Что такое сквозное шифрование? Как оно защищает ваши фото
Сквозное шифрование не даёт поставщику хранилища получить читаемое содержимое фото и ключи содержимого в открытом виде.
Сквозное шифрование (E2EE) — модель безопасности, в которой открытые данные шифруются на одном доверенном конечном устройстве и расшифровываются на другом. Поставщик хранилища или канала передачи не хранит ключ содержимого в открытом виде. Эта граница защищает содержимое от прямого чтения на сервере, но не скрывает все метаданные и не защищает скомпрометированное конечное устройство, учётные данные восстановления, получателя общего доступа или вредоносное обновление клиента.
Для хранения фото сквозное шифрование означает, что телефон шифрует содержимое фото до загрузки, а облако хранит шифротекст, а не читаемые изображения. Для расшифровки нужен ключ, доступный через доверенное устройство или путь восстановления. Размер файлов, время, данные учётной записи, связи общего доступа и другие метаданные могут оставаться видимыми. В этом руководстве объясняется эта граница и сравниваются распространённые модели сервисов.
Как работает сквозное шифрование
Основной механизм состоит из трёх этапов: создание ключа, шифрование и расшифровка.
Создание ключа
Устройство пользователя создаёт криптографический ключ. В симметричном шифровании (например, AES-256) один и тот же ключ шифрует и расшифровывает. В асимметричном шифровании (например, RSA) открытый ключ шифрует, а закрытый расшифровывает. Многие системы E2EE сочетают оба подхода: асимметричное шифрование передаёт симметричный сеансовый ключ, который затем шифрует основной объём данных.
Фотосейфы используют разные схемы управления ключами. Некоторые формируют ключ файла прямо из пароля; более сильные многоуровневые схемы могут использовать ключ разблокировки, сформированный из учётных данных, чтобы обернуть случайный ключ файла. Vaultaire использует PBKDF2-HMAC-SHA512, чтобы сформировать 256-битный ключ сейфа из узора на сетке 5x5 и общей для устройства соли. Этот ключ сейфа проверяет подлинность зашифрованного индекса и разворачивает отдельный случайный мастер-ключ, которым шифруются файлы.
Шифрование
Открытые данные (ваше фото) превращаются в шифротекст с помощью ключа и алгоритма шифрования. AES-256-GCM — самый распространённый симметричный шифр для этой задачи. GCM (режим Галуа/счётчика) обеспечивает аутентифицированное шифрование: он шифрует данные и создаёт тег аутентификации, который обнаруживает любое вмешательство. Каждый файл получает уникальный вектор инициализации (IV), поэтому одинаковые файлы дают разный шифротекст.
Расшифровка
Устройство получателя использует тот же ключ (симметричное шифрование) или соответствующий закрытый ключ (асимметричное) и выполняет обратное преобразование. Без правильного ключа шифротекст неотличим от случайных данных. Математического обходного пути нет. У AES-256 2^256 возможных ключей — больше, чем оценочное число атомов в наблюдаемой Вселенной.
Сквозное шифрование и другие модели шифрования
Не всякое шифрование сквозное. От различий зависит, кто может получить доступ к вашим данным.
Шифрование при передаче (TLS/SSL)
Данные шифруются между вашим устройством и сервером. Сервер расшифровывает их при получении. Это защищает от перехвата при передаче, но оставляет данные читаемыми на сервере. Шифрование при передаче используют все крупные облачные сервисы. Это базовый минимум, а не эталон.
Шифрование при хранении (на стороне сервера)
Сервер шифрует хранимые данные ключами, которыми сам управляет. Это защищает от физической кражи серверного оборудования, но не от поставщика сервиса, его сотрудников и юридических запросов к поставщику. iCloud, Google Drive и Dropbox используют шифрование при хранении на стороне сервера. Ключи у поставщика.
