Приховано, заблоковано, зашифровано — три слова, що продаються як одне
У майже кожного є жменька файлів, які краще б не з’являлися, коли ти простягаєш комусь телефон показати фото. Застосунки, що обіцяють це вирішити, варіюються від папки з намальованим замком до чогось справді нечитабельного без ключа, і ззовні вони виглядають однаково. Різниця стає видимою лише того дня, коли вона має значення.
- 0 копій Скільки копій ключа добре побудоване сховище тримає десь, крім твого власного пристрою
- 2 входи Пароль, який ти пам’ятаєш, і код відновлення, збережений десь окремо
- 1 правило Втратиш обидва — файли лишаться нечитабельними: і для тебе, і для того, хто написав застосунок
Що зазвичай насправді означає слово «приховано»
Альбом «Приховане» у «Фото» — це версія, якою вже користується більшість людей, і варто бути точним щодо неї: він прибирає елементи з основної сітки й, починаючи з iOS 16, ставить Face ID перед самим альбомом. Чого він не робить — не змінює сам файл. Фото зберігається точно таким, яким було, воно й далі синхронізується з iCloud Photos, і далі повертається будь-якому застосунку, якому надано доступ до твоєї бібліотеки фото, і будь-хто, хто знає пароль твого пристрою, може його відкрити, бо пароль пристрою — це резервний варіант для Face ID. Це прибирання, а не захист — і для типового випадку, коли друг прогорнув на одне фото більше, ніж треба, прибирання справді достатньо.
Наступний рівень — це папка за паролем, і саме це насправді являють собою більшість застосунків, що називають себе сховищем. Є екран із PIN-кодом, а за ним — список файлів, що живуть на диску звичайним чином. Це зупиняє людину, яка тримає твій розблокований телефон, а це реальна й поширена загроза. Але це взагалі нічого не робить проти повної резервної копії, криміналістичного вилучення чи чогось іще, що читає сховище, а не сам застосунок.
Найвищий рівень — це шифрування з власним ключем. Файли перетворюються на вході, і те, що лишається на диску, безглузде без ключа: ні попередній перегляд, ні назва файлу, ні розмір, що видав би вміст. Той, хто копіює сховище, отримує шум. Це єдина версія, де фраза «більше ніхто не може це відкрити» буквально правдива — і водночас єдина версія, де втрата власного ключа означає втрату файлів, а про цю угоду ніхто не пише в рекламі.
Три підходи, зважені відносно того, чого ти насправді боїшся
Обирай за загрозою, а не за маркетингом. Більшості людей потрібен середній варіант, а купують вони третій; кільком, кому справді потрібен третій, доводиться задовольнятися першим.
Слова зі списку функцій — перекладені
Ці терміни точно використовують ті, хто це будує, і вільно — ті, хто це продає. Знання їх — це більша частина захисту.
- Шифрування в стані спокою
- Файл нечитабельний, поки він лежить на диску, а не лише поки подорожує. Це та заява, яка важлива для сховища, і та, на яку найчастіше лише натякають, не роблячи прямо.
- AEAD (автентифіковане шифрування)
- Шифрування, що також виявляє втручання, — AES-GCM і ChaCha20-Poly1305 — два, що використовуються найчастіше. Без цього файл можна змінити способом, непомітним після розшифрування.
- Виведення ключа (KDF)
- Перетворення короткого пароля на справжній ключ через навмисну повільність, щоб перебір мільйонів PIN-кодів справді забирав час. Сховище, що це пропускає, — це сховище з чотиризначним ключем.
- Конверт / обгортання ключа
- Файли шифруються одним випадковим головним ключем, а сам цей ключ окремо шифрується твоїм паролем і твоїм кодом відновлення. Саме тому зміна пароля займає мить, а не перешифрування всього, і саме тому два різні секрети можуть відкрити те саме сховище.
- Код відновлення
- Довгий рядок, згенерований один раз під час налаштування, що обгортає другу копію головного ключа. Це єдиний інший вхід. Він існує саме тому, що немає акаунту для скидання, і він марний, якщо живе лише на пристрої, який захищає.
- Data Protection
- Шар iOS, що прив’язує доступність файлу до розблокованості пристрою. Він справді сильний, і він не замінює власний ключ застосунку — він захищає від вилучення пристрою, а не від того, що власника телефону попросять його відкрити.
