Gallerilås og fotolås-apps: beskytter de faktisk dine fotos?

De fleste gallerilås-apps placerer en PIN foran ukrypterede filer.

Gallerilås- og fotolås-apps placerer en PIN- eller adgangskodeskærm foran dine fotos. Markedsføringssproget antyder sikkerhed: "lås", "boks", "sikr", "beskyttet". I de fleste af disse apps er PIN-skærmen dog al beskyttelsen. Bag den sidder dine fotos ukrypterede i en standardmappe.

En lås på en glasplade stopper folk der respekterer låse. Den stopper ikke nogen der kigger igennem glasset.

Denne vejledning undersøger, hvad gallerilås-apps faktisk gør på teknisk niveau, forklarer forskellen på "låsning" og "kryptering", og definerer hvad reel fotobeskyttelse kræver.

Hvad gallerilås-apps faktisk gør

Gallerilås-apps (også kaldet fotolåse, gallerisafere eller private galleri-apps) følger en konsistent arkitektur:

1. Import. Fotos kopieres eller flyttes fra enhedens kamerarulle til appens private lagermappe.
2. Port. En PIN-, adgangskode-, mønster- eller biometrikontrol placeres på appens indgangspunkt.
3. Visning. Når den rigtige kode er indtastet, viser appen de gemte fotos i et galleriinterface.

Det er den komplette mekanisme for de fleste gallerilås-apps. Legitimationsoplysningerne låser app-brugerfladen op. De krypterer, transformerer eller kryptografisk beskytter ikke de underliggende filer.

Hvad "låsning" faktisk betyder

Når en gallerilås-app siger, at dine fotos er "låst", betyder det normalt:

• Fotos-appen viser dem ikke længere (de er flyttet til appens mappe)
• Åbning af gallerilås-appen kræver en PIN
• Fotos indeni appen er kun synlige via appens interface

Hvad "låsning" ikke betyder:

• Filer er krypterede
• Filer er ulæselige uden PIN
• Filer er beskyttet mod filsystemadgang
• Filerne modstår udtræk, når en undersøger går uden om appens brugerflade

Denne sondring er vigtig, fordi "lås" og "krypter" beskriver fundamentalt forskellige operationer. Låsning kontrollerer, hvem der kan gå gennem døren. Kryptering transformerer indholdet, så det er ulæseligt uden en matematisk nøgle.

Forskellen på "låsning" og "kryptering"

Dette er det grundlæggende tekniske problem for gallerilås-kategorien.

I en låst galleri-app eksisterer dine fotos som standard billedfiler. De har EXIF-metadata. De har normale filendelser. Enhver billedfremviser kan læse dem. PIN'en forhindrer appen i at vise dem, men filerne selv er uændrede.

I en korrekt designet krypteret boksapp er lagret filindhold chiffertekst snarere end læsbare billeder. Åbning af den chiffertekst i en billedfremviser viser intet nyttigt. Om EXIF-felter, filstørrelser, antal poster, thumbnails eller andre metadata forbliver synlige afhænger af appens format, så kryptering af billedbytes alene beviser ikke, at alle detaljer er skjult.

Et konkret eksempel

Forestil dig, at du gemmer et billede i begge typer app:

Gallerilås-app: Filen IMG_4521.heic flyttes til /AppData/GalleryLock/photos/IMG_4521.heic. Alle med adgang til filsystemet kan åbne den og se billedet. PIN-koden forhindrer kun appen i at vise det. Filen er fuldt intakt og læselig.

Krypteret boksapp: Filen IMG_4521.heic krypteres til en datablok som a8f3b2c1..., der gemmes med et tilfældigt filnavn og uden filendelse. Åbner man den i en fremviser, ser man kun meningsløse data. Den oprindelige fil findes ikke længere i læselig form på enheden.

Det er forskellen. Ikke teoretisk. Ikke marginal. Kategorisk.

Sådan omgås gallerilås-apps

At forstå omgåelsesmetoderne tydeliggør, hvorfor "låsning"-metaforen er vildledende.

1. Tilslutning til computer

Når en iPhone sikkerhedskopieres via iTunes eller Finder (eller Android via ADB), kan backuppen indeholde app-sandkassedata. I en gallerilås-app indeholder denne backup de originale ukrypterede billedfiler. Frit tilgængeligt software kan udtrække dem.

2. Retsmedicinske værktøjer

Retshåndhævende myndigheder og retsmedicinske efterforskere bruger værktøjer som Cellebrite UFED og GrayKey der udtrækker data fra mobile enheder på filsystemniveau. Disse værktøjer interagerer ikke med app-brugerfladen. De læser lageret direkte. Ukrypterede filer i gallerilås-mappen er fuldt tilgængelige.

Ifølge Cellebrites offentligt tilgængelige dokumentation understøtter deres værktøjer udtrækning af app-sandkassedata fra iOS-enheder, herunder tredjeparters boks- og gallerilås-apps. PIN'en er irrelevant, da udtrækning sker under applaget.

