HidletはiPhone用アプリです

iPhoneのカメラでコードを読み取ってインストール。アカウントは不要です。

またはリンクをメッセージで送る

写真金庫アプリを比べていると、どの説明にも同じ言葉が並んでいます。AES-256、銀行レベル、軍事レベル。どれも同じ暗号を使っているなら、安全性も同じはずです。ところが実際にはそうではありません。「AES-256」という言葉が指しているのは、仕組みのなかで最も破られにくい部分だからです。

このガイドでは、AES-256とは何かをやさしい言葉で説明し、金庫がパスワードを鍵に変える仕組みと、なぜその段階のほうが暗号そのものより重要なのかを解説します。そして、ラベルよりも多くを教えてくれる5つの質問をご紹介します。

AES-256とは

AES（高度暗号化標準）は、米国の標準化機関であるNISTがFIPS 197として公開している暗号です。データを128ビットずつのブロックに区切り、秘密の鍵でそれぞれをかき混ぜます。同じ鍵を持つ人だけが元に戻せます。

数字は鍵の長さを表しています。AESには3種類あります。

256ビットの鍵は2²⁵⁶通りもの値を取り得て、これは78桁の数です。すべてを試すのは、コンピュータを速くすれば済む話ではなく、そもそも現実的な攻撃ではありません。NISTの鍵管理ガイドはAES-256に256ビットのセキュリティ強度を与えています。2026年の耐量子暗号に関する報告書も、AES-256を量子セキュリティの最上位カテゴリに位置づけ、AESのような共通鍵暗号の標準から移行する必要はないと見込んでいると述べています。

つまり、暗号そのものは安全です。注目すべきことはすべて、その周辺で起こります。

モード：改ざんに気づけるか

AESだけでは、1つのブロックをかき混ぜるだけです。写真1枚をまるごと暗号化するには、アプリは「モード」と呼ばれる方式の中でAESを動かし、そのモードによって得られるものが変わります。

ファイルによく使われるのがGCM（ガロア／カウンタモード）です。NISTはこれを認証付き暗号と説明しています。データを秘密にするだけでなく、偶然の変化も意図的な変更も検出できます。暗号化された写真が誰かに書き換えられたら、アプリは壊れたファイルを表示するのではなく、異常に気づきます。

GCMには厳守すべき決まりが1つあります。暗号化のたびに、ナンス（NISTはIVと呼びます）という新しい値が必要です。同じ鍵で1度でも使い回すと、保護がほぼ完全に失われかねないとNISTは警告しており、この決まりは鍵を秘密にしておくことと同じくらい重要だとしています。「AES-256-GCM」と書いてある金庫は役に立つ情報を伝えています。単に「AES-256」とだけ書いてある金庫は、どのモードを使っているのかを明かしていません。

鍵：どこから来るのか

金庫が本当に安全かどうかを決めるのは、この問いです。

256ビットの鍵を自分で入力する人はいません。入力するのはPIN、パスワード、パターンで、アプリがそれを鍵に変えます。パスワードを元にした鍵についてのNISTのガイダンスは、問題点をはっきり述べています。パスワードはエントロピーが低いので、そのまま鍵として使うのには向きません。また、暗号化されたファイルをコピーされれば、攻撃者は自分で選んだ機材でオフラインで試行できるので、パスワードの強さが決定的に重要になります。

推測を難しくする道具は2つあります。

• ソルト。 混ぜ込むランダムな値です。これにより、金庫ごとに別々に攻撃しなければならなくなります。NISTは、少なくとも128ビットにするべきだとしています。
• 多数の反復。 パスワードをPBKDF2（RFC 8018で定義）のような関数に何千回、何百万回も通すので、1回試すごとに攻撃者にはそれだけの手間がかかります。NISTの2010年のガイダンスは、反復回数は現実的な範囲でできるだけ大きくするべきだとし、最低でも1,000回を推奨し、特に重要な鍵では1,000万回が適している場合もあるとしています。

