Nascosto, bloccato, cifrato — tre parole vendute come una sola
Quasi tutti hanno una manciata di file che preferirebbero non far comparire quando passano il telefono a qualcuno per mostrare una foto. Le app che promettono di risolvere la cosa vanno da una cartella con sopra il disegno di un lucchetto a qualcosa di davvero illeggibile senza una chiave, e da fuori sembrano identiche. La differenza diventa visibile solo il giorno in cui conta.
- 0 copie Chiavi che una cassaforte costruita bene tiene da qualche parte che non sia il tuo dispositivo
- 2 vie d'accesso Il codice che ricordi, e il codice di recupero che hai messo altrove
- 1 regola Perdili entrambi e i file restano illeggibili — per te, e per chi ha scritto la app
Cosa vuol dire di solito «nascosto»
L'album Nascosti in Foto è la versione che quasi tutti usano già, e vale la pena essere precisi: sposta gli elementi fuori dalla griglia principale e, da iOS 16, mette Face ID davanti all'album stesso. Quello che non fa è cambiare il file. La foto è conservata esattamente com'era, si sincronizza ancora con Foto di iCloud, viene ancora restituita a qualsiasi cosa abbia ottenuto accesso alla tua libreria fotografica, e chiunque conosca il codice del tuo dispositivo può aprirla perché il codice del dispositivo è il ripiego di Face ID. È mettere in ordine, non proteggere — e per il caso comune di un amico che scorre una foto di troppo, mettere in ordine basta davvero.
Il livello successivo è una cartella dietro un codice, che è ciò che sono davvero quasi tutte le app che si definiscono casseforti. C'è una schermata con un PIN, e dietro una lista di file che stanno su disco nel modo normale. Ferma una persona che ha in mano il tuo telefono sbloccato, che è una minaccia reale e comune. Non fa assolutamente niente contro un backup completo, un'estrazione forense o qualsiasi altra cosa che legga la memoria invece della app.
Il livello più alto è la crittografia con una chiave propria. I file vengono trasformati all'ingresso, e ciò che resta su disco è privo di senso senza la chiave: né un'anteprima, né un nome di file, né una lunghezza che tradisca il contenuto. Chi copia la memoria si prende del rumore. È l'unica versione in cui la frase «nessun altro può aprirlo» è letteralmente vera — ed è anche l'unica versione in cui perdere la tua chiave vuol dire perdere i file, che è lo scambio che nessuno pubblicizza.
I tre approcci, misurati su quello che ti preoccupa davvero
Scegli in base alla minaccia, non al marketing. Quasi tutti hanno bisogno del secondo e comprano il terzo; qualcuno ha davvero bisogno del terzo e si accontenta del primo.
Le parole nell'elenco delle funzioni, tradotte
Questi termini vengono usati con precisione da chi costruisce queste cose e alla leggera da chi le vende. Conoscerli è quasi tutta la difesa.
- Crittografia a riposo
- Il file è illeggibile mentre sta su disco, non soltanto mentre viaggia. È l'affermazione che conta per una cassaforte, ed è quella più spesso lasciata intendere senza essere fatta.
- AEAD (cifratura autenticata)
- Cifratura che rileva anche le manomissioni — AES-GCM e ChaCha20-Poly1305 sono le due di uso comune. Senza, un file può essere alterato in modi che non sono evidenti quando viene decifrato.
- Derivazione della chiave (KDF)
- Trasformare un codice corto in una chiave vera attraverso una lentezza voluta, così che indovinare milioni di PIN costi tempo vero. Una cassaforte che salta questo passaggio è una cassaforte con una chiave da quattro cifre.
- Busta / key wrapping
- I file sono cifrati con un'unica chiave principale casuale, e quella chiave viene poi cifrata separatamente dal tuo codice e dal tuo codice di recupero. È per questo che cambiare il codice richiede un istante invece di ricifrare tutto, e per questo due segreti diversi possono aprire la stessa cassaforte.
- Codice di recupero
- Una stringa lunga generata una volta sola, alla configurazione, che avvolge una seconda copia della chiave principale. È l'unica altra porta. Esiste proprio perché non c'è nessun account da azzerare, e non vale niente se vive solo sul dispositivo che protegge.
- Data Protection
- Lo strato di iOS che lega la disponibilità di un file al dispositivo sbloccato. È davvero robusto, e non sostituisce la chiave della app — protegge dal dispositivo che viene portato via, non dal proprietario del telefono a cui viene chiesto di aprirlo.
