Apps de bloqueig de galeria i de fotos: protegeixen de debò les teves fotos?

La majoria d'apps de bloqueig de galeria i de fotos posen un PIN davant de fitxers sense xifrar.

Les apps de bloqueig de galeria i de fotos posen una pantalla de PIN o de contrasenya davant de les teves fotos. El llenguatge de màrqueting suggereix seguretat: "bloqueig", "caixa forta", "segur", "protegit". Però en la majoria d'aquestes apps, la pantalla de PIN és tota la protecció. Al darrere, les fotos es queden sense xifrar en una carpeta normal.

Un pany en una porta de vidre atura la gent que respecta els panys. No atura ningú que miri a través del vidre.

Aquesta guia examina què fan de debò les apps de bloqueig de galeria i de fotos a nivell tècnic, explica la diferència entre "bloquejat" i "xifrat" i defineix què cal per protegir de debò les fotos.

Què fan de debò les apps de bloqueig de galeria

Les apps de bloqueig de galeria (també anomenades bloquejadors de fotos, caixes fortes de galeria o galeries privades) segueixen una arquitectura coherent:

1. Importació. Les fotos es copien o es mouen del carret del dispositiu al directori d'emmagatzematge privat de l'app.
2. Barrera. Es posa una comprovació de PIN, contrasenya, patró o biometria a l'entrada de l'app.
3. Visualització. Quan s'introdueix la credencial correcta, l'app mostra les fotos guardades en una interfície de galeria.

Aquest és tot el mecanisme de la majoria d'apps de bloqueig de galeria. La credencial desbloqueja la interfície de l'app. No xifra, no transforma ni protegeix criptogràficament els fitxers de sota.

Què vol dir "bloquejat" a la pràctica

Quan una app de bloqueig de galeria diu que les teves fotos estan "bloquejades", normalment vol dir això:

• L'app Fotos ja no les mostra (s'han mogut al directori de l'app)
• Per obrir l'app de bloqueig de galeria cal un PIN
• Les fotos de dins de l'app només es poden veure a través de la interfície de l'app

El que "bloquejat" no vol dir:

• Que els fitxers estiguin xifrats
• Que els fitxers siguin il·legibles sense el PIN
• Que els fitxers estiguin protegits contra l'accés al sistema de fitxers
• Que els fitxers resisteixin l'extracció quan un examinador se salta la interfície de l'app

La distinció és important perquè "bloquejar" i "xifrar" descriuen operacions radicalment diferents. Bloquejar controla qui pot passar per una porta. Xifrar transforma el contingut perquè sigui il·legible sense una clau matemàtica.

La diferència entre "bloquejar" i "xifrar"

Aquest és el problema tècnic central de la categoria de bloqueig de galeria.

En una app de galeria bloquejada, les fotos existeixen com a fitxers d'imatge normals. Tenen metadades EXIF. Tenen extensions de fitxer normals. Qualsevol visor d'imatges les pot llegir. El PIN impedeix que l'app les mostri, però els fitxers no canvien.

En una app de caixa forta xifrada ben dissenyada, el contingut dels fitxers guardats és text xifrat, no imatges normals. Si obres aquest text xifrat amb un visor d'imatges, no veus res útil. Que els camps EXIF, les mides dels fitxers, el nombre de registres, les miniatures o altres metadades continuïn sent visibles depèn del format de l'app, així que xifrar només els bytes de la imatge no demostra que s'amagui cada detall.

Un exemple concret

Imagina que guardes una foto en tots dos tipus d'app:

App de bloqueig de galeria: el fitxer IMG_4521.heic es mou a /AppData/GalleryLock/photos/IMG_4521.heic. Qualsevol persona amb accés al sistema de fitxers l'obre i veu la foto. El PIN impedeix que l'app la mostri. El fitxer és del tot intacte i llegible.

