גיבוי iCloud מוצפן: אחסון בענן ללא צורך באמון

גיבוי ה-iCloud של Vaultaire מצפין נתוני כספת על-המכשיר עם AES-256-GCM לפני העלאת דבר ל-Apple. Apple מאחסנת את ה-blob המוצפן אך אינה יכולה לקרוא אותו, כי מפתח ההצפנה לא עוזב את הטלפון.

מהו גיבוי iCloud מוצפן?

טלפונים נשברים. טלפונים אובדים. טלפונים נגנבים. אם הקבצים הפרטיים ביותר שלך קיימים רק במכשיר אחד, הם מרוחק תאונה אחת מלהיעלם לנצח. גיבוי פותר את זה, אך גיבוי ענן מסורתי יוצר בעיה שונה: כעת לחברה שאינך שולט בה יש עותק קריא של הקבצים שלך.

Vaultaire נוקטת בנתיב שלישי. ניתן לגבות אופציונלית את הכספת ל-iCloud, אך הנתונים מוצפנים מקומית על המכשיר שלך, עם מפתח ההצפנה של הכספת, לפני שיוצאים מהטלפון. מה שמועלה לשרתי Apple הוא blob של נתונים מוצפנים שנראים כמו רעש אקראי. Apple לא יכולה לקרוא אותם. עובדי Apple לא יכולים לקרוא אותם. האקר שפרץ לשרתי Apple לא יכול לקרוא אותם. סוכנות ממשלתית שהוציאה צו זימון ל-Apple לא יכולה לקרוא אותם.

ההצפנה מתרחשת לפני ההעלאה, לא במהלכה ולא לאחריה. זהו ההבדל הקריטי. שירותי ענן רבים מצפינים נתונים “במעבר” ו“במנוחה”, אך בשני המקרים השירות מחזיק את המפתח. הם יכולים לפענח את הנתונים שלך בכל עת. עם Vaultaire, המפתח לא עוזב את המכשיר. Apple פשוט מאחסנת קופסה שאינה יכולה לפתוח.

איך זה עובד, שלב אחר שלב

המכניזם פשוט. האבטחה נובעת לא מורכבות אלא מסדר הפעולות: הצפנה קודם, העלאה שנייה, והמפתח לא נוסע עם הנתונים.

שלב 1: הכספת מוצפנת מקומית

כשמפעילים גיבוי iCloud, Vaultaire לוקחת את תוכן הכספת: כל תמונה, סרטון, מסמך וחלק מטא-נתונים, ומצפינה אותם עם אותה הצפנת AES-256-GCM שמגינה על הכספת בשימוש רגיל. מפתח ההצפנה נגזר מהתבנית שצוירה דרך גזירת מפתחות PBKDF2. זהו אותו מפתח שמצפין את הקבצים על-המכשיר. אין מפתח גיבוי נפרד, אין סיסמאות נוספות, אין צעדים נוספים.

שלב 2: ה-blob המוצפן עולה ל-iCloud

הפלט המוצפן: חבילת נתונים אחת שלא ניתנת להבחנה מבחינה מתמטית מרעש אקראי, מועלה לאחסון ה-iCloud שלך. מנקודת המבט של Apple, זה פשוט קובץ. הם מאחסנים אותו, משכפלים אותו במרכזי הנתונים שלהם לאמינות, וכוללים אותו במכסת אחסון ה-iCloud הרגילה שלך. אין להם מושג מה בפנים, כי מה שבפנים הוא רעש ללא המפתח.

שלב 3: המפתח נשאר על המכשיר

בשום שלב בתהליך הזה מפתח ההצפנה לא עוזב את המכשיר. הוא לא מועבר ל-Apple, לא מאוחסן ב-iCloud Keychain, ולא מוטמע בקובץ הגיבוי. המפתח קיים רק בזיכרון נדיף בזמן ש-Vaultaire פתוחה, ומנוקה כשהאפליקציה נסגרת. הגיבוי ב-iCloud הוא קופסה נעולה, והמפתח היחיד קיים בתבנית שנשמרת בזיכרון השרירים שלך.

מדוע Apple לא יכולה לקרוא את הגיבוי

זה לא עניין של מדיניות. זה לא הבטחה ש-Apple נותנת במסמך תנאי שירות. זה מתמטיקה.

