Verborgen, vergrendeld, versleuteld — drie woorden die als één worden verkocht
Vrijwel iedereen heeft een handvol bestanden waarvan hij liever niet heeft dat ze opduiken als hij iemand zijn telefoon geeft om een foto te laten zien. De apps die beloven dit op te lossen, lopen uiteen van een map met een hangslotje erop tot iets dat werkelijk onleesbaar is zonder sleutel, en van buitenaf zien ze er identiek uit. Het verschil wordt pas zichtbaar op de dag dat het ertoe doet.
- 0 kopieën Sleutels die een goed gebouwde kluis ergens anders bewaart dan op je eigen apparaat
- 2 ingangen De toegangscode die je onthoudt, en de herstelcode die je ergens anders hebt opgeborgen
- 1 regel Raak je beide kwijt, dan blijven de bestanden onleesbaar — voor jou, en voor wie de app schreef
Wat “verborgen” meestal blijkt te betekenen
Het album Verborgen in Foto’s is de variant die de meeste mensen al gebruiken, en het loont om er precies over te zijn: het haalt items uit het hoofdraster en zet sinds iOS 16 Face ID vóór het album zelf. Wat het niet doet, is het bestand veranderen. De foto staat er precies zoals hij was, hij synchroniseert nog steeds naar iCloud-foto’s, hij wordt nog steeds teruggegeven aan alles wat toegang tot je fotobibliotheek heeft gekregen, en wie de toegangscode van je apparaat kent, kan hem openen omdat die code de terugval voor Face ID is. Het is opruimen, geen bescherming — en voor het alledaagse geval van een vriend die één foto te ver doorbladert, is opruimen oprecht genoeg.
Een trede hoger staat een map achter een toegangscode, en dat is wat de meeste apps die zichzelf een kluis noemen in werkelijkheid zijn. Er is een pincodescherm, en daarachter een lijst met bestanden die gewoon op schijf staan. Dat houdt iemand tegen die je ontgrendelde telefoon vasthoudt, en dat is een echte en veelvoorkomende dreiging. Tegen een volledige back-up, een forensische uitlezing of wat dan ook dat de opslag leest in plaats van de app, doet het helemaal niets.
De bovenste trede is versleuteling met een eigen sleutel. De bestanden worden onderweg naar binnen omgevormd, en wat er op schijf achterblijft is zonder de sleutel betekenisloos: geen voorvertoning, geen bestandsnaam, geen lengte die de inhoud verraadt. Wie de opslag kopieert, krijgt ruis. Dit is de enige variant waarin de zin “niemand anders kan het openen” letterlijk waar is — en het is ook de enige variant waarin je eigen sleutel kwijtraken betekent dat je de bestanden kwijt bent, en dat is de keerzijde die niemand adverteert.
De drie aanpakken, afgemeten aan waar je je werkelijk zorgen over maakt
Kies op dreiging, niet op marketing. De meeste mensen hebben de middelste nodig en kopen de derde; een enkeling heeft de derde werkelijk nodig en neemt genoegen met de eerste.
De woorden op de functielijst, vertaald
Deze termen worden precies gebruikt door de mensen die dit bouwen en losjes door de mensen die het verkopen. Ze kennen is het grootste deel van de verdediging.
- Versleuteling in rust
- Het bestand is onleesbaar terwijl het op schijf staat, en niet alleen terwijl het onderweg is. Dit is de bewering die er bij een kluis toe doet, en degene die het vaakst wordt gesuggereerd zonder te worden gedaan.
- AEAD (authenticated encryption)
- Versleuteling die ook knoeien detecteert — AES-GCM en ChaCha20-Poly1305 zijn de twee die in gewoon gebruik zijn. Zonder deze kan een bestand worden gewijzigd op manieren die bij het ontsleutelen niet opvallen.
- Sleutelafleiding (KDF)
- Een korte toegangscode via opzettelijke traagheid tot een echte sleutel maken, zodat miljoenen pincodes raden echte tijd kost. Een kluis die dit overslaat, is een kluis met een sleutel van vier cijfers.
