Aplikacije za zaključavanje galerije i spremišta fotografija: štite li doista vaše fotografije?

Većina aplikacija za zaključavanje galerije i spremanje fotografija stavlja PIN ispred nešifriranih datoteka.

Aplikacije za zaključavanje galerije i spremanje fotografija stavljaju zaslon s PIN-om ili lozinkom ispred vaših fotografija. Marketinški jezik sugerira sigurnost: "zaključavanje", "trezor", "sigurno", "zaštićeno". Ali u većini tih aplikacija zaslon s PIN-om cijela je zaštita. Iza njega vaše fotografije stoje nešifrirane u običnoj mapi.

Brava na staklenim vratima zaustavlja ljude koji poštuju brave. Ne zaustavlja nikoga tko gleda kroz staklo.

Ovaj vodič ispituje što aplikacije za zaključavanje galerije i spremanje fotografija zapravo rade na tehničkoj razini, objašnjava razliku između "zaključanog" i "šifriranog" te određuje što stvarna zaštita fotografija zahtijeva.

Što aplikacije za zaključavanje galerije zapravo rade

Aplikacije za zaključavanje galerije (zovu se i spremišta fotografija, trezori galerije ili privatne galerije) slijede dosljednu arhitekturu:

1. Uvoz. Fotografije se kopiraju ili premještaju iz galerije kamere na uređaju u privatnu mapu za pohranu aplikacije.
2. Vrata. Na ulaz u aplikaciju postavlja se provjera PIN-om, lozinkom, uzorkom ili biometrijom.
3. Prikaz. Kada se unese ispravna vjerodajnica, aplikacija prikazuje pohranjene fotografije u sučelju galerije.

To je cijeli mehanizam većine aplikacija za zaključavanje galerije. Vjerodajnica otključava korisničko sučelje aplikacije. Ne šifrira, ne mijenja niti kriptografski štiti datoteke u pozadini.

Što "zaključano" znači u praksi

Kada aplikacija za zaključavanje galerije kaže da su vaše fotografije "zaključane", to obično znači:

• Aplikacija Fotografije ih više ne prikazuje (premještene su u mapu aplikacije)
• Za otvaranje aplikacije potreban je PIN
• Fotografije u aplikaciji mogu se pregledavati samo kroz sučelje aplikacije

Što "zaključano" ne znači:

• Datoteke su šifrirane
• Datoteke su nečitljive bez PIN-a
• Datoteke su zaštićene od pristupa datotečnom sustavu
• Datoteke se ne mogu izvući nakon što forenzičar zaobiđe sučelje aplikacije

Razlika je važna jer "zaključati" i "šifrirati" opisuju temeljno različite operacije. Zaključavanje kontrolira tko može proći kroz vrata. Šifriranje mijenja sadržaj tako da je nečitljiv bez matematičkog ključa.

Razlika između "zaključati" i "šifrirati"

To je ključni tehnički problem cijele kategorije aplikacija za zaključavanje galerije.

U aplikaciji za zaključavanje galerije vaše fotografije postoje kao obične slikovne datoteke. Imaju EXIF metapodatke. Imaju uobičajene nastavke datoteka. Može ih pročitati bilo koji preglednik slika. PIN sprječava aplikaciju da ih prikaže, ali same datoteke ostaju nepromijenjene.

U dobro osmišljenoj aplikaciji sa šifriranim trezorom sadržaj pohranjenih datoteka šifrirani je tekst, a ne obične slike. Otvaranje tog šifriranog teksta u pregledniku slika ne pokazuje ništa korisno. Ostaju li vidljiva EXIF polja, veličine datoteka, broj zapisa, minijature ili drugi metapodaci ovisi o formatu aplikacije, pa samo šifriranje bajtova slike ne dokazuje da je svaki detalj skriven.

Konkretan primjer

Zamislite da istu fotografiju pohranite u obje vrste aplikacija:

Aplikacija za zaključavanje galerije: Datoteka IMG_4521.heic premješta se u /AppData/GalleryLock/photos/IMG_4521.heic. Svatko s pristupom datotečnom sustavu otvara je i vidi fotografiju. PIN samo sprječava aplikaciju da je prikaže. Datoteka je potpuno netaknuta i čitljiva.

