Як Lockspeare захищає ваші фото

Коротко

• Кожне фото й відео шифрується на телефоні за допомогою AES-256-GCM ще до збереження.
• Ключ, що відкриває ваш сейф, захищений двічі: вашим PIN-кодом або графічним ключем, а також апаратним ключем в Android Keystore, який ніколи не залишає телефон.
• Копія пам’яті вашого телефона містить лише зашифровані дані. Без безпечного обладнання вашого телефона ніхто не може підбирати до них PIN-коди чи графічні ключі.
• Фраза відновлення з 12 слів — єдиний спосіб відкрити сейф на іншому телефоні або з резервної копії.
• У Lockspeare немає серверів і акаунтів. Ми ніколи не отримуємо ваших файлів, PIN-коду чи графічного ключа або ключів шифрування.

Що шифрується

Усе, що ви кладете в сейф: фото, відео, їхні мініатюри, оригінальні назви файлів, дати й альбоми.

Кожен файл шифрується власним ключем, отриманим із головного ключа сейфа. Великі файли шифруються сегментами по 1 МБ, кожен із власною перевіркою цілісності, тож відео можна відтворювати без розшифрування всього файлу одразу, а будь-яку зміну зашифрованого файлу буде виявлено. Для цього ми використовуємо бібліотеку Google Tink, а не пишемо власне шифрування.

Зашифровані файли зберігаються в приватному сховищі Lockspeare з випадковими назвами. Файли всіх ваших сейфів лежать в одній папці, тож із папки не видно, якому сейфу належить файл.

Як PIN-код або графічний ключ відкриває сейф

Під час налаштування Lockspeare ви обираєте спосіб розблокування: PIN-код щонайменше з 6 цифр або графічний ключ на сітці 3×3, як на екрані блокування. Усі сейфи на телефоні використовують однаковий тип блокування, тож екран блокування нічого не видає.

Кожен сейф має випадковий 256-бітний головний ключ, створений на вашому телефоні. Цей ключ ніколи не зберігається у відкритому вигляді. Він зберігається у двох замкнених формах:

Замкнений вашим PIN-кодом або графічним ключем, на цьому телефоні. Ваш PIN-код або графічний ключ перетворюється на ключ шифрування за допомогою Argon2id — алгоритму, створеного для того, щоб кожна спроба підбору була повільною і вимагала багато пам’яті. Результат потім ще раз шифрується ключем, що зберігається в Android Keystore, у безпечному обладнанні телефона. Цей другий ключ неможливо скопіювати з телефона.

Це важливо, бо і PIN-код, і графічний ключ короткі. Самі по собі вони могли б швидко бути підібрані комп’ютером, що працює з копією ваших файлів. Прив’язка до обладнання телефона означає, що підбирати можна лише на вашому телефоні, і кожна спроба повільна.

Замкнений вашою фразою відновлення. Коли ви створюєте сейф, Lockspeare показує 12 слів, вибраних випадково зі стандартного списку з 2048 слів. Це дає близько 128 біт випадковості — набагато більше, ніж будь-хто може вгадати. Фраза відкриває сейф, якщо ви забули PIN-код або графічний ключ, переходите на новий телефон або відновлюєте резервну копію.

Перш ніж сейф буде готовий, ви підтверджуєте кілька слів. Запишіть їх і зберігайте в надійному місці. У нас копії немає.

Окремі сейфи і сейф-приманка

Кожен PIN-код або графічний ключ відкриває власний сейф. Ви можете використати другий PIN-код або графічний ключ для сейфа-приманки з невинними фото — на випадок, якщо хтось колись тиснутиме на вас, щоб ви розблокували додаток.

Lockspeare завжди тримає на диску однакову кількість слотів для сейфів, незалежно від того, користуєтеся ви одним сейфом чи кількома. Невикористані слоти заповнені випадковими даними, які виглядають так само, як справжній зашифрований сейф. У додатку немає списку сейфів. Тому ні екран, ні копія ваших файлів не показують, скільки у вас сейфів.

Одне обмеження: щоб не перезаписати сейф під час створення нового, додаток зберігає позначку про те, які слоти зайняті, замкнену апаратним ключем телефона. Той, хто має повний контроль над вашим розблокованим телефоном, міг би прочитати цю позначку й дізнатися, скільки існує сейфів, але не те, що в них.

Резервні копії

Резервні копії необов’язкові. Є два види.