- Хибне сховище / правдоподібне заперечення
- Другий, правдоподібний набір вмісту, що відкривається іншим паролем, — для ситуації, коли не ти вирішуєш, чи відкриється сховище. Реальна функція з реальними обмеженнями: вона допомагає проти людини, а не проти аналітика, що рахує байти на диску.
Як налаштувати сховище так, щоб воно відкрилося й через два роки
Сценарій провалу для зашифрованого сховища майже ніколи не зловмисник. Це власник, вісімнадцять місяців потому, із паролем, який він встановив один раз і більше ніколи не набирав.
-
Обери пароль, який ти справді ще пам’ятатимеш
Не варіацію того, що ти вже десь використовуєш, і не випадкове число, яке набереш двічі й забудеш. Щось, що зможеш відтворити з пам’яті через рік, бо ти не користуватимешся ним щодня.
-
Зберігай код відновлення там, де немає телефону
Менеджер паролів, нотатка в сейфі, надрукований рядок у шухляді. На пристрої, який він захищає, це просто декорація. Надісланий собі на пошту, він настільки ж безпечний, як твоя поштова скринька, — і це може бути прийнятно, якщо ти вирішив це свідомо.
-
Вирішіть, що тут має робити резервна копія
Включення сховища в резервну копію iCloud чи комп’ютера означає, що зашифровані файли переживуть втрачений телефон. Виключення означає меншу резервну копію й нічого відновлюваного, якщо пристрій зникне. Обидва варіанти обґрунтовані; непомітно зсунутися в один із них без рішення — ні.
-
Перенеси оригінали всередину, лише потім видали їх звідти, де вони були
Саме в такому порядку, і лише після того, як сховище підтвердить надходження кожного елемента. Імпорт, що спершу видаляє, — це один перерваний перенос від повної втрати файлу, і саме видалення має проходити через власне підтвердження системи, а не тихо.
-
Заблокуй і відкрий один раз «з холодного старту»
Закрий застосунок, відкрий знову, введи пароль замість Face ID. Це виявляє випадок, коли ти звик заходити біометрично, а пароль, який ти встановив, насправді ніколи не закарбувався в пам’яті.
-
Перевір, що лишається помітним ззовні
Пошукай назву файлу в основній бібліотеці. Подивись на «нещодавно відтворене», на віджет, на екран блокування, поки щось зі сховища грає. Сховище, що видає свій вміст через заголовок «зараз грає», — це сховище з вікном.
Уся ця вправа займає близько п’яти хвилин, і саме вона є різницею між сховищем і папкою, з приводу якої ти просто добре себе почуваєш.
Ситуації, з якими люди справді стикаються
Варто прочитати до налаштування, а не після, бо два з цих рядків не можна виправити постфактум.
| Ситуація | Що відбувається в добре побудованому сховищі |
|---|---|
| Новий телефон, відновлення з резервної копії | Зашифровані файли й обгорнуті ключі переносяться; сам пароль — ні, бо він зберігається способом, який не переноситься. Ти заходиш один раз старим паролем чи кодом відновлення, а потім встановлюєш новий. |
| Пароль забуто, код відновлення є | Код відновлення розгортає головний ключ, сховище відкривається, і ти одразу встановлюєш новий пароль. Нічого не перешифровується, тож це займає мить, а не годину. |
| Втрачено обидва | Файли лишаються на диску як шифротекст і залишаються нечитабельними. Це результат, який гарантує сам дизайн, і жоден застосунок не може одночасно пропонувати таку гарантію й обхідний шлях довкола неї. |
| Застосунок видалено | Усе всередині йде разом з ним, точно як із приватним сховищем будь-якого застосунку. Експортуй перед видаленням — сховище, варте використання, має одну дію, що повертає все у звичайні папки. |
| Хтось знає пароль твого пристрою | Він дістається до пристрою, а не до сховища: ключ сховища виводиться з власного окремого пароля. Саме для цього випадку й задумане хибне сховище — коли людина стоїть поруч. |
| Резервну копію виключено, телефон втрачено | Зашифровані файли ніколи нікуди не копіювалися, тож відновлювати нічого. Свідомий вибір для одних і неприємний сюрприз для решти. |
Знімки й записи екрана — єдина прогалина, яку жоден застосунок для iOS не може закрити: поки ти на щось дивишся, система може це захопити. Будь-який застосунок, що стверджує протилежне на iPhone чи iPad, описує те, чого не вміє.
