Att gömma sig är inte kryptering
Det finns två mycket olika typer av "valv":
- Göm-bakom-en-PIN-appar lagra dina foton som vanliga filer inuti appen och visa en låsskärm framför dem. Någon som kan läsa appens lagring, genom en säkerhetskopia, ett kriminaltekniskt verktyg eller en bugg, kan se bilderna. Endast
- Krypterar valv förvandla varje fil till chiffertext med en nyckel som kommer från din upplåsning. Utan nyckeln är filerna brus.
App Store-listan talar vanligtvis om vilken typ du har. Leta efter en namngiven algoritm som AES-256-GCM eller ChaCha20-Poly1305 och en beskrivning av var nycklar bor. "Kryptering av militärklass" utan detaljer säger dig ingenting.
Fem frågor att ställa
- Var sker kryptering? Det bör finnas på din enhet innan något skrivs eller säkerhetskopieras.
- Vem har nycklarna? Om support kan återställa ditt lösenord via e-post, har företaget en väg in.
- Behöver den ett konto? Ett e-postmeddelande länkar din identitet till det faktum att du använder ett valv.
- Visar den annonser? Annons-SDK:er samlar in enhetsdata och kör tredjepartskod i appen.
- Hur återställer du åtkomst? En återställningsfras eller krypterad export som du kontrollerar är ett gott tecken.
Röda flaggor
- En gratis nivå som finansieras av annonser.
- Obligatorisk registrering innan du kan låsa något.
- Molnlagring på utvecklarens servrar utan att nämna kryptering på klientsidan.
- Vaga påståenden ("unhackable", "military-grade") och ingen säkerhetssida.
- Appen kopierar foton till valvet och nämner aldrig att ta bort originalen.
Även ett bra valv har gränser
Ingen app kan hindra någon från att fotografera din skärm, och ingen kan skydda en fil som du har öppnat på en olåst telefon. Om någon känner till din valvkod kan de öppna den. Det är därför VaultBolt lägger till en lockvalv och tvångskod, och varför den publicerar sin ärliga gränser.
Där VaultBolt står
VaultBolt krypterar varje fil, miniatyrbild och dess index med AES-256-GCM på enheten. Nycklar kommer från din upplåsning genom Argon2id och en Secure Enclave-hemlighet. Det finns inget konto, inga annonser och ingen server som kan läsa dina filer. En oberoende granskning och en offentlig vitbok planeras före offentlig lansering.
Vanliga frågor
Kan fotovalv-appar se mina bilder?
Appar som krypterar på din enhet med nycklar bara du har kan inte. Appar som lagrar foton på sina egna servrar, eller kan återställa ditt lösenord via e-post, kanske kan.
Kan polis eller ett kriminaltekniskt labb öppna ett fotovalv?
Med stark kryptering på enheten och en stark lösenfras är det mycket svårt att extrahera filer från lagring. Svaga PIN-koder på en komprometterad enhet är lättare att gissa. Lagar om tvingad upplåsning varierar från land till land.
Kan en fotovalv-app hackas?
Alla appar kan ha buggar. Minska risken med en app som dokumenterar sin kryptering, får oberoende granskningar och inte håller något läsbart på sina servrar.