- Envelop / key wrapping
- De bestanden worden versleuteld met één willekeurige hoofdsleutel, en die sleutel wordt daarna apart versleuteld door je toegangscode en door je herstelcode. Daarom kost het wijzigen van de toegangscode een moment in plaats van alles opnieuw versleutelen, en daarom kunnen twee verschillende geheimen dezelfde kluis openen.
- Herstelcode
- Een lange reeks tekens die één keer wordt gegenereerd, bij het instellen, en die een tweede kopie van de hoofdsleutel inpakt. Het is de enige andere deur. Hij bestaat juist omdat er geen account is om te resetten, en hij is waardeloos als hij alleen op het apparaat staat dat hij beschermt.
- Data Protection
- De laag in iOS die de beschikbaarheid van een bestand koppelt aan een ontgrendeld apparaat. Hij is oprecht sterk, en hij vervangt de eigen sleutel van de app niet — hij beschermt tegen een apparaat dat wordt meegenomen, niet tegen de eigenaar van de telefoon die gevraagd wordt hem te openen.
- Lokkluis / plausibele ontkenning
- Een tweede, geloofwaardige inhoud die met een andere toegangscode opengaat, voor de situatie waarin jij niet degene bent die beslist of de kluis opengaat. Een echte functie met echte grenzen: hij helpt tegen een persoon, niet tegen een analist die de bytes op de schijf telt.
Een kluis zo instellen dat hij over twee jaar nog opengaat
De manier waarop versleutelde opslag misgaat is vrijwel nooit een aanvaller. Het is de eigenaar, achttien maanden later, met een toegangscode die hij één keer instelde en nooit meer intypte.
-
Kies een toegangscode die je over een tijd nog kent
Geen variant op iets wat je elders gebruikt, en geen willekeurig getal dat je twee keer intypt. Iets wat je over een jaar uit je geheugen kunt reconstrueren, want je gaat het niet dagelijks gebruiken.
-
Bewaar de herstelcode ergens waar de telefoon niet is
Een wachtwoordbeheerder, een briefje in een kluis, een geprinte regel in een la. Op het apparaat dat hij beschermt is hij decoratie. Naar jezelf gemaild is hij precies zo veilig als je mailaccount — wat prima kan zijn, zolang je dat bewust hebt besloten.
-
Bepaal wat een back-up hier hoort te doen
De kluis in je iCloud- of computerback-up opnemen betekent dat de versleutelde bestanden een verloren telefoon overleven. Hem uitsluiten betekent een kleinere back-up en niets om terug te halen als het apparaat weg is. Allebei valt te verdedigen; ergens in rollen zonder het te merken niet.
-
Verplaats de originelen naar binnen en verwijder ze daarna van waar ze stonden
In die volgorde, en pas nadat de kluis van elk item bevestigt dat het is aangekomen. Een import die eerst verwijdert, is één onderbroken overdracht verwijderd van het bestand helemaal kwijtraken — en dat verwijderen hoort via de eigen bevestiging van het systeem te lopen, niet stilletjes.
-
Vergrendel hem, en open hem één keer vanuit koude start
Sluit de app, open hem opnieuw, en typ de toegangscode in plaats van Face ID te gebruiken. Zo vang je het geval af waarin je steeds biometrisch binnenkwam en de toegangscode die je instelde nooit echt in je geheugen is beland.
-
Kijk wat er is achtergebleven
Zoek in de hoofdbibliotheek op de bestandsnaam. Kijk naar recent afgespeeld, naar de widget, naar het toegangsscherm terwijl er iets uit de kluis speelt. Een kluis die zijn inhoud verraadt via een titel bij “nu op de radio”, is een kluis met een raam erin.
De hele oefening kost ongeveer vijf minuten en is het verschil tussen een kluis en een map waar je een goed gevoel bij hebt.
