Secret Photo Vault レビュー：2026年に使う価値はあるか？

Secret Photo Vault（Lock Photos）は、2011年7月からApp Storeに掲載されている最も長く続く写真保管庫アプリの一つだ。その間に約2万7000件のレーティングを積み重ね、シンプルで装飾のない写真隠蔽アプリとしての地位を確立した。売り込みはシンプルだ。別のフォトギャラリーにパスコードをかける。誰かがスマートフォンを手に取っても、コードを入力しなければ隠し写真にアクセスできない。

10年以上、このモデルはカジュアルな観察者からの基本的なプライバシーを求めるユーザーに十分機能してきた。しかし脅威の状況は2011年以来劇的に進化した。かつて法執行機関に限定されていたフォレンジック抽出ツールが今では商業的に入手できる。iTunesとFinderはUSBケーブルでアプリのサンドボックスコンテンツを露出させる。iOSバックアップビューアは無料でダウンロードできる。この環境では、暗号化なしのパスコードでロックされたギャラリーはガラスのドアに南京錠をかけるようなものだ。

Secret Photo Vaultは言った通りのことをする——写真をロックする。暗号化はしない。この差を理解することは、このアプリがユーザーが信じる保護を提供しているかどうかを評価するために不可欠だ。

セキュリティモデル：パスコードアクセス制御

Secret Photo Vaultは数字パスコードでギャラリーへのアクセスをゲートする。オプションの生体認証アンロックにFace IDまたはTouch IDが利用できる。認証されると、ユーザーはアルバムに整理された写真を見る。インターフェースはクリーンで機能的であり、長年の反復的な改善を反映している。

しかしパスコード画面の下では、ファイルはアプリのiOSサンドボックス内に元のフォーマットで保存されている。ファイルレベルの暗号化も、パスコードからの鍵導出も、いかなる種類の暗号変換も存在しない。パスコードはUIの障壁だ。UIを削除する——ファイルシステムに直接アクセスすることで——と、写真は完全に読み取り可能だ。

これは簡単に実証できる。iPhoneをMacに接続し、Finderを開き、アプリのファイル共有ディレクトリに移動し、写真を参照する。パスコードは不要だ。技術的な専門知識も不要だ。ファイルは標準的な画像フォーマットで、元のメタデータを持ったままそこにある。

iTunes/Finderの露出問題

これはSecret Photo Vaultの最も重要な脆弱性であり、バグではない——暗号化されていないファイルを保存することのアーキテクチャ的な結果だ。AppleがiTunes（現在はFinder）を通じてファイル共有を導入したとき、アプリのサンドボックスへの正当なアクセス経路を作った。Secret Photo Vaultのサンドボックスには暗号化されていない写真が含まれる。したがって、デバイスへの物理的アクセスとUSBケーブルを持つ誰でも、パスコード画面を一切見ることなくすべての「秘密」の写真を表示できる。

iOSバックアップが問題を悪化させる。暗号化されていないiTunesバックアップはアプリのサンドボックスコンテンツを読み取り可能な形式で含む。バックアップビューア——多くは無料——を使用すると、任意のコンピューターで隠し写真を参照できる。暗号化されたiTunesバックアップでさえ、バックアップパスワードで復号されれば、元のフォーマットでファイルを露出させる。

ロック機構

パスコードは通常4〜6桁だ。生体認証アンロックはオプションだ。どちらのメカニズムも暗号操作に参加しない。それらはアプリのコード内の認証チェックであり、暗号化アルゴリズムへの入力ではない。この区別が重要なのはセキュリティ境界を定義するからだ。保護はアプリ内にのみ存在する。アプリをバイパスするアクセス経路——ファイルシステム参照、バックアップ抽出、フォレンジックイメージング——はセキュリティに全く遭遇しない。

脅迫対策の仕組みは存在しない。強制的なアンロックはすべてを露出させる。おとり保管庫も、自己破壊トリガーも、もっともらしい否認可能性の機能もない。

バックアップとリカバリー

Secret Photo Vaultは独自のバックアップソリューションを提供しない。写真はデバイス上に存在し、iOSデバイスバックアップによってキャプチャされない限り他の場所には存在しない。アプリが削除されたり、スマートフォンが紛失したり、デバイスの移行がうまくいかなかった場合、写真は回復不可能だ。リカバリーフレーズも、クラウドバックアップも、安全な移行のためのエクスポートもない。

パスワードのリカバリーも別の問題だ。パスコードを忘れると、回復する方法がない。覚えていないコードでロックされた写真が存在するが、Finderを通じて技術的にはアクセスできる——物忘れのユーザーにとってバックドアを提供しながら、同時に他の全員にもバックドアを提供するという皮肉な状況だ。アプリの暗号化の欠如が実際には回復経路を提供している。

