Sauvegarde iCloud chiffrée : stockage cloud sans confiance

La sauvegarde iCloud de Vaultaire chiffre les données du coffre sur l'appareil avec AES-256-GCM avant d'envoyer des enregistrements de taille fixe, complétés par du bourrage, vers le compte CloudKit privé de l'utilisateur. Apple stocke le texte chiffré mais ne reçoit pas la clé de sauvegarde sous une forme lisible.

Qu'est-ce que la sauvegarde iCloud chiffrée ?

Les téléphones tombent en panne. Les téléphones se perdent. Les téléphones se font voler. Si vos fichiers les plus privés n'existent que sur un seul appareil, ils sont à un accident de disparaître pour toujours. La sauvegarde résout ce problème — mais la sauvegarde cloud traditionnelle en crée un autre : une entreprise que vous ne contrôlez pas possède désormais une copie lisible de vos fichiers.

Vaultaire emprunte une troisième voie. Il sauvegarde votre coffre sur iCloud par défaut, et vous pouvez le désactiver, mais les données sont chiffrées localement avant de quitter votre téléphone. Vaultaire dérive une clé de sauvegarde portable à partir de votre motif et l'utilise pour protéger les blocs de taille fixe, les balises d'enregistrement chiffrées, les répertoires de versions et les données de récupération. Ce qui est envoyé à Apple est du texte chiffré plutôt que des photos, des noms de fichiers ou des balises structurelles lisibles. CloudKit peut toujours exposer les métadonnées des comptes et des services, le nombre d'enregistrements, les tailles complétées et le timing d'accès.

Le chiffrement a lieu avant l'envoi, ni pendant ni après. C’est la distinction cruciale. De nombreux services cloud chiffrent les données « en transit » pendant leur déplacement et « au repos » lorsqu'elles se trouvent sur leurs serveurs, mais le service peut toujours contenir une clé de déchiffrement. Vaultaire envoie à CloudKit des enregistrements de sauvegarde chiffrés et une enveloppe de récupération chiffrée. Ni l’un ni l’autre ne donne à Apple la clé de sauvegarde lisible par elle-même.

Comment ça marche, étape par étape

Les mécanismes sont structurés autour d'un ordre d'opérations clair : dériver les informations d'identification de sauvegarde localement, chiffrer et compléter chaque composant, puis envoyer uniquement les enregistrements obtenus et le matériel de récupération chiffré.

Étape 1 : votre coffre est chiffré localement

Pour la sauvegarde iCloud, Vaultaire dérive une clé de sauvegarde distincte, indépendante de l'appareil, à partir de votre motif avec 600 000 cycles de PBKDF2-HMAC-SHA512. Il ne s'agit pas de la clé de coffre liée à l'appareil ni de la clé principale aléatoire utilisée pour le chiffrement des fichiers locaux. L'application utilise la clé de sauvegarde avec AES-256-GCM pour protéger les composants nécessaires à la reconstruction du coffre.

Étape 2 : le blob chiffré va dans iCloud

L'application divise la sauvegarde en blocs de taille fixe, complète chaque bloc chiffré jusqu'à 10 Mo, chiffre les balises structurelles et ajoute des enregistrements leurres. Ces enregistrements opaques sont envoyés dans une zone dédiée de votre base de données CloudKit privée et comptent dans votre stockage iCloud. La structure des enregistrements évite d'exposer à CloudKit des noms de fichiers, des types de fichiers, des empreintes de contenu ou des rôles logiques lisibles.

Étape 3 : L'accès à la récupération est encapsulé séparément

La clé de sauvegarde lisible n'est ni envoyée comme enregistrement CloudKit ni intégrée à côté du texte chiffré. La restauration par motif la dérive à nouveau sur le nouvel appareil. La restauration basée sur une phrase utilise une clé de récupération distincte, dérivée de la phrase de récupération, pour ouvrir un manifeste chiffré contenant les clés du coffre et de sauvegarde. Cette enveloppe permet la récupération sans donner à Apple ou Vaultaire une clé de déchiffrement en texte brut.

Pourquoi Apple ne peut pas déchiffrer directement les enregistrements de sauvegarde Vaultaire

Cette limite vient du chiffrement côté client et de la conservation des clés, et pas seulement d'une promesse politique. Vaultaire envoie le texte chiffré tandis que les informations d'identification et les clés nécessaires pour déchiffrer le contenu du coffre restent avec le client et son matériel de récupération.