App de caixa forta xifrada: el fitxer IMG_4521.heic es xifra en un bloc de dades com a8f3b2c1..., guardat amb un nom de fitxer aleatori i sense extensió. Si l'obres amb qualsevol visor, només veus dades sense sentit. El fitxer original ja no existeix al dispositiu en cap forma llegible.

Aquesta és la diferència. No és teòrica. No és marginal. És de categoria.

Com se salten les apps de bloqueig de galeria

Entendre com se salten aquestes apps aclareix per què la metàfora del "bloqueig" és enganyosa.

1. Connexió a un ordinador

Quan es fa una còpia de seguretat d'un iPhone amb iTunes o el Finder (o d'un Android amb ADB), la còpia pot incloure les dades de l'entorn aïllat de l'app. En una app de bloqueig de galeria, aquesta còpia conté els fitxers de foto originals i sense xifrar. Per extreure'ls n'hi ha prou amb programari gratuït i fàcil de trobar.

2. Eines forenses

Les forces de l'ordre i els examinadors forenses fan servir eines com Cellebrite UFED i GrayKey, que extreuen les dades dels dispositius mòbils a nivell del sistema de fitxers. Aquestes eines no interactuen amb la interfície de l'app. Llegeixen directament l'emmagatzematge. Els fitxers sense xifrar del directori d'una app de bloqueig de galeria són del tot accessibles.

Segons la documentació pública de Cellebrite, les seves eines permeten extreure les dades de l'entorn aïllat de les apps de dispositius iOS, incloses les apps de caixa forta i de bloqueig de galeria de tercers. El PIN és irrellevant perquè l'extracció es fa per sota de la capa de l'aplicació.

3. Exposició a les còpies de seguretat al núvol

Si el dispositiu fa còpies de seguretat a iCloud o a Google Cloud, les dades de l'app de bloqueig de galeria poden quedar incloses a la còpia. Apple i Google poden accedir a aquestes còpies per obligació legal. Com que els fitxers d'un bloqueig de galeria no estan xifrats, són del tot llegibles un cop extrets de la còpia.

4. Eliminació de l'app

Si s'elimina una app de bloqueig de galeria (per accident, per un problema en una actualització del sistema o per part d'una altra persona), també s'eliminen els fitxers sense xifrar de l'entorn aïllat de l'app. A diferència de les caixes fortes xifrades amb mecanismes de còpia de seguretat independents, les apps de bloqueig de galeria normalment no ofereixen cap opció de recuperació fora de l'app.

5. Vulnerabilitats de l'app

Les apps de bloqueig de galeria que no xifren els fitxers tenen un perímetre de seguretat més fàcil de trencar. Qualsevol vulnerabilitat de l'app (una porta del darrere de depuració que s'ha quedat a la versió final, una API local insegura o una pantalla d'autenticació que es pot saltar) exposa directament els fitxers, perquè no hi ha cap capa de xifratge com a segona línia de defensa.

El problema de la recollida de dades

La majoria d'apps de bloqueig de galeria i de fotos són gratuïtes amb anuncis. El model basat en anuncis requereix SDK de seguiment que recullen identificadors del dispositiu, patrons d'ús i dades de comportament.

Una revisió del 2023 de les apps de bloqueig de galeria més populars de l'App Store d'iOS va trobar patrons coherents amb una recollida de dades extensa:

• Diversos SDK publicitaris (Facebook Audience Network, Google AdMob, Unity Ads)
• Marcs d'analítica que registren les pantalles vistes, la durada de les sessions i l'ús de les funcions
• Empremta digital del dispositiu per a la segmentació d'anuncis
• En alguns casos, accés a les dades d'ubicació

La ironia és punyent. Els usuaris baixen aquestes apps precisament per privacitat. Després, les apps recullen i envien dades de comportament a xarxes publicitàries. Pot ser que les fotos estiguin "bloquejades" per als observadors ocasionals, però el comportament de l'usuari es difon als intermediaris de dades.

