Hidlet è un'app per iPhone

Inquadra il codice con la fotocamera dell'iPhone per installarla. Nessun account.

o inviami il link

Stai confrontando app cassaforte per foto, e ogni scheda dice la stessa cosa: AES-256, livello bancario, livello militare. Se usano tutte la stessa cifratura, dovrebbero essere tutte ugualmente sicure. Non lo sono, e il motivo è che «AES-256» nomina l’unica parte del sistema che quasi non cede mai.

Questa guida spiega che cos’è l’AES-256 in parole semplici, come una cassaforte trasforma la tua password in una chiave, perché quel passaggio conta più della cifratura e cinque domande che dicono più dell’etichetta.

Che cos’è l’AES-256

L’AES, l’Advanced Encryption Standard, è un algoritmo di cifratura pubblicato dal NIST, l’ente statunitense di standardizzazione, come FIPS 197. Prende i tuoi dati in blocchi da 128 bit e rimescola ciascuno con una chiave segreta, così che solo chi ha la stessa chiave può rimetterli in chiaro.

Il numero è la lunghezza della chiave. L’AES ne ha tre:

Una chiave a 256 bit ha 2²⁵⁶ valori possibili, un numero di 78 cifre. Provarli tutti non è questione di un computer più veloce: non è affatto un attacco realistico. La guida del NIST alla gestione delle chiavi assegna all’AES-256 una forza di sicurezza di 256 bit, e il suo rapporto post-quantistico del 2026 lo colloca nella categoria di sicurezza quantistica più alta, dicendo che non prevede di dover abbandonare gli standard simmetrici come l’AES.

Quindi la cifratura è sicura. Tutto ciò che conta accade attorno ad essa.

La modalità: si accorge delle manomissioni?

L’AES da solo rimescola un blocco. Per cifrare un’intera foto, un’app lo esegue in una modalità, ed è la modalità a decidere cos’altro ottieni.

GCM (Galois/Counter Mode) è la scelta comune per i file. Il NIST lo descrive come cifratura autenticata: oltre a mantenere segreti i dati, può rilevare le modifiche, sia accidentali sia volontarie. Se qualcuno altera una foto cifrata, l’app se ne accorge invece di mostrare un file corrotto.

Il GCM ha una regola ferrea. Ogni cifratura richiede un valore nuovo chiamato nonce (il NIST lo chiama IV), e il NIST avverte che, se uno viene mai ripetuto con la stessa chiave, la protezione può venire meno quasi del tutto. Il NIST dice che questa regola è importante quasi quanto tenere segreta la chiave. Una cassaforte che dichiara «AES-256-GCM» ti dice qualcosa di utile; una che dice solo «AES-256» non specifica quale modalità usa.

La chiave: da dove viene?

È la domanda che decide quanto sia davvero sicura una cassaforte.

Nessuno digita una chiave a 256 bit. Tu digiti un PIN, una password o una sequenza, e l’app lo trasforma in una chiave. La guida del NIST sulle chiavi derivate da password spiega chiaramente il problema: le password hanno bassa entropia, quindi non sono adatte a essere usate direttamente come chiavi. E se qualcuno copia i file cifrati, può provare le combinazioni offline, con l’hardware che preferisce, quindi la forza della password è decisiva.

Due strumenti rendono più difficile provare:

• Un salt. Un valore casuale mescolato alla password, così ogni cassaforte va attaccata separatamente. Il NIST dice che dovrebbe essere di almeno 128 bit.
• Molte iterazioni. La password passa migliaia o milioni di volte in una funzione come PBKDF2 (definita nella RFC 8018), così ogni tentativo costa all’attaccante tutto quel lavoro. La guida del NIST del 2010 dice che il numero di iterazioni dovrebbe essere il più alto possibile in pratica, ne raccomanda almeno 1.000 e dice che 10.000.000 può essere adatto a chiavi particolarmente critiche.

Ma nessun numero di cicli salva un codice corto. Un PIN a 4 cifre ha 10.000 possibilità. Anche se ogni tentativo è lento, è una lista piccola. La guida del NIST alla gestione delle chiavi lo dice in generale: la forza di una chiave scende a quella del processo più debole che la protegge. Una chiave a 256 bit ricavata da un PIN a 4 cifre è, in pratica, un PIN a 4 cifre.

