Sealedがファイルを守る仕組みと、守れないこと

追加した写真に起きること

1. Sealedが読み込むのはご自身が選んだ写真とビデオだけで、「写真」にあるオリジナルを削除するのは、ご自身が求めたときだけです。
2. 各ファイルにはそれぞれランダムな256ビットのキーが与えられ、そのキーは保管庫のキーで封印されます。
3. Sealedはすべてのファイルを、保存する前にAES-256-GCMで暗号化します。 大きなファイルはチャンク単位で暗号化され、Sealedは変更、並べ替え、または途中で切り詰められたファイルを受け付けません。
4. 写真だけでなく、名前、メモ、レコードの各項目も保管庫のキーで封印されます。
5. iCloudバックアップをオンにするか、ご自身で書き出さない限り、ファイルがiPhoneの外に出ることはありません。

準備ができたら、写真Appから元の写真を削除できます。オリジナルは、削除するまで、保管庫の外にある「写真」に残ります。

鍵の置き場所

保管庫のキーはiPhoneのキーチェーンに、このデバイスだけに保管され、読み出せるのはiPhoneのロックが解除されている間だけです。

保管庫のキーはランダムな256ビットのキーであり、パスコードから作られるものではありません。 パスコードはアプリの手前にある門であり、キーの一部ではありません。 保管庫のキーが私たちに届くことはありません。

最大セキュリティ

最大セキュリティは、保管庫のキーをSecure Enclaveのキーに結び付けます。このキーは、Face IDまたはTouch IDの一致をその場で確認できたときにしか使えません。 最大セキュリティには、Face IDまたはTouch IDを備えたiPhoneまたはiPadが必要です。

最大セキュリティをオンにする前に、Sealedはリカバリーキーの保存を求めます。Face IDやTouch IDが変わったとき、保管庫に戻る唯一の方法だからです。 最大セキュリティはSealed Proに含まれます。

保管庫のパスフレーズ

保管庫パスフレーズを使うと、保管庫のキーは、ロック解除のたびに入力するパスフレーズで封印され、それを失った場合は、リカバリーキーだけが保管庫を開けます。 保管庫のキーは、PBKDF2-HMAC-SHA256を1,000,000回繰り返してパスフレーズから作ったキーのもとで、AES-GCMにより封印されます。

保管庫パスフレーズは12文字以上でなければならず、先にリカバリーキーを保存しておく必要があり、最大セキュリティやデュアルロックと同時にオンにはできません。 保管庫パスフレーズはSealed Proに含まれます。

他人を入れない仕組み

開く方法

Sealedは、Face IDまたはTouch ID、4桁・6桁・9桁のパスコード、パスワード、パターンのいずれかで開けます。 Sealedには七種類のロック画面スタイルがあります。キーパッド、保管庫ダイヤル、南京錠、回転ダイヤル、クリプテックス、三回転、ノックです。 キーパッド以外のロック画面スタイルは、すべてSealed Proに含まれます。 ロック画面のスタイルはどれも、パスコードを入力する別の方法であり、入力のしかたが変わるだけで、組み合わせの数は変わりません。

おとり保管庫は二つ目のパスコードで開き、Sealed Proに含まれます。

誰かが推測するとき

初期設定では、パスコードを三回続けて間違えると、Sealedは30秒間入力を受け付けなくなり、その後は間違えるたびに1分、5分、15分、最後に60分と長くなります。

不正アクセス警告は、パスコードを間違えたあとに前面カメラで写真を数枚続けて撮影し、その場所も記録します。 不正アクセス警告はオンにするまで働かず、写真にはカメラの許可も必要です。 不正アクセスの写真はほかのすべてと同じように暗号化され、ロックを解除したあとにしか開けません。一緒に保存される場所の情報もiPhoneの外に出ることはありません。

席を外すとき

Sealedは、遅延を選ばない限り、離れるとすぐにロックされ、Appスイッチャーでは内容を覆い隠します。 Sealedは、iPhoneを振ったときや伏せて置いたときにロックするよう設定できます。