Les apps que cobren un preu just per un xifratge real solen tenir un seguiment mínim o nul, perquè el seu model de negoci és el producte, no les dades de l'usuari.

Com és una protecció de fotos real

Si les apps de bloqueig de galeria representen l'extrem del "bloqueig", així és l'extrem del "xifratge":

Estàndard de xifratge

AES-256-GCM (Advanced Encryption Standard, clau de 256 bits, Galois/Counter Mode). És l'algorisme de xifratge autenticat que recomana el NIST (SP 800-38D) per a aplicacions d'alta seguretat. Ofereix confidencialitat (les dades són il·legibles sense la clau) i integritat (es detecta qualsevol manipulació de les dades xifrades).

Derivació de claus

Una funció de derivació de claus com PBKDF2 combina la credencial de l'usuari amb una sal i un factor de treball. Una jerarquia ben feta pot fer servir aquest resultat per desembolcallar una clau aleatòria independent de xifratge de fitxers. La KDF encareix cada intent, però no afegeix entropia a una credencial feble, així que el temps d'atac s'ha de basar en el cost mesurat de cada intent, el maquinari, el paral·lelisme i l'espai real de contrasenyes o patrons de l'usuari.

Aïllament per fitxer

Cada fitxer rep un vector d'inicialització (IV) únic i generat a l'atzar. Fotos idèntiques produeixen resultats xifrats diferents. No hi ha cap patró entre fitxers que un atacant pugui aprofitar.

Xifratge de les metadades

Els noms de fitxer, les dates de creació i l'estructura de la caixa forta es xifren amb un xifrat independent. Encara que algú sàpiga que hi ha fitxers, les metadades no revelen res sobre el contingut.

Arquitectura de coneixement zero

El desenvolupador de l'app no rep les claus de xifratge ni el contingut llegible de la caixa forta. Per tant, una ordre judicial no pot obligar el desenvolupador a desxifrar un text xifrat que no pot obrir. El desenvolupador o la plataforma al núvol encara poden tenir metadades operatives, registres de comptes o registres xifrats sota el seu control, segons l'arquitectura del producte i l'abast de l'ordre.

Vaultaire fa servir xifratge autenticat AES-256-GCM per al contingut dels fitxers, les capçaleres, les metadades, els índexs i les miniatures; PBKDF2-HMAC-SHA512 per a les claus derivades del patró; i nonces nous per a cada operació de xifratge. La seva interfície separada per patrons no mostra cap llista de caixes fortes, tot i que un examinador amb accés al contenidor de l'app pot veure els fitxers d'emmagatzematge xifrats. El mode de coacció esborra les altres caixes fortes del dispositiu i aïlla el dispositiu de la sincronització; no esborra les còpies de seguretat al núvol ni els altres dispositius.

Cada patró configurat, dibuixat a la quadrícula de 5x5, deriva la clau de la caixa forta que té assignada, així que la interfície bloquejada no mostra cap llista de caixes fortes ni confirma si hi ha un altre patró configurat. Un examinador amb accés al contenidor de l'app pot veure els fitxers d'emmagatzematge xifrats i estimar quantes caixes fortes contenen fitxers. El contingut dels índexs, els noms de les caixes fortes i els fitxers continuen xifrats sense el patró corresponent.

Com saber si la teva app xifra de debò

Tres proves ràpides:

Prova 1: restabliment de la contrasenya

Prova de restablir la contrasenya o el PIN a través de l'app. Si l'app t'envia un correu que et torna l'accés als fitxers, el desenvolupador té les claus de xifratge (o no hi ha claus de xifratge). Una app xifrada de coneixement zero no pot restablir les teves credencials perquè no les ha tingut mai.

Prova 2: especificació del xifratge

Busca al web de l'app o a la descripció de l'App Store un algorisme de xifratge concret: AES-256-GCM, AES-256-CBC, ChaCha20-Poly1305. Si l'app diu "segur" o "protegit" sense anomenar cap xifrat, probablement no xifra.

