Comment Sealed protège vos fichiers, et ce qu’il ne peut pas faire

Ce qui arrive à une photo que vous ajoutez

1. Sealed n’importe que les photos et vidéos que vous choisissez, et ne supprime les originaux dans Photos que si vous le demandez.
2. Chaque fichier reçoit sa propre clé aléatoire de 256 bits, et cette clé est scellée avec la clé de votre coffre-fort.
3. Sealed chiffre chaque fichier avec AES-256-GCM avant de l’enregistrer. Les gros fichiers sont chiffrés par blocs, et Sealed refuse un fichier modifié, réordonné ou tronqué.
4. Les noms, les notes et les champs d’une fiche sont eux aussi scellés avec la clé de votre coffre-fort, pas seulement les photos.
5. Vos fichiers ne quittent jamais votre iPhone, sauf si vous activez la sauvegarde iCloud ou les exportez vous-même.

Quand vous êtes prêt, vous pouvez retirer l’original de Photos. Tant que vous ne les supprimez pas, les originaux restent dans Photos, hors du coffre-fort.

Où se trouve votre clé

La clé de votre coffre-fort est conservée dans le trousseau de l’iPhone, sur cet appareil uniquement, et elle ne peut être lue que lorsque le téléphone est déverrouillé.

La clé de votre coffre-fort est une clé aléatoire de 256 bits. Elle n’est pas dérivée de votre code. Votre code est une porte devant l’app. Il ne fait pas partie de la clé. La clé de votre coffre-fort ne nous parvient jamais.

Sécurité maximale

La Sécurité maximale scelle la clé de votre coffre-fort à une clé du Secure Enclave, utilisable seulement après une reconnaissance Face ID ou Touch ID en direct. La Sécurité maximale nécessite un iPhone ou un iPad doté de Face ID ou de Touch ID.

Avant de pouvoir activer la Sécurité maximale, Sealed vous demande d’enregistrer votre clé de récupération, car c’est le seul moyen de rentrer si votre Face ID ou votre Touch ID change un jour. La Sécurité maximale fait partie de Sealed Pro.

Phrase de passe du coffre

Avec une phrase de passe du coffre-fort, la clé de votre coffre-fort est scellée sous une phrase de passe que vous saisissez à chaque déverrouillage, et si vous la perdez seule votre clé de récupération ouvre le coffre-fort. La clé du coffre-fort est scellée avec AES-GCM sous une clé issue de la phrase de passe par PBKDF2-HMAC-SHA256 à 1 000 000 de tours.

Une phrase de passe du coffre-fort doit comporter au moins 12 caractères, exige que votre clé de récupération soit d’abord enregistrée, et ne peut pas être activée en même temps que la Sécurité maximale ou le Double verrouillage. La phrase de passe du coffre-fort fait partie de Sealed Pro.

Comment Sealed tient les gens à distance

Façons de l’ouvrir

Vous pouvez ouvrir Sealed avec Face ID ou Touch ID, un code à 4, 6 ou 9 chiffres, un mot de passe ou un schéma. Sealed propose sept styles d’écran de verrouillage : Clavier, Cadran de coffre, Cadenas, Cadran rotatif, Cryptex, Trois tours et Frappe. Chaque style d’écran de verrouillage, sauf le Clavier, fait partie de Sealed Pro. Chaque style d’écran de verrouillage est une autre façon de saisir votre code : il change la manière de le saisir, pas le nombre de combinaisons.

Un coffre leurre s’ouvre avec un second code, et il fait partie de Sealed Pro.

Quand quelqu’un devine

Par défaut, après trois codes erronés de suite, Sealed bloque l’accès pendant 30 secondes, puis pendant 1, 5, 15 et enfin 60 minutes après chaque nouvel essai erroné.

Les alertes d’intrusion prennent une courte rafale de photos avec la caméra frontale après des codes erronés, et notent où cela s’est produit. Les alertes d’intrusion sont désactivées tant que vous ne les activez pas, et la photo nécessite aussi l’autorisation d’utiliser l’appareil photo. Une photo d’intrusion est chiffrée comme tout le reste et ne s’ouvre qu’après votre déverrouillage, et le lieu enregistré avec elle ne quitte jamais le téléphone.

Quand vous vous éloignez

Sealed se verrouille dès que vous le quittez, sauf si vous choisissez un délai, et il masque son contenu dans le sélecteur d’apps. Sealed peut se verrouiller quand vous secouez le téléphone ou le posez face vers le bas.

Sealed masque son contenu pendant l’enregistrement ou la recopie de l’écran, et c’est activé par défaut.

Verrous supplémentaires

Le Double verrouillage demande ensemble votre code et une reconnaissance Face ID, et il fait partie de Sealed Pro.

Le Verrouillage par lieu n’ouvre le coffre-fort qu’aux endroits de confiance, et il fait partie de Sealed Pro.

Chaque album peut avoir son propre verrou, et les verrous d’album font partie de Sealed Pro.

