Uma superfície azul-marinho escura com um cubo alto e translúcido em tom turquesa envolto em finas linhas de luz, com um único cadeado aberto pousado no chão ao lado e um leve rasto de blocos de fotografias vazios a afastar-se do lado destrancado em direção à margem da imagem.

Os hackers conseguem aceder ao seu armazenamento de fotografias na nuvem?

A pergunta costuma surgir depois de uma notícia: uma fuga de dados, uma celebridade, uma pasta de fotografias privadas num sítio onde não deveria estar. O instinto é imaginar a encriptação a ser quebrada. Quase nunca é isso que aconteceu. O armazenamento de fotografias na nuvem é aberto sempre pelas mesmas poucas vias, e todas passam pela conta e não pela criptografia. Vale a pena saber isto, porque muda o que o protege. Nada do que faça torna o AES mais fraco ou mais forte, mas tudo o que diz respeito à forma como a sua conta é alcançada está nas suas mãos.

Sim, mas não ao quebrar a encriptação. Na prática, as contas de fotografias na nuvem são abertas com credenciais: uma página de phishing que parece um ecrã de início de sessão, uma palavra-passe reutilizada de um site que sofreu uma fuga de dados anos antes, uma chamada de alguém que se faz passar pelo apoio técnico, ou uma pessoa que já conhece o código do seu dispositivo. A autenticação de dois fatores fecha a maioria das vias remotas, porque uma palavra-passe sozinha deixa de ser suficiente. A Proteção Avançada de Dados fecha o lado do servidor, passando as Fotografias do iCloud para encriptação ponta a ponta, de modo que as chaves ficam nos seus dispositivos e a Apple não guarda nada que possa entregar ou perder. Nenhuma das duas ajuda contra alguém que desbloqueia o seu telemóvel à sua frente, e nenhuma se aplica a um serviço que guarda as chaves, o que é a predefinição do Google Photos e da maioria dos outros fornecedores. As fotografias cuja perda realmente doeria pertencem a um cofre encriptado no dispositivo, onde não existe conta nenhuma para invadir.

O que significa realmente ser pirateado aqui

Dois acontecimentos muito diferentes recebem a mesma palavra. Um é uma violação ao fornecedor, em que um atacante alcança os servidores e retira dados pertencentes a muitas pessoas de uma só vez. O outro é uma apropriação de conta, em que alguém inicia sessão como se fosse a vítima, a partir de um ecrã de início de sessão comum, usando credenciais que obteve. Quase todos os casos de fotografias privadas a surgirem do armazenamento na nuvem são deste segundo tipo. A grande fuga de fotografias de celebridades de que as pessoas ainda se lembram não foi uma invasão à Apple: as contas foram alcançadas com palavras-passe obtidas por phishing e respostas de segurança adivinhadas, uma de cada vez. Os processos judiciais que se seguiram descreveram o mesmo padrão, alguém a fazer-se passar por apoio ao cliente e a pedir simplesmente a palavra-passe.

A distinção importa porque as duas têm defesas opostas. Uma violação ao fornecedor é respondida pelo desenho da encriptação, ou seja, se a empresa guarda chaves que poderiam ser retiradas junto com os ficheiros. Uma apropriação de conta é respondida pela autenticação, ou seja, se uma palavra-passe sozinha basta para alguém entrar. A maioria das pessoas preocupa-se com a primeira e está exposta à segunda. A nossa análise sobre o que dizem realmente as políticas de privacidade do armazenamento de fotografias na nuvem cobre a questão da posse das chaves, fornecedor a fornecedor. Este guia cobre a outra metade, a parte em que uma pessoa do outro lado de uma ligação tenta tornar-se você.

As quatro vias que realmente funcionam

O phishing é o primeiro, e por larga margem. Chega uma mensagem sobre atividade suspeita ou uma conta bloqueada, a ligação abre algo que parece exatamente uma página de início de sessão, e a palavra-passe é lá introduzida. A versão moderna retransmite o código de dois fatores em tempo real, pelo que uma página que pede os seis dígitos logo a seguir à palavra-passe não é prova de que o site é genuíno. O segundo é a reutilização de palavras-passe. Uma palavra-passe definida num fórum em 2015 e que mais tarde sofreu uma fuga de dados está agora numa lista, e essa lista é testada automaticamente contra todos os grandes serviços. Nada neste ataque exige que alguém saiba ou se importe com quem você é.

O terceiro é a cadeia de redefinição. O acesso ao endereço de email associado à conta é frequentemente suficiente para alterar a palavra-passe, pelo que uma conta de email com uma palavra-passe fraca se torna silenciosamente a chave para tudo o que lhe está associado. O quarto, e o mais comum de todos na vida real, é a proximidade. Alguém que conheça o código do seu dispositivo pode desbloquear o telemóvel, e no iOS esse código também pode ser usado para alterar a palavra-passe da conta, razão pela qual existe a Proteção de Dispositivo Roubado e vale a pena ativá-la. A mesma categoria inclui aplicações de monitorização instaladas num telemóvel desbloqueado. Nenhuma das quatro envolve um ataque à encriptação, e nenhuma força de encriptação resolve qualquer uma delas.