Aplikacija sa šifriranim trezorom: Datoteka IMG_4521.heic šifrira se u blok podataka poput a8f3b2c1..., pohranjen pod nasumičnim nazivom i bez nastavka. Otvaranje u bilo kojem pregledniku prikazuje besmislene podatke. Izvorna datoteka više ne postoji na uređaju ni u kakvom čitljivom obliku.

To je razlika. Nije teorijska. Nije sitna. Kategorička je.

Kako se zaobilaze aplikacije za zaključavanje galerije

Poznavanje načina zaobilaženja pokazuje zašto je metafora "brave" zavaravajuća.

1. Spajanje na računalo

Kada se iPhone sigurnosno kopira putem iTunesa ili Findera (ili Android putem ADB-a), kopija može uključivati podatke iz sandboxa aplikacije. Kod aplikacije za zaključavanje galerije ta kopija sadrži izvorne, nešifrirane datoteke fotografija. Za njihovo izvlačenje dovoljan je besplatan, široko dostupan softver.

2. Forenzički alati

Policija i forenzičari koriste alate poput Cellebrite UFED i GrayKey koji izvlače podatke s mobilnih uređaja na razini datotečnog sustava. Ti alati ne komuniciraju sa sučeljem aplikacije. Izravno čitaju pohranu. Nešifrirane datoteke u mapi aplikacije za zaključavanje galerije potpuno su dostupne.

Prema javno dostupnoj Cellebriteovoj dokumentaciji, njihovi alati podržavaju izvlačenje podataka iz sandboxa aplikacija na iOS uređajima, uključujući trezore i aplikacije za zaključavanje galerije drugih proizvođača. PIN je nebitan jer se izvlačenje odvija ispod razine aplikacije.

3. Izloženost u sigurnosnoj kopiji u oblaku

Ako uređaj izrađuje sigurnosnu kopiju u iCloud ili Google Cloud, podaci aplikacije za zaključavanje galerije mogu biti uključeni. Apple i Google mogu pristupiti tim kopijama pod zakonskom prisilom. Budući da datoteke u aplikaciji za zaključavanje galerije nisu šifrirane, nakon izvlačenja iz kopije potpuno su čitljive.

4. Brisanje aplikacije

Ako se aplikacija za zaključavanje galerije izbriše (slučajno, zbog problema pri ažuriranju sustava ili rukom treće osobe), brišu se i nešifrirane datoteke u njezinu sandboxu. Za razliku od šifriranih trezora sa zasebnim mehanizmima sigurnosne kopije, aplikacije za zaključavanje galerije obično ne nude oporavak izvan same aplikacije.

5. Ranjivost aplikacije

Aplikacije za zaključavanje galerije koje ne šifriraju datoteke imaju jednostavniji sigurnosni perimetar za probijanje. Svaka ranjivost u aplikaciji (stražnja vrata za otklanjanje pogrešaka ostavljena u produkciji, nesiguran lokalni API ili zaobiđen zaslon za autentifikaciju) izravno otkriva datoteke jer ne postoji sloj šifriranja kao druga linija obrane.

Problem prikupljanja podataka

Većina aplikacija za zaključavanje galerije i spremanje fotografija besplatna je s oglasima. Model s oglasima traži SDK-ove za praćenje koji prikupljaju identifikatore uređaja, obrasce korištenja i podatke o ponašanju.

Pregled popularnih aplikacija za zaključavanje galerije u iOS App Storeu iz 2023. pronašao je obrasce koji odgovaraju opsežnom prikupljanju podataka:

• Više oglašivačkih SDK-ova (Facebook Audience Network, Google AdMob, Unity Ads)
• Analitički okviri koji prate prikaze zaslona, trajanje sesije i korištenje značajki
• Otisak uređaja za ciljano oglašavanje
• U nekim slučajevima pristup podacima o lokaciji

Ironija je očita. Korisnici preuzimaju te aplikacije upravo radi privatnosti. Aplikacije zatim prikupljaju podatke o ponašanju i šalju ih oglašivačkim mrežama. Fotografije su možda "zaključane" pred slučajnim promatračima, ali ponašanje korisnika emitira se trgovcima podacima.