Prova 3: etiquetes de privacitat

Consulta les etiquetes de privacitat de l'App Store. Compara quines dades recull l'app amb el que esperaries d'una app centrada en la privacitat. Si hi ha diverses categories de seguiment (sobretot "Dades utilitzades per fer-te un seguiment" i "Dades vinculades a tu"), és senyal d'un model basat en anuncis amb una recollida de dades extensa.

Preguntes freqüents

Les apps de bloqueig de galeria protegeixen de debò les fotos?

Les apps de bloqueig de galeria impedeixen que les fotos es vegin des de l'app Fotos del dispositiu o que les vegi algú que fa servir el telèfon de passada. No protegeixen les fotos a nivell del sistema de fitxers. Els fitxers que guarden la majoria d'aquestes apps no estan xifrats i s'hi pot accedir connectant el telèfon a un ordinador, extraient una còpia de seguretat o amb eines forenses. El PIN impedeix l'accés des de l'app; no xifra els fitxers.

Quina diferència hi ha entre bloquejar i xifrar fotos?

Bloquejar posa una barrera de control d'accés (PIN, contrasenya, biometria) davant de fitxers que es mantenen en el format original. Xifrar transforma els fitxers amb un xifrat com AES-256-GCM en dades matemàticament il·legibles sense la clau correcta. Als fitxers bloquejats s'hi pot accedir saltant-se la interfície. Als fitxers xifrats no s'hi pot accedir sense la clau de xifratge, independentment de com s'accedeixi a l'emmagatzematge.

Les eines forenses poden accedir a les apps de bloqueig de galeria?

Sí. Les eines forenses com Cellebrite UFED i GrayKey extreuen les dades a nivell del sistema de fitxers i se salten del tot l'autenticació de l'app. Com que la majoria d'apps de bloqueig de galeria guarden fitxers sense xifrar, les eines accedeixen directament a les fotos sense el PIN de l'app. És una capacitat habitual en la investigació forense policial i corporativa.

Les apps de bloqueig de galeria de pagament són més segures que les gratuïtes?

No necessàriament. Que una app sigui de pagament o gratuïta no indica de manera fiable si xifra. Algunes apps de bloqueig de galeria de pagament continuen fent servir control d'accés sense xifratge. Els criteris que compten són: un algorisme de xifratge concret, el model de gestió de claus (al client o al servidor) i la política de recollida de dades. El preu no garanteix l'arquitectura de seguretat.

Què he de fer servir en lloc d'un bloqueig de galeria?

Per protegir de debò les fotos, fes servir una app de caixa forta xifrada amb: AES-256-GCM o un xifratge equivalent, derivació de claus al client (PBKDF2, Argon2), una arquitectura de coneixement zero en què el desenvolupador no pugui accedir als fitxers i una recollida de dades mínima. Comprova que l'app anomeni explícitament el seu algorisme de xifratge i que no ofereixi restabliment de contrasenya des del servidor.

En resum

Les apps de bloqueig de galeria i de fotos responen una pregunta real: "Com mantinc privades algunes fotos?". Però la majoria la responen amb una pantalla de PIN i res més.

La paraula "bloqueig" suggereix seguretat. A la pràctica, vol dir control d'accés. El PIN és un suggeriment per al programari. No és una barrera per a les dades.

Si una pantalla de PIN n'hi ha prou per a la teva situació, qualsevol app de bloqueig de galeria et servirà. Molta gent no necessita res més. Però si algú amb eines, coneixements o autoritat legal pot intentar accedir a aquestes fotos, el que et protegeix no és el PIN. És el xifratge.

La diferència entre "bloquejat" i "xifrat" és la diferència entre una porta i una paret. L'una es pot obrir. L'altra no.

Guies relacionades: Les millors apps per bloquejar fotos a l'iPhone, provades | Com bloquejar fotos a l'iPhone | App per amagar fotos: 5 enfocaments