El cas per a Vaultaire

Les aplicacions de privadesa tenen un defecte fatal: semblen aplicacions de privadesa.

Una carpeta blocada anuncia que està blocada. Una galeria oculta amb el nom “Calculator+” no enganya ningú que estigui buscant. Cada “caixa fort segura” al teu iPhone comparteix el mateix problema: demostra que tens alguna cosa a amagar.

Quan algú et força a desblocar el telèfon, sigui un duana, una parella controladora o un govern autoritari, veu l'aplicació, veu el cadenat i no para fins que l'obres.

Vaultaire no amaga els teus fitxers darrere un cadenat. Fa que deixin d'existir.

Com hauria de funcionar de debò un emmagatzematge xifrat de fotos

Dibuixes un patró en una graella. S'obre la caixa amb les teves fotos, vídeos i documents privats, cada fitxer xifrat individualment amb AES-256-GCM amb claus amb suport de maquinari de l'Apple Secure Enclave. Dibuixes un patró diferent i s'obre una caixa completament diferent. Altres fitxers, altres claus de xifrat, tot diferent.

Introdueixes un patró incorrecte? Cap missatge d'error. Cap “contrasenya incorrecta.” Només una caixa buida. No hi ha cap diferència observable entre “incorrecte” i “buit.”

Cada caixa viu dins d'un bloc pre-assignat de soroll xifrat. Tant si has guardat zero com cinc-cents fitxers, les dades al disc semblen idèntiques. Les eines forenses no distingeixen la diferència. No hi ha res a trobar perquè no hi ha res que sembli quelcom a trobar.

Això no és un pany a la porta. És una paret on solien estar les portes.

Per què importa l'arquitectura de coneixement zero

La majoria d'aplicacions de caixa fort per a fotos posen una pantalla de PIN davant de fitxers sense xifrar. Si algú connecta el teu telèfon a un ordinador, els fitxers hi són, completament llegibles. Això no és seguretat. És una cortina.

Vaultaire es va construir al voltant d'un principi: ningú, ni nosaltres, ni Apple, ni un investigador forense, pot demostrar que els teus fitxers existeixen. La privadesa no és quelcom que vam afegir després. Així és com funciona l'aplicació a cada capa.

Sense comptes. Sense correu electrònic, sense número de telèfon, sense identitat que et vinculi. No hi ha res a citar.

Sense dependència del núvol. Els teus fitxers no surten mai del teu dispositiu, tret que triïs explícitament la còpia de seguretat xifrada a iCloud o la compartició xifrada de la caixa. Fins i tot en aquest cas, el servidor només veu soroll.

Sense biometria. El Face ID i les empremtes digitals es poden forçar legalment. El patró que tens al cap no es pot extreure. Vam ometre deliberadament la biometria.

Sense “he oblidat la contrasenya.” Cap servidor coneix el teu patró. Cap restabliment per correu electrònic. Cap porta del darrere. Per als que ho vulguin, hi ha una frase de recuperació de 12 paraules guardada només al teu dispositiu. Ningú més que tu hi pot entrar.

El teu patró passa per 600.000 rondes de PBKDF2 per derivar una clau de xifrat de 256 bits. Aquesta clau viu només a la memòria i s'esborra en el moment que l'aplicació es bloca. No la veiem mai. No la podem recuperar. D'això es tracta.

Per a qui és

Periodistes que protegeixen fonts on els registres telefònics són rutina. Activistes que porten documentació sota vigilància governamental. Víctimes de violència domèstica que guarden proves en un dispositiu que saben que està controlat. Viatgers que creuen fronteres on la inspecció de dispositius és obligatòria. Advocats amb materials privilegiats als telèfons personals.

I qualsevol que entengui que la privadesa no és tenir alguna cosa a amagar. És tenir alguna cosa a protegir.

La caixa de coacció

Marca qualsevol caixa com a disparador de coacció. Quan es dibuixa aquest patró sota coacció, cada altra caixa es destrueix en silenci i de manera permanent. La caixa de coacció s'obre normalment. La persona que mira veu cooperació i una caixa d'aspecte normal amb unes quantes fotos innòcues. No té manera de saber que mai va existir res més.

Cap altra aplicació de caixa fort xifrada fa això.

Què no construirem

No afegirem desbloqueig biomètric perquè es pot forçar legalment. No afegirem emmagatzematge dependent del núvol perquè crea un objectiu per a citacions i violacions. No afegirem analítica que rastreja com uses l'aplicació. No afegirem portes del darrere disfressades de recuperació de compte. No debilitarem l'arquitectura per comoditat.

Cada decisió a Vaultaire torna a una sola cosa: els teus fitxers privats romanen teus en qualsevol circumstància.