Aplikacije koje naplaćuju poštenu cijenu za stvarno šifriranje obično imaju minimalno praćenje ili ga uopće nemaju jer im je poslovni model proizvod, a ne podaci korisnika.

Kako izgleda stvarna zaštita fotografija

Ako aplikacije za zaključavanje galerije predstavljaju "zaključani" kraj ljestvice, ovako izgleda "šifrirani" kraj:

Standard šifriranja

AES-256-GCM (Advanced Encryption Standard, 256-bitni ključ, Galois/Counter Mode). To je algoritam autentificiranog šifriranja koji NIST (SP 800-38D) preporučuje za primjene visoke sigurnosti. Pruža povjerljivost (podaci su nečitljivi bez ključa) i cjelovitost (svaka izmjena šifriranih podataka se otkriva).

Izvođenje ključa

Funkcija za izvođenje ključa poput PBKDF2 kombinira korisnikovu vjerodajnicu sa soli i faktorom rada. Dobra hijerarhija može taj rezultat koristiti za otpakiranje zasebnog nasumičnog ključa za šifriranje datoteka. KDF poskupljuje svaki pokušaj, ali slaboj vjerodajnici ne dodaje entropiju, pa se vrijeme napada mora temeljiti na izmjerenoj cijeni pokušaja, hardveru, paralelizmu i stvarnom prostoru korisnikovih lozinki ili uzoraka.

Izolacija po datoteci

Svaka datoteka dobiva jedinstveni, nasumično stvoren inicijalizacijski vektor (IV). Jednake fotografije daju različite šifrirane izlaze. Napadač nema uzorak koji bi mogao iskoristiti među datotekama.

Šifriranje metapodataka

Nazivi datoteka, datumi stvaranja i struktura trezora šifriraju se zasebnom šifrom. Čak i ako netko zna da datoteke postoje, metapodaci ne otkrivaju ništa o sadržaju.

Arhitektura s nultim znanjem

Razvojni programer aplikacije ne prima ključeve za šifriranje niti čitljiv sadržaj trezora. Sudski nalog zato ne može natjerati programera da dešifrira šifrirani tekst koji ne može otvoriti. Programer ili platforma u oblaku i dalje mogu imati operativne metapodatke, zapise o računu ili šifrirane zapise pod svojom kontrolom, ovisno o arhitekturi proizvoda i opsegu naloga.

Vaultaire koristi autentificirano šifriranje AES-256-GCM za sadržaj datoteka, zaglavlja, metapodatke, indekse i minijature; PBKDF2-HMAC-SHA512 za ključeve izvedene iz uzorka; i svježe nonceove za operacije šifriranja. Njegovo sučelje razdvojeno uzorcima ne prikazuje popis trezora, iako forenzičar s pristupom spremniku aplikacije može vidjeti šifrirane datoteke pohrane. Način prisile briše ostale trezore na tom uređaju i odvaja uređaj od sinkronizacije; ne briše sigurnosne kopije u oblaku ni povezane uređaje.

Svaki postavljeni uzorak nacrtan na mreži 5x5 izvodi ključ za svoj dodijeljeni trezor, pa zaključano sučelje ne prikazuje popis trezora niti potvrđuje je li postavljen još neki uzorak. Forenzičar s pristupom spremniku aplikacije može vidjeti šifrirane datoteke pohrane i procijeniti koliko trezora sadrži datoteke. Sadržaj indeksa, nazivi trezora i datoteke ostaju šifrirani bez odgovarajućeg uzorka.

Kako provjeriti šifrira li vaša aplikacija doista

Tri brza testa:

Test 1: poništavanje lozinke

Pokušajte poništiti lozinku ili PIN putem aplikacije. Ako vam aplikacija pošalje e-poruku koja vraća pristup datotekama, razvojni programer drži ključeve za šifriranje (ili ključeva uopće nema). Aplikacija sa šifriranjem s nultim znanjem ne može poništiti vaše vjerodajnice jer ih nikada nije imala.

Test 2: specifikacija šifriranja

Na web-stranici aplikacije ili u opisu u App Storeu potražite imenovani algoritam šifriranja: AES-256-GCM, AES-256-CBC, ChaCha20-Poly1305. Ako aplikacija kaže "sigurno" ili "zaštićeno" bez navođenja šifre, vjerojatno ne šifrira.

