Coulisses
Ce qu'un coffre leurre peut et ne peut pas faire, et comment Velum en construit un
Par l'équipe llcloud 5 min de lecture
Réponse rapide
Un coffre leurre est un second coffre qui s'ouvre avec un autre schéma, que vous pouvez montrer quand quelqu'un insiste pour regarder. Dans Velum, chaque schéma ouvre son propre coffre et rien dans l'application ne les liste ni ne les compte. Un schéma de contrainte ouvre un coffre et supprime les clés de tous les autres coffres du téléphone. Un leurre ne peut pas cacher que Velum existe, il lui faut des photos ordinaires pour être crédible, et un effacement sous contrainte est irréversible.
Un coffre leurre répond à une inquiétude précise : quelqu'un est à côté de vous et veut voir ce que contient votre coffre. Dire non n'est peut-être pas possible. Un leurre vous permet d'ouvrir quelque chose de réel qui n'est pas ce que vous protégez. Cela paraît simple, et le plus difficile est de s'assurer que l'application elle-même ne trahit pas le jeu. Voici comment Velum s'y prend, et où l'idée cesse de fonctionner.
Comment fonctionnent les coffres supplémentaires dans Velum ?
Chaque schéma ouvre son propre coffre. Quand vous ajoutez un coffre, ce qui fait partie de Pro, vous dessinez un nouveau schéma et recevez une nouvelle phrase de récupération de 9 mots pour lui. Les deux coffres ne partagent rien de visible. En ouvrir un ne montre rien de l'autre, pas même qu'il existe.
La méthode habituelle serait une liste : le coffre un s'ouvre avec ce schéma, le coffre deux avec celui-là. Nous ne voulions pas que cette liste existe, car toute liste peut être trouvée. Le déverrouillage fonctionne donc à l'envers. Quand vous dessinez un schéma, Velum le transforme en clé, comme expliqué dans comment Velum chiffre une photo, et calcule le nom du fichier de clé que ce schéma aurait. Puis il vérifie simplement si un fichier de ce nom existe.
S'il existe, ce fichier ouvre le coffre. Sinon, Velum répond « non reconnu ». Il n'y a rien à consulter, donc rien à divulguer.
Pourquoi n'y a-t-il aucune liste de coffres nulle part ?
Parce qu'un nombre en dit autant qu'une liste. Si l'application stockait « 3 coffres » quelque part, dans un fichier de réglages, un rapport de plantage ou un événement d'analyse, quelqu'un pourrait le lire et savoir que vous ne lui aviez pas tout montré. Nous avons donc construit Velum pour que rien ne compte ni ne nomme les coffres sous forme lisible.
Quelques détails qui maintiennent cela :
- Les fichiers de couverture sont toujours là. Le dossier des fichiers de clé contient toujours un ensemble de fichiers de couverture aléatoires qui n'ouvrent rien. Un coffre ou cinq, le dossier a la même allure.
- Tous les blocs se ressemblent. Les photos, les miniatures et l'index de chaque coffre sont stockés dans des blocs de même taille avec des noms aléatoires. Quels blocs appartiennent à quel coffre n'est noté que dans l'index chiffré de chaque coffre.
- Tous les mauvais schémas se ressemblent. Un mauvais schéma coûte la même attente quel que soit le dessin, et l'attente s'allonge après cinq essais. Velum n'affiche jamais un coffre vide pour un schéma inconnu, donc une faute de frappe ne peut pas passer pour un coffre, et une supposition ne se distingue pas d'un presque bon.
- Les réglages vivent dans chaque coffre. Tout ce qui diffère d'un coffre à l'autre est gardé dans l'index chiffré de ce coffre, jamais dans les réglages partagés de l'application.
- Notre télémétrie ne les voit pas. Les événements d'usage anonymes que Velum envoie ne portent aucun nombre, aucun nom et rien qui diffère d'un coffre à l'autre.
- Les sauvegardes restent discrètes aussi. La sauvegarde Google Drive de Pro utilise le même ensemble plat de fichiers quel que soit le nombre de coffres, donc Drive n'apprend rien non plus.
C'est aussi pourquoi « plus de coffres » est une fonction Pro plutôt qu'un nombre. L'application ne peut pas compter vos coffres, donc l'offre gratuite ne peut pas les limiter à deux. Ajouter un coffre est la barrière.
Que fait le schéma de contrainte ?
Le schéma de contrainte, lui aussi dans Pro, est pensé pour le moment où montrer un leurre ne suffit peut-être pas. C'est un second schéma pour un coffre, généralement celui que vous montreriez à quelqu'un. Dessiné sous la contrainte, il ouvre ce coffre exactement comme d'habitude. En arrière-plan, il supprime les clés de tous les autres coffres du téléphone.
