Hidlet je aplikace pro iPhone

Namiřte fotoaparát iPhonu na kód a aplikaci nainstalujte. Bez účtu.

nebo mi pošlete odkaz

Porovnáváte aplikace s trezorem na fotky a každý inzerát říká totéž: AES-256, bankovní úroveň, vojenská úroveň. Když všechny používají stejné šifrování, měly by být stejně bezpečné. Nejsou, a to proto, že „AES-256“ pojmenovává jedinou část systému, která téměř nikdy nezklame.

Tento návod vysvětluje prostými slovy, co AES-256 je, jak trezor promění vaše heslo v klíč, proč je právě tenhle krok důležitější než samotná šifra, a pět otázek, které prozradí víc než samotný štítek.

Co je AES-256

AES, Advanced Encryption Standard, je šifra, kterou jako FIPS 197 zveřejnil NIST, americký standardizační úřad. Zpracovává data v blocích po 128 bitech a každý z nich zamíchá tajným klíčem tak, aby ho mohl opět rozmíchat jen ten, kdo má stejný klíč.

Číslo je velikost klíče. AES existuje ve třech variantách:

256bitový klíč má 2²⁵⁶ možných hodnot, což je číslo o 78 číslicích. Vyzkoušet je všechny není otázka rychlejšího počítače, je to prostě nereálný útok. Příručka NIST ke správě klíčů přisuzuje AES-256 bezpečnostní sílu 256 bitů a jeho zpráva o postkvantové kryptografii z roku 2026 řadí AES-256 do nejvyšší kvantové bezpečnostní kategorie, přičemž říká, že nepředpokládá potřebu opustit symetrické standardy jako AES.

Šifra je tedy bezpečná. Všechno zajímavé se odehrává kolem ní.

Režim: všimne si, že někdo zasahoval?

Samotné AES promíchá jeden blok. Aby aplikace zašifrovala celou fotku, spouští ho v nějakém režimu a ten určuje, co dalšího dostanete.

GCM (Galois/Counter Mode) je u souborů běžnou volbou. NIST ho popisuje jako autentizované šifrování: kromě utajení dat dokáže odhalit i náhodné či úmyslné změny. Když někdo zašifrovanou fotku upraví, aplikace to zjistí, místo aby ukázala poškozený soubor.

GCM má jedno tvrdé pravidlo. Každé šifrování potřebuje novou hodnotu zvanou nonce (NIST jí říká IV) a NIST varuje, že pokud se někdy se stejným klíčem zopakuje, ochrana může selhat téměř úplně. NIST toto pravidlo označuje za skoro stejně důležité jako utajení klíče. Trezor, který uvádí „AES-256-GCM“, vám říká něco užitečného; ten, který píše jen „AES-256“, neříká, jaký režim používá.

Klíč: odkud se bere?

Právě tahle otázka rozhoduje o tom, jak bezpečný trezor opravdu je.

Nikdo nezadává 256bitový klíč. Zadáte PIN, heslo nebo gesto a aplikace z něj klíč vyrobí. Doporučení NIST k odvozování klíčů z hesel popisuje problém srozumitelně: hesla mají nízkou entropii, a proto se nehodí k přímému použití jako klíče. A pokud někdo zkopíruje zašifrované soubory, může hádat offline, na hardwaru, který si sám vybere, takže síla hesla je zásadní.

Hádání ztěžují dva nástroje:

• Sůl. Náhodná hodnota, která se přimíchá, takže každý trezor se musí napadat zvlášť. NIST říká, že by měla mít alespoň 128 bitů.
• Mnoho iterací. Heslo se pošle funkcí, jako je PBKDF2 (definovaná v RFC 8018), tisíce nebo miliony krát, takže každý pokus stojí útočníka tolik práce. Doporučení NIST z roku 2010 říká, že počet iterací má být tak velký, jak je prakticky možné, doporučuje alespoň 1 000 a uvádí, že 10 000 000 může být vhodných pro obzvlášť důležité klíče.

Žádný počet kol ale nezachrání krátký kód. Čtyřmístný PIN má 10 000 možností. I když je každý pokus pomalý, je to krátký seznam. Příručka NIST ke správě klíčů to říká obecně: síla klíče klesá na sílu nejslabšího procesu, který ho chrání. 256bitový klíč vyrobený ze čtyřmístného PINu je v praxi čtyřmístný PIN.