Сквозное шифрование
Данные шифруются на доверенном конечном устройстве до того, как их получит поставщик хранилища. Грамотная схема не оставляет ключ содержимого в открытом виде в обычном распоряжении сервера поставщика, поэтому взлом только хранилища или юридическое требование о хранимом контенте дают шифротекст, а не читаемые фото. Поставщик всё равно может передать шифротекст и метаданные, распространять клиентское ПО или управлять системами восстановления и общего доступа, которые нужно учитывать в модели угроз.
| Модель шифрования | У кого ключи | Поставщик может читать данные? | Защищает от поставщика? |
|---|---|---|---|
| Только при передаче (TLS) | Сервер | Да | Нет |
| При хранении (на стороне сервера) | Сервер | Да | Нет |
| Сквозное | Доверенные конечные устройства или держатели восстановления | Не из одного хранимого шифротекста | Защищает содержимое от ключей хранилища у поставщика |
| Шифрование на стороне клиента, невидимое для поставщика | Клиент и задокументированные пути восстановления | Доступа к открытому содержимому нет по замыслу | Защищает содержимое; метаданные и доверие к клиенту остаются |
Как фотохранилища обращаются с шифрованием
Модели шифрования у фотохранилищ сильно различаются. Некоторые рекламируют «шифрование», не уточняя модель, и пользователи могут ошибочно решить, что их фото защищены E2EE.
Фото iCloud
Apple использует шифрование при передаче и хранении. По умолчанию ключи шифрования у Apple. По действительному юридическому запросу Apple может передать данные «Фото iCloud». Исключение: Расширенная защита данных (ADP) от Apple, доступная с декабря 2022 года, добавляет сквозное шифрование для «Фото iCloud». ADP нужно явно включить в «Настройках». После включения Apple не имеет доступа к данным «Фото iCloud». Большинство пользователей ADP не включили.
Google Photos
Google использует шифрование при передаче и хранении с ключами на стороне сервера. Ключи шифрования всех данных Google Photos, включая содержимое Защищённой папки, хранит Google. Google может выполнять юридические запросы данных. Сквозного шифрования для Google Photos Google не предлагает.
Dropbox
Шифрование при передаче (TLS 1.2+) и при хранении (AES-256 с ключами, которыми управляет Dropbox). Ключи у Dropbox, и он может получить доступ к вашим файлам. У Dropbox были утечки данных (2012, 68 миллионов аккаунтов). Dropbox Vault (платная функция) добавляет защиту PIN-кодом, но не сквозное шифрование.
OneDrive
Microsoft использует шифрование при передаче и хранении с ключами, которыми управляет Microsoft. Ключи у Microsoft. Личное хранилище OneDrive добавляет проверку личности (2FA), но не сквозное шифрование — Microsoft по-прежнему может получить доступ к данным. Корпоративным клиентам доступны ключи, которыми управляет клиент.
Vaultaire
Шифрование на стороне клиента без ключей у поставщика. Vaultaire шифрует фото и метаданные на устройстве с помощью AES-256-GCM до любой загрузки в облако. Случайный мастер-ключ шифрует данные сейфа. Локальный ключ сейфа, сформированный из узора пользователя и соли устройства, оборачивает этот мастер-ключ, а отдельный ключ резервной копии, сформированный из узора, защищает частные записи резервной копии в CloudKit. Vaultaire не управляет сервером контента и не получает эти ключи, поэтому не может превратить запись CloudKit в открытые данные. Приложение, iOS и разблокированное устройство остаются внутри границы доверия, а юридический запрос всё равно может получить метаданные учётной записи или сервиса у соответствующего поставщика.
| Сервис | Шифрование при передаче | Шифрование при хранении | Сквозное шифрование | Поставщик имеет доступ |
|---|---|---|---|---|
| «Фото iCloud» (по умолчанию) | Да | Да (ключи Apple) | Нет | Да |
| «Фото iCloud» (ADP включена) | Да | Да | Да | Нет |
| Google Photos | Да | Да (ключи Google) | Нет | Да |
| Dropbox | Да | Да (ключи Dropbox) | Нет | Да |
| OneDrive | Да | Да (ключи Microsoft) | Нет | Да |
| Vaultaire | Да | Да | Резервная копия с шифрованием на стороне клиента, включена по умолчанию | Нет ключа содержимого в открытом виде; метаданные CloudKit остаются |
Почему сквозное шифрование важно для фото
Фото — особенно чувствительные данные. На них есть лица, места (метаданные GPS), время съёмки и визуальные записи личных моментов. Утечка медиатеки раскрывает больше личной информации, чем почти любой другой тип данных.