Si quelqu’un vous force à déverrouiller

Un code de contrainte ou un schéma de contrainte ouvre votre coffre leurre et, au même moment, retire votre coffre réel de cet iPhone. Le code de contrainte retire le coffre-fort de cet iPhone uniquement : il n’envoie rien à iCloud, votre sauvegarde chiffrée reste telle quelle, et Restaurer depuis iCloud ramène tout. Avant qu’un code de contrainte puisse être activé, Sealed exige une clé de récupération enregistrée, un coffre leurre qui contient quelque chose, et une sauvegarde iCloud qu’il vient de vérifier élément par élément. Le code de contrainte fait partie de Sealed Pro.

La sauvegarde et votre clé de récupération

La sauvegarde va vers votre propre compte iCloud, pas vers un serveur à nous. Les fichiers, les noms, les notes et les champs des fiches sont chiffrés sur votre iPhone avant d’être envoyés, de sorte qu’iCloud ne reçoit que du texte chiffré.

Les enregistrements de sauvegarde ont des types lisibles comme VaultItem et SecureNote et des identifiants aléatoires : iCloud peut donc voir qu’une sauvegarde existe et combien d’enregistrements elle contient à peu près.

La sauvegarde iCloud chiffrée est gratuite. La sauvegarde utilise votre stockage iCloud, et quand il est plein Sealed le dit et cesse d’ajouter de nouveaux éléments.

Sealed vous demande d’enregistrer votre clé de récupération avant d’activer la sauvegarde. La première fois que vous enregistrez votre clé de récupération, Sealed active aussi la Sauvegarde iCloud, qui est gratuite. Vous pouvez désactiver à nouveau la Sauvegarde iCloud dans Réglages, sous Synchronisation et sauvegarde.

Pendant la configuration, Sealed vous donne une clé de récupération : un long code de lettres et de chiffres, en groupes, qui peut ramener votre coffre-fort.

Quiconque détient votre clé de récupération peut ouvrir votre coffre-fort, et la feuille de clé imprimée de Sealed dit de ne jamais la garder dans une photo, un message ou un e-mail. Traitez-la comme un mot de passe, et gardez-la dans un endroit privé.

Dans un coffre-fort créé par la version actuelle de Sealed, la clé de récupération n’est pas la clé du coffre-fort elle-même : elle ouvre une petite enveloppe qui contient la clé du coffre-fort, ce qui explique que la clé de récupération puisse être remplacée. Vous pouvez créer une nouvelle clé de récupération dans Réglages ; l’actuelle continue de fonctionner jusqu’à ce que la nouvelle soit enregistrée et que votre prochaine sauvegarde se termine, et quiconque a l’ancienne clé et une ancienne copie de votre sauvegarde pourrait encore ouvrir cette copie.

La clé de récupération est le seul moyen de déchiffrer une sauvegarde iCloud sur un nouvel iPhone. La clé de votre coffre-fort reste sur l’iPhone où elle a été créée : sur un nouvel iPhone, Sealed demande donc votre clé de récupération.

Tant que votre coffre-fort est ouvert, vous pouvez revoir votre clé de récupération dans Réglages, sous Synchronisation et sauvegarde, puis Clé de récupération.

Autres moyens de retrouver votre clé

• Une copie scellée. Une copie scellée verrouille votre clé de récupération sous une phrase que vous seul connaissez, de sorte que la copie peut se trouver dans vos e-mails ou dans Notes. Une copie scellée est un bloc de 175 lettres et chiffres, verrouillé avec AES-256-GCM sous une clé issue de votre phrase par PBKDF2-HMAC-SHA256 à 1 000 000 de tours.
• Les gardiens de la clé. Les gardiens de la clé divisent votre clé de récupération en 3 parties dont 2 quelconques la ramènent, ou en 5 parties dont 3 quelconques la ramènent, une partie pour chaque personne de confiance. La partie d’un gardien, seule, ne révèle rien de votre clé.
• La copie ouverte. La copie ouverte garde une copie de votre coffre-fort dans votre iCloud Drive, dans un dossier nommé Sealed, qui s’ouvre sans l’app sur n’importe quel ordinateur, avec votre clé de récupération et le lecteur Sealed. Tout ce qui se trouve dans la copie ouverte reste chiffré, elle utilise à peu près autant d’espace iCloud Drive que votre coffre-fort, et elle n’est à jour que de sa dernière sauvegarde. La copie ouverte est désactivée tant que vous ne l’activez pas, et la copie automatique ne démarre qu’une fois votre clé de récupération enregistrée.

Envoyer un partage

Vous pouvez envoyer à quelqu’un une copie chiffrée d’un élément qui s’ouvre dans Sealed avec une phrase de passe de votre choix, et en créer une fait partie de Sealed Pro.

