Foto-hvælvingsapp: hvad det er, hvordan det fungerer, og hvad du skal kigge efter

Foto-hvælvingsapps spænder fra ukrypterede mappeskjulere til AES-256-hvælvinger med nul-kendskab.

En foto-hvælvingsapp er en mobilapp designet til at gemme fotos og videoer i et privat, beskyttet rum adskilt fra enhedens standard fotobibliotek. Beskyttelsesniveauet varierer betydeligt: nogle foto-hvælvingsapps skjuler blot filer bag en PIN-skærm uden kryptering, mens andre bruger AES-256-GCM-kryptering, hvor filer er matematisk ulæselige uden de rigtige legitimationsoplysninger.

Begrebet "foto-hvælvingsapp" dækker et spektrum fra grundlæggende mappeskjulere til nul-kendskab-hvælvinger. At forstå, hvor en app befinder sig på dette spektrum, afgør, om dine fotos faktisk er beskyttede, eller blot er skjult for tilfældig synsvinkel.

Denne vejledning definerer, hvad en foto-hvælvingsapp er, forklarer, hvordan de forskellige typer fungerer, og giver specifikke kriterier, du bør tjekke inden du betroer en app private filer.

Hvad er en foto-hvælvingsapp?

En foto-hvælvingsapp er software der opretter et separat, adgangskontrolleret lagringsområde til fotos og videoer på en mobilenhed. Som minimum giver den en barriere mellem enhedens standard fotobibliotek og private filer. Som maksimum giver den kryptografisk beskyttelse svarende til hvad offentlige myndigheder bruger til klassificerede oplysninger.

Kategorien omfatter tre adskilte typer:

Type 1: Mappeskjulere

Mappeskjulere flytter fotos fra kamerarullen til en skjult mappe i appens lager. Adgang styres af PIN, adgangskode eller biometrisk godkendelse. Filerne selv gemmes i originalformat (JPEG, PNG, HEIC) uden kryptering.

Hvad det beskytter mod: Nogen der tilfældigt gennemser Fotos-appen.

Hvad det ikke beskytter mod: Enhver med adgang til filsystemet. Tilslutning af telefonen til en computer, udtrækning af backup eller brug af retsmedicinske værktøjer afslører filerne uden kendskab til PIN.

Eksempler: Mange gratis hvælvingsapps i App Store og Google Play tilhører denne kategori. De er den mest downloadede og mindst sikre type.

Type 2: Krypteret lager med server-side nøgler

Disse apps krypterer fotos inden lagring, men krypteringsnøglerne administreres af virksomhedens servere. Appen kan bruge stærk kryptering (AES-256), men nøglehåndteringen betyder, at virksomheden i teorien kan dekryptere dine filer. Modtager den en retskendelse, kan den efterkomme den. Sker der et brud, kompromitteres nøglerne sammen med dataene.

Hvad det beskytter mod: Tilfældig adgang, enhedstyveri (hvis enheden er låst), grundlæggende retsmedicinsk undersøgelse.

Hvad det ikke beskytter mod: Selve app-virksomheden, juridisk tvang rettet mod virksomheden, server-side lækager.

Eksempler: Nogle premium hvælvingsapps og cloud-lager med hvælvingsfunktioner.

Type 3: Nul-kendskab-krypterede hvælvinger

Nul-kendskab-hvælvinger afleder krypteringsnøgler lokalt fra brugerens legitimationsoplysninger (adgangskode, mønster, biometri). Nøglerne forlader aldrig enheden og overføres aldrig til udviklerens servere. Udvikleren kan matematisk ikke tilgå gemte filer, selv under juridisk tvang. Der er ikke noget at udlevere, fordi evnen til at dekryptere ikke eksisterer uden for brugerens enhed.

Hvad det beskytter mod: Alt ovenstående, plus tvungen adgang fra udvikleren, server-lækager og insider-trusler.

Hvad det ikke beskytter mod: At brugeren glemmer legitimationsoplysninger uden en gendannelsesmekanisme.

Eksempler: Vaultaire (AES-256-GCM med PBKDF2-nøgleafledning, nul-kendskab-arkitektur) og et lille antal andre apps med verificerede nul-kendskab-implementeringer.

