Que veut dire « zero-knowledge » pour une app photo, et que demander

D’où vient l’expression

En cryptographie, une preuve à divulgation nulle de connaissance est un moyen de montrer que l’on sait quelque chose sans montrer la chose elle-même. Les éditeurs d’apps ont emprunté l’expression pour une idée plus large : l’entreprise stocke vos données et ne peut pas les lire. Cette idée plus large est utile. Mais ce n’est pas une norme avec un test derrière, et chaque app peut donc entendre quelque chose de légèrement différent.

La version utile a un noyau : l’entreprise ne détient jamais la clé qui ouvre vos fichiers. Tout le reste de cette page en découle.

Ce qu’elle ne peut pas lire, si l’affirmation est vraie

• Les photos et vidéos elles-mêmes. Elles arrivent déjà brouillées.
• Les noms de fichiers et les légendes, si l’app les brouille aussi. Beaucoup d’apps l’oublient. Un nom comme « bail_signe.pdf » en dit long.
• Les notes et les champs de texte que vous gardez à côté des fichiers.

Si l’un d’eux parvient en clair à l’entreprise, l’affirmation couvre moins qu’il n’y paraît. Ce guide propose quatre questions pour tester qui détient la clé.

Ce qu’elle peut encore savoir

Zero-knowledge sur le contenu ne veut pas dire zero-knowledge sur vous. Selon la conception de l’app, l’entreprise peut encore voir :

Une bonne politique de confidentialité retire des lignes de ce tableau, pas seulement celle du contenu. Une app sans compte, sans serveur propre et sans outil d’analyse laisse bien moins à savoir.

Six questions à poser

1. Ai-je besoin d’un compte ? Pas de compte, pas d’e-mail ni de mot de passe enregistrés à relier à votre coffre.
2. Pouvez-vous réinitialiser mon mot de passe ? Si l’assistance peut vous laisser rentrer par e-mail, quelqu’un dans l’entreprise a aussi un moyen d’entrer. Voir Mot de passe du coffre photo oublié ?
3. Les noms et les notes sont-ils chiffrés, ou seulement les fichiers ?
4. Où va la sauvegarde, et est-elle brouillée avant de quitter le téléphone ?
5. Que liste l’étiquette de confidentialité ? L’étiquette de l’App Store est la déclaration de l’app sur ce qu’elle collecte.
6. Le format est-il documenté ? Un format publié permet à d’autres de vérifier l’affirmation.

Comment Sealed y répond

Voici comment Sealed répond aux six, pour que vous puissiez juger vous-même.

1. Sealed n’a pas de compte : il n’y a donc rien à créer.
2. Comme votre clé ne nous parvient jamais, nous ne pouvons ni récupérer votre coffre-fort ni réinitialiser votre code à votre place.
3. Les noms, les notes et les champs d’une fiche sont eux aussi scellés avec la clé de votre coffre-fort, pas seulement les photos.
4. La sauvegarde va vers votre propre compte iCloud, pas vers un serveur à nous. Les fichiers, les noms, les notes et les champs des fiches sont chiffrés sur votre iPhone avant d’être envoyés, de sorte qu’iCloud ne reçoit que du texte chiffré.
5. Sealed ne contient aucun SDK d’analyse ou de suivi, et il ne collecte aucune donnée.
6. Les formats sont sur la page de spécification du chiffrement. Sealed chiffre chaque fichier avec AES-256-GCM avant de l’enregistrer.

Deux entreprises, deux réponses

Avec Sealed, il y a deux entreprises à interroger. La première, c’est nous : Nous n’exploitons aucun serveur : il n’y a donc rien de vous que nous puissions voir. Sealed ne contient aucun SDK d’analyse ou de suivi, et il ne collecte aucune donnée. La seconde, c’est Apple, car la sauvegarde se trouve dans votre propre compte iCloud. Apple indique que les données qu’une app conserve dans la base de données privée CloudKit d’un utilisateur ne sont accessibles par défaut qu’à cet utilisateur, ne sont pas visibles dans le portail développeur, et comptent dans le stockage iCloud de l’utilisateur. Apple stocke du texte chiffré, et peut encore en voir le contour. Dans votre sauvegarde iCloud, Apple peut voir le type de chaque enregistrement, un nom d’enregistrement aléatoire, la date de création et de modification de l’enregistrement, la taille de ses fichiers et le nombre d’enregistrements, mais pas ce qu’ils contiennent.

Voilà à quoi ressemble le zero-knowledge quand il est honnête : rien de lisible, et une liste courte et nommée de ce qui reste visible.

Où Sealed aide, et où il n’aide pas

Il aide parce qu’aucun serveur de notre part ne garde vos données. Nous n’exploitons aucun serveur : il n’y a donc rien de vous que nous puissions voir. La clé de votre coffre-fort ne nous parvient jamais.

Il aide parce qu’aucun compte ne relie un coffre à un nom. Sealed n’a pas de compte : il n’y a donc rien à créer.

Il ne garde pas de moyen de vous laisser rentrer si vous perdez votre code et votre clé de récupération. Comme votre clé ne nous parvient jamais, nous ne pouvons ni récupérer votre coffre-fort ni réinitialiser votre code à votre place.

Il ne cache pas à Apple le contour de la sauvegarde : son existence, le nombre d’enregistrements, leur taille et leurs dates. Dans votre sauvegarde iCloud, Apple peut voir le type de chaque enregistrement, un nom d’enregistrement aléatoire, la date de création et de modification de l’enregistrement, la taille de ses fichiers et le nombre d’enregistrements, mais pas ce qu’ils contiennent. Apple indique que les données qu’une app conserve dans la base de données privée CloudKit d’un utilisateur ne sont accessibles par défaut qu’à cet utilisateur, ne sont pas visibles dans le portail développeur, et comptent dans le stockage iCloud de l’utilisateur.