Как Sealed защищает ваши файлы и где его защита заканчивается

Что происходит с фото, которое вы добавляете

1. Sealed импортирует только те фото и видео, которые вы выбрали, и удаляет оригиналы в приложении «Фото» только по вашей просьбе.
2. У каждого файла свой случайный 256-битный ключ, и этот ключ запечатан ключом вашего хранилища.
3. Sealed шифрует каждый файл алгоритмом AES-256-GCM, прежде чем его сохранить. Большие файлы шифруются частями, и Sealed отвергает файл, который изменили, переставили или обрезали.
4. Ключом вашего хранилища запечатаны не только фото, но и названия, заметки и поля записей.
5. Ваши файлы не покидают iPhone, пока вы сами не включите копирование в iCloud или не экспортируете их.

Когда будете готовы, оригинал можно убрать из «Фото». Пока вы их не удалите, оригиналы остаются в приложении «Фото», вне хранилища.

Где хранится ваш ключ

Ключ вашего хранилища лежит в связке ключей iPhone, только на этом устройстве, и прочитать его можно лишь пока телефон разблокирован.

Ключ вашего хранилища — случайный 256-битный ключ. Он не получен из вашего код-пароля. Ваш код-пароль — это вход перед приложением. Он не часть ключа. Ключ вашего хранилища никогда не попадает к нам.

Максимальная защита

Максимальная защита запечатывает ключ вашего хранилища ключом Secure Enclave, которым можно воспользоваться только после живого совпадения Face ID или Touch ID. Для Максимальной защиты нужен iPhone или iPad с Face ID или Touch ID.

Прежде чем вы сможете включить Максимальную защиту, Sealed просит сохранить ключ восстановления: это единственный способ вернуться, если Face ID или Touch ID когда-нибудь изменится. Максимальная защита входит в Sealed Pro.

Парольная фраза хранилища

С парольной фразой хранилища ключ вашего хранилища запечатан под парольной фразой, которую вы вводите при каждой разблокировке хранилища, и если вы её потеряете, хранилище откроет только ваш ключ восстановления. Ключ хранилища запечатан алгоритмом AES-GCM под ключом, полученным из парольной фразы алгоритмом PBKDF2-HMAC-SHA256 за 1 000 000 раундов.

Парольная фраза хранилища должна содержать не меньше 12 символов, для неё сначала нужно сохранить ключ восстановления, и её нельзя включить вместе с Максимальной защитой или двойной блокировкой. Парольная фраза хранилища входит в Sealed Pro.

Как Sealed не пускает посторонних

Способы открыть хранилище

Открыть Sealed можно с помощью Face ID или Touch ID, 4-, 6- или 9-значного код-пароля, пароля или графического ключа. В Sealed семь стилей экрана блокировки: «Клавиатура», «Диск сейфа», «Навесной замок», «Телефонный диск», «Криптекс», «Три поворота» и «Стук». Каждый стиль экрана блокировки, кроме «Клавиатуры», входит в Sealed Pro. Каждый стиль экрана блокировки — это ещё один способ ввести ваш код-пароль, поэтому он меняет то, как вы его вводите, а не число комбинаций.

Ложное хранилище открывается вторым код-паролем и входит в Sealed Pro.

Когда кто-то подбирает код

По умолчанию после трёх неверных код-паролей подряд Sealed закрывает вход на 30 секунд, а после каждой следующей неверной попытки — на 1, 5, 15 и, наконец, 60 минут.

Оповещения о взломе делают короткую серию снимков фронтальной камерой после неверных код-паролей и отмечают, где это произошло. Оповещения о взломе выключены, пока вы их не включите, а для снимка нужно ещё и разрешение на камеру. Снимок при взломе зашифрован, как и всё остальное, и открывается только после разблокировки, а сохранённая с ним геопозиция никогда не покидает телефон.

Когда вы отходите

Sealed блокируется, как только вы из него выходите, если вы не выбрали задержку, и закрывает своё содержимое в переключателе приложений. Sealed может блокироваться, когда вы встряхиваете телефон или кладёте его экраном вниз.

Sealed закрывает своё содержимое, пока экран записывается или дублируется, и это включено по умолчанию.

Дополнительные замки

Двойная блокировка требует вместе код-пароль и совпадение Face ID и входит в Sealed Pro.

Блокировка по геопозиции открывает хранилище только в доверенных местах и входит в Sealed Pro.

