Hidlet is een iPhone-app

Richt de camera van je iPhone op de code om te installeren. Geen account nodig.

of stuur mij de link

Je vergelijkt fotokluis-apps en elke beschrijving zegt hetzelfde: AES-256, bankniveau, militair niveau. Als ze allemaal dezelfde versleuteling gebruiken, zouden ze allemaal even veilig moeten zijn. Dat zijn ze niet, en dat komt doordat ‘AES-256’ het ene onderdeel van het systeem benoemt dat bijna nooit faalt.

Hier leggen we in gewone woorden uit wat AES-256 is, hoe een kluis je wachtwoord in een sleutel omzet, waarom die stap belangrijker is dan de versleuteling zelf en welke vijf vragen meer zeggen dan het etiket.

Wat AES-256 is

AES, de Advanced Encryption Standard, is een versleutelingsmethode die NIST, de Amerikaanse normalisatie-instantie, heeft gepubliceerd als FIPS 197. Het neemt je gegevens in blokken van 128 bits en husselt elk blok met een geheime sleutel, zodat alleen iemand met dezelfde sleutel het weer kan terugdraaien.

Het getal is de sleutellengte. AES bestaat in drie versies:

Een sleutel van 256 bits heeft 2²⁵⁶ mogelijke waarden, een getal van 78 cijfers. Ze allemaal proberen is geen kwestie van een snellere computer. Het is helemaal geen realistische aanval. De richtlijn van NIST voor sleutelbeheer geeft AES-256 een beveiligingssterkte van 256 bits, en het post-quantumrapport van NIST uit 2026 plaatst AES-256 in de hoogste quantumbeveiligingscategorie en zegt dat het niet verwacht symmetrische standaarden zoals AES te hoeven vervangen.

De versleuteling zelf is dus veilig. Alles wat interessant is, gebeurt eromheen.

De modus: merkt het of er mee geknoeid is?

AES alleen husselt één blok. Om een hele foto te versleutelen draait een app het in een modus, en de modus bepaalt wat je er verder bij krijgt.

GCM (Galois/Counter Mode) is de gebruikelijke keuze voor bestanden. NIST beschrijft het als geauthenticeerde versleuteling: naast het geheimhouden van de gegevens kan het zowel per ongeluk als opzettelijk aangebrachte wijzigingen opmerken. Als iemand een versleutelde foto aanpast, merkt de app dat in plaats van een beschadigd bestand te tonen.

GCM heeft één harde regel. Elke versleuteling heeft een nieuwe waarde nodig, een zogeheten nonce (NIST noemt het de IV), en NIST waarschuwt dat de bescherming bijna volledig kan falen als er ooit een waarde met dezelfde sleutel wordt hergebruikt. NIST noemt die regel bijna even belangrijk als de sleutel geheim houden. Een kluis die ‘AES-256-GCM’ zegt, vertelt je iets nuttigs. Eentje die alleen ‘AES-256’ zegt, zegt niet welke modus hij gebruikt.

De sleutel: waar komt hij vandaan?

Dit is de vraag die bepaalt hoe veilig een kluis werkelijk is.

Niemand typt een sleutel van 256 bits. Je typt een pincode, een wachtwoord of tekent een patroon, en de app zet dat om in een sleutel. De richtlijn van NIST over sleutels op basis van wachtwoorden legt het probleem rechtuit uit: wachtwoorden hebben een lage entropie, dus ze zijn niet geschikt om rechtstreeks als sleutel te gebruiken. En als iemand de versleutelde bestanden kopieert, kan diegene offline raden, op zelfgekozen hardware, dus de sterkte van het wachtwoord is cruciaal.

Twee hulpmiddelen maken raden moeilijker:

• Een salt. Een willekeurige waarde die wordt meegemengd, zodat elke kluis apart moet worden aangevallen. NIST zegt dat die minstens 128 bits moet zijn.
• Veel iteraties. Het wachtwoord wordt duizenden of miljoenen keren door een functie als PBKDF2 (gedefinieerd in RFC 8018) gehaald, zodat elke gok de aanvaller evenveel werk kost. De richtlijn van NIST uit 2010 zegt dat het aantal iteraties zo groot moet zijn als praktisch haalbaar is, raadt minstens 1.000 aan en zegt dat 10.000.000 geschikt kan zijn voor bijzonder kritieke sleutels.

Maar geen enkel aantal rondes redt een korte code. Een pincode van 4 cijfers heeft 10.000 mogelijkheden. Zelfs als elke gok traag is, is dat een korte lijst. De richtlijn van NIST voor sleutelbeheer maakt het algemene punt: de sterkte van een sleutel daalt tot de sterkte van het zwakste proces dat hem beschermt. Een sleutel van 256 bits gemaakt van een pincode van 4 cijfers is in de praktijk een pincode van 4 cijfers.

