Co je end-to-end šifrování? Jak chrání vaše fotografie
Koncové šifrování drží čitelný obsah fotek i klíče k obsahu mimo dosah poskytovatele úložiště.
Koncové šifrování (E2EE) je bezpečnostní model, ve kterém se otevřený text šifruje na jednom autorizovaném koncovém zařízení a dešifruje na jiném. Poskytovatel úložiště ani přenosu nemá klíč k obsahu v otevřené podobě. Tato hranice chrání obsah před přímým čtením na serveru, neskrývá ale všechna metadata a nechrání napadené koncové zařízení, přihlašovací údaj pro obnovu, příjemce sdílení ani škodlivou aktualizaci klienta.
U ukládání fotek znamená koncové šifrování, že telefon obsah fotek zašifruje před nahráním a cloud ukládá šifrovaný text, ne čitelné obrázky. Dešifrování vyžaduje klíč dostupný přes autorizované zařízení nebo cestu obnovy. Velikost souborů, časování, údaje o účtu, vztahy sdílení a další metadata mohou zůstat viditelné. Tento průvodce vysvětluje, kde hranice leží, a porovnává běžné modely služeb.
Jak end-to-end šifrování funguje
Základní mechanismus zahrnuje tři fáze: generování klíče, šifrování a dešifrování.
Generování klíče
Zařízení uživatele vygeneruje kryptografický klíč. U symetrického šifrování (jako AES-256) tentýž klíč šifruje i dešifruje. U asymetrického šifrování (jako RSA) veřejný klíč šifruje a soukromý klíč dešifruje. Mnohé E2EE systémy kombinují oboje: asymetrické šifrování vymění symetrický klíč relace, který pak zajišťuje hromadné šifrování.
Aplikace trezorů na fotky používají několik přístupů ke správě klíčů. Některé odvozují klíč souboru přímo z hesla; silnější vrstvené návrhy mohou klíčem odvozeným z přihlašovacího údaje zabalit náhodný klíč souborů. Vaultaire používá PBKDF2-HMAC-SHA512 k odvození 256bitového klíče trezoru ze vzoru 5x5 a ze soli společné pro celé zařízení. Tento klíč trezoru ověří šifrovaný index a rozbalí samostatný náhodný hlavní klíč, kterým se šifrují soubory.
Šifrování
Otevřený text (vaše fotografie) je pomocí šifrovacího klíče a algoritmu transformován na šifrový text. AES-256-GCM je nejpoužívanější symetrická šifra pro tento účel. GCM (Galois/Counter Mode) poskytuje ověřené šifrování – data šifruje i vytváří autentizační tag, který detekuje jakékoli narušení. Každý soubor dostane jedinečný inicializační vektor (IV), takže identické soubory produkují různý šifrový text.
Dešifrování
Zařízení příjemce použije stejný klíč (symetrický) nebo odpovídající soukromý klíč (asymetrický) k obrácení transformace. Bez správného klíče je šifrový text k nerozeznání od náhodných dat. Neexistuje žádná matematická zkratka. AES-256 má 2^256 možných klíčů – více než odhadovaný počet atomů v pozorovatelném vesmíru.
End-to-end šifrování vs. jiné modely šifrování
Ne všechno šifrování je end-to-end. Rozdíly určují, kdo může přistupovat k vašim datům.
Šifrování při přenosu (TLS/SSL)
Data jsou šifrována mezi vaším zařízením a serverem. Server je po přijetí dešifruje. Chrání to před odposlechem při přenosu, ale data jsou po přijetí serverem čitelná. Každá velká cloudová služba šifrování při přenosu používá. Jde o základní standard, nikoli o výjimku.
Šifrování v klidovém stavu (serverové)
Server šifruje uložená data pomocí klíčů, které spravuje sám. Chrání to před fyzickou krádeží serverového hardwaru, ale ne před samotným poskytovatelem služby, jeho zaměstnanci nebo právními požadavky. iCloud, Google Drive a Dropbox všechny používají serverové šifrování v klidovém stavu. Klíče drží poskytovatel.
