Oculto, trancado, criptografado — três palavras vendidas como uma
Quase todo mundo tem um punhado de arquivos que preferiria que não aparecessem quando entrega o celular para alguém ver uma foto. Os apps que prometem resolver isso vão de uma pasta com o desenho de um cadeado até algo genuinamente ilegível sem uma chave, e de fora eles parecem idênticos. A diferença só fica visível no dia em que ela importa.
- 0 cópias Chaves que um cofre bem feito guarda em qualquer lugar que não seja o seu próprio aparelho
- 2 entradas O código de acesso que você lembra, e o código de recuperação que você guardou em outro lugar
- 1 regra Perca os dois e os arquivos continuam ilegíveis — para você, e para quem escreveu o app
O que “oculto” normalmente acaba significando
O álbum Oculto do Fotos é a versão que a maioria das pessoas já usa, e vale ser preciso sobre ele: ele tira os itens da grade principal e, desde o iOS 16, coloca o Face ID na frente do próprio álbum. O que ele não faz é mudar o arquivo. A foto fica armazenada exatamente como estava, ela continua sincronizando com o Fotos do iCloud, continua sendo devolvida a qualquer coisa que tenha recebido acesso à sua biblioteca de fotos, e qualquer um que saiba o código do seu aparelho consegue abrir, porque o código do aparelho é a alternativa ao Face ID. Isso é organização, não proteção — e para o caso comum de um amigo rolar uma foto além do que devia, organizar é genuinamente suficiente.
O degrau seguinte é uma pasta atrás de um código de acesso, que é o que a maioria dos apps que se chamam de cofre realmente são. Existe uma tela de PIN, e atrás dela uma lista de arquivos que moram no disco do jeito comum. Isso barra uma pessoa segurando o seu celular desbloqueado, que é uma ameaça real e comum. Não faz nada contra um backup completo, uma extração forense, ou qualquer outra coisa que leia o armazenamento em vez de passar pelo app.
O degrau mais alto é criptografia com chave própria. Os arquivos são transformados na entrada, e o que fica no disco não tem significado sem a chave: nem uma prévia, nem um nome de arquivo, nem um tamanho que entregue o conteúdo. Quem copiar o armazenamento recebe ruído. Essa é a única versão em que a frase “mais ninguém consegue abrir” é literalmente verdadeira — e é também a única versão em que perder a sua própria chave significa perder os arquivos, que é a troca que ninguém anuncia.
As três abordagens, medidas contra o que você realmente teme
Escolha pela ameaça, não pelo marketing. A maioria das pessoas precisa da do meio e compra a terceira; algumas realmente precisam da terceira e se contentam com a primeira.
As palavras da lista de recursos, traduzidas
Esses termos são usados com precisão por quem constrói isso e de qualquer jeito por quem vende. Conhecê-los é a maior parte da defesa.
- Criptografia em repouso
- O arquivo é ilegível enquanto está parado no disco, não apenas enquanto viaja. Essa é a afirmação que importa para um cofre, e a que mais frequentemente é insinuada sem ser feita.
- AEAD (criptografia autenticada)
- Criptografia que também detecta adulteração — AES-GCM e ChaCha20-Poly1305 são as duas de uso comum. Sem isso, um arquivo pode ser alterado de jeitos que não são óbvios quando ele é descriptografado.
- Derivação de chave (KDF)
- Transformar um código de acesso curto numa chave de verdade por meio de lentidão deliberada, para que chutar milhões de PINs custe tempo real. Um cofre que pula essa etapa é um cofre com chave de quatro dígitos.
- Envelope / empacotamento de chave
- Os arquivos são criptografados com uma chave mestra aleatória, e essa chave é depois criptografada separadamente pelo seu código de acesso e pelo seu código de recuperação. É por isso que trocar o código de acesso leva um instante em vez de criptografar tudo de novo, e por que dois segredos diferentes conseguem abrir o mesmo cofre.
- Código de recuperação
- Uma sequência longa gerada uma vez, na configuração, que empacota uma segunda cópia da chave mestra. É a única outra porta. Ele existe precisamente porque não há conta para redefinir, e não vale nada se mora só no aparelho que ele protege.
- Data Protection
- A camada do iOS que amarra a disponibilidade de um arquivo ao aparelho estar desbloqueado. É genuinamente forte, e não substitui a chave do próprio app — ela protege contra o aparelho ser levado, não contra o dono do celular ser obrigado a abrir.
