Galériazár és fotózár appok: tényleg védik a fotóidat?

A legtöbb galériazár és fotózár app egy PIN-t tesz titkosítatlan fájlok elé.

A galériazár és fotózár appok PIN- vagy jelszóképernyőt tesznek a fotóid elé. A marketingnyelv biztonságot sugall: „zár”, „széf”, „biztonságos”, „védett”. Az appok többségében azonban a PIN-képernyő a teljes védelem. Mögötte a fotóid titkosítatlanul vannak egy szokásos mappában.

Egy üvegajtón lévő zár megállítja azokat, akik tisztelik a zárakat. Azt nem, aki benéz az üvegen.

Ez az útmutató megvizsgálja, mit csinálnak a galériazár és fotózár appok műszaki szinten, elmagyarázza a „zárolt” és a „titkosított” közötti különbséget, és meghatározza, mit kíván a valódi fotóvédelem.

Mit csinálnak valójában a galériazár appok

A galériazár appok (más néven fotózárak, galériaszéfek vagy privát galéria appok) egységes felépítést követnek:

1. Importálás. A fotók a készülék fotókönyvtárából az app privát tárolókönyvtárába kerülnek másolással vagy áthelyezéssel.
2. Kapu. Az app belépési pontjára PIN-, jelszó-, minta- vagy biometrikus ellenőrzés kerül.
3. Megjelenítés. A helyes hitelesítő adat megadása után az app galériafelületen mutatja a tárolt fotókat.

A legtöbb galériazár appnál ez a teljes mechanizmus. A hitelesítő adat az app felhasználói felületét oldja fel. A mögöttes fájlokat nem titkosítja, nem alakítja át, és kriptográfiailag nem védi.

Mit jelent a gyakorlatban a „zárolt”

Amikor egy galériazár app azt mondja, hogy a fotóid „zárolva” vannak, az általában ezt jelenti:

• A Fotók app már nem mutatja őket (átkerültek az app könyvtárába)
• A galériazár app megnyitásához PIN kell
• Az appban lévő fotók csak az app felületén keresztül nézhetők meg

Amit a „zárolt” nem jelent:

• A fájlok titkosítva vannak
• A fájlok PIN nélkül olvashatatlanok
• A fájlok védettek a fájlrendszer-hozzáféréssel szemben
• A fájlok akkor is ellenállnak a kinyerésnek, ha egy vizsgáló megkerüli az app felületét

A különbség azért fontos, mert a „zárolás” és a „titkosítás” alapvetően eltérő műveletek. A zárolás azt szabályozza, ki léphet át egy ajtón. A titkosítás úgy alakítja át a tartalmat, hogy matematikai kulcs nélkül olvashatatlan legyen.

A „zárolás” és a „titkosítás” közötti szakadék

Ez a galériazár kategória alapvető műszaki problémája.

Egy zárolt galéria appban a fotóid szokásos képfájlként léteznek. Van EXIF-metaadatuk. Normál fájlkiterjesztésük van. Bármilyen képnézegető megnyitja őket. A PIN megakadályozza, hogy az app megjelenítse őket, de maguk a fájlok változatlanok.

Egy jól megtervezett titkosított széfappban a tárolt fájltartalom titkosított szöveg, nem szokásos kép. Ha ezt egy képnézegetőben megnyitod, semmi használhatót nem látsz. Az, hogy az EXIF-mezők, a fájlméretek, a rekordszámok, a bélyegképek vagy más metaadatok láthatók maradnak-e, az app formátumától függ, így önmagában a képbájtok titkosítása nem bizonyítja, hogy minden részlet rejtve van.

Egy konkrét példa

Képzeld el, hogy egy fotót mindkét típusú appban tárolsz:

Galériazár app: Az IMG_4521.heic fájl átkerül ide: /AppData/GalleryLock/photos/IMG_4521.heic. Bárki, aki hozzáfér a fájlrendszerhez, megnyitja és látja a fotót. A PIN csak azt akadályozza meg, hogy az app megjelenítse. A fájl teljesen ép és olvasható.