料金分析

無料ティアは広告サポートだ。Proバージョンへのアップグレードは買い切りで6.99ドルで、サブスクリプションは販売していない。これにより広告が削除され追加機能がアンロックされる。どのティアでもアプリは暗号化を提供しない。暗号化されていないファイルの上の広告なしのパスコード画面に払っていることになる。

Vaultaire Proのほうが高い。Proは週額1.99ドル、月額5.99ドルまたは年額19.99ドルで、39.99ドルの買い切りもある。ファミリー共有向けのファミリープランはApp Storeで年額49.99ドル、または買い切り99.99ドルだ。すべてのプランに、AES-256-GCM暗号化、PBKDF2で導出する保管庫キー、iOS Keychainで保護された復元用の状態、暗号化されたiCloudバックアップ、独自の9単語のリカバリーフレーズが含まれる。Proでは脅迫用保管庫、同期、共有の作成、代替アイコン、ホーム画面のタイル、スライドショーが加わる。Vaultaireの無料プランでも、インポートしたファイルは暗号化される。

ユーザーの不満

10年分のApp Storeレビューは、アプリの根本的なアーキテクチャに起因する根強い不満を明らかにしている。

「iPhoneをMacに接続したら、Finderに『隠し』写真がすべて表示された。誰でも見られる。このアプリは役に立たない。」

これが決定的な不満であり、アプリのコアの脆弱性だ。ファイルは暗号化されていないため、ファイルレベルのアクセスはパスコードを完全にバイパスする。これを知ったユーザーは——正当にも——アプリが能力を偽って表示したと感じる。

「パスワードを忘れてリカバリーオプションがなかった。写真へのアクセスをすべて失った。少なくともiTunesで見つかったが、それは他の誰でも見られることを意味する。」

このレビューは偶然にも一つのエピソードでパスワードリカバリー問題とセキュリティ問題の両方を説明している。アプリを通じて写真を回復不可能にする暗号化の欠如は同時に、ファイルシステムを通じて簡単に回復可能にする。

「新しいiPhoneを手に入れたらアプリの写真がすべて消えた。転送オプションなし、バックアップなし。何年分の写真が消えた。」

専用の移行またはバックアップシステムなしでは、デバイスの移行は高リスクのイベントだ。アプリはデバイス間でコンテンツを確実に移動するメカニズムを持たず、iOSの自動アプリデータ移行は常に完全ではない。

「広告が多すぎる。アルバムを開くたびに全画面広告が出る。なぜプライバシーアプリに広告があるのか？」

広告サポートの無料ティアはサードパーティの広告ネットワークに行動データを送信するトラッキングSDKを組み込む——プライバシーのためにマーケティングされたアプリでの根本的な矛盾だ。

Vaultaireが各問題点に対処する方法

認証付きファイル暗号化

Vaultaireはすべてのファイルを、ランダムなマスターキーのもとでAES-256-GCMにより暗号化する。そのマスターキーは、PBKDF2で導出した保管庫キーでラップされている。コピーしたアプリのストレージを調べても、見えるのは読める写真ではなく暗号文だ。対称キーはアプリ内でCryptoKitにより処理されるため、ロック解除された状態で乗っ取られたデバイスでは、そのキーや平文が狙われうる。

暗号鍵としてのパターンロック

Vaultaireのパターンは、画面の入口を塞ぐだけのものではない。PBKDF2への入力であり、PBKDF2はそこから保管庫キーを導出する。このキーが暗号化されたインデックスを認証し、ランダムなマスターキーのラップを解除する。コピーしたアプリのコンテナは、有効なロック解除や復元の経路がなければ暗号化されたままだ。アプリが表示する画面を切り替えるだけのパスコードとは、本質的に違う。

暗号化されたバックアップとリカバリーフレーズ

Vaultaireは、バックアップレコードをユーザーのプライベートなCloudKitデータベースに書き込む前に、端末上で暗号化する。独自の9単語のフレーズから、暗号化された復元マニフェスト用のキーを導出する。このフレーズはBIP-39ではない。復元にはフレーズと対応するCloudKitレコードの両方が必要なので、フレーズだけですべての写真をバックアップできるわけではない。

脅迫用保管庫

強要されたとき、脅迫パターンは割り当てられた保管庫を開き、端末上にあるほかの保管庫のインデックスと復元用の対応付けを削除する。Secret Photo Vaultに同等の機能はない。ほかの保管庫がこのデバイスに保存していたファイルも削除される。Vaultaireは、この端末上の操作でクラウド上のレコード、ほかの端末のコピー、OSが残す痕跡、フォレンジック上の痕跡のすべてが消えるとは主張していない。

広告も広告SDKもなし

Vaultaireには広告SDKがなく、どのプランでも広告なしで完全な暗号化を使える。アプリの分析とクラッシュ診断はデフォルトで有効で、設定の「エラーを匿名で共有」でオフにできる。それ以外の文書化された通信は、iCloudバックアップ（デフォルトでオン）、共有、購入、Appleのサービスによるものだ。

← Secret Photo Vault vs Vaultaire比較に戻る