- Cassaforte esca / negabilità plausibile
- Un secondo insieme credibile di contenuti aperto da un codice diverso, per la situazione in cui non sei tu a decidere se la cassaforte si apre. Una funzione reale con limiti reali: aiuta contro una persona, non contro un analista che conta i byte sul disco.
Configurare una cassaforte in modo che si apra ancora tra due anni
La modalità di fallimento della memoria cifrata non è quasi mai un attaccante. È il proprietario, diciotto mesi dopo, con un codice impostato una volta e mai più digitato.
-
Scegli un codice che davvero saprai ancora
Non una variante di qualcosa che usi altrove, e non un numero casuale che digiterai due volte. Qualcosa che tu possa ricostruire a memoria tra un anno, perché non lo userai tutti i giorni.
-
Conserva il codice di recupero dove il telefono non è
Un gestore di password, un biglietto in una cassaforte, una riga stampata in un cassetto. Sul dispositivo che protegge è decorativo. Mandato a te stesso via mail, è sicuro quanto il tuo account di posta — il che può andare bene, purché tu l'abbia deciso apposta.
-
Decidi cosa deve fare qui un backup
Includere la cassaforte nel tuo backup iCloud o sul computer vuol dire che i file cifrati sopravvivono a un telefono perso. Escluderla vuol dire un backup più piccolo e niente di recuperabile se il dispositivo sparisce. Entrambe sono difendibili; scivolare in una senza accorgersene no.
-
Sposta dentro gli originali, poi eliminali da dove erano
In quest'ordine, e solo dopo che la cassaforte conferma che ogni elemento è arrivato. Un'importazione che elimina per prima cosa è a un trasferimento interrotto dal perdere il file del tutto — e l'eliminazione dovrebbe passare dalla conferma del sistema, non avvenire in silenzio.
-
Bloccala, e aprila una volta da fredda
Chiudi la app, riapri, digita il codice invece di usare Face ID. Questo intercetta il caso in cui sei entrato sempre con la biometria e il codice che avevi impostato non è mai stato davvero mandato a memoria.
-
Controlla cosa è rimasto in giro
Cerca il nome del file nella libreria principale. Guarda i riprodotti di recente, il widget, la schermata di blocco mentre suona qualcosa dalla cassaforte. Una cassaforte che fa trapelare il suo contenuto dal titolo «in riproduzione» è una cassaforte con una finestra.
L'intero esercizio richiede circa cinque minuti ed è la differenza tra una cassaforte e una cartella che ti fa sentire bene.
Le situazioni in cui la gente finisce davvero
Vale la pena leggerle prima della configurazione e non dopo, perché due di queste righe non si possono sistemare a posteriori.
| Situazione | Cosa succede con una cassaforte costruita bene |
|---|---|
| Telefono nuovo, ripristinato da backup | I file cifrati e le chiavi avvolte arrivano; il codice in sé no, perché è conservato in un modo che non viaggia. Entri una volta con il vecchio codice o con il codice di recupero, poi ne imposti uno nuovo. |
| Codice dimenticato, codice di recupero in mano | Il codice di recupero scarta la chiave principale, la cassaforte si apre, e tu imposti subito un codice nuovo. Non si ricifra niente, quindi ci vuole un istante e non un'ora. |
| Persi entrambi | I file restano su disco come testo cifrato e restano illeggibili. È il risultato che il progetto garantisce, e nessuna app può offrire insieme questa garanzia e un modo per aggirarla. |
| App eliminata | Tutto quello che c'è dentro se ne va con lei, esattamente come per lo spazio privato di qualsiasi app. Esporta prima di disinstallare — una cassaforte che valga la pena ha un'unica azione che rimette tutto in cartelle normali. |
| Qualcuno conosce il codice del tuo dispositivo | Arriva al dispositivo, non alla cassaforte: la chiave della cassaforte è derivata dal suo codice separato. È il caso per cui è pensata una cassaforte esca, quando la persona è in piedi accanto a te. |
| Backup escluso, telefono perso | I file cifrati non erano mai stati copiati da nessuna parte, quindi non c'è niente da ripristinare. Una scelta deliberata per qualcuno e una sorpresa sgradevole per gli altri. |
Le schermate e le registrazioni dello schermo sono l'unica falla che nessuna app iOS può chiudere: mentre stai guardando qualcosa, il sistema può catturarlo. Qualsiasi app che sostenga il contrario su iPhone o iPad sta descrivendo qualcosa che non può fare.
Come giudicare una app cassaforte prima di metterci dentro qualcosa di insostituibile
- Nomina la cifratura, o dice solo «di livello militare»?