- Cofre isca / negação plausível
- Um segundo conjunto de conteúdo, crível, aberto por outro código de acesso, para a situação em que não é você quem decide se o cofre vai ser aberto. Um recurso real com limites reais: ajuda contra uma pessoa, não contra um analista que conta os bytes no disco.
Configurando um cofre de um jeito que ele ainda abra em dois anos
O modo de falha do armazenamento criptografado quase nunca é um atacante. É o dono, dezoito meses depois, com um código de acesso que ele definiu uma vez e nunca digitou de novo.
-
Escolha um código de acesso que você realmente vai lembrar
Não uma variação de algo que você usa em outro lugar, e não um número aleatório que você vai digitar duas vezes. Algo que você consiga reconstruir de memória em um ano, porque você não vai usar isso todo dia.
-
Guarde o código de recuperação em algum lugar onde o celular não está
Um gerenciador de senhas, um papel num cofre, uma linha impressa numa gaveta. No aparelho que ele protege, é decoração. Enviado para você mesmo por e-mail, ele é tão seguro quanto a sua conta de e-mail — o que pode estar tudo bem, desde que você tenha decidido isso de propósito.
-
Decida o que um backup deve fazer aqui
Incluir o cofre no seu backup do iCloud ou do computador significa que os arquivos criptografados sobrevivem a um celular perdido. Excluir significa um backup menor e nada recuperável se o aparelho se for. As duas escolhas são defensáveis; escorregar para uma sem perceber não é.
-
Mova os originais para dentro, e depois apague de onde eles estavam
Nessa ordem, e só depois de o cofre confirmar que cada item chegou. Uma importação que apaga primeiro está a uma transferência interrompida de perder o arquivo por completo — e a exclusão deve passar pela confirmação do próprio sistema, não acontecer em silêncio.
-
Tranque, e abra uma vez a frio
Feche o app, reabra, digite o código de acesso em vez de usar o Face ID. Isso pega o caso em que você vem entrando pela biometria e o código que você definiu nunca foi realmente para a memória.
-
Confira o que ficou para trás
Busque o nome do arquivo na biblioteca principal. Olhe os reproduzidos recentemente, o widget, a tela de bloqueio enquanto algo do cofre está tocando. Um cofre que vaza o conteúdo pelo título de “tocando agora” é um cofre com uma janela.
O exercício inteiro leva uns cinco minutos e é a diferença entre um cofre e uma pasta que te dá uma sensação boa.
As situações em que as pessoas realmente caem
Vale ler antes de configurar em vez de depois, porque duas destas linhas não podem ser consertadas mais tarde.
| Situação | O que acontece com um cofre bem feito |
|---|---|
| Celular novo, restaurado de um backup | Os arquivos criptografados e as chaves empacotadas vêm junto; o código de acesso em si não, porque ele é guardado de um jeito que não viaja. Você entra uma vez com o código antigo ou com o código de recuperação, e depois define um novo. |
| Esqueceu o código de acesso, tem o código de recuperação | O código de recuperação desempacota a chave mestra, o cofre abre, e você define na hora um código de acesso novo. Nada é criptografado de novo, então leva um instante em vez de uma hora. |
| Perdeu os dois | Os arquivos ficam no disco como texto cifrado e continuam ilegíveis. Esse é o resultado que o projeto garante, e nenhum app pode oferecer ao mesmo tempo essa garantia e um jeito de contorná-la. |
| Apagou o app | Tudo lá dentro vai junto, exatamente como com o armazenamento privado de qualquer app. Exporte antes de desinstalar — um cofre que vale usar tem uma única ação que devolve tudo para pastas comuns. |
| Alguém sabe o código do seu aparelho | Essa pessoa chega ao aparelho, não ao cofre: a chave do cofre é derivada de um código de acesso separado, próprio. É esse o caso para o qual um cofre isca foi desenhado, quando a pessoa está do seu lado. |
| Backup excluído, celular perdido | Os arquivos criptografados nunca foram copiados para lugar nenhum, então não há o que restaurar. Uma escolha deliberada para algumas pessoas e uma surpresa desagradável para o resto. |
Capturas e gravações de tela são a única brecha que nenhum app de iOS consegue fechar: enquanto você está olhando para algo, o sistema pode capturar aquilo. Qualquer app que diga o contrário no iPhone ou iPad está descrevendo algo que ele não consegue fazer.
Como avaliar um app de cofre antes de colocar nele algo insubstituível
- Ele diz qual é a criptografia, ou só diz “nível militar”?