De situaties waar mensen daadwerkelijk in belanden
De moeite waard om vóór het instellen te lezen in plaats van erna, want twee van deze regels zijn achteraf niet meer recht te zetten.
| Situatie | Wat er gebeurt bij een goed gebouwde kluis |
|---|---|
| Nieuwe telefoon, teruggezet uit een back-up | De versleutelde bestanden en de ingepakte sleutels komen mee; de toegangscode zelf niet, omdat die zo is opgeslagen dat hij niet meereist. Je komt één keer binnen met de oude toegangscode of met de herstelcode, en stelt daarna een nieuwe in. |
| Toegangscode vergeten, herstelcode nog wel | De herstelcode pakt de hoofdsleutel uit, de kluis gaat open, en je stelt meteen een verse toegangscode in. Er wordt niets opnieuw versleuteld, dus het kost een moment en geen uur. |
| Allebei kwijt | De bestanden blijven als cijfertekst op schijf staan en blijven onleesbaar. Dit is de uitkomst die het ontwerp garandeert, en geen enkele app kan zowel die garantie als een omweg eromheen bieden. |
| De app verwijderd | Alles wat erin zat gaat mee, precies zoals bij de eigen opslag van elke app. Exporteer voordat je verwijdert — een kluis die het gebruiken waard is, heeft één handeling die alles terugzet in gewone mappen. |
| Iemand kent de toegangscode van je apparaat | Die bereikt het apparaat, niet de kluis: de sleutel van de kluis is afgeleid van een eigen, aparte toegangscode. Dit is het geval waarvoor een lokkluis is ontworpen, wanneer die persoon naast je staat. |
| Back-up uitgesloten, telefoon kwijt | De versleutelde bestanden zijn nooit ergens naartoe gekopieerd, dus er valt niets terug te zetten. Voor sommige mensen een bewuste keuze en voor de rest een onaangename verrassing. |
Schermafbeeldingen en schermopnames zijn het ene gat dat geen enkele iOS-app kan dichten: terwijl je naar iets kijkt, kan het systeem het vastleggen. Elke app die op iPhone of iPad iets anders beweert, beschrijft iets wat hij niet kan.
Hoe je een kluis-app beoordeelt voordat je er iets onvervangbaars in zet
- Noemt hij de versleuteling bij naam, of zegt hij alleen “militaire kwaliteit”?
AES-256-GCM of ChaCha20-Poly1305 zijn antwoorden. “Beveiliging op bankniveau” is versiering, en duikt meestal op waar er niets te noemen valt.
- Legt hij het herstelpad eerlijk uit?
Een app die aanbiedt je een resetlink te mailen, vertelt je dat hij een sleutel bewaart. Dat kan een aanvaardbare afruil zijn — maar het betekent dat de leverancier je kluis kan openen, en dat hoort hardop gezegd te worden.
- Krijg je alles er in één handeling uit?
Een kluis hoort een kamer te zijn die je kunt verlaten. Als exporteren betekent dat je bestanden een voor een moet openen, is je data gijzelaar van het voortbestaan van die app.
- Houdt hij bestaande inhoud gijzelaar van een abonnement?
Nieuwe toevoegingen begrenzen is redelijk. Je buitensluiten van wat er al in zit zodra een abonnement afloopt niet, en dat kun je beter vooraf dan achteraf nagaan.
- Wat lekt er langs de randen weg?
Zoekresultaten, Spotlight, miniaturen in een gedeelde cache, lijsten met recent afgespeeld, widgets, het toegangsscherm terwijl er audio speelt, een server voor bestandsdeling die de app draait. Elk van deze heeft minstens één keer een kluis laten lekken.
- Waar staan de miniaturen?
Een voorvertoning ís het bestand. Miniaturen die in een systeembrede cachemap worden geschreven, maken de versleuteling ongedaan voor alles wat iemand daadwerkelijk zou willen zien.
- Gaat er iets naar een server?
Een kluis heeft geen enkele reden om naar huis te bellen. Uploadt hij, dan wordt de vraag wie de sleutels bewaart de enige vraag die er nog toe doet.
