O argumento para o Vaultaire

As aplicações de privacidade têm uma falha fatal: parecem aplicações de privacidade.

Uma pasta bloqueada anuncia que está bloqueada. Uma galeria oculta chamada “Calculator+” não engana ninguém que faça buscas. Cada cofre de fotos “seguro” no seu iPhone partilha o mesmo problema: prova que tem algo a esconder.

Quando alguém o obriga a desbloquear o telemóvel, seja um agente de fronteira, um parceiro controlador ou um governo autoritário, vê a aplicação, vê o cadeado e não para até a abrir.

O Vaultaire não esconde os seus ficheiros atrás de um cadeado. Faz com que deixem de existir.

Como deve funcionar realmente um cofre de fotos encriptado

Desenhe um padrão numa grelha. Abre-se um cofre com as suas fotos, vídeos e documentos privados, cada ficheiro encriptado individualmente com AES-256-GCM com chaves respaldadas por hardware do Apple Secure Enclave. Desenhe um padrão diferente e abre-se um cofre completamente diferente. Ficheiros diferentes, chaves de encriptação diferentes, tudo diferente.

Padrão errado? Sem mensagem de erro. Sem “palavra-passe incorrecta.” Apenas um cofre vazio. Não há diferença observável entre “errado” e “vazio.”

Cada cofre existe dentro de um bloco pré-alocado de ruído encriptado. Independentemente de ter guardado zero ou quinhentos ficheiros, os dados no disco parecem idênticos. As ferramentas forenses não conseguem distinguir. Não há nada para encontrar porque nada parece ter algo para encontrar.

Isto não é uma fechadura na porta. É uma parede onde havia uma porta.

Porque a arquitectura de conhecimento zero importa

A maioria das aplicações cofre coloca um ecrã de PIN à frente de ficheiros não encriptados. Se alguém ligar o seu telemóvel a um computador, os ficheiros estão lá, completamente legíveis. Isso não é segurança. É uma cortina.

O Vaultaire foi construído em torno de um princípio: ninguém, nem nós, nem a Apple, nem um investigador forense, pode provar que os seus ficheiros existem. A privacidade não é algo que adicionámos no fim. É como a aplicação funciona em cada camada.

Sem contas. Sem e-mail, sem número de telemóvel, sem identidade que o ligue a si. Nada a intimar.

Sem dependência de nuvem. Os seus ficheiros nunca saem do seu dispositivo, salvo se escolher explicitamente a cópia de segurança encriptada no iCloud ou a partilha encriptada do cofre. Mesmo assim, o servidor vê apenas ruído.

Sem biometria. O Face ID e as impressões digitais podem ser exigidos por autoridades. Um padrão na sua cabeça não pode ser extraído. Omitimos a biometria por decisão.

Sem “esqueci-me da palavra-passe.” Nenhum servidor conhece o seu padrão. Sem reposição por e-mail. Sem backdoor. Para quem quiser, existe uma frase de recuperação de 12 palavras guardada apenas no seu dispositivo. Mais ninguém entra.

O seu padrão passa por 600 000 rondas de PBKDF2 para derivar uma chave de encriptação de 256 bits. Essa chave vive apenas em memória e é apagada no momento em que a aplicação é bloqueada. Nunca a vemos. Não a podemos recuperar. É esse o objectivo.

Para quem é

Jornalistas que protegem fontes em locais onde as inspecções de telemóvel são rotina. Activistas com documentação sob vigilância governamental. Vítimas de violência doméstica que guardam provas num dispositivo que sabem estar a ser monitorizado. Viajantes a cruzar fronteiras onde a inspecção forçada de dispositivos é obrigatória. Advogados com materiais privilegiados em telemóveis pessoais.

E qualquer pessoa que perceba que a privacidade não é ter algo a esconder. É ter algo a proteger.

O cofre de coacção

Marque qualquer cofre como gatilho de coacção. Quando esse padrão é desenhado sob coacção, todos os outros cofres são destruídos silenciosamente e de forma permanente. O cofre de coacção abre normalmente. A pessoa que observa vê cooperação e um cofre de aspecto comum com algumas fotos inocentes. Não tem forma de saber que alguma vez existiu mais alguma coisa.

Nenhuma outra aplicação de cofre encriptado faz isto.

O que não vamos construir

Não adicionaremos desbloqueio biométrico porque pode ser exigido legalmente. Não adicionaremos armazenamento dependente de nuvem porque cria um alvo para intimações e violações. Não adicionaremos análises que rastreiem como usa a aplicação. Não adicionaremos backdoors disfarçados de recuperação de conta. Não enfraqueceremos a arquitectura em nome da conveniência.

Cada decisão no Vaultaire volta a uma coisa: os seus ficheiros privados ficam seus em quaisquer circunstâncias.