Zo beschermt Sealed je bestanden, en wat het niet kan

Wat er gebeurt met een foto die je toevoegt

1. Sealed importeert alleen de foto’s en video’s die je kiest en verwijdert de originelen in Foto’s alleen als je dat vraagt.
2. Elk bestand krijgt een eigen willekeurige sleutel van 256 bit, en die sleutel wordt verzegeld met je kluissleutel.
3. Sealed versleutelt elk bestand met AES-256-GCM voordat het wordt bewaard. Grote bestanden worden in stukken versleuteld en Sealed weigert een bestand dat is gewijzigd, in andere volgorde gezet of afgekapt.
4. Namen, notities en de velden van een gegeven worden ook met je kluissleutel verzegeld, niet alleen de foto’s.
5. Je bestanden verlaten je iPhone niet, tenzij je iCloud-back-up aanzet of ze zelf exporteert.

Als je er klaar voor bent, kun je het origineel uit Foto’s verwijderen. Totdat je ze verwijdert, blijven de originelen in Foto’s staan, buiten de kluis.

Waar je sleutel staat

Je kluissleutel staat in de sleutelhanger van de iPhone, alleen op dit toestel, en kan alleen worden gelezen terwijl de telefoon is ontgrendeld.

Je kluissleutel is een willekeurige sleutel van 256 bit. Hij is niet gemaakt van je toegangscode. Je toegangscode is een poort voor de app. Hij maakt geen deel uit van de sleutel. Je kluissleutel komt nooit bij ons terecht.

Maximale beveiliging

Maximale beveiliging verzegelt je kluissleutel aan een Secure Enclave-sleutel die pas na een directe Face ID- of Touch ID-match kan worden gebruikt. Maximale beveiliging vraagt een iPhone of iPad met Face ID of Touch ID.

Voordat je Maximale beveiliging kunt aanzetten, vraagt Sealed je om je herstelsleutel te bewaren, omdat die de enige weg terug is als je Face ID of Touch ID ooit verandert. Maximale beveiliging is onderdeel van Sealed Pro.

Wachtzin voor kluis

Met een wachtzin voor de kluis wordt je kluissleutel verzegeld onder een wachtzin die je typt telkens als de kluis ontgrendelt, en als je hem kwijtraakt opent alleen je herstelsleutel de kluis. De kluissleutel wordt met AES-GCM verzegeld onder een sleutel die met PBKDF2-HMAC-SHA256 in 1.000.000 rondes uit de wachtzin wordt gemaakt.

Een wachtzin voor de kluis moet minstens 12 tekens hebben, vraagt dat eerst je herstelsleutel is bewaard, en kan niet tegelijk aanstaan met Maximale beveiliging of Dubbele vergrendeling. De wachtzin voor de kluis is onderdeel van Sealed Pro.

Hoe Sealed mensen buiten houdt

Manieren om te openen

Je kunt Sealed openen met Face ID of Touch ID, een toegangscode van 4, 6 of 9 cijfers, een wachtwoord of een patroon. Sealed heeft zeven stijlen voor het toegangsscherm: Toetsenblok, Kluisslot, Hangslot, Draaischijf, Cryptex, Drie draaien en Kloppen. Elke stijl voor het toegangsscherm behalve het Toetsenblok is onderdeel van Sealed Pro. Elke stijl van het toegangsscherm is een andere manier om je toegangscode in te voeren, dus hij verandert hoe je hem invoert en niet hoeveel combinaties er zijn.

Een schijnkluis opent met een tweede toegangscode en is onderdeel van Sealed Pro.

Als iemand gokt

Standaard vergrendelt Sealed de toegang na drie foute toegangscodes achter elkaar voor 30 seconden, en daarna voor 1, 5, 15 en ten slotte 60 minuten na elke volgende foute poging.

Inbraakmeldingen maken na foute toegangscodes een korte reeks foto’s met de camera aan de voorkant en noteren waar het gebeurde. Inbraakmeldingen staan uit totdat je ze aanzet, en voor de foto is ook cameratoestemming nodig. Een inbraakfoto is net als al het andere versleuteld en gaat pas open nadat je ontgrendelt, en de bijbehorende locatie verlaat de telefoon nooit.

Als je weggaat

Sealed vergrendelt zodra je de app verlaat, tenzij je een vertraging kiest, en dekt de inhoud af in de appkiezer. Sealed kan vergrendelen wanneer je de telefoon schudt of met het scherm omlaag neerlegt.

Sealed dekt de inhoud af terwijl het scherm wordt opgenomen of gespiegeld, en dat staat standaard aan.

Extra sloten

Dubbele vergrendeling vraagt je toegangscode en een Face ID-match samen, en is onderdeel van Sealed Pro.

Locatievergrendeling opent de kluis alleen op plekken die je vertrouwt en is onderdeel van Sealed Pro.