Váš iPhone to zvládá lépe, než dokáže kterákoli aplikace sama. Apple uvádí, že kód je svázaný s hardwarovým klíčem uvnitř zařízení, takže pokusy se musí provádět na tom konkrétním iPhonu, zhruba 80 milisekund každý, se zpožděními vynucovanými Secure Enclave. Telefon také šifruje soubory, které ukládáte: Apple říká, že každý soubor dostane vlastní nový 256bitový klíč a u zařízení s čipy A14 až A18 a M1 nebo novějšími jde o AES-256 v režimu XTS (modely A9 až A13 používají AES-128). Co všechno to pokrývá, vysvětluje návod Je album Skryté v iPhonu šifrované?

Časté omyly

„Vojenská úroveň“ znamená něco navíc. Nenašli jsme žádný standardizační orgán, který by ji definoval. Je to marketingová fráze, obvykle pro obyčejné AES-256. RFC 9151, profil sady CNSA psaný NSA pro systémy národní bezpečnosti, uvádí AES se 256bitovými klíči v režimu GCM, což používá mnoho běžných aplikací.

„AES-256“ znamená, že firma moje fotky nevidí. Samo o sobě ne. Šifrování brání jen těm, kdo nemají klíč. Pokud klíč drží firma, může data dešifrovat. Apple o tom u iCloudu mluví otevřeně: se standardní ochranou drží klíče k většině dat, včetně Fotek, Apple a může je za vás dešifrovat; s Pokročilou ochranou dat drží klíče k většině dat na iCloudu jen vaše důvěryhodná zařízení. Podrobnosti najdete v návodu Vidí Apple vaše skryté fotky?

„Zašifrováno v telefonu“ znamená zašifrováno i v cloudu. Zálohu si ověřte zvlášť. Trezor může soubory pečlivě zašifrovat v iPhonu a pak je zálohovat někam, kde jsou zašifrované klíčem, který si firma ponechává.

Větší je vždycky lepší. I AES-128 je daleko za hranicí hádání. Rozdíl mezi 128 a 256 bity je mnohem menší než rozdíl mezi čtyřmístným PINem a dlouhou přístupovou frází.

Pět otázek, které si položit místo toho

1. Jaký režim? AES-256-GCM nebo jiný autentizovaný režim říká, že soubory nejdou změnit tak, aby si toho aplikace nevšimla.
2. Z čeho se klíč vyrábí? Z hesla, PINu, gesta? Jak může být dlouhé a zpomaluje aplikace hádání?
3. Kdo další klíč drží? Pokud existuje reset hesla e-mailem, dostane se dovnitř někdo jiný než vy.
4. Co se děje s kopií v cloudu? Šifruje se nejdřív v telefonu klíčem, který firma nikdy nevidí?
5. Před čím chrání? Cizí člověk, který zkopíruje soubory, někdo, kdo si půjčí váš odemčený telefon, a někdo, kdo zná váš kód, jsou tři různé problémy.

K poslední otázce se dozvíte víc v návodu Gesto, PIN, nebo Face ID: co ochrání fotky v iPhonu.

Jak na ně odpovídá Hidlet

Hidlet šifruje každou fotku, video, název souboru i miniaturu pomocí AES-256-GCM ve vašem iPhonu ještě před uložením. Každý trezor má vlastní náhodný klíč a odemyká ho gesto, které nakreslíte na mřížce 5×5. Gesto se nikdy neukládá: Hidlet ho 600 000krát pošle funkcí PBKDF2-HMAC-SHA512, smíchané s náhodným tajemstvím uloženým ve vaší Klíčence, odděleně od zálohy. Kdo má jen kopii vaší zálohy, nemůže bez tohoto tajemství začít hádat. Špatná gesta prodlužují čekání, až na 15 minut u každého pokusu.

Kopii těchto klíčů nedrží nikdo další, ani my. Volitelná šifrovaná záloha jde do vašeho vlastního iCloudu a nejdřív se zašifruje v telefonu.

Co Hidlet nedokáže: krátké a jednoduché gesto se hádá snáz než dlouhé a pokud vás někdo donutí trezor otevřít, šifrování nepomůže. K tomu slouží nouzový trezor v Pro. Hidlet je k dispozici v App Storeu.