Утечки данных
Когда поставщик хранит фото с ключами на стороне сервера, взлом и хранилища, и системы управления ключами может раскрыть читаемое содержимое. При грамотном E2EE взлом только хранилища даёт шифротекст и те метаданные, которые хранит сервис. Компрометация конечного устройства, кража учётных данных восстановления, вредоносное клиентское ПО и ошибки службы ключей остаются отдельными путями к открытым данным.
Доступ по закону и со стороны государства
От поставщиков сервисов могут потребовать передать записи, которые у них есть. При E2EE это могут быть шифротекст, данные учётной записи, журналы доступа, размеры записей, время и метаданные общего доступа, а не читаемое содержимое фото. Может ли требование дотянуться до устройства, способа восстановления, получателя или будущего поведения клиента — отдельный юридический и технический вопрос.
Внутренний доступ
Сотрудники или злоумышленники с доступом к ключам хранилища, которыми управляет поставщик, могут добраться до содержимого, зашифрованного на стороне сервера. E2EE убирает этот прямой путь через ключи хранилища, если у поставщика нет ключей содержимого в открытом виде. Злоупотребления изнутри это не исключает полностью, потому что поставщик может управлять распространением клиента, состоянием учётной записи, метаданными, общим доступом или компонентами восстановления.
Защита метаданных
Некоторые реализации E2EE шифруют только содержимое файлов, оставляя метаданные вроде имён файлов и дат незащищёнными. Vaultaire защищает заголовки файлов, типы MIME, индексы, миниатюры и другие метаданные сейфа аутентифицированным шифрованием AES-256-GCM. Длина хранимого шифротекста и число зашифрованных файлов индексов всё равно могут раскрыть структурную информацию тому, у кого есть доступ к контейнеру приложения.
Распространённые заблуждения об E2EE
«Моё облачное хранилище зашифровано, значит, мои фото в безопасности». Шифрование на стороне сервера защищает от внешних взломов серверного оборудования. Оно не защищает от самого поставщика, юридических запросов и внутренних угроз. Ключи у поставщика.
«HTTPS означает, что мои фото защищены сквозным шифрованием». HTTPS (TLS) шифрует данные при передаче между вашим устройством и сервером. Когда данные приходят на сервер, они расшифровываются. HTTPS шифрует канал, а не данные.
«Сквозное шифрование значит, что никто никогда не увидит мои фото». E2EE значит, что ваши фото не увидит никто без ключа. Если у кого-то есть ваш пароль или ключ, он сможет расшифровать данные. Управление ключами и надёжные пароли по-прежнему необходимы.
«Apple/Google не видят мои фото». По умолчанию обе компании хранят ключи шифрования ваших фото в облаке. Apple предлагает Расширенную защиту данных как включаемую опцию. Google вообще не предлагает E2EE для Google Photos.
Как Vaultaire реализует сквозное шифрование
Vaultaire использует многоуровневый подход к E2EE:
- AES-256-GCM шифрует всё содержимое файлов. Каждый файл получает уникальный вектор инициализации. Аутентифицированное шифрование обнаруживает вмешательство.
- PBKDF2 с HMAC-SHA512 формирует локальный ключ сейфа из нарисованного пользователем узора и соли устройства. Фактор сложности повышает стоимость каждой офлайн-попытки подбора, но не добавляет узору энтропии. Этот ключ сейфа проверяет подлинность зашифрованного индекса и разворачивает случайный мастер-ключ, которым шифруются данные файлов.
- AES-256-GCM для метаданных защищает имена файлов, даты, размеры, индексы и миниатюры аутентифицированным шифрованием.