End-to-end šifrování
Data se šifrují na autorizovaném koncovém zařízení dřív, než je poskytovatel úložiště dostane. Dobrý návrh drží otevřený klíč k obsahu mimo běžnou správu na serverech poskytovatele, takže napadení samotného úložiště nebo právní požadavek na uložený obsah vydá šifrovaný text, ne čitelné fotky. Poskytovatel může dál dodávat šifrovaný text a metadata, distribuovat klientský software nebo provozovat systémy obnovy a sdílení, které musí model hrozeb zahrnovat.
| Model šifrování | Kdo drží klíče | Může poskytovatel číst data? | Chrání před poskytovatelem? |
|---|---|---|---|
| Pouze při přenosu (TLS) | Server | Ano | Ne |
| V klidovém stavu (serverové) | Server | Ano | Ne |
| End-to-end | Autorizovaná koncová zařízení nebo držitelé obnovy | Ne jen ze samotného uloženého šifrovaného textu | Chrání obsah před klíči úložiště v držení poskytovatele |
| Šifrování na straně klienta, do kterého poskytovatel nevidí | Klient a zdokumentované cesty obnovy | Z principu žádný přístup k otevřenému obsahu | Chrání obsah; metadata a důvěra klienta zůstávají |
Jak cloudové služby pro ukládání fotografií nakládají se šifrováním
Model šifrování se u cloudových služeb pro ukládání fotografií výrazně liší. Některé inzerují "šifrování" bez specifikace modelu, což může uživatele uvést v omyl ohledně toho, zda jsou jejich fotografie E2EE.
Fotky na iCloudu
Apple používá šifrování při přenosu i v klidovém stavu. Apple standardně drží šifrovací klíče. Na základě platné právní žádosti může Apple poskytnout data z iCloudu. Výjimka: Pokročilá ochrana dat (ADP) od Applu, dostupná od prosince 2022, přidává end-to-end šifrování do Fotek na iCloudu. ADP musí být výslovně povolena v Nastavení. Při zapnutí Apple nemůže přistupovat k datům Fotek na iCloudu. Většina uživatelů ADP nezapnula.
Google Fotky
Google používá šifrování při přenosu i v klidovém stavu se serverovými klíči. Google drží šifrovací klíče pro všechna data Google Fotek, včetně obsahu Uzamčené složky. Google může vyhovět právním žádostem o data. Google nenabízí možnost end-to-end šifrování pro Google Fotky.
Dropbox
Šifrování při přenosu (TLS 1.2+) i v klidovém stavu (AES-256 s klíči spravovanými Dropboxem). Dropbox drží klíče a může přistupovat k vašim souborům. Dropbox byl předmětem úniku dat (2012, 68 milionů účtů). Dropbox Vault (placená funkce) přidává ochranu PIN, ale nikoli end-to-end šifrování.
OneDrive
Microsoft používá šifrování při přenosu i v klidovém stavu s klíči spravovanými Microsoftem. Microsoft drží klíče. OneDrive Personal Vault přidává ověření identity (2FA), ale nikoli end-to-end šifrování – Microsoft může stále přistupovat k datům. Pro firemní zákazníky jsou k dispozici klíče spravované zákazníkem.
Vaultaire
Šifrování na straně klienta bez klíčů v držení poskytovatele. Vaultaire šifruje fotky a metadata v zařízení pomocí AES-256-GCM ještě před jakýmkoli nahráním do cloudu. Data trezoru šifruje náhodný hlavní klíč. Tento hlavní klíč obaluje místní klíč trezoru odvozený ze vzoru uživatele a ze soli zařízení, zatímco samostatný záložní klíč odvozený ze vzoru chrání soukromé záložní záznamy v CloudKit. Vaultaire neprovozuje server s obsahem a tyto klíče nedostává, takže záznam v CloudKit nedokáže převést na otevřený text. Aplikace, iOS a odemčené zařízení zůstávají uvnitř hranice důvěry a právní požadavek může stále získat metadata účtu nebo služby, která má příslušný poskytovatel.
| Služba | Šifrování při přenosu | Šifrování v klidovém stavu | End-to-end šifrování | Může poskytovatel přistupovat |
|---|---|---|---|---|
| Fotky na iCloudu (výchozí) | Ano | Ano (klíče Apple) | Ne | Ano |
| Fotky na iCloudu (ADP zapnutá) | Ano | Ano | Ano | Ne |
| Google Fotky | Ano | Ano (klíče Google) | Ne | Ano |
| Dropbox | Ano | Ano (klíče Dropbox) | Ne | Ano |
| OneDrive | Ano | Ano (klíče Microsoft) | Ne | Ano |
| Vaultaire | Ano | Ano | Záloha šifrovaná na straně klienta, ve výchozím nastavení zapnutá | Žádný otevřený klíč k obsahu; metadata CloudKit zůstávají |
Proč záleží na end-to-end šifrování pro fotografie
Fotografie jsou zvláště citlivá data. Obsahují tváře, polohy (GPS metadata), časová razítka a vizuální záznamy soukromých okamžiků. Únik fotogalerie odhaluje více osobních informací než téměř jakýkoli jiný typ dat.