Foto-hvælvingsspektret: fra skjult til krypteret

Dette spektrum er det vigtigste at forstå om foto-hvælvingsapps. App Store skelner ikke mellem disse typer. En mappeskjuler med millioner af downloads sidder ved siden af en nul-kendskab-hvælving, og begge kalder sig "foto-hvælvingsapp."

Sådan fungerer foto-hvælvingsapps: det tekniske lag

Import og lager

Når du tilføjer et foto til en hvælvingsapp, kopierer (eller flytter) appen filen fra kamerarullen til sit eget lagringsrum. På iOS har hver app en sandkasse-mappe, som andre apps ikke har direkte adgang til. På Android afhænger isolationsniveauet af OS-versionen og app-implementeringen.

Det centrale spørgsmål er, hvad der sker med filen efter import. I en mappeskjuler ligger filen i appens mappe i originalformat. I en krypteret hvælving transformeres filen af en kryptofunktion (som AES-256-GCM) til krypterede data, inden den skrives til lageret.

Godkendelse

Foto-hvælvingsapps bruger forskellige godkendelsesmetoder:

Forskellen mellem godkendelse og kryptering er vigtig. Godkendelse bestemmer, hvem der kan åbne appen. Kryptering bestemmer, om filer er læsbare uden nøglen. En stærk PIN på en app der krypterer filer, beskytter ingenting, hvis filsystemet tilgås direkte.

Nøgleafledning

I krypterede hvælvingsapps transformeres brugerens legitimationsoplysninger (adgangskode, mønster osv.) til en krypteringsnøgle via en nøgleafledningsfunktion. Standardtilgangen bruger algoritmer som PBKDF2, Argon2 eller scrypt med et højt iterationsantal og en salt for hver hvælving.

Vaultaire bruger PBKDF2 med HMAC-SHA512 og en unik kryptografisk salt for hver hvælving. Iterationsantallet gør hver nøgleafledning beregningsmæssigt kostbar, så det at teste milliarder af mønstre ville kræve årtier med kontinuerlig beregning for hver hvælving.

Nøgleafledningssteget er det der transformerer et menneskeligt memorabelt legitimationssæt til en 256-bit krypteringsnøgle egnet til AES-256-GCM. Uden dette trin ville krypteringsnøglen kun være så stærk som selve adgangskoden.

Metadata-beskyttelse

En detalje de fleste hvælvingsapps overser: selv hvis fotos er krypterede, kan metadata afsløre information. Filnavne, oprettelsesdatoer, thumbnail-dimensioner og hvælvingsstruktur er metadata. Hvis disse gemmes i klartekst, afslører de, hvilken type indhold der er gemt, selv hvis indholdet selv er krypteret.

Vaultaire krypterer alle metadata med ChaCha20, en anden kryptofunktion end filkrypteringen (AES-256-GCM). At bruge en anden funktion til metadata giver kryptografisk diversitet og eliminerer cache-timing sidekanal-angreb.

Hvad du skal tjekke inden du stoler på en foto-hvælvingsapp

1. Krypteringsstandard

Tjek om appen specificerer krypteringsalgoritmen. Troværdige apps navngiver den eksplicit: AES-256-GCM, AES-256-CBC, ChaCha20-Poly1305. Siger appen "militær-grade kryptering" eller "bankniveau-sikkerhed" uden at navngive en specifik kryptofunktion, er det et advarselstegn. Disse fraser er markedsføringssprog, ikke tekniske specifikationer.

Ifølge NIST SP 800-38D er AES-256-GCM den anbefalede autentificerede krypteringsalgoritme til høj-sikkerhedsapplikationer. Den giver både fortrolighed (data er ulæselige) og integritet (manipulation detekteres).

2. Nøglehåndtering

Hvor er krypteringsnøglerne? Tre muligheder:

• Kun på enheden (nul-kendskab): Udvikleren kan ikke tilgå dine filer. Dette er den stærkeste model.
• På virksomhedens servere: Udvikleren kan dekryptere dine filer. Dette er almindeligt i cloud-hvælvingsapps.
• Ikke relevant: Appen krypterer faktisk ikke filer.

Tilbyder appen e-mail-adgangskodegendannelse der gendanner adgang til dine krypterede filer, har udvikleren nøglerne. Ægte nul-kendskab-apps kan ikke gendanne adgangskoden, fordi de aldrig har haft den.