Sealedは、画面が収録またはミラーリングされている間は内容を覆い隠します。これは初期設定でオンです。

追加のロック

デュアルロックは、パスコードとFace IDの一致を両方求めます。Sealed Proに含まれます。

位置情報ロックは、信頼できる場所でのみ保管庫を開きます。Sealed Proに含まれます。

アルバムごとに個別のロックを設定でき、アルバムのロックはSealed Proに含まれます。

無理やり開けさせられるとき

強要パスコードまたは強要パターンは、おとり保管庫を開くと同時に、このiPhoneから本物の保管庫を削除します。 強要パスコードが削除するのはこのiPhoneの保管庫だけです。iCloudには何も送らず、暗号化されたバックアップはそのままで、「iCloudから復元」ですべてを戻せます。 強要パスコードをオンにするには、保存済みのリカバリーキー、中に何かが入ったおとり保管庫、そして、Sealedが項目ごとに確認したばかりのiCloudバックアップが必要です。 強要パスコードはSealed Proに含まれます。

バックアップとリカバリーキー

バックアップは、私たちのサーバではなく、ご自身のiCloudアカウントに保存されます。 ファイル、名前、メモ、レコードの項目は、アップロードする前にiPhone上で暗号化されるため、iCloudが受け取るのは暗号文だけです。

バックアップのレコードにはVaultItemやSecureNoteのような平文の種類名とランダムな識別子が付くため、iCloudにはバックアップが存在することと、レコードのおおよその数が分かります。

暗号化されたiCloudバックアップは無料です。 バックアップはiCloudのストレージを使用し、いっぱいになるとSealedがそう伝えて、新しい項目の追加を止めます。

Sealedは、バックアップをオンにする前に、リカバリーキーの保存を求めます。 リカバリーキーを初めて保存したとき、Sealedは無料のiCloudバックアップもオンにします。 iCloudバックアップは、「設定」の「同期とバックアップ」で、いつでもオフに戻せます。

セットアップ中にSealedはリカバリーキーを渡します。これは文字と数字をグループに分けた長いコードで、保管庫を取り戻すことができます。

リカバリーキーを持っている人は誰でも保管庫を開けるため、Sealedが印刷するキーのシートには、写真、メッセージ、メールの中に保管しないよう書かれています。 パスワードと同じように扱い、人目につかない場所に保管してください。

現在のSealedで作られた保管庫では、リカバリーキーは保管庫のキーそのものではなく、保管庫のキーが入った小さな封筒を開けるものです。そのため、リカバリーキーを置き換えられます。 「設定」で新しいリカバリーキーを作成できます。現在のキーは、新しいキーが保存され、次のバックアップが終わるまで使え続け、古いキーと古いバックアップのコピーを持つ人は、そのコピーを開けるままです。

新しいiPhoneでiCloudバックアップを復号できるのは、リカバリーキーだけです。 保管庫のキーは作成したiPhoneに残るため、新しいiPhoneでは、Sealedがリカバリーキーを求めます。

保管庫を開いている間は、「設定」の「同期とバックアップ」にある「リカバリーキー」で、リカバリーキーをもう一度確認できます。

キーを取り戻すほかの方法

• 封印したコピー。 封印コピーは、あなただけが知るフレーズでリカバリーキーをロックするため、そのコピーをメールやメモに置いておけます。 封印コピーは175文字の文字と数字のかたまりで、PBKDF2-HMAC-SHA256を1,000,000回繰り返してフレーズから作ったキーのもとで、AES-256-GCMによりロックされています。
• キーの預かり人。 キーの預かり人は、リカバリーキーを、どれか2つで戻せる3つの部分、またはどれか3つで戻せる5つの部分に分け、信頼する人ごとに一つの部分を渡します。 預かり人一人の部分だけでは、キーについて何も分かりません。
• オープンコピー。 オープンコピーは、保管庫のコピーを、iCloud Driveの「Sealed」という名前のフォルダに保管し、リカバリーキーとSealedリーダーがあれば、どのコンピュータでもアプリなしで開けます。 オープンコピーの中身はすべて暗号化されたままで、保管庫とほぼ同じ量のiCloud Driveの容量を使い、最後に保存した時点までの内容になります。 オープンコピーはオンにするまで働かず、自動コピーが始まるのは、リカバリーキーが保存されてからです。

共有を送る

選んだパスフレーズでSealedで開ける、暗号化した項目のコピーを相手に送れます。作成はSealed Proに含まれます。

共有は、PBKDF2-HMAC-SHA256を600,000回繰り返してパスフレーズから作ったキーでロックされ、そのあと保管庫と同じ方法で暗号化されます。 Sealedは、共有を作るときに6文字以上のパスフレーズを求めます。 Sealedは、パスフレーズをファイルとは別の方法で、たとえば直接会って、または別のAppで送るようお伝えします。