Il tuo iPhone se la cava meglio di qualsiasi app da sola. Apple dice che il codice è legato a una chiave hardware all’interno del dispositivo, quindi i tentativi vanno fatti su quell’iPhone, circa 80 millisecondi ciascuno, con ritardi imposti dal Secure Enclave. Il telefono cifra anche i file che salvi: Apple dice che ogni file riceve una nuova chiave a 256 bit e che, sui dispositivi dall’A14 all’A18 e M1 o successivi, la cifratura è AES-256 in modalità XTS (i modelli da A9 ad A13 usano AES-128). L’album Nascosti dell’iPhone è crittografato? spiega cosa copre.

Idee sbagliate comuni

«Livello militare» significa qualcosa in più. Non abbiamo trovato alcun ente di standardizzazione che lo definisca. È una formula di marketing, di solito per il normale AES-256. La RFC 9151, un profilo scritto dalla NSA della sua suite CNSA per i sistemi di sicurezza nazionale, include l’AES con chiavi a 256 bit in modalità GCM, che è ciò che usano molte app comuni.

«AES-256» significa che l’azienda non può vedere le mie foto. Non da solo. La cifratura tiene fuori solo chi non ha la chiave. Se l’azienda ha la chiave, può decifrare. Apple è trasparente su questo per iCloud: con la protezione standard, Apple detiene le chiavi della maggior parte dei dati, comprese quelle di Foto, e può decifrarli per tuo conto; con la Protezione avanzata dati, solo i tuoi dispositivi attendibili detengono le chiavi della maggior parte dei tuoi dati di iCloud. Apple può vedere le tue foto nascoste? ha i dettagli.

«Cifrato sul telefono» significa cifrato nel cloud. Controlla separatamente il backup. Una cassaforte può cifrare con cura i file sull’iPhone e poi salvarli in un posto dove sono cifrati con una chiave che l’azienda conserva.

Più grande è sempre meglio. Anche l’AES-128 è ben oltre ogni tentativo di indovinarlo. La differenza tra 128 e 256 bit conta molto meno di quella tra un PIN a 4 cifre e una lunga passphrase.

Cinque domande da fare invece

1. Quale modalità? AES-256-GCM, o un’altra modalità autenticata, ti dice che i file non possono essere alterati senza che l’app se ne accorga.
2. Che cosa genera la chiave? Una password, un PIN, una sequenza? Quanto può essere lunga, e l’app rallenta i tentativi?
3. Chi altro ha la chiave? Se esiste un ripristino della password via e-mail, qualcuno oltre a te può entrare.
4. Che fine fa la copia nel cloud? È cifrata prima sul telefono, con una chiave che l’azienda non vede mai?
5. Da cosa protegge? Uno sconosciuto che copia i file, qualcuno che ti prende il telefono sbloccato e qualcuno che conosce il tuo codice sono tre problemi diversi.

Per l’ultima, leggi Sequenza, PIN o Face ID: cosa protegge davvero le foto.

Come risponde Hidlet

Hidlet cifra ogni foto, video, nome di file e miniatura con AES-256-GCM sul tuo iPhone prima di salvarli. Ogni cassaforte ha la sua chiave casuale, e la sequenza che disegni su una griglia 5×5 è ciò che la apre. Quella sequenza non viene mai salvata: Hidlet la passa in PBKDF2-HMAC-SHA512 600.000 volte, mescolata a un segreto casuale conservato nel tuo portachiavi, separato dal backup. Chi ha solo una copia del backup non può iniziare a provare le combinazioni senza quel segreto. Le sequenze sbagliate aggiungono un’attesa crescente, fino a 15 minuti ciascuna.

Nessun altro ha una copia di quelle chiavi, nemmeno noi. Il backup crittografato facoltativo va nel tuo iCloud, cifrato prima sul telefono.

Cosa non può fare: una sequenza corta e semplice è più facile da indovinare di una lunga, e se qualcuno ti costringe ad aprire una cassaforte, la cifratura non aiuta. A questo serve la cassaforte di coercizione di Pro. Hidlet è disponibile su App Store.