Elk album kan een eigen vergrendeling hebben, en albumvergrendelingen zijn onderdeel van Sealed Pro.

Als iemand je dwingt te ontgrendelen

Een dwangcode of dwangpatroon opent je schijnkluis en verwijdert op hetzelfde moment je echte kluis van deze iPhone. De dwangcode verwijdert de kluis alleen van deze iPhone: hij stuurt niets naar iCloud, je versleutelde back-up blijft zoals hij is, en Herstel vanuit iCloud brengt alles terug. Voordat een dwangcode kan worden aangezet, heeft Sealed een bewaarde herstelsleutel nodig, een schijnkluis met iets erin, en een iCloud-back-up die het zojuist onderdeel voor onderdeel heeft gecontroleerd. De dwangcode is onderdeel van Sealed Pro.

Back-up en je herstelsleutel

De back-up gaat naar je eigen iCloud-account, niet naar een server van ons. Bestanden, namen, notities en velden van gegevens worden op je iPhone versleuteld voordat ze worden geüpload, dus iCloud ontvangt alleen versleutelde tekst.

Back-uprecords hebben gewone typen zoals VaultItem en SecureNote en willekeurige id’s, dus iCloud kan zien dat er een back-up is en ongeveer hoeveel records die bevat.

Versleutelde iCloud-back-up is gratis. De back-up gebruikt je iCloud-opslag, en als die vol is meldt Sealed dat en voegt het geen nieuwe onderdelen meer toe.

Sealed vraagt je om je herstelsleutel te bewaren voordat het back-up aanzet. De eerste keer dat je je herstelsleutel bewaart, zet Sealed ook iCloud-back-up aan, en die is gratis. Je kunt iCloud-back-up in Instellingen, onder Synchronisatie en back-up, weer uitzetten.

Tijdens de installatie geeft Sealed je een herstelsleutel: een lange code van letters en cijfers, in groepjes, waarmee je kluis terug kan komen.

Iedereen die je herstelsleutel heeft, kan je kluis openen, en het afgedrukte sleutelblad van Sealed zegt dat je hem nooit in een foto, een bericht of een e-mail moet bewaren. Behandel hem als een wachtwoord en bewaar hem op een privéplek.

In een kluis die door de huidige Sealed is gemaakt, is de herstelsleutel niet de kluissleutel zelf: hij opent een kleine envelop met de kluissleutel, en daarom kan de herstelsleutel worden vervangen. Je kunt in Instellingen een nieuwe herstelsleutel maken; de huidige blijft werken totdat de nieuwe is bewaard en je volgende back-up klaar is, en iedereen met de oude sleutel en een oude kopie van je back-up kan die kopie nog steeds openen.

De herstelsleutel is de enige manier om een iCloud-back-up op een nieuwe iPhone te ontsleutelen. Je kluissleutel blijft op de iPhone waarop hij is gemaakt, dus op een nieuwe iPhone vraagt Sealed om je herstelsleutel.

Terwijl je kluis open is, kun je je herstelsleutel opnieuw zien in Instellingen, onder Synchronisatie en back-up, en dan Herstelsleutel.

Andere wegen terug naar je sleutel

• Een verzegelde kopie. Een verzegelde kopie vergrendelt je herstelsleutel onder een zin die alleen jij kent, zodat de kopie in je e-mail of in Notities kan staan. Een verzegelde kopie is een blok van 175 letters en cijfers, vergrendeld met AES-256-GCM onder een sleutel die met PBKDF2-HMAC-SHA256 in 1.000.000 rondes uit je zin wordt gemaakt.
• Sleutelhoeders. Sleutelhoeders splitsen je herstelsleutel in 3 delen waarvan elke 2 hem terugbrengen, of in 5 delen waarvan elke 3 dat doen, één deel voor elke persoon die je vertrouwt. Het deel van één sleutelhoeder zegt op zichzelf niets over je sleutel.
• De open kopie. De open kopie bewaart een kopie van je kluis in je iCloud Drive, in een map met de naam Sealed, die zonder de app op elke computer opent, met je herstelsleutel en de Sealed-lezer. Alles in de open kopie blijft versleuteld, hij gebruikt ongeveer evenveel iCloud Drive-ruimte als je kluis, en hij is alleen zo actueel als zijn laatste opslag. De open kopie staat uit totdat je hem aanzet, en de automatische kopie begint pas zodra je herstelsleutel is bewaard.

Een deellink versturen

Je kunt iemand een versleutelde kopie van een onderdeel sturen die in Sealed opent met een wachtzin die jij kiest, en het maken ervan is onderdeel van Sealed Pro.

Een deling wordt vergrendeld met een sleutel die met PBKDF2-HMAC-SHA256 met 600.000 iteraties uit de wachtzin wordt gemaakt, en daarna op dezelfde manier versleuteld als de kluis. Sealed vraagt om een wachtzin van minstens 6 tekens wanneer je een deling maakt. Sealed zegt dat je de wachtzin op een andere manier moet sturen dan het bestand: persoonlijk, of via een andere app.