AES-256-GCM o ChaCha20-Poly1305 sono risposte. «Sicurezza di livello bancario» è una decorazione, e di solito compare dove non c'è niente da nominare.
- Spiega onestamente la via di recupero?
Una app che si offre di mandarti per mail un link di azzeramento ti sta dicendo che tiene una chiave. Può essere uno scambio accettabile — ma vuol dire che il fornitore può aprire la tua cassaforte, e va detto ad alta voce.
- Riesci a tirare fuori tutto con un'azione sola?
Una cassaforte dovrebbe essere una stanza da cui puoi uscire. Se esportare vuol dire aprire i file uno alla volta, i tuoi dati sono ostaggio del fatto che la app continui a esistere.
- Tiene in ostaggio i contenuti già dentro in cambio di un abbonamento?
Contare le nuove aggiunte è ragionevole. Chiuderti fuori da quello che è già dentro quando un abbonamento scade non lo è, e vale la pena controllarlo prima invece che dopo.
- Cosa trapela dai bordi?
Risultati di ricerca, Spotlight, miniature in una cache condivisa, liste dei riprodotti di recente, widget, la schermata di blocco mentre suona l'audio, un server di condivisione file che la app fa girare. Ognuna di queste ha fatto trapelare una cassaforte almeno una volta.
- Dove vivono le miniature?
Un'immagine di anteprima è il file. Le miniature scritte in una cartella di cache di sistema annullano la cifratura per tutto ciò che qualcuno vorrebbe davvero vedere.
- Qualcosa va verso un server?
Una cassaforte non ha nessun motivo di chiamare casa. Se carica, la domanda su chi tiene le chiavi diventa l'unica domanda che conta.
Dove le piattaforme differiscono
Il dispositivo che più probabilmente finisce in mano a qualcun altro, ed è per questo che domina il modello di minaccia quotidiano. Face ID più un codice separato per la cassaforte lo coprono; il codice del dispositivo non dovrebbe essere la cosa che apre la cassaforte.
Più spesso un dispositivo condiviso o di casa, e più spesso quello lasciato su un tavolo. Un secondo blocco si guadagna il suo posto qui più che altrove, e lo schermo più grande fa sembrare un insieme esca di contenuti più convincente, non meno.
FileVault cifra tutto il disco quando il Mac è spento, che è uno strato diverso e complementare: protegge una macchina che è stata portata via, mentre una cassaforte dentro una app protegge da chi ha già fatto l'accesso.
Domande che la gente fa
L'album Nascosti in Foto è privato?
È nascosto, non privato. Da iOS 16 l'album stesso chiede Face ID, ma le foto sono immutate: si sincronizzano, restano nella tua libreria fotografica per qualsiasi app a cui hai dato accesso, e il codice del tuo dispositivo le apre perché è il ripiego di Face ID. Per un amico curioso basta. Per qualsiasi altra cosa non è quello che sembra.
Le persone che hanno scritto la app possono aprire la mia cassaforte?
Con una cassaforte costruita come si deve no — la chiave è derivata dal tuo codice sul tuo dispositivo e non esiste mai da nessun'altra parte. Il modo per controllare è la storia del recupero: una app che può mandarti per mail un link di azzeramento tiene necessariamente qualcosa che apre la tua cassaforte. Non è automaticamente disonesto, ma è l'opposto di quello che vuol dire «puoi aprirlo solo tu».
E se qualcuno mi costringe ad aprirla?
È a questo che serve una cassaforte esca: un secondo codice che apre un insieme credibile e innocuo di contenuti, così che obbedire e proteggere il contenuto vero siano la stessa azione. È pensata contro una persona davanti a te, non contro l'analisi forense della memoria, e funziona meglio quando l'esca ha dentro cose plausibili invece di essere vuota.
Una cassaforte protegge un telefono rubato mentre è sbloccato?
Sì, purché la cassaforte si sia richiusa — che è esattamente ciò che decide l'impostazione di blocco automatico. Una cassaforte impostata per restare aperta per tutta la sessione è aperta su un telefono sbloccato rubato. Questa singola impostazione fa più lavoro di quanto ne farà mai la scelta del cifrario.
Un video cifrato si può riprodurre senza decifrare prima tutto il file?
Sì, quando il file è cifrato a blocchi invece che in un pezzo unico. Il player chiede la parte che gli serve, quel blocco viene decifrato in memoria, e lo scorrimento funziona lo stesso. L'alternativa — scrivere una copia decifrata in un file temporaneo per riprodurla — annulla la cifratura per tutta la durata della riproduzione, e vale la pena chiederlo.
