Что значит «нулевое разглашение» в приложении для фото

Откуда взялась эта фраза

В криптографии доказательство с нулевым разглашением — это способ показать, что вы что-то знаете, не показывая самого знания. Создатели приложений позаимствовали фразу для более свободной идеи: компания хранит ваши данные и не может их прочитать. Идея полезная. Но это не стандарт с проверкой, поэтому каждое приложение может вкладывать в неё немного своё.

У полезной версии одно ядро: компания никогда не держит ключ, который открывает ваши файлы. Всё остальное на этой странице следует из этого.

Чего компания не может прочитать, если заявление верно

• Сами фото и видео. Они приходят уже зашифрованными.
• Имена файлов и подписи, если приложение шифрует и их. Многие об этом забывают. Имя вроде «lease_signed.pdf» говорит о многом.
• Заметки и текстовые поля, которые вы храните рядом с файлами.

Если что-то из этого попадает к компании в открытом виде, заявление охватывает меньше, чем кажется. В этом руководстве есть четыре вопроса, проверяющие, у кого ключ.

Что компания всё же может знать

Нулевое разглашение о содержимом не значит нулевое разглашение о вас. В зависимости от устройства приложения компания может по-прежнему видеть:

Сильная история о конфиденциальности убирает строки из этой таблицы, а не только строку о содержимом. Приложение без учётной записи, без собственного сервера и без инструментов аналитики оставляет знать гораздо меньше.

Шесть вопросов

1. Нужна ли мне учётная запись? Нет учётной записи — нет почты и пароля, которые можно связать с вашим хранилищем.
2. Можете ли вы сбросить мой пароль? Если поддержка может вернуть вас по почте, значит, у кого-то в компании тоже есть путь внутрь. См. Забыли пароль от хранилища фото?
3. Зашифрованы ли имена и заметки или только файлы?
4. Куда уходит резервная копия и шифруется ли она до того, как покинет телефон?
5. Что указано на метке конфиденциальности? Метка в App Store — собственное заявление приложения о том, что оно собирает.
6. Записан ли формат? Опубликованный формат позволяет другим проверить заявление.

Как отвечает Sealed

Вот как Sealed отвечает на эти шесть вопросов, чтобы вы могли судить сами.

1. В Sealed нет учётной записи, поэтому регистрироваться не нужно.
2. Поскольку ваш ключ никогда не попадает к нам, мы не можем восстановить ваше хранилище или сбросить ваш код-пароль.
3. Ключом вашего хранилища запечатаны не только фото, но и названия, заметки и поля записей.
4. Копия уходит в вашу собственную учётную запись iCloud, а не на наш сервер. Файлы, названия, заметки и поля записей шифруются на вашем iPhone до загрузки, поэтому iCloud получает только шифртекст.
5. В Sealed нет аналитических и трекинговых SDK, и приложение не собирает данные.
6. Форматы описаны на странице спецификации шифрования. Sealed шифрует каждый файл алгоритмом AES-256-GCM, прежде чем его сохранить.

Две компании, два ответа

С Sealed есть две компании, которых стоит спросить. Первая — мы: У нас нет сервера, поэтому нам нечего видеть из ваших данных. В Sealed нет аналитических и трекинговых SDK, и приложение не собирает данные. Вторая — Apple, потому что резервная копия лежит в вашей собственной учётной записи iCloud. Apple сообщает, что данные, которые приложение хранит в частной базе данных CloudKit пользователя, по умолчанию доступны только этому пользователю, не видны в портале разработчика и учитываются в хранилище iCloud пользователя. Apple хранит шифртекст и всё же может видеть его контуры. В вашей копии в iCloud Apple видит тип каждой записи, случайное имя записи, когда запись создана и изменена, размер её файлов и сколько всего записей, но не то, что в них.

Вот как выглядит честное нулевое разглашение: ничего читаемого и короткий названный список того, что всё же видно.

Где Sealed помогает, а где нет

Помогает, потому что нет нашего сервера, где лежали бы ваши данные. У нас нет сервера, поэтому нам нечего видеть из ваших данных. Ключ вашего хранилища никогда не попадает к нам.

Помогает, потому что нет учётной записи, которая привязывала бы хранилище к имени. В Sealed нет учётной записи, поэтому регистрироваться не нужно.

Не хранит способа вернуть вас, если вы потеряете код-пароль и ключ восстановления. Поскольку ваш ключ никогда не попадает к нам, мы не можем восстановить ваше хранилище или сбросить ваш код-пароль.

Не скрывает от Apple контуры резервной копии: что она существует, сколько в ней записей, их размеры и даты. В вашей копии в iCloud Apple видит тип каждой записи, случайное имя записи, когда запись создана и изменена, размер её файлов и сколько всего записей, но не то, что в них. Apple сообщает, что данные, которые приложение хранит в частной базе данных CloudKit пользователя, по умолчанию доступны только этому пользователю, не видны в портале разработчика и учитываются в хранилище iCloud пользователя.