У каждого альбома может быть собственная блокировка, и блокировки альбомов входят в Sealed Pro.

Если вас заставляют разблокировать

Код-пароль принуждения или графический ключ принуждения открывает ваше ложное хранилище и в тот же момент удаляет ваше настоящее хранилище с этого iPhone. Код принуждения удаляет хранилище только с этого iPhone: он ничего не отправляет в iCloud, ваша зашифрованная копия остаётся как есть, а «Восстановить из iCloud» возвращает всё. Прежде чем можно включить код принуждения, Sealed нужны сохранённый ключ восстановления, ложное хранилище с чем-то внутри и копия в iCloud, которую он только что проверил объект за объектом. Код принуждения входит в Sealed Pro.

Копия и ключ восстановления

Копия уходит в вашу собственную учётную запись iCloud, а не на наш сервер. Файлы, названия, заметки и поля записей шифруются на вашем iPhone до загрузки, поэтому iCloud получает только шифртекст.

У записей копии простые типы, такие как VaultItem и SecureNote, и случайные идентификаторы, поэтому iCloud видит, что копия существует и примерно сколько в ней записей.

Зашифрованное копирование в iCloud бесплатно. Копирование использует ваше хранилище iCloud, а когда оно заполнено, Sealed сообщает об этом и перестаёт добавлять новые объекты.

Sealed просит сохранить ключ восстановления, прежде чем включить копирование. Когда вы впервые сохраняете ключ восстановления, Sealed заодно включает копирование в iCloud, которое бесплатно. Копирование в iCloud можно снова выключить в «Настройках», в разделе «Синхронизация и копирование».

При настройке Sealed выдаёт вам ключ восстановления: длинный код из букв и цифр, разбитый на группы, который может вернуть ваше хранилище.

Любой, кто держит ваш ключ восстановления, может открыть ваше хранилище, а на печатном листе ключа Sealed сказано никогда не хранить его в фото, сообщении или письме. Относитесь к нему как к паролю и храните в надёжном месте.

В хранилище, созданном текущей версией Sealed, ключ восстановления — это не сам ключ хранилища: он открывает маленький конверт, в котором лежит ключ хранилища, поэтому ключ восстановления можно заменить. Новый ключ восстановления можно создать в «Настройках»; текущий продолжает работать, пока новый не сохранён и не завершилась ваша следующая копия, а тот, у кого есть старый ключ и старая копия вашей резервной копии, всё ещё мог бы открыть эту копию.

Ключ восстановления — единственный способ расшифровать копию в iCloud на новом iPhone. Ключ вашего хранилища остаётся на том iPhone, где он создан, поэтому на новом iPhone Sealed просит ключ восстановления.

Пока ваше хранилище открыто, ключ восстановления можно увидеть снова в «Настройках», в разделе «Синхронизация и копирование», затем «Ключ восстановления».

Другие пути к вашему ключу

• Запечатанная копия. Запечатанная копия запирает ваш ключ восстановления под фразой, которую знаете только вы, так что копия может лежать в вашей почте или в «Заметках». Запечатанная копия — это блок из 175 букв и цифр, запертый алгоритмом AES-256-GCM под ключом, полученным из вашей фразы алгоритмом PBKDF2-HMAC-SHA256 за 1 000 000 раундов.
• Хранители ключа. Хранители ключа делят ваш ключ восстановления на 3 части, из которых любые 2 возвращают его, или на 5 частей, из которых любые 3 возвращают его, по одной части для каждого человека, которому вы доверяете. Часть одного хранителя сама по себе ничего не говорит о вашем ключе.
• Открытая копия. Открытая копия хранит копию вашего хранилища в вашем iCloud Drive, в папке с названием Sealed, которая открывается без приложения на любом компьютере с помощью вашего ключа восстановления и программы чтения Sealed. Всё в открытой копии остаётся зашифрованным, она занимает в iCloud Drive примерно столько же места, сколько ваше хранилище, и она актуальна лишь настолько, насколько актуально её последнее сохранение. Открытая копия выключена, пока вы её не включите, а автоматическая копия начинается только после того, как ваш ключ восстановления сохранён.

Отправка файла

Вы можете отправить кому-то зашифрованную копию объекта, которая открывается в Sealed с выбранной вами парольной фразой, а создание такой копии входит в Sealed Pro.

