Cosa significa zero-knowledge per un’app di foto

Da dove viene l’espressione

In crittografia, una prova a conoscenza zero è un modo per dimostrare di sapere qualcosa senza mostrare la cosa stessa. I produttori di app hanno preso in prestito l’espressione per un’idea più vaga: l’azienda conserva i tuoi dati e non può leggerli. Questa idea più vaga è utile. Solo che non è uno standard con un test alle spalle, quindi ogni app può intendere qualcosa di leggermente diverso.

La versione utile ha un nucleo: l’azienda non possiede mai la chiave che apre i tuoi file. Tutto il resto in questa pagina ne discende.

Cosa non può leggere, se l’affermazione è vera

• Le foto e i video stessi. Arrivano già rimescolati.
• I nomi dei file e le didascalie, se l’app rimescola anche quelli. Molte se ne dimenticano. Un nome come “contratto_firmato.pdf” dice molto.
• Note e campi di testo che tieni accanto ai file.

Se una qualsiasi di queste cose arriva all’azienda in chiaro, l’affermazione copre meno di quanto sembri. Questa guida ha quattro domande che verificano chi tiene la chiave.

Cosa può ancora sapere

Zero-knowledge sul contenuto non è zero-knowledge su di te. A seconda di come è costruita l’app, l’azienda può ancora vedere:

Una buona storia di privacy toglie righe da questa tabella, non solo quella del contenuto. Un’app senza account, senza un server proprio e senza strumenti di analisi lascia molto meno da sapere.

Sei domande da fare

1. Ho bisogno di un account? Nessun account significa nessuna email o password registrata da collegare alla tua cassaforte.
2. Potete reimpostarmi la password? Se l’assistenza può farti rientrare con un’email, qualcuno nell’azienda ha una via d’accesso anch’esso. Vedi Hai dimenticato la password della cassaforte per foto?
3. Nomi e note sono cifrati, o solo i file?
4. Dove va il backup, ed è rimescolato prima di lasciare il telefono?
5. Cosa elenca l’etichetta sulla privacy? L’etichetta dell’App Store è la dichiarazione dell’app stessa su ciò che raccoglie.
6. Il formato è documentato? Un formato pubblicato permette ad altri di verificare l’affermazione.

Come risponde Sealed

Ecco come Sealed risponde alle sei, così puoi giudicare da te.

1. Sealed non ha un account, quindi non c’è nulla a cui iscriversi.
2. Poiché la tua chiave non arriva mai a noi, non possiamo recuperare la tua cassaforte né reimpostare il tuo codice al posto tuo.
3. Anche i nomi, le note e i campi di un record sono sigillati con la chiave della tua cassaforte, non solo le foto.
4. Il backup va nel tuo account iCloud, non su un nostro server. File, nomi, note e campi dei record vengono cifrati sul tuo iPhone prima di essere caricati, quindi iCloud riceve solo testo cifrato.
5. Sealed non contiene SDK di analisi o di tracciamento e non raccoglie dati.
6. I formati sono nella pagina delle specifiche di cifratura. Sealed cifra ogni file con AES-256-GCM prima di salvarlo.

Due aziende, due risposte

Con Sealed ci sono due aziende a cui chiedere. La prima siamo noi: Non gestiamo alcun server, quindi non c’è nulla di tuo che possiamo vedere. Sealed non contiene SDK di analisi o di tracciamento e non raccoglie dati. La seconda è Apple, perché il backup sta nel tuo account iCloud. Apple dice che i dati che un’app conserva nel database privato CloudKit di un utente sono accessibili per impostazione predefinita solo a quell’utente, non sono visibili nel portale sviluppatori e contano nello spazio iCloud dell’utente. Apple conserva testo cifrato e può comunque vederne il profilo. Nel tuo backup iCloud, Apple può vedere il tipo di ogni record, un nome casuale del record, quando il record è stato creato e modificato, la dimensione dei suoi file e quanti record ci sono, ma non che cosa contengono.

Ecco come appare lo zero-knowledge quando è onesto: niente di leggibile e un elenco breve e dichiarato di ciò che resta visibile.

Dove Sealed aiuta e dove no

Aiuta perché non c’è un nostro server che tiene i tuoi dati. Non gestiamo alcun server, quindi non c’è nulla di tuo che possiamo vedere. La chiave della tua cassaforte non arriva mai a noi.

Aiuta perché non c’è un account che leghi una cassaforte a un nome. Sealed non ha un account, quindi non c’è nulla a cui iscriversi.

Non tiene un modo per farti rientrare se perdi il tuo codice e la tua chiave di recupero. Poiché la tua chiave non arriva mai a noi, non possiamo recuperare la tua cassaforte né reimpostare il tuo codice al posto tuo.

Non nasconde ad Apple il profilo del backup: che esiste, quanti record ha, le loro dimensioni e le loro date. Nel tuo backup iCloud, Apple può vedere il tipo di ogni record, un nome casuale del record, quando il record è stato creato e modificato, la dimensione dei suoi file e quanti record ci sono, ma non che cosa contengono. Apple dice che i dati che un’app conserva nel database privato CloudKit di un utente sono accessibili per impostazione predefinita solo a quell’utente, non sono visibili nel portale sviluppatori e contano nello spazio iCloud dell’utente.