O que cobrem a autenticação de dois fatores e a encriptação ponta a ponta, cada uma

A autenticação de dois fatores responde bem às vias um e dois. Uma palavra-passe roubada ou adivinhada deixa de ser suficiente, uma vez que iniciar sessão também exige um código enviado para um dispositivo já dentro do seu círculo. Não responde a uma página de retransmissão em tempo real que recolhe o código segundos depois de o ler, e nada faz contra uma pessoa que tem o seu telemóvel desbloqueado na mão. A Proteção Avançada de Dados responde a uma questão totalmente diferente. Ativada, as Fotografias do iCloud e a Cópia de Segurança do iCloud passam a ter encriptação ponta a ponta, as chaves permanecem nos seus dispositivos, e a Apple não guarda nada que pudesse ser entregue mediante um pedido legal ou retirado numa violação ao servidor. Trata-se de uma mudança real na exposição, e é a razão pela qual a configuração de um contacto de recuperação é obrigatória: com as chaves removidas da Apple, uma palavra-passe esquecida é genuinamente irrecuperável. A Apple já não a oferece a novos utilizadores no Reino Unido.

Por predefinição, sem essa opção, as Fotografias do iCloud são encriptadas em trânsito e nos servidores da Apple com chaves que a Apple também guarda. O Google Photos funciona da mesma forma e não tem qualquer opção de encriptação ponta a ponta para a biblioteca principal. Nenhuma das disposições é descuidada, e ambas são perfeitamente razoáveis para a grande maioria de um rolo da câmara, mas a descrição honesta é que o fornecedor consegue ler os ficheiros e o utilizador está a confiar que não o fará. O nosso artigo sobre o armazenamento de fotografias do iCloud com encriptação ponta a ponta explica o que a opção altera, e como são encriptadas as cópias de segurança de fotografias do iPhone cobre o lado das cópias de segurança, onde muitas vezes residem cópias de fotografias ocultas.

As fotografias que nunca deveriam estar na conta

Todas as defesas acima são probabilísticas. A autenticação de dois fatores torna uma apropriação muito mais difícil, mas não impossível, a encriptação ponta a ponta remove o servidor como alvo mas mantém o dispositivo como um, e ambas assentam numa conta que um atacante determinado, ou uma pessoa com quem já viva, pode acabar por alcançar. Ordenar por consequência é mais útil do que ordenar por probabilidade. A maior parte de um rolo da câmara está bem na nuvem, e a comodidade é real. Um pequeno subconjunto não está: documentos com números identificativos, fotografias íntimas, tudo o que pudesse servir de chantagem. Para essas, o objetivo não é uma fechadura mais forte na conta, mas sim nenhuma conta na equação.

É isso que faz um cofre encriptado local. O Vaultaire encripta cada ficheiro com AES-256-GCM no dispositivo, não precisa de conta nem de início de sessão para existir, e permanece fora do iCloud por predefinição, pelo que não há palavra-passe para fazer phishing, nenhuma sessão para sequestrar e nenhuma cópia no servidor para invadir. É gratuito até 5 cofres. Se preferir compreender a categoria antes de confiar nela, a nossa análise sobre se as aplicações de cofre de fotografias são seguras percorre as alegações de encriptação e quais delas resistem ao escrutínio. Fotografias que nunca são sincronizadas não podem ser retiradas de um serviço que não controla.

Guias relacionados

Fontes

Perguntas frequentes

O próprio iCloud alguma vez foi pirateado?

Os servidores da Apple não foram publicamente violados da forma como as pessoas geralmente pensam. Os incidentes que resultaram em fotografias divulgadas foram apropriações de conta: palavras-passe obtidas por phishing, perguntas de segurança adivinhadas, ou reutilização a partir de outros sites que sofreram fugas de dados. Trata-se de uma distinção significativa, porque significa que a solução está do seu lado do ecrã de início de sessão e não do lado da Apple.

A autenticação de dois fatores torna as minhas fotografias seguras?

Fecha as vias remotas mais comuns, o que é uma grande melhoria, mas não é absoluta. Uma página de phishing convincente pode retransmitir o seu código em tempo real, e a autenticação de dois fatores nada faz contra alguém que desbloqueia o seu telemóvel ou conhece o código do seu dispositivo. Encare-a como a base que impede ataques oportunistas, não como uma garantia.

O Google Photos é menos seguro do que o iCloud?

Para a biblioteca principal, a Google guarda as chaves e não oferece qualquer opção de encriptação ponta a ponta, ao passo que o iCloud pode ser configurado para encriptação ponta a ponta através da Proteção Avançada de Dados. Nas predefinições, o iCloud também guarda chaves, pelo que a diferença está no teto e não no ponto de partida. Ambos encriptam os dados em trânsito e em repouso contra atacantes externos.

O que devo fazer primeiro se achar que a minha conta foi invadida?

Altere a palavra-passe a partir de um dispositivo em que confie e, em seguida, reveja a lista de dispositivos junto ao seu nome nas Definições e remova tudo o que não reconhecer, o que termina essas sessões. Confirme que o email e o número de telefone da conta ainda são seus, uma vez que os atacantes os alteram para manter o acesso. Depois verifique a própria conta de email, porque é geralmente o caminho de volta à conta.

Transferir o Vaultaire gratuitamente