הצפנת AES-256-GCM מייצרת פלט שלא ניתן להבחנה מבחינה חישובית מנתונים אקראיים. ללא המפתח הנכון בן 256 ביט, אין אלגוריתם, אין קיצור דרך, ואין כמות כוח מחשוב שיכולה להפוך את ההצפנה. ההתקפה הטובה ביותר נגד AES-256 היא כוח גס, ניסיון של כל מפתח אפשרי, ויש 2²⁵⁶ מפתחות אפשריים. מספר זה גדול יותר מהמספר המשוער של אטומים ביקום הנצפה.

ל-Apple אין את המפתח. ל-Apple מעולם לא היה המפתח. המפתח נגזר מהתבנית שלך על המכשיר שלך, משמש להצפנה מקומית, ואז נמחה מהזיכרון. מה ש-Apple מקבלת הוא הפלט המוצפן, והפלט המוצפן לבדו לא מספר להם דבר על מה שבפנים.

אפילו עם צו בית משפט

כשרשות אכיפת חוק מגישה ל-Apple כתב אישום או צו בית משפט על נתוני iCloud, Apple יכולה לציית ולמסור מה שיש לה. עבור נתוני iCloud רגילים, זה אומר קבצים קריאים: תמונות, הודעות, מסמכים. עבור גיבוי Vaultaire, מה ש-Apple מוסרת הוא blob מוצפן. הם לא יכולים לפענח אותו כי אין להם את המפתח. הם לא יכולים לספק את המפתח כי לא היה להם. הצו פוגע בקיר מתמטי.

זה לא מרדנות כלפי רשות אכיפת החוק. זה המציאות האדריכלית של הצפנה מקצה לקצה שבה המשתמש מחזיק את המפתח היחיד. Apple יכולה למסור בדיוק מה שיש לה. מה שיש לה חסר תועלת ללא התבנית שלך.

מודל האמון: אמון במתמטיקה, לא בחברות

אחסון ענן מסורתי דורש ממך לסמוך על הספק. אתה סומך שהם מצפינים את הנתונים שלך כראוי. אתה סומך שהם לא מציצים בקבצים שלך. אתה סומך שהם יעמדו בפני לחץ ממשלתי. אתה סומך שהעובדים שלהם לא ינצלו לרעה את הגישה שלהם. זה הרבה אמון להפקיד בארגון שמעולם לא פגשת.

גיבוי ה-iCloud המוצפן של Vaultaire מבטל לחלוטין את הצורך באמון. האבטחה לא תלויה במדיניות של Apple, באתיקה של Apple, או ביכולת של Apple לאבטח את התשתית שלה. היא תלויה ב-AES-256, תקן הצפנה שנבדק בפומבי ועמד בעמידה בעשרות שנים של קריפטואנליזה על ידי המתמטיקאים ורשויות המודיעין הטובות בעולם.

אם שרתי Apple נפרצים, הנתונים שלך בטוחים: כי התוקף מקבל רעש מוצפן. אם עובד נוכל של Apple ניגש לקבצים שלך, הנתונים שלך בטוחים: כי הוא רואה רעש מוצפן. אם Apple משנה את מדיניות הפרטיות שלה מחר, הנתונים שלך בטוחים: כי מדיניות לא עוקפת מתמטיקה. ההצפנה מגינה עליך ללא קשר למי שמאחסן את הנתונים, כיצד הם מאחסנים אותם, או מה הם עושים עם הגישה שלהם.

אינך צריך לסמוך על Apple. אינך צריך לסמוך על Vaultaire. אתה רק צריך לסמוך על המתמטיקה, והמתמטיקה היא ידע ציבורי מזה עשרות שנים.

שחזור הכספת במכשיר חדש

כאן גיבוי מוצפן מוכיח את ערכו. הטלפון נעלם: אבד, נשבר, נגנב, שודרג. הכספת גובתה ל-iCloud. הנה מה שקורה בשלב הבא.

שלב 1: התקן Vaultaire על המכשיר החדש

הורד את Vaultaire מה-App Store על ה-iPhone או ה-iPad החדש שלך. האפליקציה מזהה שגיבוי מוצפן קיים בחשבון iCloud שלך.