Titkosított széfapp: Az IMG_4521.heic fájl egy olyan adatblokká titkosítódik, mint az a8f3b2c1..., véletlenszerű fájlnévvel és fájlkiterjesztés nélkül tárolva. Bármilyen nézegetőben megnyitva értelmetlen adatot mutat. Az eredeti fájl olvasható formában már nem létezik az eszközön.

Ez a különbség. Nem elméleti. Nem csekély. Kategorikus.

Hogyan kerülik meg a galériazár appokat

A megkerülési módszerek megértése megmutatja, miért félrevezető a „zár” hasonlat.

1. Számítógépes csatlakozás

Ha egy iPhone-ról az iTunes vagy a Finder készít mentést (vagy egy Androidról ADB-n keresztül), a mentés tartalmazhatja az app sandboxadatait. Egy galériazár appnál ez a mentés az eredeti, titkosítatlan fotófájlokat tartalmazza. Kinyerésükhöz ingyenes, széles körben elérhető szoftver is elég.

2. Törvényszéki eszközök

A rendvédelmi szervek és a törvényszéki vizsgálók olyan eszközöket használnak, mint a Cellebrite UFED és a GrayKey, amelyek fájlrendszerszinten nyernek ki adatokat a mobileszközökből. Ezek az eszközök nem az app felületével dolgoznak, hanem közvetlenül a tárhelyet olvassák. A galériazár könyvtárában lévő titkosítatlan fájlok teljesen hozzáférhetők.

A Cellebrite nyilvánosan elérhető dokumentációja szerint az eszközeik támogatják az app sandboxadatainak kinyerését iOS-eszközökről, beleértve a külső széf- és galériazár appokat is. A PIN lényegtelen, mert a kinyerés az alkalmazásréteg alatt történik.

3. Kitettség a felhőmentésben

Ha az eszköz az iCloudba vagy a Google felhőjébe ment, a galériazár app adatai bekerülhetnek a mentésbe. Az Apple és a Google jogi kényszer alatt hozzáférhet ezekhez a mentésekhez. Mivel a galériazár fájljai titkosítatlanok, a mentésből kinyerve teljesen olvashatók.

4. Az app törlése

Ha egy galériazár appot törölnek (véletlenül, egy rendszerfrissítési hiba során vagy egy harmadik fél által), az app sandboxában lévő titkosítatlan fájlok is törlődnek. A külön mentési mechanizmussal rendelkező titkosított széfekkel szemben a galériazár appok általában nem kínálnak helyreállítási lehetőséget magán az appon kívül.

5. Az app sebezhetősége

A fájlokat nem titkosító galériazár appoknak egyszerűbb a feltörendő biztonsági határa. Az app bármely sebezhetősége (egy éles verzióban hagyott hibakereső hátsó ajtó, egy nem biztonságos helyi API vagy egy megkerült hitelesítési képernyő) közvetlenül felfedi a fájlokat, mert nincs titkosítási réteg második védelmi vonalként.

Az adatgyűjtés problémája

A legtöbb galériazár és fotózár app ingyenes és reklámokkal teli. A reklámalapú modellhez nyomkövető SDK-k kellenek, amelyek eszközazonosítókat, használati mintákat és viselkedési adatokat gyűjtenek.

Az iOS App Store népszerű galériazár appjainak egy 2023-as áttekintése kiterjedt adatgyűjtésre utaló mintákat talált:

• Több hirdetési SDK (Facebook Audience Network, Google AdMob, Unity Ads)
• A képernyőmegtekintéseket, a munkamenet hosszát és a funkcióhasználatot követő analitikai keretrendszerek
• Eszköz-ujjlenyomat a reklámok célzásához
• Egyes esetekben hozzáférés a helyadatokhoz

Az irónia éles. A felhasználók kifejezetten az adatvédelem miatt töltik le ezeket az appokat. Az appok aztán viselkedési adatokat gyűjtenek és küldenek hirdetési hálózatoknak. A fotók talán „zárolva” vannak az alkalmi szemlélők elől, de a felhasználó viselkedése eljut az adatbrókerekhez.

A valódi titkosításért tisztességes árat kérő appok jellemzően minimálisan vagy egyáltalán nem követnek, mert az üzleti modelljük a termék, nem a felhasználó adatai.