Як оцінити застосунок-сховище, перш ніж покласти в нього щось незамінне
- Чи називає він шифрування конкретно, чи каже лише «військового рівня»?
AES-256-GCM чи ChaCha20-Poly1305 — це відповіді. «Безпека банківського рівня» — це прикраса, і зазвичай з’являється там, де назвати нічого.
- Чи чесно він пояснює шлях відновлення?
Застосунок, що пропонує надіслати тобі посилання для скидання на пошту, тим самим повідомляє, що тримає ключ. Це може бути прийнятною угодою — але це означає, що постачальник може відкрити твоє сховище, і про це варто сказати прямо.
- Чи можеш ти забрати все одним рухом?
Сховище має бути кімнатою, з якої можна вийти. Якщо експорт означає відкривати файли по одному, твої дані заручники того, що застосунок продовжує існувати.
- Чи тримає він наявний вміст заручником підписки?
Лімітувати нові додавання — розумно. Блокувати доступ до вже наявного, коли підписка закінчується, — ні, і це варто перевірити заздалегідь, а не постфактум.
- Де витікає інформація по краях?
Результати пошуку, Spotlight, мініатюри в спільному кеші, списки «нещодавно відтворене», віджети, екран блокування під час відтворення аудіо, сервер обміну файлами, який запускає застосунок. Кожне з цього хоч раз видавало вміст сховища.
- Де живуть мініатюри?
Зображення попереднього перегляду — це і є файл. Мініатюри, записані в загальносистемну кеш-папку, зводять нанівець шифрування для всього, що хтось справді захотів би побачити.
- Чи щось надсилається на сервер?
У сховища немає причин «телефонувати додому». Якщо воно щось вивантажує, питання, хто тримає ключі, стає єдиним важливим питанням.
Чим відрізняються платформи
Пристрій, який найімовірніше опиниться в чужих руках, тому переважає повсякденна модель загрози. Face ID плюс окремий пароль сховища покриває це; пароль пристрою не повинен бути тим, що відкриває сховище.
Частіше спільний чи домашній пристрій, і частіше той, що лишають на столі. Друге блокування заробляє своє місце тут більше, ніж будь-де, а більший екран робить хибний вміст переконливішим, а не менш.
FileVault шифрує весь диск, коли Mac вимкнено, — це інший, доповнювальний шар: він захищає вилучений пристрій, тоді як сховище всередині застосунку захищає від того, хто вже увійшов у систему.
Питання, які ставлять люди
Чи приватний альбом «Приховане» в «Фото»?
Він прихований, а не приватний. Починаючи з iOS 16 сам альбом запитує Face ID, але фото не змінюються: вони синхронізуються, лишаються в бібліотеці фото для будь-якого застосунку, якому ти надав доступ, і пароль твого пристрою їх відкриває, бо це резервний варіант для Face ID. Для цікавого друга цього достатньо. Для будь-чого іншого це не те, чим здається.
Чи можуть автори застосунку відкрити моє сховище?
У правильно побудованому сховищі — ні: ключ виводиться з твого пароля на твоєму пристрої й ніколи не існує більше ніде. Спосіб перевірки — історія відновлення: застосунок, що може надіслати тобі посилання для скидання на пошту, обов’язково тримає щось, що відкриває твоє сховище. Це не автоматично нечесно, але це протилежність тому, що означає «відкрити можеш тільки ти».
А якщо мене змусять його відкрити?
Саме для цього існує хибне сховище: другий пароль, що відкриває правдоподібний, безпечний набір вмісту, тож підкоритися й захистити справжній вміст — це одна й та сама дія. Воно розроблене проти людини перед тобою, а не проти криміналістичного аналізу сховища, і працює найкраще, коли в хибному сховищі лежать правдоподібні речі, а не порожнеча.
Чи захищає сховище телефон, який вкрали розблокованим?
Так, за умови, що сховище вже заблокувалося саме — а саме це й вирішує налаштування автоблокування. Сховище, встановлене лишатися відкритим на всю сесію, буде відкритим і на вкраденому розблокованому телефоні. Це одне налаштування важить більше за будь-який вибір шифру.
Чи можна відтворити зашифроване відео без розшифрування всього файлу заздалегідь?
Так, коли файл зашифрований частинами, а не одним блоком. Плеєр запитує потрібну частину, ця частина розшифровується в пам’яті, і перемотка й далі працює. Альтернатива — записати розшифровану копію в тимчасовий файл для відтворення — зводить нанівець шифрування на весь час відтворення, і про це варто питати.
