Le plaidoyer pour Vaultaire

Les apps de vie privée ont un défaut fatal : elles ressemblent à des apps de vie privée.

Un dossier verrouillé annonce qu'il est verrouillé. Une galerie cachée appelée « Calculatrice+ » ne trompe personne qui cherche vraiment. Chaque coffre-fort photo « sécurisé » sur votre iPhone partage le même problème : il prouve que vous avez quelque chose à cacher.

Quand quelqu'un vous force à déverrouiller votre téléphone, que ce soit un agent aux frontières, un partenaire violent ou un gouvernement autoritaire, ils voient l'app, ils voient le verrou, et ils ne s'arrêtent pas tant que vous ne l'ouvrez pas.

Vaultaire ne s'ouvre pas sur un catalogue de coffres nommés. Un motif désigne un coffre chiffré, et l'interface ne signale pas les autres.

Comment le stockage photo chiffré devrait fonctionner

Dessinez un motif sur la grille. PBKDF2 dérive une clé de coffre locale, qui authentifie l'index chiffré et désencapsule la clé principale aléatoire utilisée pour le chiffrement AES-256-GCM des fichiers. Dessinez un motif configuré différent et un autre coffre chiffré peut s'ouvrir. Les opérations AES s'exécutent dans le processus de l'application via CryptoKit ; Vaultaire ne prétend pas effectuer de chiffrement symétrique arbitraire dans la Secure Enclave.

Saisir un motif sans index correspondant ? Pas de message « mot de passe incorrect » et pas de liste d'autres coffres, juste un état de création vide. Cette équivalence s'applique à l'interface. Un nom de fichier d'index copié et la balise AES-GCM permettent toujours à un attaquant ayant accès au système de fichiers de vérifier des suppositions hors ligne.

L'interface n'affiche aucune liste globale des coffres, mais la limite de stockage est explicite : les fichiers d'index racine sont regroupés dans un pool complété par tranches de 64 avec des fichiers leurres aléatoires ; tous les coffres partagent 1 dossier de stockage aux noms de fichiers aléatoires, mais un examinateur du système de fichiers peut encore estimer combien de coffres contiennent des fichiers. L'utilisation du stockage change avec le contenu chiffré. L'examinateur peut copier le texte chiffré, tandis que la clé dérivée d'un motif et la clé principale aléatoire protègent la table des fichiers et leur contenu lisible.

Ce n'est pas un verrou sur une porte. C'est un mur là où la porte était.

Pourquoi l'architecture Zéro Connaissance compte

Un écran de verrouillage ne prouve pas à lui seul que les fichiers sont chiffrés. Tout coffre-fort de photos doit être jugé par son format de stockage, sa hiérarchie de clés, son chemin de récupération et son comportement lorsque le conteneur de l'application est copié, et non par la présence d'un code PIN ou d'un écran de motif.

Vaultaire a été construit autour d'un principe plus restreint : les services qui stockent les enregistrements Vaultaire chiffrés ne doivent pas recevoir de contenu lisible du coffre ni de clés de déchiffrement. Le client, iOS, le Keychain et l'appareil déverrouillé restent dans le modèle de confiance, et les fichiers chiffrés restent détectables en tant que données d'application chiffrées.

Pas de compte d'identité Vaultaire. L'application ne nécessite pas votre adresse e-mail ou votre numéro de téléphone. Apple peut toujours conserver des données d'achat, d'iCloud et de compte de l'appareil. Les statistiques de l'application et les diagnostics de plantage sont activés par défaut et se désactivent avec « Partager les erreurs anonymement » dans Réglages ; lorsqu'ils sont activés, ils génèrent des événements produit pseudonymes, encadrés par la politique de confidentialité.