Úniky dat
Když poskytovatel služby ukládá fotky s klíči na serveru, napadení úložiště i jeho cesty ke správě klíčů může odhalit čitelný obsah. Při dobře navrženém E2EE vydá únik ze samotného úložiště jen šifrovaný text a metadata, která služba uchovává. Napadení koncového zařízení, ukradené přihlašovací údaje pro obnovu, škodlivý klientský software a chyby služeb pro klíče zůstávají samostatnými cestami k otevřenému textu.
Právní přístup a přístup vlády
Poskytovatelé služeb mohou být povinni vydat záznamy, které mají. U E2EE to může zahrnovat šifrovaný text, informace o účtu, přístupové protokoly, velikosti záznamů, časování a metadata sdílení, ne čitelný obsah fotek. Zda se požadavek může dostat k zařízení, metodě obnovy, příjemci nebo budoucímu chování klienta, je jiná právní a technická otázka.
Interní přístup
Zaměstnanci nebo útočníci s přístupem ke klíčům úložiště spravovaným poskytovatelem se mohou dostat k obsahu šifrovanému na serveru. E2EE tuto přímou cestu přes klíče úložiště odstraní, když poskytovatel nemá klíče k obsahu v otevřené podobě. Zneužití zevnitř tím ale není zcela vyloučené, protože poskytovatel může ovládat distribuci klienta, stav účtu, metadata, sdílení nebo součásti obnovy.
Ochrana metadat
Některé implementace E2EE šifrují jen obsah souborů a metadata jako názvy souborů a data nechávají nechráněná. Vaultaire chrání hlavičky souborů, typy MIME, indexy, náhledy a další metadata trezoru ověřeným šifrováním AES-256-GCM. Délky uloženého šifrovaného textu a počet šifrovaných souborů úložiště ale mohou komukoli s přístupem ke kontejneru aplikace stále prozradit informace o struktuře, například odhad, kolik trezorů obsahuje soubory.
Časté mylné představy o E2EE
"Mé cloudové úložiště je šifrováno, takže mé fotografie jsou v bezpečí." Serverové šifrování chrání před externími úniky serverového hardwaru. Nechrání před samotným poskytovatelem, právními požadavky ani hrozbami zevnitř. Klíče drží poskytovatel.
"HTTPS znamená, že mé fotografie jsou end-to-end šifrovány." HTTPS (TLS) šifruje data při přenosu mezi vaším zařízením a serverem. Jakmile data dorazí na server, jsou dešifrována. HTTPS je šifrování přenosového kanálu, nikoli šifrování dat.
"End-to-end šifrování znamená, že nikdo nikdy neuvidí mé fotografie." E2EE znamená, že nikdo bez klíče neuvidí vaše fotografie. Pokud někdo má vaše heslo nebo klíč, může data dešifrovat. Správa klíčů a silná hesla jsou stále nezbytné.
"Apple/Google nemohou vidět mé fotografie." Ve výchozím nastavení obě společnosti drží šifrovací klíče pro vaše fotografie uložené v cloudu. Apple nabízí Pokročilou ochranu dat jako volitelnou funkci. Google nenabízí možnost E2EE pro Google Fotky vůbec.
Jak Vaultaire implementuje end-to-end šifrování
Vaultaire používá vrstvený přístup E2EE:
- AES-256-GCM šifruje veškerý obsah souborů. Každý soubor dostane jedinečný inicializační vektor. Ověřené šifrování detekuje narušení.
- PBKDF2 s HMAC-SHA512 odvozuje místní klíč trezoru z nakresleného vzoru uživatele a ze soli zařízení. Pracovní faktor zvyšuje cenu každého offline pokusu, vzoru ale entropii nepřidá. Tento klíč trezoru ověří šifrovaný index a rozbalí náhodný hlavní klíč, kterým se šifrují data souborů.
- AES-256-GCM pro metadata chrání názvy souborů, data, rozměry, indexy a miniatury pomocí ověřeného šifrování.