Come è costruita la cassaforte di FoxDL
Detto nel dettaglio, perché il senso di tutto quello che c'è sopra è che le affermazioni vaghe non sono affermazioni.
- I file sono cifrati con ChaCha20-Poly1305, blocco per blocco, con una chiave principale casuale generata una volta sola sul tuo dispositivo. Un video esce in streaming direttamente dalla cassaforte: ogni blocco viene decifrato in memoria quando il player ci arriva, e nessuna copia decifrata viene mai scritta su disco.
- Due buste, una chiave. La chiave principale è avvolta una volta dal codice della cassaforte e una volta dal tuo codice di recupero. Cambiare il codice riavvolge la busta in millisecondi invece di ricifrare la tua libreria, e uno qualsiasi dei due segreti apre la cassaforte su un dispositivo nuovo.
- La cassaforte ha un suo codice, separato dal blocco app, con Face ID o Touch ID e il suo timer di blocco automatico. La copia biometrica della chiave sta nel portachiavi richiedendo la tua presenza, ed è legata a quel dispositivo.
- Su disco non resta niente di leggibile. I file sono conservati fuori dalla tua cartella Documents sotto nomi che non portano nessun significato; i nomi veri e l'albero delle cartelle vivono solo in un catalogo cifrato, e le miniature restano dentro la cassaforte invece che in una cache condivisa.
- Non trapela niente dai bordi. La ricerca nella libreria, Spotlight, il trasferimento Wi-Fi, l'invio tra dispositivi e la casella di condivisione non vedono la cassaforte. Nelle playlist e tra i riprodotti di recente, gli elementi della cassaforte compaiono come riga mascherata, e la schermata di blocco mostra un titolo generico mentre uno di essi è in riproduzione.
- Camuffamento e cassaforte esca. La cassaforte può indossare un nome e un'icona che scegli tu senza nessun distintivo di lucchetto, aprendosi direttamente su un insieme innocuo di file, con la cassaforte vera dietro un gesto scelto da te. Un secondo codice apre l'esca, e un'impostazione facoltativa fa aprire l'esca anche a Face ID e al codice del dispositivo — così quella vera risponde solo a un codice che non devi mai dimostrare di avere.
- I tuoi file non sono mai tenuti in ostaggio. Tutto ciò che è dentro resta visualizzabile, riproducibile ed esportabile a prescindere dallo stato dell'abbonamento, e un pulsante nelle impostazioni della cassaforte rimette tutto in cartelle normali.
- La versione gratuita contiene 15 elementi, contati in tempo reale, quindi rimuoverne uno fa posto. Oltre quello serve FoxDL Pro — ed è l'unica funzione senza strada del video premiante, perché la pubblicità non ha niente a che fare con una funzione di privacy.
Metti da parte il codice di recupero in un posto diverso dal telefono prima di spostarci dentro qualsiasi cosa. Se il codice viene dimenticato e il codice di recupero è sparito, non possiamo aprire la cassaforte per te e non può farlo nessun altro — è la garanzia che funziona come progettata, ed è la ragione per cui il codice esiste.
Domande frequenti
- Come posso nascondere i file e quanto è sicura la cassaforte?
- Cosa succede se dimentico il passcode della cassaforte o perdo il codice di recupero?
- Posso nascondere la cassaforte stessa o aprirne una falsa se qualcuno mi costringe ad aprirla?
- La cassaforte sopravvive a un nuovo telefono o a un ripristino dal backup?
- Posso riprodurre video e musica direttamente dalla cassaforte?
- Come posso spostare le foto nella cassaforte e vengono eliminate da Foto?
- Posso scaricare un file direttamente nella cassaforte?
- Quanti file posso conservare nella cassaforte senza Pro?
- Come posso recuperare i file dalla cassaforte?
- Qualcosa della cassaforte viene visualizzato altrove nell'app?
Continua a leggere
Cosa può vedere una app media sul tuo telefono, e cosa non dovrebbe mai mandare
Cosa può vedere una app media, come leggere un'etichetta privacy, e perché un blocco non è crittografia.
Dove stanno davvero i tuoi file su un iPhone, e chi può vederli
La sandbox, dove finiscono davvero i download, e perché rinominare un file rompe così tante app.
Cinque modi per portare un file grosso su un iPhone, e quando ciascuno è quello giusto
Wi-Fi, da dispositivo a dispositivo, cloud, WebDAV o un disco — quale strada per quale lavoro.
La tua libreria, finalmente in un posto solo.
Download gratuito. Niente account né registrazione; tutte le funzioni sono nella versione free.