AES-256-GCM ou ChaCha20-Poly1305 são respostas. “Segurança de nível bancário” é enfeite, e normalmente aparece onde não há nada para nomear.
- Ele explica o caminho de recuperação com honestidade?
Um app que se oferece para te enviar um link de redefinição por e-mail está te dizendo que ele guarda uma chave. Isso pode ser uma troca aceitável — mas significa que o fornecedor consegue abrir o seu cofre, e isso deveria ser dito em voz alta.
- Você consegue tirar tudo de dentro numa única ação?
Um cofre deveria ser um quarto do qual você pode sair. Se exportar significa abrir os arquivos um por um, os seus dados ficam de refém à existência continuada do app.
- Ele mantém o conteúdo existente de refém a uma assinatura?
Limitar novas adições é razoável. Te trancar do lado de fora do que já está dentro quando uma assinatura expira não é, e vale checar antes em vez de depois.
- O que vaza pelas beiradas?
Resultados de busca, Spotlight, miniaturas num cache compartilhado, listas de reproduzidos recentemente, widgets, a tela de bloqueio enquanto o áudio toca, um servidor de compartilhamento de arquivos que o app roda. Cada um desses já vazou um cofre pelo menos uma vez.
- Onde moram as miniaturas?
Uma imagem de prévia é o arquivo. Miniaturas escritas num diretório de cache de todo o sistema desfazem a criptografia justamente para tudo o que alguém realmente quereria ver.
- Alguma coisa vai para um servidor?
Um cofre não tem razão nenhuma para mandar dados para casa. Se ele faz upload, a pergunta sobre quem guarda as chaves se torna a única pergunta que importa.
Onde as plataformas diferem
O aparelho com maior chance de ser entregue a outra pessoa, e é por isso que o modelo de ameaça do dia a dia domina. Face ID mais um código de acesso separado para o cofre cobre isso; o código do aparelho não deveria ser o que abre o cofre.
Mais frequentemente um aparelho compartilhado ou da casa, e mais frequentemente o que fica largado numa mesa. Uma segunda tranca merece o lugar dela aqui mais do que em qualquer outro lugar, e a tela maior faz um conjunto de conteúdo isca parecer mais convincente, não menos.
O FileVault criptografa o disco inteiro quando o Mac está desligado, o que é uma camada diferente e complementar: ele protege uma máquina que foi levada, enquanto um cofre dentro de um app protege contra quem já está logado.
Perguntas que as pessoas fazem
O álbum Oculto do Fotos é privado?
Ele é oculto, não privado. Desde o iOS 16 o próprio álbum pede Face ID, mas as fotos continuam as mesmas: elas sincronizam, permanecem na sua biblioteca de fotos para qualquer app ao qual você deu acesso, e o código do seu aparelho abre porque ele é a alternativa ao Face ID. Para um amigo curioso, isso basta. Para qualquer coisa além disso, não é o que parece ser.
As pessoas que escreveram o app conseguem abrir o meu cofre?
Com um cofre bem construído, não — a chave é derivada do seu código de acesso no seu aparelho e nunca existe em nenhum outro lugar. O jeito de checar é a história de recuperação: um app que consegue te enviar um link de redefinição por e-mail necessariamente guarda algo que abre o seu cofre. Isso não é automaticamente desonesto, mas é o oposto do que “só você consegue abrir” significa.
E se alguém me obrigar a abrir?
É para isso que serve um cofre isca: um segundo código de acesso que abre um conjunto de conteúdo crível e inofensivo, de modo que obedecer e proteger o conteúdo real sejam a mesma ação. Ele foi desenhado contra uma pessoa na sua frente, não contra análise forense do armazenamento, e funciona melhor quando a isca tem coisas plausíveis dentro em vez de estar vazia.
Um cofre protege um celular roubado enquanto estava desbloqueado?
Sim, desde que o cofre já tenha se trancado de novo — que é exatamente o que o ajuste de bloqueio automático decide. Um cofre configurado para ficar aberto durante a sessão inteira está aberto num celular desbloqueado roubado. Esse único ajuste faz mais trabalho do que a escolha da cifra jamais vai fazer.
Vídeo criptografado pode ser reproduzido sem descriptografar o arquivo inteiro primeiro?
Sim, quando o arquivo é criptografado em pedaços em vez de um bloco só. O player pede a parte de que precisa, aquele pedaço é descriptografado na memória, e navegar continua funcionando. A alternativa — escrever uma cópia descriptografada num arquivo temporário para reproduzir — derrota a criptografia por todo o tempo que a reprodução durar, e vale perguntar sobre isso.