Sans ses clés, un coffre ne peut pas être ouvert, donc les photos qu'il contient sont perdues pour ce téléphone. Nous supprimons des clés plutôt que des fichiers, volontairement. Écraser des fichiers sur une mémoire flash ne prouve pas grand-chose, car c'est le téléphone qui décide où les données atterrissent vraiment. Une clé manquante est définitive d'une façon qu'un fichier supprimé ne l'est pas. Les blocs des autres coffres restent en place comme des données illisibles qui ressemblent à tous les autres blocs, et Velum reconstitue les fichiers de couverture, de sorte que ni le dossier des clés ni le stockage ne rétrécit d'une façon que quelqu'un pourrait remarquer.
La sauvegarde gratuite vers un dossier reflète le coffre, donc à sa prochaine exécution après un effacement sous contrainte, la sauvegarde perd ces clés elle aussi.
Que ne peut pas faire un coffre leurre ?
Nous préférons le dire clairement plutôt que de laisser une fonction promettre plus qu'elle ne tient.
- Il ne peut pas cacher que Velum existe. Quiconque connaît Velum sait que des coffres cachés peuvent exister. Un déguisement peut cacher l'icône, mais une personne déterminée qui sait quoi chercher peut quand même trouver l'application et deviner ce qu'elle sait faire.
- Il lui faut des photos ordinaires. Un leurre vide, ou avec trois images, n'est pas convaincant. Mettez-y des photos de tous les jours, celles que vous ne craindriez pas de montrer, et servez-vous-en de temps en temps.
- Le schéma de contrainte est irréversible. Les clés supprimées ne peuvent pas être restaurées, ni par vous ni par nous. Les phrases de récupération de ces coffres ne fonctionnent plus sur ce téléphone. Seule une sauvegarde faite avant l'effacement les ouvre encore, avec le schéma ou la phrase propre à ce coffre.
- Les anciennes sauvegardes restent hors de portée. Un effacement sous contrainte atteint la sauvegarde vers un dossier à sa prochaine exécution. Les copies d'une sauvegarde que vous avez faites ailleurs plus tôt restent exactement comme elles étaient.
- Il ne protège pas un coffre ouvert. Si le téléphone est remis déverrouillé avec votre vrai coffre ouvert, aucun leurre n'aide. Velum se verrouille quand l'écran s'éteint, quand vous quittez l'application et quand vous posez le téléphone face contre table.
- Il ne peut pas empêcher qu'on vous regarde. Un schéma que quelqu'un vous a vu dessiner ouvre ce coffre pour lui, leurre ou non.
Notre conseil dans l'application est le même qu'ici : réglez le schéma de contrainte sur le coffre que vous montreriez à quelqu'un, gardez-y des photos ordinaires, et choisissez un schéma que vous pouvez dessiner calmement.
Où cela s'inscrit-il parmi les autres façons de cacher des photos ?
La plupart des gens n'ont jamais besoin d'un leurre. Si vous voulez surtout sortir des photos de votre galerie, commencez par notre guide pour cacher des photos sur Android. Si vous hésitez entre des coffres, comment choisir une application de coffre photo dit quoi regarder, et les applications coffre calculatrice sont-elles sûres explique ce qu'un déguisement ajoute et n'ajoute pas. Les outils intégrés suivent une autre approche, que Velum et Dossier sécurisé de Samsung examine en détail.
Sources
Questions
Qu'est-ce qu'un coffre leurre ?
Un second coffre qui s'ouvre avec un autre schéma. Si quelqu'un vous presse d'ouvrir votre coffre, vous dessinez le schéma du leurre et cette personne voit ce que vous y avez mis. Dans Velum, les coffres supplémentaires font partie de Pro. Chacun a son propre schéma et sa propre phrase de récupération, et en ouvrir un ne montre rien des autres.
Quelqu'un peut-il savoir combien de coffres Velum contient ?
Pas à partir de l'application ou de ses fichiers. Velum ne garde aucune liste de coffres, et son stockage a la même allure avec un coffre ou avec plusieurs. Ce que personne ne peut cacher, c'est que Velum gère des coffres supplémentaires. Quiconque connaît l'application sait qu'un autre coffre peut exister, donc un leurre marche mieux quand il a l'air habité.
Que fait le schéma de contrainte de Velum ?
C'est un second schéma pour un coffre. Dessiné sous la contrainte, il ouvre ce coffre comme d'habitude et, en arrière-plan, supprime les clés de tous les autres coffres du téléphone. Ces coffres ne peuvent plus être ouverts sur ce téléphone. Seule une sauvegarde faite avant les ouvre encore, avec le schéma ou la phrase propre à chaque coffre.
Un effacement sous contrainte peut-il être annulé ?
Non. Une fois les clés supprimées, ni Velum ni nous ne pouvons les ramener, et les phrases de récupération de ces coffres ne fonctionnent plus non plus sur ce téléphone. Une sauvegarde faite avant l'effacement les ouvre encore. La prochaine sauvegarde vers un dossier après l'effacement suit le téléphone, donc elle ne peut pas les ouvrir non plus. C'est le but de la fonction, et aussi son prix.