Avec une clé correcte et une gestion correcte des nonces, AES-256-GCM produit un texte chiffré qui ne révèle pas le texte brut protégé, et la force brute directe sur une clé aléatoire de 256 bits est irréalisable sur le plan informatique. Cela ne rend pas l’ensemble du système incassable : l’entropie des informations d’identification, le matériel de récupération, les terminaux, l’intégrité des logiciels et les défauts de mise en œuvre font toujours partie du modèle de menace. La norme AES fournit la primitive ; la conception qui l'entoure détermine la manière dont ses clés sont protégées.

Apple ne reçoit pas la clé de sauvegarde lisible. L'application dérive cette clé de votre motif lors d'une restauration basée sur un motif ou la récupère à partir d'un manifeste chiffré par phrase lors d'une restauration basée sur une phrase. CloudKit stocke la sortie chiffrée et les enregistrements opérationnels nécessaires pour la récupérer, mais pas le contenu lisible du coffre.

Même avec une ordonnance du tribunal

Lorsqu'Apple reçoit une demande légale valide portant sur des données iCloud, elle peut fournir les enregistrements et les métadonnées disponibles selon le modèle de protection iCloud. Vaultaire envoie des enregistrements CloudKit chiffrés côté client plutôt que des fichiers de coffre lisibles ou une clé de sauvegarde en texte brut. Apple peut fournir ces enregistrements de texte chiffré et les métadonnées de service associées, mais il ne détient pas la clé de sauvegarde nécessaire pour transformer le contenu protégé du coffre en texte brut.

Il s'agit du résultat architectural du chiffrement côté client. Apple peut remettre les enregistrements CloudKit qu’il détient. La lecture du contenu du coffre nécessite toujours la clé de sauvegarde dérivée du motif ou la phrase de récupération qui ouvre le manifeste de récupération chiffré.

Le modèle de confiance : faites confiance aux maths, pas aux entreprises

Le stockage cloud traditionnel exige que vous fassiez confiance au fournisseur. Vous faites confiance au fait qu'ils chiffrent vos données correctement. Vous faites confiance au fait qu'ils ne regardent pas vos fichiers. Vous faites confiance au fait qu'ils résisteront à la pression gouvernementale. Vous faites confiance au fait que leurs employés n'abuseront pas de leur accès. C'est beaucoup de confiance à placer dans une organisation que vous n'avez jamais rencontrée.

Le chiffrement de la sauvegarde iCloud de Vaultaire réduit ce que vous devez confier à Apple pour préserver la confidentialité. La protection du contenu dépend de la capacité de l'application à gérer correctement les clés, à utiliser AES-GCM correctement et à garder votre motif et votre phrase de récupération hors de portée du fournisseur. Vous faites toujours confiance au client Vaultaire, à iOS, à votre appareil déverrouillé, et à Apple pour garder les enregistrements stockés disponibles.

Si les serveurs d'Apple sont piratés, l'attaquant obtient du texte chiffré : il peut tester des motifs hors ligne, mais il ne lit pas vos fichiers sans le bon motif. Si un employé d'Apple malveillant accède à vos fichiers, vos données sont en sécurité — parce qu'il ne voit que du bruit chiffré. Si Apple change sa politique de confidentialité demain, vos données sont en sécurité — parce que les politiques ne remplacent pas les mathématiques. Le chiffrement vous protège indépendamment de qui stocke les données, comment elles sont stockées, ou ce qu'ils font avec leur accès.

Aucune application chiffrée n’élimine la confiance. La conception de Vaultaire restreint le rôle d'Apple au stockage et au transport des enregistrements chiffrés, tandis que le client reste responsable de la cryptographie correcte et que votre appareil reste responsable de la protection des clés et du texte brut pendant son utilisation.

Récupérer votre coffre sur un nouvel appareil

C'est là que la sauvegarde chiffrée prouve sa valeur. Votre téléphone a disparu — perdu, cassé, volé, remplacé. Votre coffre était sauvegardé dans iCloud. Voici ce qui se passe ensuite.

Étape 1 : installez Vaultaire sur votre nouvel appareil

Téléchargez Vaultaire depuis l'App Store sur votre nouvel iPhone ou iPad. L'application détecte qu'une sauvegarde chiffrée existe dans votre compte iCloud.

Étape 2 : tracez votre motif

Vaultaire présente la grille familière 5×5. Vous dessinez le même motif que vous avez utilisé lors de la création de la sauvegarde. Étant donné que la dérivation de la clé de sauvegarde est indépendante de l'appareil, le même motif et la même taille de grille produisent la même clé de sauvegarde sur le nouvel appareil. Le sel de l'appareil local ne fait pas partie de cette dérivation de sauvegarde dans le cloud.