3. Cloud-backup-eksponering

Hvis enheden sikkerhedskopierer til iCloud eller Google Cloud, kan data fra gallerilås-appen være inkluderet i backuppen. Apple og Google kan tilgå disse backups på baggrund af juridiske forpligtelser. Da filer i gallerilåsen er ukrypterede, er de fuldt læselige efter udtrækning fra backuppen.

4. App-sletning

Slettes gallerilås-appen (ved en fejl, under et OS-opdateringsproblem eller af en tredjepart), slettes de ukrypterede filer i app-sandkassen også. I modsætning til krypterede bokse med separate backupmekanismer tilbyder gallerilås-apps normalt ikke gendannelsesmuligheder uden for selve appen.

5. App-sårbarhed

Gallerilås-apps der ikke krypterer filer, har en enklere sikkerhedsperimeter at bryde. En hvilken som helst sårbarhed i appen eksponerer direkte filer, da der ikke er noget krypteringslag som anden forsvarslinje.

Problemet med dataindsamling

De fleste gallerilås- og fotolås-apps er gratis med reklamer. Den reklamefinansierede model kræver sporings-SDK'er der indsamler enheds-ID'er, brugsmønstre og adfærdsdata.

En gennemgang i 2023 af populære gallerilås-apps i iOS App Store fandt mønstre, der passer med omfattende dataindsamling:

• Flere reklame-SDK'er (Facebook Audience Network, Google AdMob, Unity Ads)
• Analyseværktøjer, der registrerer skærmvisninger, sessionslængde og brug af funktioner
• Fingeraftryk af enheden til målretning af reklamer
• I nogle tilfælde adgang til placeringsdata

Ironien er tydelig. Brugere downloader disse apps specifikt til privatliv. Appene indsamler og transmitterer derefter adfærdsdata til annoncenetværk. Fotos kan være "låst" mod uvedkommende blikke, men brugeradfærd sendes til datamæglere.

Apps der tager en rimelig pris for reel kryptering, har tendens til minimal eller ingen sporing, fordi deres forretningsmodel er produktet, ikke brugerdata.

Sådan ser reel fotobeskyttelse ud

Hvis gallerilås-apps repræsenterer den ene ende af "låsning"-spektret, er her, hvordan "krypterings"-enden ser ud:

Krypteringsstandard

AES-256-GCM (Advanced Encryption Standard, 256-bit nøgle, Galois/Counter Mode). Dette er den autentificerede krypteringsalgoritme anbefalet af NIST (SP 800-38D) til høj-sikkerhedsapplikationer. Den giver både fortrolighed (data er ulæselige uden nøgle) og integritet (enhver manipulation af krypterede data detekteres).

Nøgleafledning

En nøgleafledningsfunktion som f.eks. PBKDF2 kombinerer brugerens adgangskode eller mønster med et salt og en arbejdsfaktor. Et sundt hierarki kan bruge resultatet til at pakke en separat tilfældig filkrypteringsnøgle ud. KDF'en hæver prisen på hvert gæt, men tilføjer ikke entropi til en svag adgangskode, så angrebstiden skal bygge på målte omkostninger pr. gæt, hardware, parallelitet og det faktiske rum af adgangskoder eller mønstre.

Filsisolation

Hver fil får en unik tilfældigt genereret initialiseringsvektor (IV). Identiske fotos producerer forskelligt krypteret output. En angriber har intet mønster at udnytte på tværs af filer.

Metadata-kryptering

Filnavne, oprettelsesdatoer og boksstruktur krypteres med en separat kryptofunktion. Selv hvis nogen ved, at filer eksisterer, afslører metadata intet om indholdet.

Nul-kendskab-arkitektur

Appudvikleren modtager ikke krypteringsnøglerne eller det læsbare boksindhold. En retskendelse kan derfor ikke få udvikleren til at dekryptere chiffertekst, udvikleren ikke kan åbne. Udvikleren eller cloudplatformen har muligvis stadig driftsmetadata, kontoposter eller krypterede poster under sin kontrol, afhængigt af produktets arkitektur og kendelsens omfang.

Vaultaire bruger autentificeret AES-256-GCM-kryptering til filindhold, headere, metadata, indekser og miniaturer, PBKDF2-HMAC-SHA512 til nøgler afledt af mønstre og nye nonces til hver krypteringsoperation. Dens grænseflade med adskilte mønstre viser ingen liste over bokse, men en undersøger med adgang til appens container kan se de krypterede lagerfiler. Tvangstilstand sletter de andre bokse på enheden og isolerer enheden fra synkronisering; den sletter ikke skybackups eller andre enheder.

