O que é «conhecimento zero» em um app de fotos e o que perguntar

De onde vem a expressão

Em criptografia, uma prova de conhecimento zero é um jeito de mostrar que você sabe algo sem mostrar a coisa em si. Os fabricantes de apps tomaram a expressão emprestada para uma ideia mais solta: a empresa guarda os seus dados e não consegue lê-los. Essa ideia mais solta é útil. Só não é um padrão com um teste por trás, então cada app pode querer dizer algo um pouco diferente.

A versão útil tem um núcleo: a empresa nunca guarda a chave que abre os seus arquivos. Tudo o mais nesta página decorre disso.

O que ela não consegue ler, se a afirmação for verdadeira

• As próprias fotos e vídeos. Chegam já embaralhados.
• Nomes de arquivos e legendas, se o app embaralha isso também. Muitos apps esquecem. Um nome como “contrato_assinado.pdf” diz muita coisa.
• Notas e campos de texto que você guarda ao lado dos arquivos.

Se qualquer um deles chega à empresa às claras, a afirmação cobre menos do que parece. Este guia tem quatro perguntas que testam quem guarda a chave.

O que ela ainda pode saber

Conhecimento zero sobre o conteúdo não é conhecimento zero sobre você. Dependendo de como o app é construído, a empresa ainda pode ver:

Uma boa história de privacidade tira linhas dessa tabela, não só a linha do conteúdo. Um app sem conta, sem servidor próprio e sem ferramentas de análise deixa muito menos a saber.

Seis perguntas para fazer

1. Preciso de uma conta? Sem conta, não há e-mail nem senha registrados para ligar ao seu cofre.
2. Vocês podem redefinir a minha senha? Se o suporte pode deixar você entrar de volta com um e-mail, alguém na empresa também tem um jeito de entrar. Veja Esqueceu a senha do cofre de fotos?
3. Nomes e notas são criptografados, ou só os arquivos?
4. Para onde vai o backup, e ele é embaralhado antes de sair do iPhone?
5. O que a etiqueta de privacidade lista? A etiqueta da App Store é a declaração do próprio app sobre o que ele coleta.
6. O formato está escrito? Um formato publicado permite que outros verifiquem a afirmação.

Como o Sealed responde

Veja como o Sealed responde às seis, para você julgar por conta própria.

1. O Sealed não tem conta, então não há nada para cadastrar.
2. Como a sua chave nunca chega até nós, não podemos recuperar o seu cofre nem redefinir o seu código por você.
3. Nomes, notas e os campos de um registro também são selados com a chave do seu cofre, não apenas as fotos.
4. O backup vai para a sua própria conta do iCloud, não para um servidor nosso. Arquivos, nomes, notas e campos de registros são criptografados no seu iPhone antes de serem enviados, então o iCloud recebe somente texto cifrado.
5. O Sealed não contém SDKs de análise nem de rastreamento e não coleta dados.
6. Os formatos estão na página da especificação de criptografia. O Sealed criptografa cada arquivo com AES-256-GCM antes de salvá-lo.

Duas empresas, duas respostas

Com o Sealed há duas empresas a perguntar. A primeira somos nós: Não mantemos nenhum servidor, então não há nada seu para a gente ver. O Sealed não contém SDKs de análise nem de rastreamento e não coleta dados. A segunda é a Apple, porque o backup fica na sua própria conta do iCloud. A Apple diz que os dados que um app guarda no banco de dados privado do CloudKit de um usuário são acessíveis somente a esse usuário por padrão, não ficam visíveis no portal do desenvolvedor e contam no armazenamento do iCloud do usuário. A Apple guarda texto cifrado e ainda pode ver o contorno dele. No seu backup do iCloud, a Apple pode ver o tipo de cada registro, um nome de registro aleatório, quando o registro foi criado e alterado, o tamanho dos seus arquivos e quantos registros existem, mas não o que há neles.

É assim que o conhecimento zero parece quando é honesto: nada legível e uma lista curta e nomeada do que ainda é visível.

Onde o Sealed ajuda e onde não ajuda

Ajuda porque não há servidor nosso guardando os seus dados. Não mantemos nenhum servidor, então não há nada seu para a gente ver. A chave do seu cofre nunca chega até nós.

Ajuda porque não há conta para ligar um cofre a um nome. O Sealed não tem conta, então não há nada para cadastrar.

Não guarda um jeito de deixar você voltar se perder o código e a chave de recuperação. Como a sua chave nunca chega até nós, não podemos recuperar o seu cofre nem redefinir o seu código por você.

Não esconde da Apple o contorno do backup: que ele existe, quantos registros tem, os tamanhos e as datas deles. No seu backup do iCloud, a Apple pode ver o tipo de cada registro, um nome de registro aleatório, quando o registro foi criado e alterado, o tamanho dos seus arquivos e quantos registros existem, mas não o que há neles. A Apple diz que os dados que um app guarda no banco de dados privado do CloudKit de um usuário são acessíveis somente a esse usuário por padrão, não ficam visíveis no portal do desenvolvedor e contam no armazenamento do iCloud do usuário.