Обмен запирается ключом, полученным из его парольной фразы алгоритмом PBKDF2-HMAC-SHA256 за 600 000 итераций, и затем шифруется так же, как хранилище. При создании обмена Sealed просит парольную фразу не короче 6 символов. Sealed советует отправлять парольную фразу не тем же путём, что и файл: лично или через другое приложение.

Зашифрованный обмен может закончиться через час, день, 7 дней или 30 дней, и принимающий телефон удаляет объект, когда срок истекает. Обмен фото, видео или PDF может быть только для просмотра, и тогда у объекта нет выхода из хранилища получателя. Sealed применяет ограничения обмена на телефоне, который его получает, и сообщает, что они не могут помешать снимку экрана и не могут быть отозваны после отправки обмена.

Если вам прислали файл, вот как его открыть.

Что работает без ключа хранилища

• Камера на экране блокировки. Каждое фото с камеры на экране блокировки шифруется до записи, никогда не попадает в «Фото» и появляется в хранилище при следующей разблокировке.
• Найти личные фото. «Найти личные фото» работает на вашем iPhone: ничего никуда не отправляется, а прочитанный текст не сохраняется. Sealed запоминает только то, какие фото он проверил и что нашёл в каждом, но никогда не текст, в файле на iPhone, который не входит в резервные копии устройства и никогда не синхронизируется.

Где Sealed помогает, а где нет

Помогает, когда телефон на минуту оказался в чужих руках. Sealed блокируется, как только вы из него выходите, если вы не выбрали задержку, и закрывает своё содержимое в переключателе приложений.

Помогает, когда телефон потерян. Вы можете восстановить своё хранилище на новом iPhone из копии с помощью ключа восстановления.

Помогает, когда вы хотите держать личные файлы отдельно от фотопленки и от серверов любых компаний. У нас нет сервера, поэтому нам нечего видеть из ваших данных.

Не делает следующего:

• Не защищает копию, которая ушла из хранилища. Пока вы их не удалите, оригиналы остаются в приложении «Фото», вне хранилища. Ваши файлы не покидают iPhone, пока вы сами не включите копирование в iCloud или не экспортируете их.
• Не вернёт вас в хранилище без код-пароля или ключа восстановления. Поскольку ваш ключ никогда не попадает к нам, мы не можем восстановить ваше хранилище или сбросить ваш код-пароль.
• Не прячет ключ от приложения, пока телефон разблокирован, если не включена «Максимальная защита» или парольная фраза хранилища. Без Максимальной защиты приложение может прочитать ключ вашего хранилища, когда телефон разблокирован, потому что ключ лежит в связке ключей. Ваш код-пароль — это вход перед приложением. Он не часть ключа.
• Не защищает от того, кто может заставить вас разблокировать телефон. Sealed прямо говорит, что код принуждения — не криминалистическое стирание, что всё, чего ещё нет в iCloud, теряется и что любой, кто может заставить вас разблокироваться с помощью Face ID или Touch ID или кто знает ваш настоящий код-пароль, всё равно увидит ваше настоящее хранилище.
• Не сделает слабую фразу для отправки надёжной. При создании обмена Sealed просит парольную фразу не короче 6 символов. Чем длиннее фраза, тем лучше.
• Не сохранит хранилище, если вы удалите приложение при выключенной копии. Если вы удаляете Sealed с iPhone, пока копирование в iCloud выключено, хранилище на этом iPhone удаляется вместе с ним.
• Не включит всё за вас. Оповещения о взломе выключены, пока вы их не включите, а для снимка нужно ещё и разрешение на камеру.
• Не включает все средства защиты в бесплатный план. Sealed Pro добавляет инструменты приватности, включая ложное хранилище, код принуждения, снимки при взломе, двойную блокировку, блокировку по геопозиции, Максимальную защиту, заблокированные альбомы и семь экранов блокировки.

Сообщить о проблеме безопасности

Если вы нашли уязвимость в Sealed, напишите на support@loopware.app, указав в теме «Security». Опишите, что вы увидели, что делали и какая у вас версия Sealed. Пожалуйста, не включайте в сообщение чужие фото и данные и дайте нам разумное время на исправление, прежде чем писать об этом публично.

Мы читаем каждое сообщение и отвечаем на него. Если исправленная проблема затрагивала файлы людей, мы говорим об этом в примечаниях к выпуску.