Hidlet er en app til iPhone

Ret iPhonens kamera mod koden for at installere. Ingen konto.

eller send mig linket

Du sammenligner fotoboks-apps, og alle beskrivelser siger det samme: AES-256, bankniveau, militærkvalitet. Bruger de alle den samme kryptering, burde de alle være lige sikre. Det er de ikke, og det skyldes, at »AES-256« navngiver den ene del af systemet, som næsten aldrig svigter.

Her forklarer vi i almindeligt sprog, hvad AES-256 er, hvordan en boks laver din adgangskode om til en nøgle, hvorfor det trin betyder mere end selve chifferet, og fem spørgsmål, der fortæller dig mere end mærkaten.

Hvad AES-256 er

AES, Advanced Encryption Standard, er et chiffer, som NIST, den amerikanske standardiseringsmyndighed, har udgivet som FIPS 197. Det tager dine data i blokke på 128 bit og blander hver blok med en hemmelig nøgle, så kun en med den samme nøgle kan blande den tilbage.

Tallet er nøglelængden. AES findes i tre versioner:

En 256-bit nøgle har 2²⁵⁶ mulige værdier, et tal med 78 cifre. At prøve dem alle handler ikke om en hurtigere computer. Det er slet ikke et realistisk angreb. NIST’s vejledning om nøglehåndtering giver AES-256 en sikkerhedsstyrke på 256 bit, og NIST’s rapport om post-kvantekryptografi fra 2026 placerer AES-256 i den højeste kvantesikkerhedskategori og siger, at man ikke forventer at skulle væk fra symmetriske standarder som AES.

Chifferet er altså sikkert. Alt det interessante sker rundt om det.

Tilstanden: opdager den, hvis nogen pilleder ved dataene?

AES alene blander én blok. For at kryptere et helt foto kører en app det i en tilstand, og tilstanden afgør, hvad du ellers får.

GCM (Galois/Counter Mode) er det almindelige valg til filer. NIST beskriver det som autentificeret kryptering: Udover at holde dataene hemmelige kan det opdage både tilfældige og bevidste ændringer af dem. Hvis nogen ændrer et krypteret foto, opdager appen det i stedet for at vise en ødelagt fil.

GCM har én ufravigelig regel. Hver kryptering kræver en ny værdi, en såkaldt nonce (NIST kalder det IV), og NIST advarer om, at beskyttelsen næsten helt kan svigte, hvis en værdi nogensinde bruges igen med den samme nøgle. NIST kalder reglen næsten lige så vigtig som at holde nøglen hemmelig. En boks, der skriver »AES-256-GCM«, fortæller dig noget brugbart. En, der kun skriver »AES-256«, siger ikke, hvilken tilstand den bruger.

Nøglen: hvor kommer den fra?

Det er dette spørgsmål, der afgør, hvor sikker en boks i virkeligheden er.

Ingen taster en 256-bit nøgle. Du taster en pinkode, en adgangskode eller et mønster, og appen laver det om til en nøgle. NIST’s vejledning om adgangskodebaserede nøgler forklarer problemet ligeud: Adgangskoder har lav entropi, så de egner sig ikke til at bruges direkte som nøgler. Og hvis nogen kopierer de krypterede filer, kan de gætte offline på hardware efter eget valg, så adgangskodens styrke er helt afgørende.

To værktøjer gør gætteri sværere:

• Et salt. En tilfældig værdi, der blandes ind, så hver boks skal angribes for sig. NIST siger, at det mindst bør være 128 bit.
• Mange iterationer. Adgangskoden køres gennem en funktion som PBKDF2 (defineret i RFC 8018) tusindvis eller millioner af gange, så hvert gæt koster angriberen lige så meget arbejde. NIST’s vejledning fra 2010 siger, at antallet af iterationer bør være så stort, som det er praktisk muligt, anbefaler mindst 1.000 og siger, at 10.000.000 kan passe til særligt kritiske nøgler.

Men ingen mængde runder redder en kort kode. En firecifret pinkode har 10.000 muligheder. Selv hvis hvert gæt er langsomt, er det en lille liste. NIST’s vejledning om nøglehåndtering fremhæver det generelle princip: En nøgles styrke falder til styrken af den svageste proces, der beskytter den. En 256-bit nøgle lavet af en firecifret pinkode er i praksis en firecifret pinkode.

