Respuesta cortaTodo lo que hay en la Bóveda se cifra en tu iPhone con AES-256-GCM. Solo tu patrón o PIN, o tu frase de recuperación, pueden desbloquear la llave. FirstHour nunca guarda tu patrón, y nunca recibe tus fotos.
Qué pasa cuando guardas una foto bajo llave
Imagina tu foto en lo alto de una colina, con un anillo de protección en cada nivel.
- La foto se vuelve ilegible. Cada foto, video, archivo, nota y vista previa pequeña de la Bóveda se sella con AES-256-GCM. Sin la llave, son datos sin sentido.
- Una llave aleatoria hace el sellado. Tu iPhone crea una llave aleatoria para tu Bóveda, de 256 bits, demasiado larga para adivinarla. Solo se guarda de forma bloqueada.
- Tu patrón desbloquea esa llave. Tu patrón o PIN se convierte en una segunda llave, despacio a propósito, y esa es la que abre la primera. El patrón en sí nunca se guarda.
- El chip de seguridad de tu iPhone también opina. Donde es posible, la llave de desbloqueo también necesita un secreto del Secure Enclave. Así que copiar a una computadora los archivos de la Bóveda y su llave bloqueada no permite probar patrones allí.
- Los intentos fallidos te hacen esperar. Tienes 4 intentos gratis. Después del 5.º intento fallido esperas 1 minuto, luego 5, 15 y 60, y 60 después de cada intento fallido a partir de ahí. Cambiar el reloj del iPhone o reiniciarlo no se salta una espera, y los intentos fallidos nunca borran tu Bóveda. En la pantalla «¿Olvidaste tu PIN?» o «¿Olvidaste tu patrón?», las frases de recuperación incorrectas también tienen esperas, después de 5 intentos gratis.
- La Bóveda se cierra a tus espaldas. Se bloquea cuando sales de FirstHour, bloqueas tu iPhone o cambias de pestaña, y se deja fuera de iCloud y de las copias de seguridad de la computadora.
Lo que FirstHour no tiene
- Tus fotos. FirstHour las revisa en tu iPhone y no las envía a ningún lado.
- Tu patrón, PIN o frase de recuperación. Nadie puede consultarlos ni restablecerlos por ti. Ese es el punto, y también es el riesgo: guarda bien tu frase de recuperación.
Una parte de FirstHour se comunica con el servidor de FirstHour: el Bloqueo por robo, que hoy no está en la app, y solo si lo activaste. Envía el modelo de tu iPhone y pregunta si se ha marcado como perdido. Si también activas la Ubicación de recuperación, envía los lugares que tu iPhone anotó, su precisión, las horas y un nivel aproximado de batería. Nunca envía fotos, la Bóveda ni nada de lo que FirstHour encuentra.
Si usas Fotos de iCloud, tu iPhone también puede descargar una foto de tu propio iCloud para que FirstHour pueda leerla. Eso es una descarga desde Apple, no una subida.
Conviene saber: FirstHour todavía no ha tenido una auditoría de seguridad independiente externa. Además, un cifrado fuerte tampoco sirve si alguien te mira dibujar tu patrón. Estas son las principales cosas contra las que no puede proteger.
Más a fondo
AES-256-GCM explicado fácilQué es, y por qué un archivo modificado no se abre.
Cómo tu patrón se convierte en una llavePor qué ser lento hace más difícil adivinar.
Qué hace el Secure EnclavePor qué los intentos tienen que hacerse en tu iPhone.
Patrón, PIN o Face IDCuál es más fuerte, y cuándo.
¿Es seguro dibujar un patrón en público?Miradas ajenas, y cómo dibujarlo en privado.
Revisar fotos sin subirlasQué lee, dónde, y qué se le escapa.
Qué es una frase de recuperaciónQué abre, y cómo mantener la tuya a salvo.
Si pierdes tu patrón y tu fraseEl límite honesto, y cómo evitarlo.
Contra qué no puede proteger FirstHourLa lista honesta.
Qué puede y qué no puede ver FirstHourLo que sigue siendo tuyo, y las excepciones.
Qué significa «cifrado en tu iPhone»Y lo que eso no cubre.
Por qué también se cifran las vistas previasUna copia pequeña puede revelar lo mismo.
Qué hace una bóveda señueloY por qué no es una garantía.
FirstHour llegará pronto al iPhone. Tus fotos se leen en tu iPhone y nunca se suben. Mira qué hace.