Lockspeare bảo vệ ảnh của bạn như thế nào

Tóm tắt

• Mỗi ảnh và video được mã hóa trên điện thoại bằng AES-256-GCM trước khi được lưu.
• Khóa mở kho của bạn được bảo vệ hai lớp: bằng mã PIN hoặc hình mở khóa của bạn, và bằng một khóa gắn với phần cứng trong Android Keystore, không bao giờ rời khỏi điện thoại.
• Bản sao bộ nhớ điện thoại của bạn chỉ chứa dữ liệu đã mã hóa. Không có phần cứng bảo mật của điện thoại bạn, không ai có thể thử dò mã PIN hoặc hình mở khóa trên đó.
• Cụm từ khôi phục gồm 12 từ là cách duy nhất để mở kho trên một điện thoại khác hoặc từ bản sao lưu.
• Lockspeare không có máy chủ và không có tài khoản. Chúng tôi không bao giờ nhận tệp, mã PIN hoặc hình mở khóa, hay khóa của bạn.

Những gì được mã hóa

Mọi thứ bạn đưa vào kho: ảnh, video, ảnh thu nhỏ, tên tệp gốc, ngày tháng và album.

Mỗi tệp được mã hóa bằng một khóa riêng, được tạo ra từ khóa chính của kho. Tệp lớn được mã hóa theo từng đoạn 1 MB, mỗi đoạn có bước kiểm tra toàn vẹn riêng, nhờ vậy video có thể phát mà không cần giải mã cả tệp cùng lúc, và mọi thay đổi trên tệp đã mã hóa đều bị phát hiện. Chúng tôi dùng thư viện Tink của Google cho việc này, thay vì tự viết thuật toán mã hóa.

Tệp đã mã hóa được lưu trong bộ nhớ riêng của ứng dụng Lockspeare với tên ngẫu nhiên. Tệp của tất cả các kho nằm chung một thư mục, nên thư mục không cho biết tệp nào thuộc kho nào.

Mã PIN hoặc hình mở khóa mở kho như thế nào

Khi thiết lập Lockspeare, bạn chọn cách mở khóa: mã PIN ít nhất 6 chữ số, hoặc hình mở khóa trên lưới 3×3 giống màn hình khóa của bạn. Mọi kho trên điện thoại đều dùng cùng một kiểu khóa, nên màn hình khóa không để lộ điều gì.

Mỗi kho có một khóa chính 256 bit ngẫu nhiên, được tạo trên điện thoại của bạn. Khóa này không bao giờ được lưu ở dạng đọc được. Nó được lưu dưới hai dạng đã khóa:

Khóa bằng mã PIN hoặc hình mở khóa, trên điện thoại này. Mã PIN hoặc hình mở khóa của bạn được biến thành một khóa bằng Argon2id, một thuật toán được thiết kế để mỗi lần đoán đều chậm và tốn nhiều bộ nhớ. Kết quả sau đó được mã hóa thêm một lần nữa bằng một khóa nằm trong Android Keystore, bên trong phần cứng bảo mật của điện thoại. Khóa thứ hai này không thể sao chép ra khỏi điện thoại.

Điều này quan trọng vì mã PIN hay hình mở khóa đều ngắn. Nếu chỉ có chúng, một máy tính làm việc trên bản sao tệp của bạn có thể đoán ra nhanh chóng. Gắn nó với phần cứng của điện thoại nghĩa là chỉ có thể đoán trên chính điện thoại của bạn, và mỗi lần đoán đều chậm.

Khóa bằng cụm từ khôi phục. Khi bạn tạo kho, Lockspeare hiển thị 12 từ, được chọn ngẫu nhiên từ một danh sách chuẩn gồm 2.048 từ. Như vậy có khoảng 128 bit ngẫu nhiên, vượt xa khả năng đoán của bất kỳ ai. Cụm từ này mở được kho nếu bạn quên mã PIN hoặc hình mở khóa, chuyển sang điện thoại mới hoặc khôi phục bản sao lưu.

Bạn xác nhận lại vài từ trước khi kho sẵn sàng. Hãy ghi chúng ra và cất ở nơi an toàn. Chúng tôi không có bản sao nào.

Các kho riêng biệt và kho giả

Mỗi mã PIN hoặc hình mở khóa mở một kho riêng. Bạn có thể dùng một cái thứ hai cho một kho giả chứa ảnh vô hại, phòng khi có người ép bạn mở khóa ứng dụng.

Lockspeare luôn giữ cùng một số lượng ô kho trên bộ nhớ, dù bạn dùng một hay nhiều kho. Các ô chưa dùng được lấp đầy bằng dữ liệu ngẫu nhiên trông giống hệt một kho thật đã mã hóa. Ứng dụng không có danh sách kho. Vì vậy, cả màn hình lẫn bản sao tệp của bạn đều không cho biết bạn có bao nhiêu kho.

Một hạn chế: để tránh ghi đè lên một kho khi bạn tạo kho mới, ứng dụng giữ một ghi chú về những ô đã được dùng, được khóa bằng khóa phần cứng của điện thoại. Người có toàn quyền kiểm soát điện thoại đang mở khóa của bạn có thể đọc ghi chú đó và biết có bao nhiêu kho, nhưng không biết bên trong có gì.

Sao lưu

Sao lưu là tùy chọn. Có hai loại.

Google Drive. Lockspeare lưu bản sao lưu trong một thư mục ứng dụng ẩn trên Google Drive của chính bạn. Ứng dụng tải tệp lên đúng như cách chúng được lưu trên điện thoại: đã được mã hóa. Ứng dụng cũng tải lên khóa kho của bạn, được khóa bằng cụm từ khôi phục. Ứng dụng không bao giờ tải lên bản được khóa bằng mã PIN hoặc hình mở khóa, vì bản đó chỉ dùng được với phần cứng của điện thoại bạn.