とはいえ、どれだけ反復しても、短いコードは救えません。4桁のPINには1万通りしかありません。1回の試行が遅くても、候補が少ないことに変わりはありません。NISTの鍵管理ガイドは一般論として、鍵の強さは、それを守る最も弱い工程の強さまで下がると述べています。4桁のPINから作った256ビットの鍵は、実際には4桁のPINと変わりません。

iPhoneは、どのアプリ単体よりもうまくこの問題に対処しています。Appleによると、パスコードは端末内部のハードウェア鍵と結びついているため、推測はそのiPhone上でしか行えず、1回あたり約80ミリ秒かかり、Secure Enclaveが待ち時間を強制します。iPhoneは保存するファイルも暗号化します。Appleによると、ファイルごとに新しい256ビットの鍵が作られ、A14からA18、およびM1以降のデバイスでは、暗号化はXTSモードのAES-256です（A9〜A13のモデルはAES-128）。これが何を守るのかは、iPhoneの非表示アルバムは暗号化されていますか？で説明しています。

よくある誤解

「軍事レベル」には特別な意味がある。 この言葉を定義している標準化団体は見つかりませんでした。たいていは普通のAES-256を指す宣伝文句です。NSAが書いた、国家安全保障システム向けのCNSAスイートのプロファイルであるRFC 9151には、256ビット鍵のGCMモードのAESが挙げられています。これは、多くの一般的なアプリが使っているものと同じです。

「AES-256」なら、会社に写真は見えない。 それだけでは言えません。暗号化は、鍵を持たない人を締め出すだけです。会社が鍵を持っていれば、復号できます。AppleはiCloudについてこの点を明らかにしています。標準の保護では、「写真」を含むほとんどのデータの鍵をAppleが持ち、あなたに代わって復号できます。高度なデータ保護を使うと、iCloudのデータの大半の鍵は、信頼できるデバイスだけが持ちます。詳しくはAppleは非表示の写真を見られますか？をご覧ください。

「端末上で暗号化」なら、クラウドでも暗号化されている。 バックアップは別に確認してください。金庫がiPhone上でファイルをきちんと暗号化していても、その後、会社が鍵を保管する形で暗号化されたバックアップ先に送っているかもしれません。

大きいほうが常に良い。 AES-128でも、当てずっぽうで破れる範囲をはるかに超えています。128ビットと256ビットの差は、4桁のPINと長いパスフレーズの差に比べれば、ずっと小さな問題です。

代わりに確かめたい5つの質問

1. どのモードか。 AES-256-GCMなどの認証付きモードであれば、アプリに気づかれずにファイルを書き換えることはできません。
2. 何から鍵を作るのか。 パスワード、PIN、パターンのどれか。どれくらい長くできるのか。アプリは推測を遅らせてくれるのか。
3. ほかに誰が鍵を持っているのか。 メールでのパスワード再設定があるなら、あなた以外の誰かが入り込めます。
4. クラウド上のコピーはどうなるのか。 会社が決して目にしない鍵を使って、まずiPhone上で暗号化されているのか。
5. 何から守るのか。 ファイルをコピーする見知らぬ人、ロック解除したiPhoneを借りる人、パスコードを知っている人は、それぞれ別の問題です。

最後の点については、パターンロック、PIN、Face IDの比較：写真を守れるのはどれ？をご覧ください。

Hidletはどう答えるか

Hidletは、写真、ビデオ、ファイル名、サムネイルのすべてを、保存する前にiPhone上でAES-256-GCMで暗号化します。金庫ごとにランダムな鍵があり、5×5のグリッドに描くパターンがそのロックを解除します。パターンが保存されることはありません。HidletはPBKDF2-HMAC-SHA512で60万回処理し、バックアップとは別に、キーチェーンに保管されたランダムな秘密を混ぜ込みます。バックアップのコピーしか持っていない人は、その秘密がなければ推測を始めることもできません。間違ったパターンを入力するたびに待ち時間が増え、最大で15分になります。

これらの鍵のコピーを持っている人は、私たちを含めて誰もいません。任意の暗号化バックアップは、まずiPhone上で暗号化されてから、あなた自身のiCloudに送られます。

できないこともあります。短くて単純なパターンは、長いパターンより推測されやすくなります。また、誰かに金庫を開けるよう強要された場合、暗号化は役に立ちません。そのためにProの強要用の金庫があります。HidletはApp Storeで入手できます。