Як побудоване сховище у FoxDL
Описано детально, бо весь сенс усього вище саме в тому, що розмиті заяви — це не заяви.
- Файли шифруються ChaCha20-Poly1305, частинами, випадковим головним ключем, згенерованим один раз на твоєму пристрої. Відео стрімиться прямо зі сховища: кожна частина розшифровується в пам’яті, щойно плеєр до неї доходить, і жодна розшифрована копія ніколи не записується на диск.
- Два конверти, один ключ. Головний ключ обгорнутий один раз твоїм паролем сховища, і один раз — твоїм кодом відновлення. Зміна пароля перегортає конверт за мілісекунди замість перешифрування всієї бібліотеки, і будь-який із двох секретів відкриває сховище на новому пристрої.
- У сховища власний пароль, окремий від блокування застосунку, із Face ID чи Touch ID і власним таймером автоблокування. Біометрична копія ключа лежить у Keychain, вимагаючи твоєї присутності, і прив’язана саме до цього пристрою.
- На диску не лишається нічого читабельного. Файли зберігаються поза папкою Documents під іменами, що не несуть жодного сенсу; справжні назви й дерево папок живуть лише в зашифрованому каталозі, а мініатюри залишаються всередині сховища, а не в спільному кеші.
- Ніщо не витікає по краях. Пошук у бібліотеці, Spotlight, Wi-Fi-передавання, надсилання між пристроями й вхідна скринька поширення не бачать сховища. У плейлистах і в «нещодавно відтвореному» елементи сховища з’являються як замаскований рядок, а на екрані блокування показується узагальнена назва, поки щось грає.
- Камуфляж і хибне сховище. Сховище може носити обрані тобою назву й іконку без жодного значка блокування, відкриваючись прямо в безпечний набір файлів, тоді як справжнє сховище лежить за жестом, який ти сам обираєш. Другий пароль відкриває хибне сховище, а опційне налаштування дозволяє й Face ID, і паролю пристрою відкривати саме хибне — тож справжнє відповідає лише паролю, який тобі ніколи не доведеться демонструвати.
- Твої файли ніколи не беруть у заручники. Усе всередині лишається доступним для перегляду, відтворення й експорту незалежно від стану підписки, і одна кнопка в налаштуваннях сховища повертає все назад у звичайні папки.
- Безкоштовна версія тримає 15 елементів, підрахованих у реальному часі, тож видалення одного звільняє місце. Понад це — FoxDL Pro, і це єдина функція без шляху через рекламний ролик за винагороду, бо рекламі нема чого робити у функції приватності.
Відклади код відновлення десь, крім телефону, перш ніж переносити щось усередину. Якщо пароль забуто, а код втрачено, ми не можемо відкрити сховище за тебе, і ніхто інший теж не може — це гарантія, що працює саме так, як задумано, і саме тому цей код узагалі існує.
Часті запитання
- Як приховати файли, і наскільки безпечне сховище?
- Що станеться, якщо я забуду код доступу до сховища чи втрачу код відновлення?
- Чи можу я приховати саме сховище або відкрити фейкове, якщо мене змусять його розблокувати?
- Чи переживає сховище новий телефон або відновлення з резервної копії?
- Чи можу я відтворювати відео й музику прямо зі сховища?
- Як перенести фото у сховище, і чи видаляються вони з «Фото»?
- Чи можу я завантажити файл прямо в сховище?
- Скільки файлів я можу тримати у сховищі без Pro?
- Як забрати файли назад зі сховища?
- Чи з’являється щось зі сховища деінде в застосунку?
Читати далі
Що бачить медіазастосунок на твоєму телефоні і чого він ніколи не повинен надсилати
Що може бачити медіазастосунок, як читати мітку конфіденційності і чому блокування — не шифрування.
Де насправді живуть твої файли на iPhone і хто може їх бачити
Пісочниця, куди насправді потрапляють завантаження і чому перейменування файлу ламає стільки застосунків.
П’ять способів перенести великий файл на iPhone — і коли який доречний
Wi-Fi, напряму між пристроями, хмара, WebDAV чи диск — який шлях під яку задачу.
Твоя бібліотека нарешті в одному місці.
Безкоштовне завантаження. Без облікового запису — повний набір у безкоштовній версії.