Test 3: oznake privatnosti

Provjerite oznake privatnosti u App Storeu. Usporedite podatke koje aplikacija prikuplja s onim što biste očekivali od aplikacije usmjerene na privatnost. Više kategorija praćenja (posebno "Podaci koji se koriste za praćenje" i "Podaci povezani s vama") upućuje na model s oglasima i opsežnim prikupljanjem podataka.

Često postavljana pitanja

Štite li aplikacije za zaključavanje galerije doista fotografije?

Aplikacije za zaključavanje galerije štite fotografije od pregleda kroz aplikaciju Fotografije na uređaju ili od nekoga tko usput koristi telefon. Ne štite fotografije na razini datotečnog sustava. Datoteke pohranjene u većini takvih aplikacija nisu šifrirane i dostupne su spajanjem na računalo, izvlačenjem iz sigurnosne kopije ili forenzičkim alatima. PIN sprječava pristup kroz aplikaciju; ne šifrira datoteke.

Koja je razlika između zaključavanja i šifriranja fotografija?

Zaključavanje stavlja prepreku kontrole pristupa (PIN, lozinku, biometriju) ispred datoteka koje ostaju u izvornom formatu. Šifriranje šifrom poput AES-256-GCM pretvara datoteke u podatke koji su bez ispravnog ključa matematički nečitljivi. Zaključanim datotekama može se pristupiti zaobilaženjem sučelja. Šifriranim datotekama ne može se pristupiti bez ključa za šifriranje, bez obzira na to kako se pristupa pohrani.

Mogu li forenzički alati pristupiti aplikacijama za zaključavanje galerije?

Da. Forenzički alati poput Cellebrite UFED i GrayKey izvlače podatke na razini datotečnog sustava i potpuno zaobilaze autentifikaciju u aplikaciji. Budući da većina aplikacija za zaključavanje galerije pohranjuje nešifrirane datoteke, alati pristupaju fotografijama izravno, bez PIN-a aplikacije. To je rutinska mogućnost u policijskoj i korporativnoj forenzici.

Jesu li plaćene aplikacije za zaključavanje galerije sigurnije od besplatnih?

Ne nužno. Razlika između plaćenih i besplatnih ne predviđa pouzdano šifriranje. Neke plaćene aplikacije za zaključavanje galerije i dalje koriste kontrolu pristupa bez šifriranja. Važni kriteriji su: imenovani algoritam šifriranja, model upravljanja ključevima (na strani klijenta ili poslužitelja) i pravila prikupljanja podataka. Cijena ne jamči sigurnosnu arhitekturu.

Što koristiti umjesto aplikacije za zaključavanje galerije?

Za stvarnu zaštitu fotografija koristite aplikaciju sa šifriranim trezorom koja ima: AES-256-GCM ili jednakovrijedno šifriranje, izvođenje ključeva na strani klijenta (PBKDF2, Argon2), arhitekturu s nultim znanjem u kojoj programer ne može pristupiti datotekama i minimalno prikupljanje podataka. Provjerite navodi li aplikacija izričito svoj algoritam šifriranja i ne nudi li poništavanje lozinke putem poslužitelja.

Zaključak

Aplikacije za zaključavanje galerije i spremanje fotografija odgovaraju na stvarno pitanje: "Kako zadržati određene fotografije privatnima?" Ali većina odgovara zaslonom s PIN-om i ničim više.

Riječ "zaključati" sugerira sigurnost. U praksi znači kontrolu pristupa. PIN je prijedlog softveru. Nije prepreka podacima.

Ako je zaslon s PIN-om dovoljan za vašu situaciju, poslužit će bilo koja aplikacija za zaključavanje galerije. Mnogima stvarno ne treba ništa više. Ali ako bi netko s alatima, znanjem ili zakonskim ovlastima mogao pokušati pristupiti tim fotografijama, ne štiti vas PIN. Štiti vas šifriranje.

Razlika između "zaključanog" i "šifriranog" razlika je između vrata i zida. Jedna se mogu otvoriti. Drugi ne.

Povezani vodiči: Najbolje aplikacije za spremanje fotografija za iPhone, testirane | Kako zaključati fotografije na iPhoneu | Aplikacija za skrivanje fotografija: 5 pristupa