Een versleutelde deling kan na een uur, een dag, 7 dagen of 30 dagen aflopen, en de ontvangende telefoon verwijdert het onderdeel wanneer het verloopt. Een deling van een foto, video of pdf kan alleen-bekijken zijn, waardoor het geen weg heeft uit de kluis van de ontvanger. Sealed dwingt de beperkingen van een deling af op de telefoon die hem ontvangt, en zegt dat ze geen schermafbeelding kunnen tegenhouden of kunnen worden teruggedraaid zodra de deling is verstuurd.

Heb je een deellink ontvangen, dan lees je hier hoe je hem opent.

Wat draait zonder je kluissleutel

• De camera op het toegangsscherm. Elke foto van de camera op het toegangsscherm wordt versleuteld voordat hij wordt geschreven, gaat nooit naar Foto’s, en verschijnt in de kluis de volgende keer dat je ontgrendelt.
• Zoek privéfoto’s. Zoek privéfoto’s draait op je iPhone: er wordt niets naar ergens gestuurd, en de tekst die het leest wordt niet bewaard. Sealed onthoudt alleen welke foto’s het heeft gecontroleerd en wat het in elk vond, nooit de tekst, in een bestand op de iPhone dat buiten toestelback-ups wordt gehouden en nooit wordt gesynchroniseerd.

Waar Sealed helpt, en waar niet

Het helpt als je telefoon een minuut in andermans handen is. Sealed vergrendelt zodra je de app verlaat, tenzij je een vertraging kiest, en dekt de inhoud af in de appkiezer.

Het helpt als je telefoon kwijt is. Je kunt je kluis met je herstelsleutel op een nieuwe iPhone herstellen vanuit je back-up.

Het helpt als je je privébestanden gescheiden wilt houden van de fotorol en van de servers van welk bedrijf ook. Wij draaien geen server, dus er is niets van jou dat wij kunnen zien.

Het doet deze dingen niet:

• Een kopie beschermen die de kluis heeft verlaten. Totdat je ze verwijdert, blijven de originelen in Foto’s staan, buiten de kluis. Je bestanden verlaten je iPhone niet, tenzij je iCloud-back-up aanzet of ze zelf exporteert.
• Je binnenlaten zonder je toegangscode of je herstelsleutel. Omdat je sleutel nooit bij ons komt, kunnen wij je kluis niet voor je herstellen of je toegangscode niet voor je resetten.
• De sleutel buiten bereik van de app houden terwijl de telefoon ontgrendeld is, tenzij Maximale beveiliging of een wachtzin voor de kluis aan staat. Zonder Maximale beveiliging kan de app je kluissleutel lezen zodra de telefoon is ontgrendeld, omdat de sleutel in de sleutelhanger staat. Je toegangscode is een poort voor de app. Hij maakt geen deel uit van de sleutel.
• Je beschermen tegen iemand die je kan dwingen te ontgrendelen. Sealed zegt duidelijk dat de dwangcode geen forensische wisactie is, dat alles wat nog niet in iCloud staat verloren gaat, en dat iedereen die je kan dwingen met Face ID of Touch ID te ontgrendelen, of je echte toegangscode kent, nog steeds je echte kluis ziet.
• Een zwakke wachtzin voor een deellink sterk maken. Sealed vraagt om een wachtzin van minstens 6 tekens wanneer je een deling maakt. Een langere is beter.
• Je kluis bewaren als je de app verwijdert terwijl back-up uit staat. Als je Sealed van een iPhone verwijdert terwijl iCloud-back-up uitstaat, wordt de kluis op die iPhone samen met de app verwijderd.
• Alles voor je aanzetten. Inbraakmeldingen staan uit totdat je ze aanzet, en voor de foto is ook cameratoestemming nodig.
• Elke bescherming in het gratis plan opnemen. Sealed Pro voegt privacyhulpmiddelen toe, waaronder de schijnkluis, een dwangcode, inbraakfoto’s, Dubbele vergrendeling, Locatievergrendeling, Maximale beveiliging, vergrendelde albums en zeven toegangsschermen.

Meld een beveiligingsprobleem

Denk je een zwakke plek in Sealed te hebben gevonden, schrijf dan naar support@loopware.app met “Security” in het onderwerp. Vertel wat je zag, wat je deed om het te zien en welke versie van Sealed je had. Laat de foto’s en gegevens van anderen buiten het rapport, en geef ons redelijke tijd om een probleem op te lossen voor je er in het openbaar over schrijft.

We lezen elk rapport en antwoorden erop. Als we een probleem oplossen dat de bestanden van mensen raakt, zeggen we dat in de release-opmerkingen.