Lockspeare fotoğraflarını nasıl korur

Kısaca

• Her fotoğraf ve video, saklanmadan önce telefonunda AES-256-GCM ile şifrelenir.
• Kasanı açan anahtar iki kez korunur: PIN’in ya da desenin ile ve Android Keystore’da duran, telefonundan hiç çıkmayan donanım destekli bir anahtarla.
• Telefonunun depolama alanının bir kopyası yalnızca şifreli veri içerir. Telefonunun güvenli donanımı olmadan kimse bu kopya üzerinde PIN ya da desen deneyemez.
• 12 kelimelik kurtarma ifaden, bir kasayı başka bir telefonda ya da bir yedekten açmanın tek yoludur.
• Lockspeare’in sunucusu ve hesap sistemi yoktur. Dosyalarını, PIN’ini ya da desenini veya anahtarlarını asla almayız.

Neler şifrelenir

Bir kasaya koyduğun her şey: fotoğraflar, videolar, küçük resimleri, orijinal dosya adları, tarihleri ve albümleri.

Her dosya, kasanın ana anahtarından türetilen kendi anahtarıyla şifrelenir. Büyük dosyalar, her biri kendi bütünlük kontrolüne sahip 1 MB’lık parçalar halinde şifrelenir; böylece videolar dosyanın tamamı tek seferde çözülmeden oynatılabilir ve şifreli bir dosyadaki her değişiklik fark edilir. Bunun için kendi şifrelememizi yazmak yerine Google’ın Tink kütüphanesini kullanıyoruz.

Şifreli dosyalar, Lockspeare’in özel uygulama depolama alanında rastgele adlarla saklanır. Tüm kasalarının dosyaları aynı klasörde durur; böylece klasöre bakarak bir dosyanın hangi kasaya ait olduğu anlaşılmaz.

PIN’in ya da desenin bir kasayı nasıl açar

Lockspeare’i kurarken kilidi nasıl açacağını seçersin: en az 6 haneli bir PIN ya da kilit ekranındaki gibi 3×3 bir ızgara üzerinde bir desen. Telefondaki tüm kasalar aynı türde kilit kullanır, böylece kilit ekranı hiçbir şey ele vermez.

Her kasanın, telefonunda oluşturulan rastgele 256 bitlik bir ana anahtarı vardır. Bu anahtar asla okunabilir halde saklanmaz. İki farklı kilitli biçimde saklanır:

Bu telefonda, PIN’in ya da desenin ile kilitli. PIN’in ya da desenin, her tahmini yavaş ve bellek açısından maliyetli hale getirmek için tasarlanmış bir algoritma olan Argon2id ile bir anahtara dönüştürülür. Sonuç, telefonunun güvenli donanımındaki Android Keystore’da tutulan bir anahtarla bir kez daha şifrelenir. Bu ikinci anahtar telefondan kopyalanamaz.

Bu önemlidir, çünkü bir PIN ya da desen kısadır. Tek başına, dosyalarının bir kopyası üzerinde çalışan bir bilgisayar tarafından hızla tahmin edilebilir. Onu telefonunun donanımına bağlamak, tahminlerin yalnızca senin telefonunda yapılabilmesi ve her birinin yavaş olması anlamına gelir.

Kurtarma ifadenle kilitli. Bir kasa oluşturduğunda Lockspeare sana, 2.048 kelimelik standart bir listeden rastgele seçilmiş 12 kelime gösterir. Bu yaklaşık 128 bitlik rastgelelik sağlar; kimsenin tahmin edebileceği düzeyin çok ötesindedir. Bu ifade, PIN’ini ya da desenini unutursan, yeni bir telefona geçersen ya da bir yedeği geri yüklersen kasayı açar.

Kasa hazır olmadan önce kelimelerin birkaçını doğrularsın. Onları güvenli bir yere yaz. Bizde bir kopyası yoktur.

Ayrı kasalar ve sahte kasa

Her PIN ya da desen kendi kasasını açar. Biri seni uygulamanın kilidini açmaya zorlarsa diye, ikinci bir PIN ya da desenle zararsız fotoğrafların olduğu bir sahte kasa kullanabilirsin.

Lockspeare, ister bir ister birkaç kasa kullan, diskte her zaman aynı sayıda kasa yuvası tutar. Kullanılmayan yuvalar, gerçek ve şifreli bir kasayla aynı görünen rastgele verilerle doldurulur. Uygulamada bir kasa listesi yoktur. Bu yüzden ne ekran ne de dosyalarının bir kopyası kaç kasan olduğunu gösterir.

Bir sınır var: yeni bir kasa oluştururken mevcut bir kasanın üzerine yazmamak için uygulama, hangi yuvaların dolu olduğunu gösteren bir not tutar ve bu not telefonunun donanım anahtarıyla kilitlidir. Kilidi açık telefonunun tam kontrolünü ele geçiren biri bu notu okuyup kaç kasa olduğunu öğrenebilir, ama içlerinde ne olduğunu öğrenemez.

Yedekler

Yedekler isteğe bağlıdır. İki türü vardır.

Google Drive. Lockspeare yedeği kendi Google Drive’ındaki gizli bir uygulama klasöründe saklar. Dosyaları telefonunda saklandıkları haliyle, yani zaten şifrelenmiş olarak yükler. Ayrıca kurtarma ifadenle kilitlenmiş kasa anahtarını da yükler. PIN’in ya da desenin ile kilitlenmiş kopyayı ise asla yüklemez, çünkü o kopya yalnızca telefonunun donanımıyla çalışır.