שלב 2: צייר את התבנית

Vaultaire מציגה את רשת 5×5 המוכרת. אתה מצייר את אותה תבנית שהשתמשת בה תמיד. האפליקציה גוזרת את אותו מפתח הצפנה באמצעות אותו תהליך גזירת מפתחות: אותה תבנית, אותו salt (מאוחסן במטא-נתוני הגיבוי), אותו מפתח.

שלב 3: הכספת מתפענחת

הגיבוי המוצפן מורד מ-iCloud ומפוענח מקומית על המכשיר החדש שלך. התמונות, הסרטונים והמסמכים שלך מופיעים בדיוק כפי שהשארת אותם. התהליך כולו לוקח שניות לכספות קטנות ודקות לכספות גדולות. בשום שלב בתהליך זה ל-Apple או לאף אחד אחר לא הייתה גישה לנתונים הלא-מוצפנים שלך.

אם יש לך גם ביטוי שחזור סודי, תוכל להשתמש בו במקום בתבנית. שתי השיטות מייצרות מחדש את אותו מפתח הצפנה. הגמישות קיימת כדי שיהיו לך מספר נתיבים חזרה לנתונים שלך, אך כל נתיב דורש משהו שרק אתה יודע.

כבוי כברירת מחדל, פועל לפי בחירה

גיבוי iCloud מוצפן מושבת כברירת מחדל. זו החלטת עיצוב מכוונת, לא מחדל.

יש אנשים שאינם רוצים שהנתונים שלהם יעזבו את המכשיר בשום נסיבות. הם מקבלים את הסיכון של נקודת כשל בודדת כי האלטרנטיבה: כל עותק שקיים בכל מקום אחר, בלתי מקובלת עליהם. Vaultaire מכבדת עמדה זו. אם לא תפעיל גיבוי iCloud מעולם, הכספת שלך קיימת רק על המכשיר שלך. אין ענן, אין עותקים, אין מעורבות של צד שלישי מכל סוג.

כשמפעילים גיבוי iCloud, מתקבלת החלטה מושכלת. מקבלים שעותק מוצפן של הנתונים ישהה בשרתי Apple בתמורה ליכולת לשחזר את הכספת אם יאבד המכשיר. העותק מוצפן, המפתח נשאר אצלך, ו-Apple לא יכולה לקרוא את התוכן, אך העותק קיים. ההחלטה הזו היא שלך, ו-Vaultaire לא מקבלת אותה עבורך.

ניתן להשבית את גיבוי iCloud בכל עת. כשעושים זאת, Vaultaire מסירה את הגיבוי המוצפן מ-iCloud. הכספת חוזרת להיות מקומית בלבד.

גיבוי, לא סנכרון

חשוב להבין מה גיבוי iCloud מוצפן אינו. אינו סנכרון בזמן אמת בין מכשירים. אינו מראה חי של הכספת שמתעדכן בכל פעם שמוסיפים תמונה.

גיבוי iCloud מוצפן הוא תמונת מצב בנקודת זמן. כשמפעילים גיבוי (או כש-Vaultaire מבצעת גיבוי מתוזמן), האפליקציה מצפינה את המצב הנוכחי של הכספת ומעלה אותו ל-iCloud. אם מוסיפים קבצים לאחר הגיבוי, הם לא יופיעו בגיבוי עד הגיבוי הבא. אם משחזרים מגיבוי, מקבלים את הכספת כפי שהייתה בזמן אותו גיבוי.

זה עיצובי. סנכרון בזמן אמת מכניס מורכבות: פתרון קונפליקטים, ניהול מצב חלקי, הצפנה מצטברת, שיוצרים משטחי התקפה פוטנציאליים. גיבוי הוא תמונת מצב נקייה ומלאה: מצפינים הכל, מעלים הכל, גמור. ארכיטקטורה פשוטה יותר אומרת פחות דברים שיכולים להשתבש, פחות מקרי קצה לתוקפים לנצל, ותהליך שחזור שניתן להבין בביטחון.

חשוב על זה כמו כספת בנק. לא מסיטים מסמכים אליה ובחזרה ברציפות. מניחים עותק של הקבצים החשובים בכספת, ואם הבית נשרף, הולכים לבנק ומחזירים אותם. המקוריים נשארים אצלך. הגיבוי מחכה בשקט עד שתזדקק לו.