Aucune dépendance au cloud pour l'utilisation du coffre local. Vaultaire crée des enregistrements CloudKit pour la sauvegarde chiffrée, activée par défaut et désactivable dans les Réglages, et pour la synchronisation entre appareils ou le partage quand vous les utilisez. CloudKit reçoit ensuite le texte chiffré et les métadonnées opérationnelles, mais pas les fichiers de coffre lisibles ni les clés de déchiffrement en clair. Les sauvegardes iCloud et les sauvegardes de l'appareil sur ordinateur sont des chemins système distincts et peuvent inclure les fichiers locaux chiffrés de l'application.

Pas de déverrouillage biométrique dans Vaultaire. Un motif fournit un identifiant distinct du code de l'iPhone et Face ID, mais il peut toujours être observé, deviné, divulgué sous la contrainte ou capturé sur un appareil compromis. Nous avons laissé de côté la biométrie pour que ce chemin d'accès reste explicite.

Pas de réinitialisation par e-mail. Aucune clé de récupération détenue par le fournisseur. Vaultaire génère une phrase de récupération personnalisée de 9 mots distincts, et non une phrase mnémonique BIP-39. Vaultaire stocke la phrase dans une base de données chiffrée protégée par le Keychain afin que vous puissiez la consulter plus tard, et peut stocker un manifeste CloudKit chiffré de la phrase tant que la sauvegarde est activée, ce qui est le réglage par défaut.

Votre motif passe par 600 000 tours de PBKDF2-HMAC-SHA512 avec un sel commun à tout l'appareil pour dériver une clé de coffre de 256 bits. Cette longueur de sortie ne transforme pas un motif devinable en 256 bits d'entropie. La clé existe dans la mémoire de l'application pendant son utilisation, et les chemins de verrouillage effacent l'état actif sans prétendre à un effacement prouvé de chaque copie transitoire.

Pour qui

Les journalistes qui protègent leurs sources là où les fouilles de téléphones sont courantes. Les militants qui transportent de la documentation sous surveillance gouvernementale. Les survivants de violences domestiques qui gardent des preuves sur un appareil qu'ils savent surveillé. Les voyageurs qui traversent des frontières où l'inspection des appareils est obligatoire. Les avocats avec des documents protégés par le secret professionnel sur leur téléphone personnel.

Et tous ceux qui comprennent que la vie privée, ce n'est pas avoir quelque chose à cacher. C'est avoir quelque chose qui mérite d'être protégé.

Le coffre sous contrainte

Avec Pro, désignez n’importe quel coffre comme déclencheur de contrainte. Lorsque ce motif est dessiné, le coffre désigné s'ouvre tandis que Vaultaire supprime de l'appareil actuel les index locaux, les fichiers stockés et les correspondances de récupération des autres coffres. Les sauvegardes iCloud chiffrées existantes et les copies sur d'autres appareils restent inchangées et la récupération ultérieure nécessite une phrase de récupération explicite. Le réglage de contrainte est un élément du Keychain : un examinateur qui a accès au Keychain peut donc voir qu'il a été défini.

Le flux est silencieux dans l’interface de l’application, et il n’est pas garanti qu’il soit indétectable lors d’une analyse forensique. Les fichiers supprimés, l'état du système de fichiers, les enregistrements cloud, les autres appareils synchronisés ou un appareil précédemment compromis peuvent toujours révéler que des données existaient ou ont été modifiées.

Ce que nous ne construirons pas

Nous n’ajouterons pas le déverrouillage biométrique, car il peut être légalement obligatoire. Nous n’ajouterons pas de stockage dépendant du cloud, car cela crée une cible pour les assignations à comparaître et les violations. Nous ne mettrons pas le contenu, les motifs, les phrases de récupération, les noms de fichiers, les identifiants de partage ou les identifiants de coffre dans les analyses. Nous n’ajouterons pas de porte dérobée déguisée en récupération de compte. Nous n’affaiblirons pas l’architecture par commodité.

Chaque décision dans Vaultaire revient à une seule chose : vos fichiers privés restent les vôtres, quelles que soient les circonstances.