- Keychain и Data Protection в iOS защищают соль устройства и зашифрованную базу данных восстановления. Операции AES-GCM и активные симметричные ключи остаются в процессе приложения, пока сейф открыт.
- Разделение ключей с поставщиком означает, что Wraxle не получает ключ сейфа, мастер-ключ, ключ резервной копии или ключ восстановления в открытом виде. Резервная копия CloudKit (включена по умолчанию), синхронизация и общий доступ хранят записи шифротекста и зашифрованные конверты ключей, а Apple всё равно видит метаданные сервиса. Для Vaultaire не нужна учётная запись Vaultaire.
Vaultaire хранит данные для восстановления, включая узор, в базе данных, зашифрованной AES-GCM и сохранённой в Keychain iOS. Они не записываются в открытые файлы и не отправляются в службу учётных записей Vaultaire. Если не осталось ни рабочего узора, ни фразы восстановления, ни уже разблокированного устройства, у Vaultaire нет ключа восстановления поставщика, который мог бы вернуть доступ.
Часто задаваемые вопросы
Законно ли сквозное шифрование?
Правовой режим шифрования, принудительного доступа и зашифрованных сервисов зависит от юрисдикции и может меняться. В этом руководстве описана техническая модель, а не юридическая консультация. Проверьте действующее местное законодательство, если ваша ситуация связана с досмотром на границе, судебными решениями, регулируемыми записями или другим высоким риском.
Могут ли правоохранительные органы взломать сквозное шифрование?
Атакам редко нужно перебирать всё пространство ключей AES-256. Исследователь может атаковать слабый пароль или узор, разблокированное конечное устройство, память, фразу восстановления, получателя, резервную копию или ошибку реализации. Правильно реализованный AES-256-GCM со случайным ключом высокой энтропии рассчитан на то, чтобы выдерживать прямой перебор ключа, но это лишь одна часть системы.
Чем E2EE отличается от шифрования с нулевым разглашением?
E2EE описывает, где происходят шифрование и расшифровка открытых данных и у кого есть пригодные ключи содержимого. «Нулевое разглашение» часто используется в маркетинге продуктов для шифрования, невидимого для поставщика, но его не стоит понимать буквально: у сервиса может не быть ключей в открытом виде, и при этом он видит шифротекст, данные учётной записи, размеры, время, связи общего доступа и другие метаданные. Оценивайте задокументированные пути ключей и восстановления, а не только ярлык.
Замедляет ли сквозное шифрование мой телефон?
Современные устройства эффективно выполняют AES-256 благодаря аппаратному ускорению, доступному через системные криптографические библиотеки. На iPhone Vaultaire выполняет AES-GCM в процессе приложения через CryptoKit. Публичные API Secure Enclave от Apple не являются произвольным движком AES-GCM для шифрования файлов. Издержки шифрования и расшифровки зависят от размера файла и устройства, но рассчитаны на то, чтобы не мешать при обычном использовании.
Что будет, если я потеряю ключ шифрования?
Если потерять все рабочие пути расшифровки и восстановления, зашифрованные данные восстановить нельзя. Поэтому многие системы E2EE используют фразы восстановления, доверенные устройства, контакты для восстановления, аварийные наборы или зашифрованные конверты ключей. Эти механизмы сохраняют доступ, но каждый из них тоже становится частью модели безопасности.
Итог
Сквозное шифрование может убрать путь поставщика хранилища к ключу в открытом виде, если шифрование происходит на доверенном конечном устройстве до загрузки. Это значимая защита, а не гарантия для всей системы. Прежде чем доверить сервису личные фото, проверьте, у кого ключи содержимого, как устроены восстановление, метаданные, обновления клиента, безопасность конечных устройств и общий доступ.
Vaultaire реализует шифрование на стороне клиента для iOS. Ваши фото и метаданные сейфа шифруются на устройстве с помощью AES-256-GCM до резервного копирования или синхронизации. Vaultaire не получает ключи расшифровки и не управляет сервером, который мог бы превратить эти зашифрованные записи в ваши фото. Эта граница с поставщиком не делает скомпрометированный или разблокированный iPhone надёжным.