM пре него што се сачувају.
• Кључ који отвара ваш сеф заштићен је двоструко: вашим PIN-ом или шаблоном и хардверским кључем у Android Keystore-у који никада не напушта телефон.
• Копија меморије вашег телефона садржи само шифроване податке. Без безбедног хардвера вашег телефона нико не може да испробава PIN-ове или шаблоне на њој.
• Ваша фраза за опоравак од 12 речи једини је начин да отворите сеф на другом телефону или из резервне копије.
• Lockspeare нема сервере ни налоге. Никада не примамо ваше фајлове, PIN или шаблон, нити кључеве.

Шта се шифрује

Све што ставите у сеф: фотографије, видео-снимци, њихове сличице, оригинални називи фајлова, датуми и албуми.

Сваки фајл се шифрује сопственим кључем, изведеним из главног кључа вашег сефа. Велики фајлови се шифрују у сегментима од 1 MB, сваки са сопственом провером интегритета, тако да видео може да се пусти без дешифровања целог фајла одједном, а свака измена шифрованог фајла бива откривена. За ово користимо Google-ову библиотеку Tink, уместо да пишемо сопствено шифровање.

Шифровани фајлови чувају се у приватној меморији апликације Lockspeare са насумичним називима. Фајлови из свих ваших сефова налазе се у истом фолдеру, па фолдер не открива ком сефу фајл припада.

Како ваш PIN или шаблон отвара сеф

Када подешавате Lockspeare, бирате како ћете га откључавати: PIN од најмање 6 цифара или шаблон на мрежи 3×3, као на закључаном екрану. Сви сефови на телефону користе исту врсту закључавања, па закључани екран ништа не открива.

Сваки сеф има насумични главни кључ од 256 бита, направљен на вашем телефону. Тај кључ се никада не чува у читљивом облику. Чува се у два закључана облика:

Закључан вашим PIN-ом или шаблоном, на овом телефону. Ваш PIN или шаблон се претвара у кључ помоћу Argon2id, алгоритма осмишљеног тако да сваки покушај погађања буде спор и захтева много меморије. Резултат се затим поново шифрује кључем који се чува у Android Keystore-у, унутар безбедног хардвера вашег телефона. Тај други кључ не може да се копира са телефона.

Ово је важно зато што је PIN или шаблон кратак. Сам по себи, рачунар би могао брзо да га погоди радећи на копији ваших фајлова. Везивање за хардвер телефона значи да се погађати може само на вашем телефону, и да је сваки покушај спор.

Закључан вашом фразом за опоравак. Када направите сеф, Lockspeare вам показује 12 речи, насумично изабраних са стандардне листе од 2.048 речи. То даје око 128 бита насумичности, далеко више него што ико може да погоди. Фраза отвара сеф ако заборавите PIN или шаблон, пређете на нови телефон или враћате резервну копију.

Пре него што сеф буде спреман, потврдите неколико речи. Запишите их на сигурно место. Ми немамо копију.

Одвојени сефови и лажни сеф

Сваки PIN или шаблон отвара свој сеф. Други PIN или шаблон можете користити за лажни сеф са безазленим фотографијама, за случај да вас неко икада притисне да откључате апликацију.

Lockspeare на диску увек држи исти број места за сефове, било да користите један сеф или више њих. Неискоришћена места попуњена су насумичним подацима који изгледају исто као прави, шифровани сеф. Апликација нема списак сефова. Тако ни екран ни копија ваших фајлова не показују колико сефова имате.

Једно ограничење: да не би преписала постојећи сеф када правите нови, апликација води белешку о томе која су места заузета, закључану хардверским кључем вашег телефона. Неко ко има потпуну контролу над вашим откључаним телефоном могао би да прочита ту белешку и сазна колико сефова постоји, али не и шта је у њима.

Резервне копије

Резервне копије су опционе. Постоје две врсте.

Google Drive. Lockspeare чува резервну копију у скривеном фолдеру апликације на вашем Google Drive-у. Отпрема фајлове тачно онако како се чувају на телефону: већ шифроване. Отпрема и кључ вашег сефа закључан фразом за опоравак. Никада не отпрема копију закључану PIN-ом или шаблоном, јер та копија ради само са хардвером вашег телефона.

