Comment Underlock protège vos fichiers

La réponse courte à « pouvez-⁠vous voir mes photos ? », c’est non. Voici pourquoi, en mots simples d’abord, avec les détails techniques plus bas pour qui veut vérifier.

Bientôt sur l’App Store

Gratuit pour un coffre
Sans compte
Chiffré sur votre téléphone

Vos fichiers Jamais envoyés chez nous
Votre schéma Jamais envoyé chez nous
Vos clés Jamais envoyées chez nous

Chiffré sur votre téléphone avant d’être enregistré

Photos, vidéos, fichiers et notes sont chiffrés sur votre iPhone avant d’être écrits dans son stockage, tout comme leurs noms et leurs dates. Sans votre schéma, votre phrase secrète ou votre phrase de récupération, vos fichiers sont illisibles. Si vous activez Face ID dans un coffre, votre visage ouvre aussi ce coffre.

Deux courtes exceptions

Pendant que vous filmez avec l’appareil photo d’Underlock, la vidéo est écrite dans un fichier temporaire. La vidéo est chiffrée quand vous arrêtez, et le fichier temporaire est supprimé.
Les documents autres que les PDF s’ouvrent dans l’aperçu d’Apple à partir d’une copie temporaire, supprimée quand vous fermez le document, quand l’app se verrouille et à sa prochaine ouverture.

Pour deviner votre schéma, il faut votre iPhone

Votre schéma est combiné à une clé qui ne quitte jamais la puce de sécurité de votre iPhone. Copier les fichiers de l’app hors de votre iPhone ne suffit donc pas pour commencer à deviner votre schéma : chaque essai exige votre iPhone, et après 5 essais erronés, Underlock vous fait patienter.

L’attente ralentit les essais sur l’écran du schéma. Quelqu’un capable de forcer l’accès à votre iPhone lui-même peut contourner l’attente : un long schéma ou une phrase secrète restent donc importants.

Nous ne recevons jamais vos fichiers

Il n’y a pas de compte, et aucun serveur à nous ne stocke votre coffre. Nous ne recevons jamais vos fichiers, votre schéma ni vos clés : nous ne pouvons donc ni ouvrir votre coffre, ni le remettre à qui que ce soit, ni le laisser fuiter.

Sans compte, sans e-⁠mail, sans analyse

Aucune inscription, et l’app ne transmet rien sur la façon dont vous l’utilisez.

Rien à remettre

Si on nous demandait votre coffre, nous n’aurions ni fichiers, ni schéma, ni clés à donner.

Votre phrase de récupération : 12 mots sur papier

L’app crée votre phrase de récupération pour vous, une par coffre, et vérifie 3 des mots avant de créer le coffre. Il n’y a pas de bouton Copier ni Télécharger : vous gardez donc votre phrase sur papier.

Chaque phrase ouvre un coffre Sur cet iPhone. Gardez le papier là où personne ne le trouvera.
Tapée sans suggestions La vérification orthographique et les suggestions sont toujours désactivées quand vous tapez votre phrase ou votre phrase secrète. Partout dans Underlock, seul le clavier de l’iPhone fonctionne, pas les claviers d’autres apps.
Si quelqu’un a vu votre phrase Créez une nouvelle phrase dans Réglages. L’ancienne ne fonctionne plus.

Perdez à la fois votre schéma et votre phrase de récupération, et personne ne peut ouvrir votre coffre, pas même nous. Nous ne pouvons pas réinitialiser votre schéma, car nous ne recevons jamais vos clés.

Rien ne s’affiche hors du coffre

Un écran neutre dans le sélecteur d’app

Quittez l’app, même une seconde, et un écran neutre cache ce qu’il y a dessous.

Se verrouille dès que vous partez

Par défaut, l’app se verrouille dès que vous la quittez. Vous préférez 1 ou 5 minutes ? C’est dans les réglages de l’app.