Din iPhone klarer det bedre, end nogen app kan på egen hånd. Apple siger, at koden er bundet til en hardwarenøgle inde i enheden, så gæt skal foretages på netop den iPhone, ca. 80 millisekunder pr. gæt, med forsinkelser, som Secure Enclave gennemtvinger. Telefonen krypterer også de filer, du gemmer: Apple siger, at hver fil får sin egen nye 256-bit nøgle, og at krypteringen på A14 til A18 og på M1 eller nyere er AES-256 i XTS-tilstand (A9–A13-modeller bruger AES-128). Er albummet Skjult på iPhone krypteret? forklarer, hvad det dækker.

Almindelige misforståelser

»Militærkvalitet« betyder noget ekstra. Vi har ikke fundet noget standardiseringsorgan, der definerer det. Det er et marketingudtryk, som oftest dækker over helt almindeligt AES-256. RFC 9151, en NSA-skrevet profil af dens CNSA-suite til nationale sikkerhedssystemer, opregner AES med 256-bit nøgler i GCM-tilstand, som mange helt almindelige apps bruger.

»AES-256« betyder, at firmaet ikke kan se mine fotos. Ikke i sig selv. Kryptering holder kun dem ude, der ikke har nøglen. Hvis firmaet har nøglen, kan det dekryptere. Apple er åben om det for iCloud: Med standardbeskyttelse har Apple nøglerne til de fleste data, også Fotos, og kan dekryptere dem på dine vegne. Med Avanceret databeskyttelse er det kun dine betroede enheder, der har nøglerne til de fleste af dine iCloud-data. Kan Apple se dine skjulte billeder? har detaljerne.

»Krypteret på telefonen« betyder krypteret i skyen. Tjek backuppen for sig. En boks kan kryptere filerne omhyggeligt på iPhone og derefter sikkerhedskopiere dem et sted, hvor de er krypteret med en nøgle, firmaet selv beholder.

Større er altid bedre. AES-128 er også langt ud over, hvad man kan gætte sig til. Forskellen på 128 og 256 bit betyder meget mindre end forskellen på en firecifret pinkode og en lang adgangssætning.

Fem spørgsmål at stille i stedet

1. Hvilken tilstand? AES-256-GCM eller en anden autentificeret tilstand fortæller dig, at filer ikke kan ændres, uden at appen opdager det.
2. Hvad danner nøglen? En adgangskode, en pinkode, et mønster? Hvor lang må den være, og sinker appen gætteri?
3. Hvem har ellers nøglen? Hvis der findes nulstilling af adgangskode via e-mail, kan andre end dig komme ind.
4. Hvad sker der med skykopien? Er den krypteret på telefonen først, med en nøgle firmaet aldrig ser?
5. Hvad beskytter den mod? En fremmed, der kopierer filer, en der låner din oplåste telefon, og en der kender din kode, er tre forskellige problemer.

Du kan læse mere om det sidste i Mønsterlås vs. pinkode vs. Face ID: hvad beskytter fotos.

Sådan svarer Hidlet

Hidlet krypterer hvert foto, video, filnavn og miniature med AES-256-GCM på din iPhone, før det gemmes. Hver boks har sin egen tilfældige nøgle, og det mønster, du tegner på et 5×5-gitter, er det, der låser den op. Mønsteret bliver aldrig gemt: Hidlet kører det gennem PBKDF2-HMAC-SHA512 600.000 gange, blandet med en tilfældig hemmelighed i din nøglering, adskilt fra backuppen. Den, der kun har en kopi af din backup, kan ikke begynde at gætte uden den hemmelighed. Forkerte mønstre giver en stigende ventetid på op til 15 minutter hver.

Ingen andre har en kopi af de nøgler, heller ikke os. Den valgfri krypterede backup går til din egen iCloud og er krypteret på telefonen først.

Hvad den ikke kan: Et kort, enkelt mønster er lettere at gætte end et langt, og hvis nogen tvinger dig til at åbne en boks, hjælper kryptering ikke. Det er det, tvangsboksen i Pro er til. Hidlet er tilgængelig i App Store.