Да бисте вратили податке на нови телефон, унесете фразу за опоравак, па изаберете нови PIN или шаблон.

Lockspeare тражи дозволу само за свој скривени фолдер на вашем Drive-у, а не приступ осталим фајловима. Google може да види колико има фајлова резервне копије, отприлике колико су велики и када су отпремљени. Не може да види шта је у њима.

Фајл резервне копије. Сеф можете извести и као један шифровани фајл и сачувати га било где: на другом сервису у облаку, на меморијској картици или на рачунару. Отвара се само фразом за опоравак.

Аутоматска резервна копија самог Android-а искључена је за Lockspeare. Она не би могла да врати кључеве везане за хардвер, па би само копирала податке које нико не може да искористи.

Док користите апликацију

• Снимци екрана, снимање екрана и преглед у недавним апликацијама су блокирани.
• Сеф се закључава чим напустите апликацију, осим ако не изаберете кратко одлагање.
• Закључавање брише кључеве и све дешифроване прегледе из меморије апликације и привременог складишта. Android апликације раде на систему који може да прави интерне копије меморије, па бришемо све што контролишемо, али не можемо да обећамо да ниједна копија неће остати у меморији док се она поново не искористи.
• Фотографије и видео-снимци које направите камером унутар Lockspeare-а иду директно у сеф и никада се не појављују у галерији, па их резервне копије фотографија у облаку никада не виде. Фотографије се шифрују директно из меморије. Android-ов снимач видеа захтева фајл, па се видео током снимања уписује у приватну меморију Lockspeare-а, шифрује чим зауставите снимање, а нешифровани фајл се брише.

Пребацивање фотографија из галерије

Када додате фотографију из галерије, Lockspeare је прво шифрује, затим поново отвара шифровану копију и проверава да ли се поклапа са оригиналом. Тек онда нуди да обрише оригинал, кроз Android-ов сопствени дијалог за потврду.

Два места су ван домашаја Lockspeare-а, и после сваког увоза вас подсећамо на оба:

• Отпад у галерији. Многе апликације за галерију чувају обрисане фотографије око 30 дана. Испразните га да бисте их трајно уклонили.
• Резервне копије фотографија у облаку. Ако је сервис за фотографије у облаку већ направио резервну копију фотографије, та копија остаје тамо док је не обришете.

Шта напушта ваш телефон

• Ништа, подразумевано. Lockspeare потпуно ради ван мреже.
• Google Drive, само ако укључите резервну копију, и само шифровани фајлови.
• Google Play, ради обраде куповина.
• Извештаји о падовима, само ако их укључите у подешавањима. Садрже техничке детаље као што су модел телефона и место где је апликација отказала. Никада ваше фајлове, називе фајлова, PIN или шаблон.

У апликацији нема реклама, рекламних ID-ова ни библиотека за аналитику.

Од чега Lockspeare не може да вас заштити

Искреност о ограничењима део је безбедности. Lockspeare не штити од:

• Некога ко вас гледа док уносите PIN или цртате шаблон. Заклоните екран.
• Угроженог телефона док је сеф отворен. Злонамерни софтвер са дубоким приступом телефону или хакован оперативни систем може да види шта је на екрану.
• Некога ко има потпуну контролу над вашим откључаним телефоном и неограничено време. Могао би да испробава PIN-ове или шаблоне на самом телефону. Argon2id чини сваки покушај спорим, а дужи PIN или шаблон знатно отежава посао, али кратак је и даље кратак.
• Тога да се види да је Lockspeare инсталиран, колико шифрованих података чува и приближна величина сваког шифрованог фајла.
• Губитка и PIN-а или шаблона и фразе за опоравак. Тада нико не може да отвори сеф, ни ми.

Независна провера

Овај дизајн још није независно ревидиран. Планирамо да га дамо на проверу пре лансирања Lockspeare-а и објавићемо резултат овде. Ако пронађете проблем, пишите на security@lockspeare.com.