- iOS Keychain a Ochrana dat chrání sůl zařízení a šifrovanou databázi obnovy. Operace AES-GCM a aktivní symetrické klíče zůstávají v procesu aplikace, dokud je trezor otevřený.
- Oddělení klíčů od poskytovatele znamená, že Wraxle nedostane klíč trezoru, hlavní klíč, záložní klíč ani klíč pro obnovení v otevřené podobě. CloudKit (záloha je ve výchozím nastavení zapnutá) ukládá šifrované záznamy a šifrované obálky klíčů, Apple ale stále může sledovat metadata služby. Vaultaire nevyžaduje účet Vaultaire s identitou.
Vaultaire uchovává informace pro obnovu, včetně vzoru, v databázi šifrované AES-GCM uložené v iOS Keychain. Nezapisují se do souborů s otevřeným textem ani se neodesílají do služby účtů Vaultaire. Pokud nezbude použitelný vzor, fráze pro obnovení ani už odemčené zařízení, Vaultaire nemá žádný klíč poskytovatele, kterým by přístup obnovil.
Často kladené otázky
Je end-to-end šifrování legální?
Právní zacházení se šifrováním, vynuceným přístupem a šifrovanými službami se liší podle jurisdikce a může se měnit. Tento průvodce popisuje technický model, nejde o právní radu. Pokud se vaše použití týká hraničních prohlídek, soudních příkazů, regulovaných záznamů nebo jiné rizikové situace, ověřte si aktuální místní právo.
Může orgány činné v trestním řízení prolomit end-to-end šifrování?
Útoky jen zřídka potřebují prohledat celý prostor klíčů AES-256. Forenzní analytik může mířit na slabé heslo nebo vzor, odemčené koncové zařízení, paměť, frázi pro obnovení, příjemce, zálohu nebo chybu implementace. Správně implementovaný AES-256-GCM s náhodným klíčem s vysokou entropií je navržený tak, aby odolal přímému hledání klíče, to je ale jen jedna část systému.
Jaký je rozdíl mezi E2EE a zero-knowledge šifrováním?
E2EE popisuje, kde probíhá šifrování a dešifrování otevřeného textu a kdo drží použitelné klíče k obsahu. „Nulová znalost“ se v produktovém marketingu často používá pro šifrování, do kterého poskytovatel nevidí, nemělo by se ale brát doslova: služba nemusí mít otevřené klíče, a přesto vidí šifrovaný text, data účtu, velikosti, časování, vztahy sdílení a další metadata. Posuzujte popsané cesty klíčů a obnovy, ne samotný štítek.
Zpomaluje end-to-end šifrování můj telefon?
Moderní zařízení zvládají AES-256 efektivně díky hardwarové akceleraci dostupné přes systémové kryptografické knihovny. Na iPhonu Vaultaire provádí AES-GCM v procesu aplikace přes CryptoKit. Veřejná API Secure Enclave od Applu nejsou obecným strojem AES-GCM pro šifrování souborů. Režie šifrování a dešifrování závisí na velikosti souboru a zařízení, je ale navržená tak, aby při běžném používání nepřekážela.
Co se stane, když ztratím šifrovací klíč?
Ztráta všech použitelných cest k dešifrování a obnově udělá šifrovaná data neobnovitelnými. Mnoho systémů E2EE proto používá fráze pro obnovení, důvěryhodná zařízení, kontakty pro obnovu, nouzové sady nebo šifrované obálky klíčů. Tyto mechanismy zachovávají přístup, každý z nich se ale také stává součástí bezpečnostního modelu.
Závěr
Koncové šifrování může odstranit cestu, kterou by poskytovatel úložiště získal otevřený klíč, pokud šifrování proběhne na autorizovaném koncovém zařízení před nahráním. Jde o smysluplnou ochranu, ne o záruku za celý systém. Než službě svěříte soukromé fotky, prověřte, kdo drží klíč k obsahu, obnovu, metadata, aktualizace klienta, zabezpečení koncových zařízení a sdílení.
Vaultaire implementuje šifrování na straně klienta pro iOS. Vaše fotky a metadata trezoru se v zařízení zašifrují pomocí AES-256-GCM ještě před zálohou (ve výchozím nastavení zapnutou) nebo synchronizací. Vaultaire nedostává dešifrovací klíče a neprovozuje server, který by dokázal tyto šifrované záznamy převést na vaše fotky. Tato hranice poskytovatele ale neudělá napadený nebo odemčený iPhone důvěryhodným.