Milyen a valódi fotóvédelem

Ha a galériazár appok a skála „zár” végét képviselik, így néz ki a „titkosítás” vége:

Titkosítási szabvány

AES-256-GCM (Advanced Encryption Standard, 256 bites kulcs, Galois/Counter Mode). Ezt a hitelesített titkosítási algoritmust ajánlja a NIST (SP 800-38D) magas biztonsági igényű alkalmazásokhoz. Titkosságot (az adat kulcs nélkül olvashatatlan) és sértetlenséget (a titkosított adat minden manipulációja kiderül) is biztosít.

Kulcsszármaztatás

Egy kulcsszármaztató függvény, például a PBKDF2, sóval és munkaigénnyel kombinálja a felhasználó hitelesítő adatát. Egy jól felépített hierarchia ezzel az eredménnyel kicsomagolhat egy külön, véletlenszerű fájltitkosító kulcsot. A KDF megemeli minden tipp költségét, de nem ad entrópiát egy gyenge hitelesítő adathoz, ezért a támadási időt a mért tippköltségre, a hardverre, a párhuzamosításra és a felhasználó tényleges jelszó- vagy mintaterére kell alapozni.

Fájlonkénti elkülönítés

Minden fájl egyedi, véletlenszerűen generált inicializálóvektort (IV) kap. Az azonos fotókból eltérő titkosított kimenet lesz. A támadó nem talál kihasználható mintát a fájlok között.

Metaadat-titkosítás

A fájlnevek, a létrehozási dátumok és a széf szerkezete külön rejtjellel titkosítottak. Még ha valaki tudja is, hogy léteznek fájlok, a metaadatok semmit sem árulnak el a tartalomról.

Zero-knowledge architektúra

Az app fejlesztője nem kapja meg a titkosítási kulcsokat vagy az olvasható széftartalmat. Egy jogi végzés ezért nem kötelezheti a fejlesztőt olyan titkosított szöveg visszafejtésére, amelyet nem tud megnyitni. A fejlesztőnél vagy a felhőplatformnál a termék felépítésétől és a végzés hatókörétől függően így is lehetnek üzemeltetési metaadatok, fiókrekordok vagy titkosított rekordok.

A Vaultaire AES-256-GCM hitelesített titkosítást használ a fájltartalomhoz, a fejlécekhez, a metaadatokhoz, az indexekhez és a bélyegképekhez; PBKDF2-HMAC-SHA512-t a mintából származtatott kulcsokhoz; és friss nonce-okat a titkosítási műveletekhez. A mintánként elkülönített felülete nem mutat széflistát, bár egy, az app tárolójához hozzáférő vizsgáló látja a titkosított tárolófájlokat. A kényszermód törli az eszközről a többi széfet, és leválasztja az eszközt a szinkronizálásról; a felhőmentéseket és a társeszközöket nem törli.

Minden beállított, 5x5-ös rácsra rajzolt minta a hozzá rendelt széf kulcsát származtatja, így a zárolt felület nem mutat széflistát, és nem erősíti meg, hogy van-e beállítva másik minta. Egy, az app tárolójához hozzáférő vizsgáló látja a titkosított tárolófájlokat, és megbecsülheti, hány széfben vannak fájlok. Az indextartalmak, a széfnevek és a fájlok a megfelelő minta nélkül titkosítva maradnak.

Így derítsd ki, hogy az appod tényleg titkosít-e

Három gyors teszt:

1. teszt: jelszó-visszaállítás

Próbáld visszaállítani a jelszavadat vagy a PIN-edet az appon keresztül. Ha az app olyan e-mailt küld, amely visszaadja a hozzáférést a fájljaidhoz, a titkosítási kulcsok a fejlesztőnél vannak (vagy nincsenek is titkosítási kulcsok). Egy zero-knowledge titkosítású app nem tudja visszaállítani a hitelesítő adataidat, mert soha nem voltak nála.

2. teszt: titkosítási specifikáció

Keress megnevezett titkosítási algoritmust az app weboldalán vagy App Store-leírásában: AES-256-GCM, AES-256-CBC, ChaCha20-Poly1305. Ha az app csak „biztonságosnak” vagy „védettnek” mondja magát rejtjel megnevezése nélkül, valószínűleg nem titkosít.