Waar de platformen verschillen
Het apparaat dat het vaakst aan iemand anders wordt gegeven, en daarom overheerst hier het alledaagse dreigingsmodel. Face ID plus een aparte kluiscode dekt dat af; de toegangscode van het apparaat hoort niet het ding te zijn dat de kluis opent.
Vaker een gedeeld apparaat of een huishoudapparaat, en vaker degene die op tafel blijft liggen. Een tweede slot verdient hier meer dan waar dan ook zijn plek, en het grotere scherm maakt een lokinhoud eerder overtuigender dan minder.
FileVault versleutelt de hele schijf wanneer de Mac uit staat, en dat is een andere en aanvullende laag: die beschermt een machine die is meegenomen, terwijl een kluis binnen een app beschermt tegen wie al is ingelogd.
Vragen die mensen stellen
Is het album Verborgen in Foto’s privé?
Het is verborgen, niet privé. Sinds iOS 16 vraagt het album zelf om Face ID, maar de foto’s zijn ongewijzigd: ze synchroniseren, ze blijven in je fotobibliotheek voor elke app die je toegang gaf, en de toegangscode van je apparaat opent ze omdat die de terugval voor Face ID is. Voor een nieuwsgierige vriend is dat genoeg. Voor al het andere is het niet wat het lijkt.
Kunnen de mensen die de app schreven mijn kluis openen?
Bij een fatsoenlijk gebouwde kluis niet — de sleutel wordt op jouw apparaat van jouw toegangscode afgeleid en bestaat nergens anders. De manier om dat te toetsen is het herstelverhaal: een app die je een resetlink kan mailen, bewaart noodzakelijkerwijs iets dat je kluis opent. Dat is niet automatisch oneerlijk, maar het is het tegenovergestelde van wat “alleen jij kunt het openen” betekent.
Wat als iemand mij dwingt hem te openen?
Daar is een lokkluis voor: een tweede toegangscode die een geloofwaardige, onschuldige inhoud opent, zodat meewerken en de echte inhoud beschermen dezelfde handeling worden. Hij is ontworpen tegen een persoon tegenover je en niet tegen forensische analyse van de opslag, en hij werkt het best als er aannemelijke dingen in de lokkluis staan in plaats van dat hij leeg is.
Beschermt een kluis een telefoon die ontgrendeld wordt gestolen?
Ja, zolang de kluis zichzelf weer heeft vergrendeld — en dat is precies wat de instelling voor automatisch vergrendelen bepaalt. Een kluis die is ingesteld om de hele sessie open te blijven, staat open op een gestolen ontgrendelde telefoon. Deze ene instelling doet meer werk dan de keuze van het versleutelingsalgoritme ooit zal doen.
Kan versleutelde video worden afgespeeld zonder eerst het hele bestand te ontsleutelen?
Ja, wanneer het bestand in stukken is versleuteld in plaats van als één blok. De speler vraagt om het deel dat hij nodig heeft, dat stuk wordt in het geheugen ontsleuteld, en spoelen werkt gewoon. Het alternatief — een ontsleutelde kopie naar een tijdelijk bestand schrijven om het af te spelen — maakt de versleuteling ongedaan zolang het afspelen duurt, en het is de moeite waard om daarnaar te vragen.
Hoe de kluis in FoxDL is gebouwd
Tot in detail beschreven, want het punt van alles hierboven is dat vage beweringen geen beweringen zijn.
- Bestanden worden versleuteld met ChaCha20-Poly1305, stuk voor stuk, met een willekeurige hoofdsleutel die één keer op jouw apparaat wordt gegenereerd. Een video stroomt rechtstreeks uit de kluis: elk stuk wordt in het geheugen ontsleuteld zodra de speler er is, en er wordt nooit een ontsleutelde kopie naar schijf geschreven.
- Twee enveloppen, één sleutel. De hoofdsleutel wordt één keer ingepakt door je kluiscode en één keer door je herstelcode. De toegangscode wijzigen pakt de envelop in milliseconden opnieuw in in plaats van je bibliotheek opnieuw te versleutelen, en beide geheimen openen de kluis op een nieuw apparaat.