3. Dataindsamlingspolitik

Tjek App Stores privatlivslabels. De er selvanmeldte af udviklere, men indikerer omfanget af dataindsamling. En hvælvingsapp der indsamler enheds-ID'er, brugsdata og reklamdata, tjener penge på din adfærd ved siden af at beskytte dine filer.

Apps med nul dataindsamling (ingen analyse, ingen reklame, ingen ID'er) signalerer, at forretningsmodellen er selve produktet, ikke brugerdata.

4. Gendannelsesmekanisme

Hvordan håndterer appen glemt adgangskode? Svaret afslører sikkerhedsarkitekturen:

• Gendannelsessætning (ordsekvens): Indikerer klient-side nøgleafledning. Sætningen regenererer nøglen lokalt. Ingen serverinvolvering.
• E-mail-gendannelse: Indikerer server-side nøglehåndtering. Virksomheden har eller kan regenerere din nøgle.
• Ingen gendannelse: Indikerer stærkt nul-kendskab-design, men medfører risiko for permanent datatab.

Vaultaire bruger standard BIP-39-gendannelsessætninger. Hver hvælving genererer en unik ordsekvens der kan regenerere den samme krypteringsnøgle. Mistes både mønster og gendannelsessætning, er data permanent ugendannelige. Ingen bagdøre eksisterer.

5. Auditstatus

Er krypteringsimplementeringen uafhængigt verificeret? Selvrapporterede krypterings-påstande kan implementeres forkert. Almindelige fejl inkluderer genbrug af initialiseringsvektorer, brug af svag nøgleafledning eller lagring af nøgler på tilgængelige steder.

Apps der gennemgår uafhængige sikkerhedsrevisioner eller offentliggør kryptografisk kode åbent, giver stærkere garantier end apps der blot hævder det uden verifikation.

6. Platform- og opdateringshistorik

Tjek hvornår appen sidst blev opdateret. Hvælvingsapps der ikke er opdateret i over et år, understøtter muligvis ikke aktuelle OS-sikkerhedsfunktioner, kan have urettede sårbarheder og fungerer muligvis ikke korrekt efter OS-opdateringer.

Foto-hvælvingsapp versus indbyggede løsninger

Både iOS og Android tilbyder indbyggede muligheder for at skjule fotos. Hvordan sammenligner de sig?

iOS Skjult album

Fra iOS 16 kræver det Skjulte album i Fotos-appen Face ID, Touch ID eller kode for at vise det. Det er en markant forbedring i forhold til tidligere versioner, hvor det Skjulte album var tilgængeligt for enhver med adgang til enheden.

Begrænsninger: Det Skjulte album er adgangskontrol, ikke kryptering. Apple administrerer nøglerne. Retsmedicinsk undersøgelse af enheden kan afsløre skjulte fotos. Enhver med enhedskoden har adgang. Der er ingen måde at oprette flere skjulte rum eller give troværdig benægtelse.

Androids låste mappe (Google Fotos)

Google Fotos tilbyder en låst mappe der kræver biometri eller enhed-PIN for adgang. Ligesom iOS er det adgangskontrol snarere end uafhængig kryptering.

Begrænsninger: Google har nøglerne til indhold synkroniseret til skyen. Den låste mappe er et UI-lag over Googles infrastruktur. Retsmedicinske værktøjer kan tilgå indhold.

Hvor hvælvingsapps tilføjer værdi

Tredjepartshvælvingsapps tilføjer værdi på tre specifikke områder:

1. Uafhængig kryptering. Nøgler afledt fra brugerens legitimationsoplysninger, ikke administreret af Apple eller Google.
2. Troværdig benægtelse. Evnen til at have flere skjulte rum hvis eksistens ikke kan bevises.
3. Nul-kendskab-arkitektur. Hverken enhedsproducenten eller app-udvikleren kan tilgå filer.

For brugere hvis trusselsprofil rækker ud over "holde fotos væk fra kamerarullen", giver en specialiseret foto-hvælvingsapp med reel kryptering beskyttelse, som indbyggede funktioner ikke tilbyder.

