Hidlet — застосунок для iPhone

Наведіть камеру iPhone на код, щоб установити. Без облікового запису.

або надіслати посилання в повідомленні

Ви порівнюєте сейфи для фото, і в кожному описі одне й те саме: AES-256, «банківський рівень», «військовий рівень». Якщо всі вони використовують однакове шифрування, то всі мають бути однаково безпечними. Але це не так, і причина в тому, що «AES-256» називає єдину частину системи, яка майже ніколи не підводить.

Цей посібник простими словами пояснює, що таке AES-256, як сейф перетворює ваш пароль на ключ, чому цей крок важливіший за сам шифр і які п’ять питань скажуть вам більше, ніж позначка на сторінці програми.

Що таке AES-256

AES, Advanced Encryption Standard, — це шифр, який опублікував NIST, американський орган зі стандартизації, як FIPS 197. Він бере ваші дані блоками по 128 біт і перемішує кожен із них секретним ключем, так що розшифрувати їх може лише той, хто має такий самий ключ.

Число в назві — це розмір ключа. AES має три варіанти:

256-бітний ключ має 2²⁵⁶ можливих значень — число із 78 цифр. Перебрати їх усі не вдасться навіть швидшим комп’ютером: така атака просто нереалістична. Посібник NIST із керування ключами визначає для AES-256 рівень безпеки 256 біт, а його постквантовий звіт 2026 року відносить AES-256 до найвищої квантової категорії безпеки й каже, що не очікує потреби відмовлятися від симетричних стандартів на кшталт AES.

Отже, сам шифр безпечний. Усе цікаве відбувається навколо нього.

Режим: чи помітить він підміну?

Сам по собі AES перемішує один блок. Щоб зашифрувати ціле фото, програма запускає його в певному режимі, і саме режим визначає, що ви отримаєте на додачу.

GCM (Galois/Counter Mode) — поширений вибір для файлів. NIST описує його як автентифіковане шифрування: окрім збереження даних у таємниці, воно здатне виявляти як випадкові, так і навмисні зміни в них. Якщо хтось змінить зашифроване фото, програма про це дізнається, а не покаже пошкоджений файл.

У GCM є одне суворе правило. Для кожного шифрування потрібне нове значення, яке називається nonce (NIST називає його IV), і NIST попереджає: якщо воно хоч раз повториться з тим самим ключем, захист може відмовити майже повністю. NIST вважає це правило майже таким самим важливим, як збереження ключа в таємниці. Сейф, який пише «AES-256-GCM», повідомляє щось корисне; той, що пише просто «AES-256», не каже, який режим використовує.

Ключ: звідки він береться?

Це питання, яке визначає, наскільки безпечний сейф насправді.

Ніхто не вводить 256-бітний ключ. Ви вводите PIN-код, пароль або візерунок, а програма перетворює його на ключ. Настанови NIST щодо ключів на основі паролів чітко пояснюють проблему: паролі мають низьку ентропію, тому не годяться для безпосереднього використання як ключі. А якщо хтось скопіює зашифровані файли, він може підбирати пароль офлайн, на обладнанні за власним вибором, тож надійність пароля має вирішальне значення.

Підбирати складніше допомагають два інструменти:

• Сіль. Випадкове значення, яке домішують, щоб кожен сейф довелося атакувати окремо. NIST вказує, що вона має бути не менше 128 біт.
• Багато ітерацій. Пароль пропускають через функцію на кшталт PBKDF2 (визначена в RFC 8018) тисячі чи мільйони разів, тож кожна спроба коштує зловмисникові стільки ж роботи. Настанови NIST 2010 року кажуть, що кількість ітерацій має бути настільки великою, наскільки це практично, рекомендують щонайменше 1000 і зазначають, що 10 000 000 може підходити для особливо критичних ключів.

Але жодна кількість раундів не врятує короткий код. У 4-значного PIN-коду 10 000 варіантів. Навіть якщо кожна спроба повільна, це невеликий список. Посібник NIST із керування ключами формулює загальну думку: надійність ключа падає до надійності найслабшого процесу, який його захищає. 256-бітний ключ, створений зі 4-значного PIN-коду, на практиці є 4-значним PIN-кодом.