Google Drive. Lockspeare зберігає резервну копію в прихованій папці додатка на вашому власному Google Drive. Він завантажує файли точно в тому вигляді, у якому вони зберігаються на телефоні: уже зашифрованими. Також він завантажує ключ сейфа, замкнений вашою фразою відновлення. Копію, замкнену PIN-кодом або графічним ключем, він ніколи не завантажує, бо вона працює лише з обладнанням вашого телефона.

Щоб відновити дані на новому телефоні, ви вводите фразу відновлення, а потім обираєте новий PIN-код або графічний ключ.

Lockspeare просить доступ лише до власної прихованої папки на вашому Drive, а не до інших ваших файлів. Google бачить, скільки є файлів резервної копії, приблизно який у них розмір і коли їх завантажено. Що в них, Google не бачить.

Файл резервної копії. Ви також можете експортувати сейф як один зашифрований файл і зберегти його будь-де: в іншому хмарному сервісі, на картці пам’яті чи на комп’ютері. Він відкривається лише фразою відновлення.

Вбудоване автоматичне резервне копіювання Android для Lockspeare вимкнене. Воно не змогло б відновити ключі, прив’язані до обладнання, тож лише копіювало б дані, якими ніхто не може скористатися.

Поки ви користуєтеся додатком

• Знімки екрана, запис екрана й попередній перегляд у недавніх додатках заблоковано.
• Сейф блокується, щойно ви виходите з додатка, якщо тільки ви не оберете коротку затримку.
• Блокування видаляє ключі й будь-які розшифровані попередні перегляди з пам’яті додатка та тимчасового сховища. Додатки Android працюють у системі, яка може робити внутрішні копії пам’яті, тому ми очищаємо все, що контролюємо, але не можемо обіцяти, що жодна копія не залишиться в пам’яті, доки її не буде перезаписано.
• Фото й відео, зняті камерою всередині Lockspeare, потрапляють одразу в сейф і ніколи не з’являються в галереї, тож хмарні сервіси резервного копіювання фото їх не бачать. Фото шифруються прямо з пам’яті. Відеозапису в Android потрібен файл, тому під час запису відео пишеться в приватне сховище Lockspeare, шифрується, щойно ви зупините запис, а незашифрований файл видаляється.

Перенесення фото з галереї

Коли ви додаєте фото з галереї, Lockspeare спочатку шифрує його, потім знову відкриває зашифровану копію й перевіряє, що вона збігається з оригіналом. Лише після цього він пропонує видалити оригінал через стандартне вікно підтвердження Android.

Два місця Lockspeare недоступні, і ми нагадуємо про обидва після кожного імпорту:

• Кошик галереї. Багато додатків-галерей зберігають видалені фото приблизно 30 днів. Очистьте його, щоб видалити їх назавжди.
• Хмарні резервні копії фото. Якщо фото вже було збережене хмарним сервісом для фото, ця копія залишається там, доки ви її не видалите.

Що залишає ваш телефон

• За замовчуванням — нічого. Lockspeare повністю працює офлайн.
• Google Drive — лише якщо ви ввімкнете резервне копіювання, і лише зашифровані файли.
• Google Play — для обробки покупок.
• Звіти про збої — лише якщо ви ввімкнете їх у налаштуваннях. Вони містять технічні дані, як-от модель телефона й місце, де стався збій. Ніколи — ваші файли, назви файлів, PIN-код чи графічний ключ.

У додатку немає реклами, рекламних ідентифікаторів і бібліотек аналітики.

Від чого Lockspeare не може захистити

Чесно говорити про обмеження — теж частина безпеки. Lockspeare не захищає від:

• Того, хто бачить, як ви вводите PIN-код або малюєте графічний ключ. Прикривайте екран.
• Зламаного телефона, поки ваш сейф відкритий. Шкідлива програма з глибоким доступом до телефона або зламана операційна система можуть бачити, що у вас на екрані.
• Того, хто має повний контроль над вашим розблокованим телефоном і необмежений час. Він міг би підбирати PIN-коди чи графічні ключі на самому телефоні. Argon2id робить кожну спробу повільною, а довший PIN-код чи графічний ключ значно ускладнює завдання, але короткий усе одно залишається коротким.
• Того, що видно, що Lockspeare встановлено, скільки зашифрованих даних він зберігає і приблизний розмір кожного зашифрованого файлу.
• Втрати і PIN-коду чи графічного ключа, і фрази відновлення. Тоді сейф не зможе відкрити ніхто, зокрема й ми.

Незалежна перевірка

Цей захист ще не проходив незалежного аудиту. Ми плануємо замовити перевірку до запуску Lockspeare і опублікуємо результат тут. Якщо ви знайшли проблему, напишіть на security@lockspeare.com.