Un partage est verrouillé par une clé issue de sa phrase de passe avec PBKDF2-HMAC-SHA256 à 600 000 itérations, puis chiffré de la même manière que le coffre-fort. Sealed demande une phrase de passe d’au moins 6 caractères quand vous créez un partage. Sealed vous dit d’envoyer la phrase de passe par une autre voie que le fichier : en personne, ou par une autre app.

Un partage chiffré peut prendre fin après une heure, un jour, 7 jours ou 30 jours, et le téléphone récepteur retire l’élément à son expiration. Un partage de photo, de vidéo ou de PDF peut être en lecture seule, ce qui ne lui laisse aucune issue hors du coffre-fort du destinataire. Sealed applique les limites d’un partage sur le téléphone qui le reçoit, et précise qu’elles ne peuvent pas empêcher une capture d’écran ni être reprises une fois le partage envoyé.

Si vous avez reçu un partage, voici comment l’ouvrir.

Ce qui fonctionne sans la clé de votre coffre

• L’appareil photo de l’écran verrouillé. Chaque photo de l’appareil photo de l’écran verrouillé est chiffrée avant d’être écrite, ne va jamais dans Photos, et apparaît dans le coffre-fort au prochain déverrouillage.
• Trouver les photos privées. Trouver les photos privées s’exécute sur votre iPhone : rien n’est envoyé nulle part, et le texte qu’il lit n’est pas conservé. Sealed retient seulement quelles photos il a examinées et ce qu’il a trouvé dans chacune, jamais le texte, dans un fichier sur l’iPhone qui est exclu des sauvegardes de l’appareil et jamais synchronisé.

Où Sealed aide, et où il n’aide pas

Il aide quand votre téléphone est une minute entre les mains de quelqu’un d’autre. Sealed se verrouille dès que vous le quittez, sauf si vous choisissez un délai, et il masque son contenu dans le sélecteur d’apps.

Il aide quand votre téléphone est perdu. Vous pouvez restaurer votre coffre-fort sur un nouvel iPhone à partir de votre sauvegarde, avec votre clé de récupération.

Il aide quand vous voulez garder vos fichiers privés à l’écart de la pellicule et des serveurs de toute entreprise. Nous n’exploitons aucun serveur : il n’y a donc rien de vous que nous puissions voir.

Il ne fait pas ceci :

• Protéger une copie sortie du coffre. Tant que vous ne les supprimez pas, les originaux restent dans Photos, hors du coffre-fort. Vos fichiers ne quittent jamais votre iPhone, sauf si vous activez la sauvegarde iCloud ou les exportez vous-même.
• Vous faire rentrer sans votre code ni votre clé de récupération. Comme votre clé ne nous parvient jamais, nous ne pouvons ni récupérer votre coffre-fort ni réinitialiser votre code à votre place.
• Empêcher l’app d’accéder à la clé tant que le téléphone est déverrouillé, sauf si Sécurité maximale ou une phrase de passe du coffre est activée. Sans la Sécurité maximale, l’app peut lire la clé de votre coffre-fort chaque fois que le téléphone est déverrouillé, car la clé se trouve dans le trousseau. Votre code est une porte devant l’app. Il ne fait pas partie de la clé.
• Vous protéger de quelqu’un qui peut vous forcer à déverrouiller. Sealed dit clairement que le code de contrainte n’est pas un effacement forensique, que tout ce qui n’est pas encore dans iCloud est perdu, et que quiconque peut vous forcer à déverrouiller avec Face ID ou Touch ID, ou connaît votre vrai code, voit tout de même votre coffre réel.
• Rendre solide une phrase de passe de partage faible. Sealed demande une phrase de passe d’au moins 6 caractères quand vous créez un partage. Une phrase plus longue vaut mieux.
• Garder votre coffre si vous supprimez l’app alors que la sauvegarde est désactivée. Si vous supprimez Sealed d’un iPhone alors que la Sauvegarde iCloud est désactivée, le coffre-fort de cet iPhone est supprimé avec lui.
• Tout activer à votre place. Les alertes d’intrusion sont désactivées tant que vous ne les activez pas, et la photo nécessite aussi l’autorisation d’utiliser l’appareil photo.
• Inclure toutes les protections dans la formule gratuite. Sealed Pro ajoute des outils de confidentialité, dont le coffre leurre, un code de contrainte, les photos d’intrusion, le Double verrouillage, le Verrouillage par lieu, la Sécurité maximale, les albums verrouillés et sept écrans de verrouillage.

Signaler un problème de sécurité

Si vous pensez avoir trouvé une faiblesse dans Sealed, écrivez à support@loopware.app en mettant « Sécurité » dans l’objet. Dites ce que vous avez vu, ce que vous avez fait pour le voir et quelle version de Sealed vous aviez. Merci de ne pas inclure dans le signalement les photos ni les données d’autres personnes, et de nous laisser un délai raisonnable pour corriger un problème avant d’en parler publiquement.

Nous lisons chaque signalement et y répondons. Quand nous corrigeons un problème qui touche les fichiers des utilisateurs, nous le disons dans les notes de version.