Ofte stillede spørgsmål

Hvad er en foto-hvælvingsapp?

En foto-hvælvingsapp er en mobilapp der gemmer fotos og videoer i et privat, beskyttet område adskilt fra enhedens standard fotobibliotek. Beskyttelsesniveauer spænder fra simpel mappeskjuling (ingen kryptering) til nul-kendskab-krypteret lager, hvor filer er matematisk ulæselige uden brugerens legitimationsoplysninger. Begrebet dækker et bredt spektrum; krypteringsimplementeringen afgør den reelle sikkerhed.

Er foto-hvælvingsapps sikre?

Det afhænger udelukkende af typen. Mappeskjulere der gemmer ukrypterede filer bag en PIN er ikke sikre mod teknisk undersøgelse. Krypterede hvælvingsapps der bruger AES-256-GCM med nul-kendskab-nøglehåndtering er sikre mod retsmedicinsk analyse, enhedstyveri og server-lækager. Tjek krypteringsstandarden, nøglehåndteringsmodellen og dataindsamlingspolitikken, inden du betroer en app følsomme filer.

Krypterer foto-hvælvingsapps faktisk fotos?

Ikke alle. Mange populære foto-hvælvingsapps, især de gratis med reklamer, gemmer filer i originalformat og bruger PIN som den eneste beskyttelse. Apps der faktisk krypterer, bruger navngivne algoritmer (AES-256-GCM, ChaCha20-Poly1305) og afleder nøgler fra brugerens legitimationsoplysninger via funktioner som PBKDF2 eller Argon2. Specificerer appen ikke krypteringsalgoritmen, bør du antage, at den ikke krypterer.

Kan Apple eller Google se fotos i en hvælvingsapp?

Hvis hvælvingsappen bruger nul-kendskab-kryptering med klient-side nøgleafledning, kan hverken Apple eller Google tilgå de krypterede filer, selv hvis de er vært for sikkerhedskopier. Uden brugerens nøgle er krypterede data matematisk uadskilleligt fra tilfældig støj. Gemmer hvælvingsappen filer ukrypteret eller bruger serveradministrerede nøgler, kan platformen eller udvikleren have adgang.

Hvad sker der, hvis jeg glemmer adgangskoden til hvælvingsappen?

Svaret afhænger af sikkerhedsarkitekturen. Apps med server-side nøglehåndtering tilbyder e-mail-adgangskodegendannelse, men kan også tilgå dine filer. Nul-kendskab-hvælvingsapps giver gendannelsessætninger (ordsekvenser) der lokalt regenererer nøglen. Mistes både adgangskode/mønster og gendannelsessætning i en nul-kendskab-app, er data permanent ugendannelige. Ingen bagdøre eksisterer.

Hvad er den mest sikre type foto-hvælvingsapp?

En nul-kendskab-hvælving krypteret med AES-256-GCM eller tilsvarende, med PBKDF2/Argon2-nøgleafledning, per-fil initialiseringsvektorer, metadata-kryptering og ingen server-side nøglelager. Denne type sikrer, at kun brugeren kan dekryptere filer, udvikleren ikke kan tilgå data selv under juridisk tvang, og gemte filer overlever retsmedicinsk undersøgelse uden kompromis.

Konklusion

"Foto-hvælvingsapp" er en kategoribeskrivelse, ikke en sikkerhedsgaranti. Spændet inden for kategorien strækker sig fra apps der giver mindre beskyttelse end iOS's indbyggede Skjulte album, til apps der giver beskyttelse svarende til lagring af offentlige klassificerede data.

Inden du betroer en hvælvingsapp filer der betyder noget, bør du tjekke seks ting: krypteringsstandard, nøglehåndtering, dataindsamling, gendannelsesmekanisme, auditstatus og opdateringshistorik. Kan appen ikke besvare disse spørgsmål konkret, tilhører den kategorien mappeskjulere uanset hvad markedsføringen siger.

Fotos på din telefon er optegnelser af dit liv. Den beskyttelse de fortjener, bør bygge på matematik, ikke markedsføring.

Relaterede vejledninger: Bedste foto-hvælvingsapps til iPhone | Sådan låser du fotos på iPhone | Hvad er nul-kendskab-kryptering? | Gallerilås versus krypteret hvælving