3. teszt: adatvédelmi címkék

Nézd meg az App Store adatvédelmi címkéit. Vesd össze, milyen adatokat gyűjt az app azzal, amit egy adatvédelemre összpontosító apptól elvárnál. Több nyomkövetési kategória (különösen a „Nyomkövetésre használt adatok” és a „Hozzád kapcsolt adatok”) kiterjedt adatgyűjtéssel járó, reklámalapú modellre utal.

Gyakran ismételt kérdések

Tényleg védik a galériazár appok a fotókat?

A galériazár appok megvédik a fotókat attól, hogy a készülék Fotók appjában vagy egy, a telefont alkalmilag használó személy lássa őket. Fájlrendszerszinten nem védik a fotókat. A legtöbb galériazár appban tárolt fájl titkosítatlan, és számítógépes csatlakozással, mentéskinyeréssel vagy törvényszéki eszközökkel hozzáférhető. A PIN az app szintű hozzáférést akadályozza meg; a fájlokat nem titkosítja.

Mi a különbség a fotók zárolása és titkosítása között?

A zárolás hozzáférési korlátot (PIN, jelszó, biometria) tesz az eredeti formátumukban maradó fájlok elé. A titkosítás egy rejtjellel, például AES-256-GCM-mel olyan adattá alakítja a fájlokat, amely a helyes kulcs nélkül matematikailag olvashatatlan. A zárolt fájlok a felület megkerülésével elérhetők. A titkosított fájlok a titkosítási kulcs nélkül nem érhetők el, akárhogyan is fér hozzá valaki a tárhelyhez.

Hozzáférnek a törvényszéki eszközök a galériazár appokhoz?

Igen. A törvényszéki eszközök, például a Cellebrite UFED és a GrayKey fájlrendszerszinten nyerik ki az adatokat, teljesen megkerülve az app szintű hitelesítést. Mivel a legtöbb galériazár app titkosítatlan fájlokat tárol, az eszközök az app PIN-je nélkül, közvetlenül hozzáférnek a fotókhoz. Ez rutinszerű képesség a rendvédelmi és a vállalati törvényszéki vizsgálatokban.

A fizetős galériazár appok biztonságosabbak az ingyeneseknél?

Nem feltétlenül. A fizetős vagy ingyenes jelleg nem jelzi megbízhatóan a titkosítást. Egyes fizetős galériazár appok is titkosítás nélküli hozzáférés-szabályozást használnak. A számító szempontok: megnevezett titkosítási algoritmus, kulcskezelési modell (kliensoldali vagy szerveroldali) és adatgyűjtési szabályzat. Az ár nem garantálja a biztonsági felépítést.

Mit használjak galériazár helyett?

Valódi fotóvédelemhez olyan titkosított széfappot használj, amely AES-256-GCM-et vagy azzal egyenértékű titkosítást, kliensoldali kulcsszármaztatást (PBKDF2, Argon2) és olyan zero-knowledge felépítést kínál, amelyben a fejlesztő nem fér hozzá a fájlokhoz, és minimális adatot gyűjt. Ellenőrizd, hogy az app kifejezetten megnevezi-e a titkosítási algoritmusát, és nem kínál-e szerveralapú jelszó-visszaállítást.

Összegzés

A galériazár és fotózár appok egy valós kérdésre felelnek: „Hogyan tartsak privátban bizonyos fotókat?” A legtöbbjük azonban egy PIN-képernyővel felel, és semmi mással.

A „zár” szó biztonságot sugall. A gyakorlatban hozzáférés-szabályozást jelent. A PIN csak javaslat a szoftvernek. Nem akadály az adat előtt.

Ha a helyzetedben elég egy PIN-képernyő, bármelyik galériazár app megfelel. Sokaknak tényleg nem kell több. De ha valaki eszközökkel, tudással vagy jogi felhatalmazással próbálhat hozzáférni ezekhez a fotókhoz, nem a PIN véd meg. Hanem a titkosítás.

A „zárolt” és a „titkosított” közötti különbség olyan, mint az ajtó és a fal közötti. Az egyik kinyitható. A másik nem.

Kapcsolódó útmutatók: A legjobb fotózár appok iPhone-ra, tesztelve | Így zárold le a fotókat iPhone-on | Fotórejtő app: 5 megközelítés