Yeni bir telefonda geri yüklemek için kurtarma ifadeni girer, ardından yeni bir PIN ya da desen seçersin.

Lockspeare, Drive’ında yalnızca kendi gizli klasörüne erişim izni ister, diğer dosyalarına değil. Google kaç yedek dosyası olduğunu, yaklaşık ne kadar büyük olduklarını ve ne zaman yüklendiklerini görebilir. İçlerinde ne olduğunu göremez.

Yedek dosyası. Bir kasayı tek bir şifreli dosya olarak dışa aktarıp istediğin yere de kaydedebilirsin: başka bir bulut hizmetine, bir hafıza kartına ya da bilgisayarına. Yalnızca kurtarma ifadenle açılır.

Android’in kendi otomatik yedeklemesi Lockspeare için kapalıdır. Donanıma bağlı anahtarları geri yükleyemeyeceği için yalnızca kimsenin kullanamayacağı verileri kopyalamış olurdu.

Uygulamayı kullanırken

• Ekran görüntüleri, ekran kayıtları ve son uygulamalardaki önizleme engellenir.
• Kısa bir gecikme seçmediğin sürece kasa, uygulamadan çıktığın anda kilitlenir.
• Kilitleme, anahtarları ve çözülmüş önizlemeleri uygulamanın belleğinden ve geçici depolamasından temizler. Android uygulamaları, belleğin dahili kopyalarını oluşturabilen bir sistem üzerinde çalışır; bu yüzden kontrolümüzdeki her şeyi temizleriz, ancak bellek yeniden kullanılana kadar orada hiçbir kopya kalmayacağının sözünü veremeyiz.
• Lockspeare’in içindeki kamerayla çektiğin fotoğraf ve videolar doğrudan kasaya gider ve galerinde hiç görünmez; böylece bulut fotoğraf yedeklemeleri onları hiç görmez. Fotoğraflar bellekten şifrelenir. Android’in video kaydedicisi bir dosyaya ihtiyaç duyar; bu yüzden video, sen kayıt yaparken Lockspeare’in özel depolama alanına yazılır, kaydı durdurduğun anda şifrelenir ve şifrelenmemiş dosya silinir.

Galeriden fotoğraf taşıma

Galerinden bir fotoğraf eklediğinde Lockspeare önce onu şifreler, ardından şifreli kopyayı yeniden açar ve orijinalle eşleştiğini kontrol eder. Ancak bundan sonra, Android’in kendi onay penceresi üzerinden orijinali silmeyi önerir.

İki yer Lockspeare’in erişiminin dışındadır ve her içe aktarmadan sonra ikisini de sana hatırlatırız:

• Galerinin çöp kutusu. Birçok galeri uygulaması silinen fotoğrafları yaklaşık 30 gün saklar. Onları kalıcı olarak kaldırmak için çöp kutusunu boşalt.
• Bulut fotoğraf yedeklemeleri. Bir fotoğraf zaten bir bulut fotoğraf hizmetine yedeklendiyse, o kopya sen silene kadar orada kalır.

Telefonundan neler çıkar

• Varsayılan olarak hiçbir şey. Lockspeare tamamen çevrimdışı çalışır.
• Google Drive, yalnızca yedeklemeyi açarsan ve yalnızca şifreli dosyalar.
• Google Play, satın almaları işlemek için.
• Çökme raporları, yalnızca Ayarlar’dan açarsan. Telefon modeli ve uygulamanın nerede hata verdiği gibi teknik ayrıntılar içerir. Asla dosyalarını, dosya adlarını, PIN’ini ya da desenini içermez.

Uygulamada reklam, reklam kimliği ya da analiz kütüphanesi yoktur.

Lockspeare’in koruyamadığı durumlar

Sınırlar konusunda dürüst olmak güvenliğin bir parçasıdır. Lockspeare şunlara karşı koruma sağlamaz:

• PIN’ini girerken ya da desenini çizerken seni izleyen biri. Ekranı kapat.
• Kasan açıkken ele geçirilmiş bir telefon. Telefonuna derinlemesine erişimi olan kötü amaçlı yazılımlar ya da hacklenmiş bir işletim sistemi ekranında olanı görebilir.
• Kilidi açık telefonunun tam kontrolüne ve sınırsız zamana sahip biri. Telefonun kendisi üzerinde PIN ya da desen deneyebilir. Argon2id her denemeyi yavaşlatır ve daha uzun bir PIN ya da desen işi çok daha zorlaştırır, ama kısa olan yine de kısadır.
• Lockspeare’in yüklü olduğunun, ne kadar şifreli veri tuttuğunun ve her şifreli dosyanın yaklaşık boyutunun görülmesi.
• Hem PIN’ini ya da desenini hem de kurtarma ifadeni kaybetmen. O durumda biz dahil hiç kimse kasayı açamaz.

Bağımsız inceleme

Bu tasarım henüz bağımsız bir denetimden geçmedi. Lockspeare yayınlanmadan önce incelenmesini planlıyoruz ve sonucu burada yayımlayacağız. Bir sorun bulursan security@lockspeare.com adresine yaz.