Hidlet — приложение для iPhone

Наведите камеру iPhone на код, чтобы установить. Без аккаунта.

или отправить ссылку в сообщении

Вы выбираете приложение-сейф для фото, и в каждом описании одно и то же: AES-256, «банковский уровень», «военное шифрование». Если шифрование у всех одинаковое, то и безопасны они должны быть одинаково. Но это не так, и причина в том, что «AES-256» называет ту часть системы, которая почти никогда не подводит.

В этом руководстве простыми словами объясняется, что такое AES-256, как сейф превращает ваш пароль в ключ, почему этот шаг важнее самого шифра, и какие пять вопросов скажут вам больше, чем надпись на странице.

Что такое AES-256

AES (Advanced Encryption Standard) — шифр, который опубликовал NIST, американский орган по стандартам, под номером FIPS 197. Он берёт данные блоками по 128 бит и перемешивает каждый блок секретным ключом, так что расшифровать его может только тот, у кого такой же ключ.

Число в названии — длина ключа. Бывает три варианта AES:

У 256-битного ключа 2²⁵⁶ возможных значений — число из 78 цифр. Перебрать их все не вопрос скорости компьютера: это просто нереальная атака. Руководство NIST по управлению ключами оценивает стойкость AES-256 в 256 бит, а его отчёт 2026 года о постквантовой криптографии относит AES-256 к высшей квантовой категории безопасности и говорит, что отказываться от симметричных стандартов вроде AES не планируется.

Так что сам шифр безопасен. Всё интересное происходит вокруг него.

Режим: заметит ли он подмену?

Сам по себе AES перемешивает один блок. Чтобы зашифровать целое фото, приложение запускает его в определённом режиме, и от режима зависит, что вы получите ещё.

GCM (Galois/Counter Mode) — обычный выбор для файлов. NIST описывает его как аутентифицированное шифрование: он не только хранит данные в тайне, но и позволяет обнаружить как случайные, так и намеренные изменения. Если кто-то изменит зашифрованное фото, приложение узнает об этом, а не покажет испорченный файл.

У GCM есть одно строгое правило. Для каждого шифрования нужно новое значение, называемое nonce (NIST называет его IV), и NIST предупреждает: если хоть раз повторить его с тем же ключом, защита может почти полностью пропасть. По словам NIST, это правило почти так же важно, как сохранение ключа в тайне. Сейф, который пишет «AES-256-GCM», сообщает вам полезную вещь; тот, что пишет просто «AES-256», не говорит, какой режим использует.

Ключ: откуда он берётся?

Именно этот вопрос определяет, насколько сейф безопасен на самом деле.

Никто не вводит 256-битный ключ вручную. Вы вводите PIN-код, пароль или узор, а приложение превращает его в ключ. Рекомендации NIST по ключам, получаемым из паролей, прямо говорят о проблеме: у паролей низкая энтропия, поэтому напрямую в качестве ключей их использовать нельзя. А если кто-то скопирует зашифрованные файлы, он может подбирать пароль офлайн, на оборудовании по своему выбору, так что надёжность пароля критична.

Подбор усложняют два приёма:

• Соль. Случайное значение, подмешиваемое к паролю, чтобы каждый сейф приходилось атаковать отдельно. NIST рекомендует, чтобы оно было не короче 128 бит.
• Множество итераций. Пароль пропускают через функцию вроде PBKDF2 (описана в RFC 8018) тысячи или миллионы раз, поэтому каждая попытка обходится злоумышленнику в столько же работы. Рекомендации NIST 2010 года говорят, что число итераций должно быть настолько большим, насколько это практично, советуют не меньше 1000 и допускают 10 000 000 для особо важных ключей.

Но никакое число раундов не спасёт короткий код. У 4-значного PIN-кода 10 000 вариантов. Даже если каждая попытка медленная, список маленький. Руководство NIST по управлению ключами делает общий вывод: стойкость ключа падает до стойкости самого слабого процесса, который его защищает. 256-битный ключ, полученный из 4-значного PIN-кода, на практике и есть 4-значный PIN-код.