Étape 3 : votre coffre se déchiffre

La sauvegarde chiffrée est téléchargée depuis iCloud et déchiffrée localement sur votre nouvel appareil. Vos photos, vidéos et documents réapparaissent exactement tels que vous les avez laissés. Le processus entier prend des secondes pour les petits coffres et des minutes pour les grands. À aucun moment de ce processus Apple ou quiconque n'a eu accès à vos données non chiffrées.

Vous pouvez utiliser la phrase de récupération au lieu du motif. Elle ne régénère pas directement la même clé. Vaultaire dérive une clé de récupération à partir de la phrase, récupère le manifeste de récupération chiffré adressé par la phrase et désencapsule le coffre stocké et les clés de sauvegarde avant de restaurer les blocs chiffrés. Les deux chemins atteignent la même sauvegarde via des hiérarchies de clés différentes.

Activé par défaut, désactivable par choix

La sauvegarde iCloud chiffrée est activée par défaut, dans la version gratuite comme dans Pro. Elle s'exécute toutes les 24 heures, en Wi-Fi uniquement sauf si vous changez le réglage réseau. Un téléphone se perd ou se casse plus souvent qu'une sauvegarde chiffrée n'est cassée, donc un nouveau coffre démarre avec une copie à partir de laquelle il peut être restauré.

Certaines personnes ne souhaitent pas que Vaultaire envoie les enregistrements du coffre vers CloudKit. Si vous désactivez la sauvegarde Vaultaire et n'utilisez ni la synchronisation ni le partage, l'application ne lance pas ces transferts de données du coffre. Ceci est distinct du comportement de sauvegarde du système d’exploitation d’Apple : selon vos réglages iOS et ceux de votre compte Apple, une sauvegarde iCloud ou une sauvegarde de l'appareil sur ordinateur peut inclure des données de conteneur d'application. Examinez et contrôlez ces sauvegardes du système si votre modèle de menace nécessite que le téléphone soit la seule copie.

Laisser la sauvegarde activée signifie qu'une copie chiffrée de vos données se trouve sur les serveurs d'Apple en échange de la possibilité de récupérer votre coffre si vous perdez votre appareil. La copie est chiffrée, les informations de déchiffrement lisibles restent sous votre contrôle et Apple ne reçoit pas le contenu lisible du coffre, mais la copie existe, et quiconque obtient les données CloudKit peut tester des motifs hors ligne contre elle. Si votre modèle de menace exige que le téléphone soit la seule copie, désactivez la sauvegarde.

Vous pouvez désactiver la sauvegarde CloudKit de Vaultaire à tout moment. Lorsque vous le faites, Vaultaire supprime cette sauvegarde chiffrée de sa base de données CloudKit privée. Cela n'inspecte ni n'efface les sauvegardes d'appareils iOS, sauvegardes d'ordinateurs, fichiers exportés, copies partagées ou données d'autres appareils.

Sauvegarde, pas synchronisation

Il est important de comprendre ce que la sauvegarde iCloud chiffrée n'est pas. Ce n'est pas une synchronisation en temps réel entre appareils. Ce n'est pas un miroir en direct de votre coffre qui se met à jour chaque fois que vous ajoutez une photo.

La sauvegarde iCloud chiffrée préserve les versions restaurables. Lorsque vous déclenchez une sauvegarde ou lorsque la vérification d'éligibilité de 24 heures de Vaultaire commence après le déverrouillage, l'application prépare l'état actuel du coffre et envoie les enregistrements chiffrés. Les composants inchangés peuvent être dédupliqués par rapport aux versions récentes et les envois interrompus peuvent reprendre. Les fichiers ajoutés ultérieurement apparaissent une fois une version ultérieure terminée.

Cette séparation est délibérée. La sauvegarde conserve les versions destinées à la récupération ; la fonctionnalité de synchronisation des appareils de Vaultaire gère la convergence continue entre les appareils. Le pipeline de sauvegarde doit toujours gérer le transfert, la déduplication, l'envoi de blocs, les nouvelles tentatives, les répertoires de versions et les transactions de restauration. Sa sécurité dépend donc de ces mécanismes ainsi que du chiffrement.

Pensez-y comme à un coffre bancaire. Vous ne faites pas constamment la navette avec des documents. Vous placez une copie de vos fichiers importants dans le coffre, et si votre maison brûle, vous allez à la banque et vous les récupérez. Les originaux vivent avec vous. La sauvegarde attend tranquillement jusqu'à ce que vous en ayez besoin.