Rien dans Spotlight ni Siri

Rien de votre coffre n’apparaît dans Spotlight, les suggestions Siri ou les notifications.

Un plantage ne fait pas perdre ce qui est enregistré

Si l’app plante en pleine importation ou si votre iPhone est plein, ce qui est déjà enregistré le reste, et l’app vous dit ce qui s’est passé. Un fichier abîmé ou altéré est détecté et signalé, jamais affiché comme du charabia, et le reste de votre coffre continue de fonctionner.

Les détails techniques

Pour qui veut vérifier notre travail. Chaque élément est standard, fourni par Apple ou par 2 bibliothèques reconnues.

Élément	Fonctionnement
Fichiers	AES-256-GCM, avec une nouvelle clé aléatoire pour chaque fichier. Les gros fichiers sont découpés en blocs de 64 Kio : un morceau modifié, coupé ou réordonné est détecté.
Noms, dates et dossiers	Dans une base de données chiffrée, une par coffre (SQLCipher 4, ouverte avec une clé aléatoire de 256 bits).
Tailles des fichiers	Complétées avant chiffrement (Padmé), pour que les tailles stockées en disent moins.
Votre schéma ou phrase secrète	Étiré avec Argon2id, volontairement lent et gourmand en mémoire, puis combiné à une clé de la Secure Enclave à chaque essai (accord de clés P-256 sur un point haché, puis HKDF-SHA-256).
La clé de chaque coffre	Aléatoire, une par coffre, et stockée uniquement enveloppée : par votre schéma ou votre phrase secrète sur cet iPhone, par votre phrase de récupération et, avec Face ID activé, par une seconde clé de la Secure Enclave qui exige une correspondance Face ID.
Phrase de récupération	12 mots de la liste anglaise BIP39, générés par l’app : 128 bits. Vous ne la choisissez jamais, et aucun bouton ne permet de la copier.
Essais erronés	Un seul compteur pour le schéma, la phrase secrète et la phrase de récupération. Après 5 essais erronés : 30 secondes, puis 1, 5 et 15 minutes, puis 1 heure à chaque fois. Rien n’est jamais effacé à cause d’essais erronés.
Code tiers	Deux bibliothèques : libsodium (uniquement pour Argon2id) et SQLCipher, chacune figée sur une version et une somme de contrôle exactes. Aucun code d’analyse ni de rapport de plantage tiers.
Schéma leurre	Remplace l’enregistrement de clé de la Secure Enclave et le sel de l’appareil dont dépendent les autres coffres : Underlock ne peut plus ouvrir ces coffres, puis supprime leurs fichiers.

Les paramètres d’Argon2id sont ajustés sur de vrais iPhone et seront publiés ici une fois définitifs.

Un problème de sécurité ?

Dites-le-nous à security@underlock.app.

Questions de sécurité

Non. Vos photos sont chiffrées sur votre téléphone avant d’être enregistrées, et nous ne recevons jamais vos fichiers, votre schéma ni vos clés. Il n’y a pas de compte, donc nous n’avons pas non plus votre nom ni votre e-mail, sauf si vous nous écrivez.

Un chiffrement AES-256, sur votre iPhone, avec une nouvelle clé pour chaque fichier. Votre schéma ou votre phrase secrète est étiré avec Argon2id et lié à la Secure Enclave de votre iPhone, la puce de sécurité qu’il contient.

Pas sans votre schéma, votre phrase secrète ou votre phrase de récupération. Le verrou de votre iPhone passe d’abord, et le chiffrement de votre coffre se trouve dessous. Quelqu’un capable de forcer l’accès à l’iPhone lui-même peut y essayer des schémas : c’est pour cela qu’un long schéma ou une phrase secrète comptent.

Conçu pour que nous ne puissions pas regarder

Gratuit pour un coffre, sans limite de fichiers. Sans compte, sans e-⁠mail.

Ce qu’Underlock ne peut pas faire

Pour iPhone sous iOS 17 ou version ultérieure.