Ваш iPhone справляется с этим лучше, чем любое приложение само по себе. Apple пишет, что код-пароль связан с аппаратным ключом внутри устройства, поэтому подбирать его приходится на самом iPhone, примерно по 80 миллисекунд на попытку, а задержки обеспечивает Secure Enclave. Телефон также шифрует сохранённые вами файлы: по словам Apple, каждый файл получает собственный новый 256-битный ключ, а на устройствах с чипами A14–A18 и M1 и новее используется AES-256 в режиме XTS (на моделях A9–A13 — AES-128). Что именно это покрывает, объясняет руководство Зашифрован ли альбом «Скрытые» на iPhone?.

Распространённые заблуждения

«Военный уровень» означает что-то особенное. Мы не нашли ни одного органа по стандартизации, который определял бы этот термин. Это маркетинговая фраза, обычно означающая обычный AES-256. RFC 9151 — профиль набора CNSA для систем национальной безопасности, написанный в АНБ, — указывает AES с 256-битными ключами в режиме GCM, а его используют и многие обычные приложения.

«AES-256» значит, что компания не видит мои фото. Само по себе — нет. Шифрование защищает только от тех, у кого нет ключа. Если ключ хранит компания, она может расшифровать данные. Apple открыто говорит об этом про iCloud: при стандартной защите Apple хранит ключи от большинства данных, включая «Фото», и может расшифровать их по вашей просьбе; при «Расширенной защите данных» ключи от большинства данных iCloud есть только на ваших доверенных устройствах. Подробности — в руководстве Видит ли Apple скрытые фото?.

«Зашифровано на телефоне» значит «зашифровано в облаке». Резервную копию нужно проверять отдельно. Сейф может аккуратно шифровать файлы на iPhone, а потом копировать их туда, где они зашифрованы ключом, который хранит компания.

Чем больше, тем лучше. AES-128 тоже далеко за пределами возможностей подбора. Разница между 128 и 256 битами значит гораздо меньше, чем разница между 4-значным PIN-кодом и длинной парольной фразой.

Пять вопросов, которые стоит задать вместо этого

1. Какой режим? AES-256-GCM или другой аутентифицированный режим говорит о том, что файл нельзя изменить так, чтобы приложение не заметило.
2. Из чего делается ключ? Из пароля, PIN-кода, узора? Какой он может быть длины и замедляет ли приложение подбор?
3. У кого ещё есть ключ? Если есть сброс пароля по электронной почте, войти может кто-то, кроме вас.
4. Что с копией в облаке? Шифруется ли она сначала на телефоне ключом, которого компания никогда не видит?
5. От чего это защищает? Посторонний, скопировавший файлы, человек, взявший ваш разблокированный телефон, и тот, кто знает ваш код-пароль, — это три разные задачи.

Подробнее о последнем — в руководстве Узор, PIN-код или Face ID: что лучше защищает фото.

Как на эти вопросы отвечает Hidlet

Hidlet шифрует каждое фото, видео, имя файла и миниатюру с помощью AES-256-GCM на вашем iPhone ещё до сохранения. У каждого сейфа свой случайный ключ, а открывает его узор, который вы рисуете на сетке 5×5. Сам узор нигде не сохраняется: Hidlet пропускает его через PBKDF2-HMAC-SHA512 600 000 раз, смешивая со случайным секретом, который хранится в вашей связке ключей отдельно от резервной копии. Тот, у кого есть только копия вашей резервной копии, не сможет начать подбор без этого секрета. Неверные узоры добавляют всё растущую паузу — до 15 минут за каждую попытку.

Копий этих ключей нет ни у кого, в том числе у нас. Необязательная зашифрованная резервная копия уходит в ваш собственный iCloud, предварительно зашифрованная на телефоне.

Чего он не умеет: короткий простой узор подобрать легче, чем длинный, а если кто-то заставит вас открыть сейф, шифрование не поможет. Для этого в Pro есть узор принуждения. Hidlet доступен в App Store.