Como o cofre do FoxDL é construído
Detalhado, porque o ponto de tudo acima é que afirmações vagas não são afirmações.
- Os arquivos são criptografados com ChaCha20-Poly1305, pedaço por pedaço, com uma chave mestra aleatória gerada uma vez no seu aparelho. Um vídeo sai do cofre em fluxo direto: cada pedaço é descriptografado na memória conforme o player chega nele, e nenhuma cópia descriptografada é jamais escrita no disco.
- Dois envelopes, uma chave. A chave mestra é empacotada uma vez pelo código de acesso do cofre e uma vez pelo seu código de recuperação. Trocar o código de acesso reempacota o envelope em milissegundos em vez de criptografar de novo a sua biblioteca, e qualquer um dos dois segredos abre o cofre num aparelho novo.
- O cofre tem código de acesso próprio, separado do bloqueio do app, com Face ID ou Touch ID e temporizador de bloqueio automático próprio. A cópia biométrica da chave fica no Chaveiro exigindo a sua presença, e está amarrada àquele aparelho.
- Nada legível fica no disco. Os arquivos são guardados fora da sua pasta Documentos, com nomes que não carregam significado; os nomes reais e a árvore de pastas moram apenas num catálogo criptografado, e as miniaturas ficam dentro do cofre em vez de num cache compartilhado.
- Nada vaza pelas beiradas. A busca da biblioteca, o Spotlight, a Transferência por Wi-Fi, o envio entre dispositivos e a caixa de entrada de compartilhamento não veem o cofre. Em playlists e em reproduzidos recentemente, os itens do cofre aparecem como uma linha mascarada, e a tela de bloqueio mostra um título genérico enquanto um deles está tocando.
- Camuflagem e um cofre isca. O cofre pode usar um nome e um ícone que você escolher, sem nenhum selo de cadeado, abrindo direto num conjunto inofensivo de arquivos, com o cofre real atrás de um gesto que você escolhe. Um segundo código de acesso abre a isca, e um ajuste opcional faz o Face ID e o código do aparelho abrirem a isca também — para que o cofre real responda apenas a um código que você nunca precisa demonstrar.
- Os seus arquivos nunca ficam de refém. Tudo lá dentro continua visível, reproduzível e exportável independentemente do estado da assinatura, e um botão nas configurações do cofre devolve tudo para pastas comuns.
- A versão gratuita guarda 15 itens, contados na hora, então remover um abre espaço. Além disso é o FoxDL Pro — e esse é o único recurso sem caminho por vídeo recompensado, porque anúncio não tem o que fazer dentro de um recurso de privacidade.
Separe o código de recuperação em algum lugar que não seja o celular antes de mover qualquer coisa para dentro. Se o código de acesso for esquecido e o código tiver se perdido, a gente não consegue abrir o cofre para você e mais ninguém consegue — essa é a garantia funcionando como foi projetada, e é a razão pela qual o código existe.
Perguntas frequentes
- Como escondo arquivos e o quão seguro é o cofre?
- O que acontece se eu esquecer a senha do cofre ou perder o código de recuperação?
- Dá para esconder o próprio cofre, ou abrir um falso se alguém me obrigar a destravá-lo?
- O cofre sobrevive a um celular novo ou a uma restauração de backup?
- Dá para reproduzir vídeos e música direto do cofre?
- Como movo fotos para o cofre e elas são apagadas do Fotos?
- Dá para baixar um arquivo direto para o cofre?
- Quantos arquivos dá para manter no cofre sem o Pro?
- Como tiro os arquivos de volta do cofre?
- Alguma coisa do cofre aparece em outro lugar do app?
Continue lendo
O que um app de mídia no seu celular consegue ver, e o que ele nunca deveria enviar
O que um app de mídia consegue ver, como ler um rótulo de privacidade, e por que uma tranca não é criptografia.
Onde os seus arquivos realmente moram num iPhone, e quem consegue vê-los
A sandbox, para onde os downloads realmente vão, e por que renomear um arquivo quebra tantos apps.
Cinco jeitos de colocar um arquivo grande num iPhone, e quando cada um é o certo
Wi-Fi, entre dispositivos, nuvem, WebDAV ou um disco — qual caminho serve para qual tarefa.
Sua biblioteca, enfim em um lugar só.
Download grátis. Sem conta nem cadastro; o conjunto completo está na versão gratuita.