Ваш iPhone з цим справляється краще, ніж будь-яка програма сама по собі. Apple повідомляє, що код допуску прив’язаний до апаратного ключа всередині пристрою, тож підбирати його доводиться на самому iPhone, приблизно по 80 мілісекунд на спробу, із затримками, які забезпечує Secure Enclave. Телефон також шифрує файли, які ви зберігаєте: Apple повідомляє, що кожен файл отримує власний новий 256-бітний ключ, а на пристроях із A14 до A18 і M1 або новіших шифрування — це AES-256 у режимі XTS (моделі A9–A13 використовують AES-128). Що саме це охоплює, пояснює посібник Чи зашифрований альбом «Приховані» на iPhone?.

Поширені хибні уявлення

«Військовий рівень» означає щось додаткове. Ми не знайшли жодного органу зі стандартизації, який би визначав цей термін. Це маркетингова фраза, зазвичай для звичайного AES-256. RFC 9151, профіль набору CNSA від NSA для систем національної безпеки, вказує AES із 256-бітними ключами в режимі GCM, а це саме те, що використовують багато звичайних програм.

«AES-256» означає, що компанія не може бачити мої фото. Не сама по собі. Шифрування лише не пускає тих, хто не має ключа. Якщо ключ у компанії, вона може розшифрувати. Apple відкрито говорить про це для iCloud: зі стандартним захистом Apple зберігає ключі до більшості даних, зокрема до «Фотографій», і може розшифрувати їх від вашого імені; з «Посиленим захистом даних» ключі до більшості ваших даних iCloud є лише на ваших довірених пристроях. Подробиці — у посібнику Чи може Apple бачити ваші приховані фото?.

«Зашифровано на телефоні» означає «зашифровано в хмарі». Резервну копію перевіряйте окремо. Сейф може ретельно шифрувати файли на iPhone, а потім зберігати їх копію там, де вони зашифровані ключем, який залишає собі компанія.

Більше завжди краще. AES-128 також далеко за межами підбору. Різниця між 128 і 256 бітами значить набагато менше, ніж різниця між 4-значним PIN-кодом і довгою парольною фразою.

П’ять питань, які варто ставити натомість

1. Який режим? AES-256-GCM або інший автентифікований режим означає, що файли не можна змінити так, щоб програма цього не помітила.
2. З чого створюється ключ? З пароля, PIN-коду, візерунка? Якої довжини він може бути і чи уповільнює програма підбір?
3. Хто ще має ключ? Якщо є скидання пароля електронною поштою, потрапити всередину може хтось, крім вас.
4. Що з хмарною копією? Чи шифрується вона спершу на телефоні ключем, якого компанія ніколи не бачить?
5. Від чого це захищає? Сторонній, що копіює файли, той, хто позичає ваш розблокований телефон, і той, хто знає ваш код допуску, — це три різні проблеми.

Про останнє докладніше — у посібнику Візерунок, PIN чи Face ID: що краще захищає фото.

Як на них відповідає Hidlet

Hidlet шифрує кожне фото, відео, ім’я файлу та мініатюру за допомогою AES-256-GCM на вашому iPhone ще до збереження. Кожен сейф має власний випадковий ключ, а відкриває його візерунок, який ви малюєте на сітці 5×5. Цей візерунок ніколи не зберігається: Hidlet пропускає його через PBKDF2-HMAC-SHA512 600 000 разів, змішуючи з випадковим секретом, який зберігається у вашій «В’язці» окремо від резервної копії. Той, хто має лише копію вашої резервної копії, не може почати підбір без цього секрету. Неправильні візерунки додають дедалі довше очікування — до 15 хвилин кожен.

Копії цих ключів немає ні в кого, зокрема й у нас. Необов’язкова зашифрована резервна копія потрапляє у ваш власний iCloud, попередньо зашифрована на телефоні.

Чого він не може: короткий і простий візерунок вгадати легше, ніж довгий, а якщо хтось змусить вас відкрити сейф, шифрування не допоможе. Для цього в Pro існує сейф під примусом. Hidlet доступний в App Store.