- De kluis heeft een eigen toegangscode, los van de app-vergrendeling, met Face ID of Touch ID en een eigen timer voor automatisch vergrendelen. De biometrische kopie van de sleutel staat in de sleutelhanger en vereist jouw aanwezigheid, en is aan dat apparaat gebonden.
- Er blijft niets leesbaars op schijf staan. Bestanden staan buiten je map Documents onder namen die niets betekenen; de echte namen en de mappenstructuur staan alleen in een versleutelde catalogus, en miniaturen blijven binnen de kluis in plaats van in een gedeelde cache.
- Er lekt niets langs de randen. Zoeken in de bibliotheek, Spotlight, Wi-Fi-overdracht, versturen van apparaat naar apparaat en de gedeelde inbox zien de kluis niet. In afspeellijsten en bij recent afgespeeld verschijnen kluisitems als een gemaskeerde regel, en het toegangsscherm toont een neutrale titel zolang er een speelt.
- Camouflage en een lokkluis. De kluis kan een naam en een symbool dragen die jij kiest, zonder slotje erop, en opent rechtstreeks in een onschuldige verzameling bestanden, met de echte kluis achter een gebaar dat jij uitkiest. Een tweede toegangscode opent de lokkluis, en met een optionele instelling openen Face ID en de toegangscode van het apparaat ook de lokkluis — zodat de echte alleen luistert naar een code die je nooit hoeft te tonen.
- Je bestanden worden nooit gegijzeld. Alles wat erin zit blijft te bekijken, af te spelen en te exporteren, ongeacht de staat van je abonnement, en één knop in de kluisinstellingen zet het allemaal terug in gewone mappen.
- De gratis versie houdt 15 items, live geteld, dus er eentje weghalen maakt weer ruimte. Daarboven is het FoxDL Pro — en dit is de enige functie zonder route via beloonde video, omdat reclame niets te zoeken heeft in een privacyfunctie.
Leg de herstelcode ergens anders neer dan op de telefoon voordat je er iets in verplaatst. Is de toegangscode vergeten en de code weg, dan kunnen wij de kluis niet voor je openen en niemand anders ook — dat is de garantie die werkt zoals bedoeld, en het is de reden dat die code bestaat.
Veelgestelde vragen
- Hoe verberg ik bestanden, en hoe veilig is de kluis?
- Wat gebeurt er als ik de toegangscode van de kluis vergeet of de herstelcode kwijtraak?
- Kan ik de kluis zelf verbergen, of een nepkluis openen als iemand mij dwingt hem te ontgrendelen?
- Overleeft de kluis een nieuwe telefoon of een herstel vanaf back-up?
- Kan ik video’s en muziek rechtstreeks uit de kluis afspelen?
- Hoe verplaats ik foto’s naar de kluis, en worden ze uit Foto’s verwijderd?
- Kan ik een bestand rechtstreeks naar de kluis downloaden?
- Hoeveel bestanden kan ik zonder Pro in de kluis bewaren?
- Hoe krijg ik bestanden weer uit de kluis?
- Duikt er ergens anders in de app iets uit de kluis op?
Verder lezen
Wat een media-app op je telefoon kan zien, en wat hij nooit hoort te versturen
Wat een media-app kan zien, hoe je een privacylabel leest, en waarom een slot geen versleuteling is.
Waar je bestanden werkelijk staan op een iPhone, en wie ze kan zien
De sandbox, waar downloads werkelijk belanden, en waarom een bestand hernoemen zo veel apps sloopt.
Vijf manieren om een groot bestand op een iPhone te krijgen, en wanneer welke de juiste is
Wi-Fi, apparaat naar apparaat, cloud, WebDAV of een schijf — welke route bij welke klus past.
Je bibliotheek, eindelijk op één plek.
Gratis downloaden. Geen account, geen aanmelding — de volledige set zit in de gratis versie.