Je iPhone doet dit beter dan welke app ook op eigen kracht kan. Apple zegt dat de toegangscode aan een hardwaresleutel in het apparaat is gekoppeld, zodat pogingen op die iPhone zelf moeten worden gedaan, ongeveer 80 milliseconden per poging, met vertragingen die de Secure Enclave afdwingt. De telefoon versleutelt ook de bestanden die je bewaart: Apple zegt dat elk bestand een eigen nieuwe sleutel van 256 bits krijgt en dat de versleuteling op A14 tot en met A18 en op M1 of nieuwer AES-256 in XTS-modus is (A9–A13-modellen gebruiken AES-128). Is het album ‘Verborgen’ op iPhone versleuteld? legt uit wat dat dekt.

Veelvoorkomende misverstanden

‘Militair niveau’ betekent iets extra’s. We hebben geen normalisatie-instantie gevonden die het definieert. Het is een marketingterm, meestal voor gewoon AES-256. RFC 9151, een door de NSA geschreven profiel van haar CNSA-suite voor nationale veiligheidssystemen, noemt AES met sleutels van 256 bits in GCM-modus, wat veel gewone apps gebruiken.

‘AES-256’ betekent dat het bedrijf mijn foto’s niet kan zien. Niet op zichzelf. Versleuteling houdt alleen mensen buiten die de sleutel niet hebben. Als het bedrijf de sleutel heeft, kan het ontsleutelen. Apple is daar open over voor iCloud: met standaardbescherming heeft Apple de sleutels voor de meeste gegevens, inclusief Foto’s, en kan het die namens jou ontsleutelen. Met Geavanceerde gegevensbescherming hebben alleen je vertrouwde apparaten de sleutels voor de meeste van je iCloud-gegevens. Kan Apple je verborgen foto’s zien? heeft de details.

‘Op de telefoon versleuteld’ betekent in de cloud versleuteld. Controleer de back-up apart. Een kluis kan bestanden zorgvuldig op de iPhone versleutelen en ze daarna ergens back-uppen waar ze zijn versleuteld met een sleutel die het bedrijf zelf houdt.

Groter is altijd beter. AES-128 is ook ver buiten het bereik van raden. Het verschil tussen 128 en 256 bits maakt veel minder uit dan het verschil tussen een pincode van 4 cijfers en een lange wachtzin.

Vijf vragen om in plaats daarvan te stellen

1. Welke modus? AES-256-GCM, of een andere geauthenticeerde modus, laat zien dat bestanden niet kunnen worden gewijzigd zonder dat de app het merkt.
2. Wat maakt de sleutel? Een wachtwoord, een pincode, een patroon? Hoe lang mag het zijn, en vertraagt de app het raden?
3. Wie heeft de sleutel nog meer? Als je je wachtwoord per e-mail kunt resetten, kan iemand anders dan jij binnenkomen.
4. Wat gebeurt er met de cloudkopie? Is die eerst op de telefoon versleuteld, met een sleutel die het bedrijf nooit ziet?
5. Waartegen beschermt het? Een vreemde die bestanden kopieert, iemand die je ontgrendelde telefoon leent en iemand die je code kent zijn drie verschillende problemen.

Meer over die laatste vraag lees je in Patroonslot, pincode of Face ID: wat beschermt foto’s het best.

Hoe Hidlet ze beantwoordt

Hidlet versleutelt elke foto, video, bestandsnaam en miniatuur met AES-256-GCM op je iPhone voordat het wordt opgeslagen. Elke kluis heeft een eigen willekeurige sleutel, en het patroon dat je op een raster van 5×5 tekent is wat hem ontgrendelt. Dat patroon wordt nooit opgeslagen: Hidlet haalt het 600.000 keer door PBKDF2-HMAC-SHA512, gemengd met een willekeurig geheim in je sleutelhanger, los van de back-up. Wie alleen een kopie van je back-up heeft, kan zonder dat geheim niet beginnen met raden. Foute patronen geven een steeds langere wachttijd, tot 15 minuten per poging.

Niemand anders heeft een kopie van die sleutels, wij ook niet. De optionele versleutelde back-up gaat naar je eigen iCloud en is eerst op de telefoon versleuteld.

Wat het niet kan: een kort, eenvoudig patroon is makkelijker te raden dan een lang patroon, en als iemand je dwingt een kluis te openen, helpt versleuteling niet. Daar is de Pro-dwangkluis voor. Hidlet is beschikbaar in de App Store.