Hvert oprettet mønster tegnet på 5x5-gitteret udleder nøglen til sin tildelte boks, så den låste grænseflade viser ikke en liste over bokse eller bekræfter, om et andet mønster er konfigureret. En undersøger med adgang til app-containeren kan se de krypterede lagerfiler og anslå, hvor mange bokse der indeholder filer. Indeksindholdet, boksnavnene og filerne forbliver krypteret uden det matchende mønster.

Sådan finder du ud af om din app faktisk krypterer

Tre hurtige tests:

Test 1: Adgangskodegendannelse

Prøv at nulstille din adgangskode eller PIN via appen. Sender appen dig en e-mail, der giver dig adgang til filerne igen, har udvikleren krypteringsnøglerne (eller der findes ingen krypteringsnøgler). En zero-knowledge-krypteret app kan ikke nulstille dine loginoplysninger, fordi den aldrig har haft dem.

Test 2: Krypteringsspecifikation

Tjek appens websted eller beskrivelse i App Store for en navngiven krypteringsalgoritme: AES-256-GCM, AES-256-CBC, ChaCha20-Poly1305. Siger appen "sikker" eller "beskyttet" uden at nævne en chiffer, krypterer den sandsynligvis ikke.

Test 3: Privatlivslabels

Tjek privatlivslabels i App Store. Sammenlign hvilke data appen indsamler med hvad du ville forvente af en privatlivsfokuseret app. Flere sporingskategorier (især "Data brugt til at spore dig" og "Data knyttet til dig") indikerer en reklamefinansieret model med omfattende dataindsamling.

Ofte stillede spørgsmål

Beskytter gallerilås-apps faktisk fotos?

Gallerilås-apps beskytter fotos mod at blive vist via Fotos-appen eller af nogen der lejlighedsvis bruger telefonen. De beskytter ikke fotos på filsystemniveau. Filer gemt i de fleste gallerilås-apps er ukrypterede og tilgængelige via computerforbindelser, backup-udtrækning eller retsmedicinske værktøjer. PIN'en forhindrer adgang på app-niveau; den krypterer ikke filer.

Hvad er forskellen på at låse og kryptere fotos?

Låsning placerer en adgangskontrolbarriere (PIN, adgangskode, biometri) foran filer der forbliver i originalformat. Kryptering transformerer filer med en kryptofunktion som AES-256-GCM til data der er matematisk ulæselige uden den rigtige nøgle. Låste filer kan tilgås ved at omgå brugerfladen. Krypterede filer kan ikke tilgås uden krypteringsnøglen, uanset hvordan lageret tilgås.

Kan retsmedicinske værktøjer tilgå gallerilås-apps?

Ja. Retsmedicinske værktøjer som Cellebrite UFED og GrayKey udtrækker data på filsystemniveau og omgår fuldstændig app-niveau-godkendelse. Da de fleste gallerilås-apps gemmer ukrypterede filer, tilgår værktøjerne fotos direkte uden app-PIN. Dette er en rutinefunktion i straffesager og virksomhedsrelateret retsmedicin.

Er betalte gallerilås-apps mere sikre end gratis?

Ikke nødvendigvis. Om appen er betalt eller gratis, forudsiger ikke pålideligt, om den krypterer. Nogle betalte gallerilås-apps bruger stadig adgangskontrol uden kryptering. De kriterier, der betyder noget, er: navngivet krypteringsalgoritme, model for nøglehåndtering (på klientsiden eller serversiden) og politik for dataindsamling. Prisen garanterer ikke sikkerhedsarkitekturen.

Hvad bør jeg bruge i stedet for gallerilås?

Til reel fotobeskyttelse brug en krypteret boksapp med: AES-256-GCM-kryptering eller tilsvarende, nøgleafledning på klientsiden (PBKDF2, Argon2), nul-kendskab-arkitektur hvor udvikleren ikke kan tilgå filer og minimal dataindsamling. Verificér at appen eksplicit navngiver sin krypteringsalgoritme og ikke tilbyder server-adgangskodegendannelse.

Konklusion

Gallerilås-apps besvarer et reelt spørgsmål: "Hvordan holder jeg bestemte fotos private?" Men de fleste besvarer det med en PIN-skærm og ingenting andet.

Ordet "lås" implicerer sikkerhed. I praksis betyder det adgangskontrol. PIN'en er et råd til softwaren. Det er ikke en barriere for data.

Hvis en PIN-skærm er nok for dig, fungerer enhver gallerilås-app. Mange mennesker har faktisk ikke brug for mere. Men hvis nogen med værktøjer, viden eller juridisk autoritet kunne forsøge at tilgå disse fotos, beskytter PIN'en dig ikke. Kryptering gør.

Forskellen på "låsning" og "kryptering" er forskellen på en dør og en væg. Den ene kan åbnes. Den anden kan ikke.

Relaterede vejledninger: Bedste foto-boksapps til iPhone | Sådan låser du fotos på iPhone | App til at skjule fotos: 5 tilgange