Để khôi phục trên điện thoại mới, bạn nhập cụm từ khôi phục, rồi chọn một mã PIN hoặc hình mở khóa mới.

Lockspeare chỉ xin quyền truy cập vào thư mục ẩn của riêng nó trong Drive, không xin quyền truy cập các tệp khác của bạn. Google có thể thấy có bao nhiêu tệp sao lưu, kích thước gần đúng của chúng và thời điểm tải lên. Google không thể thấy bên trong có gì.

Tệp sao lưu. Bạn cũng có thể xuất một kho thành một tệp duy nhất đã mã hóa và lưu ở bất cứ đâu: một dịch vụ đám mây khác, thẻ nhớ hoặc máy tính của bạn. Tệp này chỉ mở được bằng cụm từ khôi phục.

Tính năng sao lưu tự động của Android bị tắt đối với Lockspeare. Nó không thể khôi phục các khóa gắn với phần cứng, nên sẽ chỉ sao chép dữ liệu mà không ai dùng được.

Trong khi bạn dùng ứng dụng

• Ảnh chụp màn hình, quay màn hình và bản xem trước trong danh sách ứng dụng gần đây đều bị chặn.
• Kho khóa lại ngay khi bạn rời ứng dụng, trừ khi bạn chọn một khoảng trễ ngắn.
• Khi khóa, ứng dụng xóa các khóa và mọi bản xem trước đã giải mã khỏi bộ nhớ và bộ nhớ tạm của ứng dụng. Ứng dụng Android chạy trên một hệ thống có thể tạo bản sao nội bộ của bộ nhớ, nên chúng tôi xóa mọi thứ mình kiểm soát được nhưng không thể hứa rằng không còn bản sao nào trong bộ nhớ cho đến khi vùng nhớ đó được dùng lại.
• Ảnh và video bạn chụp bằng máy ảnh bên trong Lockspeare đi thẳng vào kho và không bao giờ xuất hiện trong thư viện ảnh, nên các dịch vụ sao lưu ảnh lên đám mây không bao giờ thấy chúng. Ảnh được mã hóa ngay từ bộ nhớ. Trình quay video của Android cần một tệp, nên trong lúc quay, video được ghi vào bộ nhớ riêng của Lockspeare, được mã hóa ngay khi bạn dừng quay, và tệp chưa mã hóa sẽ bị xóa.

Chuyển ảnh từ thư viện vào kho

Khi bạn thêm một ảnh từ thư viện, Lockspeare mã hóa ảnh trước, rồi mở lại bản đã mã hóa và kiểm tra xem nó có khớp với bản gốc không. Chỉ khi đó ứng dụng mới đề nghị xóa bản gốc, thông qua hộp thoại xác nhận của chính Android.

Có hai nơi nằm ngoài tầm với của Lockspeare, và chúng tôi nhắc bạn về cả hai sau mỗi lần nhập:

• Thùng rác của thư viện ảnh. Nhiều ứng dụng thư viện ảnh giữ ảnh đã xóa khoảng 30 ngày. Hãy dọn sạch thùng rác để xóa chúng vĩnh viễn.
• Sao lưu ảnh lên đám mây. Nếu một ảnh đã được một dịch vụ ảnh đám mây sao lưu, bản đó vẫn nằm ở đó cho đến khi bạn xóa.

Những gì rời khỏi điện thoại của bạn

• Không gì cả, theo mặc định. Lockspeare hoạt động hoàn toàn ngoại tuyến.
• Google Drive, chỉ khi bạn bật sao lưu, và chỉ các tệp đã mã hóa.
• Google Play, để xử lý giao dịch mua.
• Báo cáo sự cố, chỉ khi bạn bật trong phần Cài đặt. Chúng chứa thông tin kỹ thuật như mẫu điện thoại và vị trí ứng dụng gặp lỗi. Không bao giờ chứa tệp, tên tệp, mã PIN hay hình mở khóa của bạn.

Ứng dụng không có quảng cáo, không có mã nhận dạng quảng cáo và không có thư viện phân tích nào.

Những gì Lockspeare không bảo vệ được

Thành thật về giới hạn cũng là một phần của bảo mật. Lockspeare không bảo vệ bạn trước:

• Người nhìn trộm khi bạn nhập mã PIN hoặc vẽ hình mở khóa. Hãy che màn hình lại.
• Điện thoại bị xâm nhập trong lúc kho đang mở. Phần mềm độc hại có quyền truy cập sâu vào điện thoại, hoặc một hệ điều hành bị hack, có thể thấy những gì trên màn hình của bạn.
• Người có toàn quyền kiểm soát điện thoại đang mở khóa của bạn và có thời gian không giới hạn. Họ có thể thử các mã PIN hoặc hình mở khóa trên chính điện thoại. Argon2id khiến mỗi lần thử đều chậm, và mã PIN hoặc hình mở khóa dài hơn làm việc này khó hơn rất nhiều, nhưng cái ngắn thì vẫn là ngắn.
• Việc người khác thấy Lockspeare đã được cài đặt, lượng dữ liệu đã mã hóa mà ứng dụng chứa, và kích thước gần đúng của từng tệp đã mã hóa.
• Mất cả mã PIN hoặc hình mở khóa lẫn cụm từ khôi phục. Khi đó không ai mở được kho, kể cả chúng tôi.

Đánh giá độc lập

Thiết kế này chưa được kiểm toán độc lập. Chúng tôi dự định nhờ đánh giá trước khi Lockspeare ra mắt, và sẽ công bố kết quả tại đây. Nếu bạn phát hiện vấn đề, hãy viết thư đến security@lockspeare.com.