暗号化した共有は、一時間、一日、7日、30日で終了するようにでき、受け取ったiPhoneは期限が来ると項目を削除します。 写真、ビデオ、PDFの共有は閲覧専用にでき、受け取った相手の保管庫から外へ出す手段がなくなります。 Sealedは共有の制限を受け取ったiPhoneで適用しますが、スクリーンショットは防げず、共有を送ったあとは取り消せないとお伝えします。

共有を受け取った場合は、開き方はこちらです。

保管庫のキーなしで動くもの

• ロック画面のカメラ。 ロック画面のカメラで撮った写真は、書き込まれる前に暗号化され、「写真」に入ることはなく、次にロックを解除したときに保管庫に現れます。
• プライベートな写真を探す。 「プライベートな写真を探す」はiPhone上で実行され、どこにも何も送らず、読み取ったテキストも保存しません。 Sealedが記憶するのは、どの写真を調べたかと、それぞれで何を見つけたかだけで、テキストは記憶しません。それはiPhone上の、デバイスのバックアップに含まれず同期もされないファイルに保存されます。

Sealed が役立つこと、役立たないこと

役立つこと：iPhoneがしばらく他人の手に渡るとき。Sealedは、遅延を選ばない限り、離れるとすぐにロックされ、Appスイッチャーでは内容を覆い隠します。

役立つこと：iPhoneをなくしたとき。新しいiPhoneでは、バックアップとリカバリーキーを使って保管庫を復元できます。

役立つこと：プライベートなファイルを、カメラロールからも、どの会社のサーバからも離して保管したいとき。私たちはサーバを運営していないため、あなたのデータを私たちが見ることはできません。

役立たないことは、次のとおりです。

• 保管庫の外に出たコピーを守ること。 オリジナルは、削除するまで、保管庫の外にある「写真」に残ります。 iCloudバックアップをオンにするか、ご自身で書き出さない限り、ファイルがiPhoneの外に出ることはありません。
• パスコードもリカバリーキーもない状態で、保管庫に戻すこと。 キーが私たちに届くことはないため、私たちが保管庫を復旧したり、パスコードをリセットしたりすることはできません。
• iPhoneのロックが解除されている間、鍵をAppから遠ざけること。最大セキュリティか保管庫のパスフレーズがオンの場合を除きます。 最大セキュリティを使わない場合、キーはキーチェーンに置かれているため、アプリはiPhoneのロックが解除されている間いつでも保管庫のキーを読み出せます。 パスコードはアプリの手前にある門であり、キーの一部ではありません。
• ロック解除を強いることができる相手から守ること。 Sealedは、強要パスコードがフォレンジック対策の消去ではないこと、まだiCloudにないものは失われること、Face IDやTouch IDでロックを解除させられる人や、本物のパスコードを知っている人には本物の保管庫が見えることを、はっきりお伝えします。
• 弱い共有のパスフレーズを強くすること。 Sealedは、共有を作るときに6文字以上のパスフレーズを求めます。 長いほうが安全です。
• バックアップをオフにしたままAppを削除したときに、保管庫を残すこと。 iCloudバックアップがオフの状態でiPhoneからSealedを削除すると、そのiPhoneにある保管庫も一緒に削除されます。
• すべてを自動でオンにすること。 不正アクセス警告はオンにするまで働かず、写真にはカメラの許可も必要です。
• すべての保護を無料プランに含めること。 Sealed Proは、おとり保管庫、強要パスコード、不正アクセスの写真、デュアルロック、位置情報ロック、最大セキュリティ、ロックされたアルバム、七種類のロック画面など、プライバシーのためのツールを加えます。

セキュリティ上の問題を報告する

Sealedに弱点を見つけたと思われる場合は、件名に「Security」と入れて support@loopware.app までご連絡ください。何を見たか、それを確認するために何をしたか、使っていたSealedのバージョンをお知らせください。ほかの人の写真やデータは報告に含めないでください。また、公に書く前に、問題を修正するための妥当な時間をください。

私たちはすべての報告を読み、返信します。人々のファイルに影響する問題を修正したときは、リリースノートでお知らせします。