Fodralet till Vaultaire

Sekretessappar har ett fatalt fel: de ser ut som sekretessappar.

En låst mapp meddelar att den är låst. Ett dolt galleri som heter “Calculator+” lurar ingen som tittar. Varje “secure” fotovalv på din iPhone delar samma problem: det bevisar att du har något att dölja.

När någon tvingar dig att låsa upp din telefon, oavsett om det är en gränsagent, en missbrukande partner eller en auktoritär regering, ser de appen, de ser låset och de slutar inte förrän du öppnar den.

Vaultaire döljer inte dina filer bakom ett lås. Det gör att de slutar existera.

Hur krypterad fotolagring faktiskt ska fungera

Rita ett mönster på rutnätet. PBKDF2 härleder en lokal valvnyckel, som autentiserar det krypterade indexet och packar upp den slumpmässiga huvudnyckeln som används för AES-256-GCM filkryptering. Rita ett annat konfigurerat mönster så kan ett annat krypterat valv öppnas. AES-operationer körs i appprocessen genom CryptoKit; Vaultaire gör inte anspråk på godtycklig symmetrisk kryptering inuti Secure Enclave.

Ange ett mönster utan matchande index? Inget meddelande om "felaktigt lösenord" och ingen lista över andra valv, bara ett tomt skapelseläge. Den likvärdigheten gäller för gränssnittet. Ett kopierat indexfilnamn och AES-GCM taggen låter fortfarande en filsystemangripare verifiera gissningar offline.

Gränssnittet visar ingen lista över valv, men lagringsgränsen är explicit: varje lokalt valv har exakt en krypterad indexfil som kan räknas, och lagringsanvändningen ändras med krypterat innehåll. En filsystemgranskare kan räkna index och kopiera chiffertext, medan den mönsterhärledda nyckeln och den slumpmässiga huvudnyckeln skyddar den läsbara filkartan och innehållet.

Detta är inte ett lås på en dörr. Det är en vägg där dörren brukade vara.

Varför noll-kunskapsarkitektur är viktig

Enbart en låsskärm bevisar inte att filer är krypterade. Alla fotovalv ska bedömas utifrån dess lagringsformat, nyckelhierarki, återställningsväg och beteende när appbehållaren kopieras, inte efter närvaron av en PIN-kod eller mönsterskärm.

Vaultaire byggdes kring en snävare princip: tjänster som lagrar krypterade Vaultaire-poster ska inte ta emot läsbart valvinnehåll eller dekrypteringsnycklar. Kunden, iOS, Keychain, och den olåsta enheten förblir en del av förtroendemodellen, och krypterade filer förblir detekterbara som krypterade programdata.

Inget Vaultaire-identitetskonto. Appen kräver inte din e-postadress eller ditt telefonnummer. Apple kan fortfarande hålla köp, iCloud, och enhetskontoposter och samtyckesbaserad analys kan skapa pseudonyma produkthändelser under integritetspolicyn.

Inget molnberoende för lokal valvanvändning. Vaultaire skapar CloudKit registrerar endast när du väljer krypterad säkerhetskopiering, enhetssynkronisering eller delning; CloudKit tar sedan emot chiffertext och operationell metadata, inte läsbara valvfiler eller klartextdekrypteringsnycklar. iCloud Säkerhetskopiering och säkerhetskopiering av datorenheter är separata systemvägar och kan innehålla appens krypterade lokala filer.

Ingen biometrisk upplåsning inuti Vaultaire. Ett mönster ger en referens separat från iPhone lösenord och Face ID, men det kan fortfarande observeras, gissas, avslöjas under tvång eller fångas på en komprometterad enhet. Vi lämnade biometri för att hålla den åtkomstvägen tydlig.

Ingen e-poståterställning. Ingen återställningsnyckel som hålls av leverantören. Vaultaire genererar en anpassad återställningsfras som innehåller 9 separata ord, inte en BIP-39 minnesminne. Den lagrar frasen i en krypterad Keychain databas så att du kan se den senare, och den kan lagra en fraskrypterad CloudKit manifest när säkerhetskopiering är aktiverad.

Ditt mönster går igenom 600 000 omgångar PBKDF2-HMAC-SHA512 med ett enhetsomfattande salt för att härleda en 256-bitars valvnyckel. Den utdatalängden förvandlar inte ett gissningsbart mönster till 256 bitar av entropi. Nyckeln finns i appminnet under användning och låsvägar förkastar aktivt tillstånd utan att göra anspråk på en bevisbar radering av varje tillfällig kopia.

Vem den är till för

Journalister skyddar källor där telefonsökningar är rutinmässiga. Aktivister som bär dokumentation under statlig övervakning. Överlevande övergrepp i hemmet håller bevis säkra på en enhet som de vet övervakas. Resenärer som korsar gränser där utrustningsinspektion är obligatorisk. Advokater med privilegierat material på personliga telefoner.

Och alla som får den integriteten handlar inte om att ha något att dölja. Det handlar om att ha något värt att skydda.

Tvångsvalvet

Utse ett valv som en tvångsutlösare. När mönstret ritas öppnas det angivna valvet medan Vaultaire tar bort andra lokala index och återställningsmappningar från den aktuella enheten. Befintlig krypterad iCloud säkerhetskopior och kopior av peer-enhet förblir oförändrade, och senare återställning kräver en uttrycklig återställningsfras.

Flödet är tyst i appens gränssnitt, inte garanterat oupptäckbart under kriminalteknisk analys. Raderade filer, filsystemstillstånd, molnposter, peer-enheter eller en tidigare komprometterad enhet kan fortfarande avslöja att data fanns eller ändrades.

Vad vi inte kommer att bygga

Vi kommer inte att lägga till biometrisk upplåsning, eftersom det kan tvingas juridiskt. Vi kommer inte att lägga till molnberoende lagring, eftersom det skapar ett mål för stämningar och intrång. Vi kommer inte att lägga till analyser som spårar hur du använder appen. Vi kommer inte att lägga till en bakdörr utklädd som kontoåterställning. Vi kommer inte att försvaga arkitekturen för bekvämlighets skull.

Varje beslut i Vaultaire kommer tillbaka till en sak: dina privata filer förblir dina, under alla omständigheter.