Wat zero-knowledge betekent voor een fotoapp, en wat te vragen

Waar de term vandaan komt

In de cryptografie is een zero-knowledge-bewijs een manier om te laten zien dat je iets weet zonder het zelf te tonen. App-makers leenden de term voor een losser idee: het bedrijf bewaart je gegevens en kan ze niet lezen. Dat lossere idee is nuttig. Het is alleen geen standaard met een test erachter, dus elke app kan er iets anders mee bedoelen.

De nuttige versie heeft één kern: het bedrijf heeft nooit de sleutel waarmee je bestanden opengaan. Al het andere op deze pagina volgt daaruit.

Wat het niet kan lezen, als de claim klopt

• De foto’s en video’s zelf. Ze komen al versleuteld binnen.
• Bestandsnamen en bijschriften, als de app die ook versleutelt. Veel apps vergeten dat. Een naam als “huurcontract_getekend.pdf” zegt veel.
• Notities en tekstvelden die je naast de bestanden bewaart.

Komt een van deze leesbaar bij het bedrijf aan, dan dekt de claim minder dan het klinkt. Deze gids heeft vier vragen om te testen wie de sleutel heeft.

Wat het nog wel kan weten

Zero-knowledge over inhoud is geen zero-knowledge over jou. Afhankelijk van hoe de app is gebouwd, kan het bedrijf nog steeds zien:

Een sterk privacyverhaal haalt rijen uit deze tabel, niet alleen de rij over inhoud. Een app zonder account, zonder eigen server en zonder analysetools laat veel minder te weten.

Zes vragen om te stellen

1. Heb ik een account nodig? Geen account betekent geen e-mailadres of wachtwoord in het dossier om aan je kluis te koppelen.
2. Kunnen jullie mijn wachtwoord resetten? Als support je met een e-mail weer binnen kan laten, heeft iemand bij het bedrijf ook een weg naar binnen. Zie Wachtwoord van je fotokluis vergeten?
3. Zijn namen en notities versleuteld, of alleen de bestanden?
4. Waar gaat de back-up heen, en is hij versleuteld voor hij de telefoon verlaat?
5. Wat staat er op het privacylabel? Het label in de App Store is de eigen verklaring van de app over wat hij verzamelt.
6. Is het formaat opgeschreven? Een gepubliceerd formaat laat anderen de claim controleren.

Hoe Sealed ze beantwoordt

Zo beantwoordt Sealed de zes, zodat je zelf kunt oordelen.

1. Sealed heeft geen account, dus er valt niets aan te melden.
2. Omdat je sleutel nooit bij ons komt, kunnen wij je kluis niet voor je herstellen of je toegangscode niet voor je resetten.
3. Namen, notities en de velden van een gegeven worden ook met je kluissleutel verzegeld, niet alleen de foto’s.
4. De back-up gaat naar je eigen iCloud-account, niet naar een server van ons. Bestanden, namen, notities en velden van gegevens worden op je iPhone versleuteld voordat ze worden geüpload, dus iCloud ontvangt alleen versleutelde tekst.
5. Sealed bevat geen analyse- of trackingsoftware van derden en verzamelt geen data.
6. De formaten staan op de pagina met de versleutelingsspecificatie. Sealed versleutelt elk bestand met AES-256-GCM voordat het wordt bewaard.

Twee bedrijven, twee antwoorden

Bij Sealed zijn er twee bedrijven om te vragen. Het eerste zijn wij: Wij draaien geen server, dus er is niets van jou dat wij kunnen zien. Sealed bevat geen analyse- of trackingsoftware van derden en verzamelt geen data. Het tweede is Apple, omdat de back-up in je eigen iCloud-account staat. Apple zegt dat de data die een app in de privédatabase van CloudKit van een gebruiker bewaart standaard alleen voor die gebruiker toegankelijk is, niet zichtbaar is in het ontwikkelaarsportaal en meetelt voor de iCloud-opslag van de gebruiker. Apple bewaart versleutelde gegevens en kan de omtrek ervan nog steeds zien. In je iCloud-back-up kan Apple het type van elk record zien, een willekeurige recordnaam, wanneer het record is gemaakt en gewijzigd, de grootte van zijn bestanden en hoeveel records er zijn, maar niet wat erin zit.

Zo ziet zero-knowledge eruit als het eerlijk is: niets leesbaars, en een korte, benoemde lijst van wat nog zichtbaar is.

Waar Sealed helpt, en waar niet

Het helpt omdat er geen server van ons is die je gegevens bewaart. Wij draaien geen server, dus er is niets van jou dat wij kunnen zien. Je kluissleutel komt nooit bij ons terecht.

Het helpt omdat er geen account is dat een kluis aan een naam koppelt. Sealed heeft geen account, dus er valt niets aan te melden.

Het houdt geen manier achter om je binnen te laten als je je toegangscode en je herstelsleutel kwijtraakt. Omdat je sleutel nooit bij ons komt, kunnen wij je kluis niet voor je herstellen of je toegangscode niet voor je resetten.

Het houdt de omtrek van de back-up niet voor Apple verborgen: dat hij bestaat, hoeveel records hij heeft, hun grootte en hun data. In je iCloud-back-up kan Apple het type van elk record zien, een willekeurige recordnaam, wanneer het record is gemaakt en gewijzigd, de grootte van zijn bestanden en hoeveel records er zijn, maar niet wat erin zit. Apple zegt dat de data die een app in de privédatabase van CloudKit van een gebruiker bewaart standaard alleen voor die gebruiker toegankelijk is, niet zichtbaar is in het ontwikkelaarsportaal en meetelt voor de iCloud-opslag van de gebruiker.