Geen account, geen e-mail, geen analytics
Je hoeft je nergens voor aan te melden, en de app geeft niet door hoe je hem gebruikt.
Zo beschermen we je bestanden
Het korte antwoord op “kunnen jullie mijn foto’s zien?” is nee. Hier lees je waarom, eerst in gewone woorden, met de technische details verderop voor wie het wil controleren.
Binnenkort in de App Store- Gratis voor één kluis
- Geen account
- Versleuteld op je telefoon
- Je bestanden Nooit naar ons verstuurd
- Je patroon Nooit naar ons verstuurd
- Je sleutels Nooit naar ons verstuurd
Versleuteld op je telefoon voordat het wordt bewaard
Foto’s, video’s, bestanden en notities worden op je iPhone versleuteld voordat ze naar de opslag worden geschreven, en hun namen en datums ook. Zonder je patroon, wachtwoordzin of herstelzin zijn je bestanden onleesbaar. Zet je Face ID aan in een kluis, dan opent je gezicht die kluis ook.
Twee korte uitzonderingen
- Terwijl je een video opneemt met de camera van Underlock, wordt de video naar een tijdelijk bestand geschreven. De video wordt versleuteld als je stopt, en het tijdelijke bestand wordt verwijderd.
- Documenten die geen pdf zijn, worden in de voorvertoning van Apple geopend vanuit een tijdelijke kopie. Die wordt verwijderd als je het document sluit, als de app vergrendelt en als de app weer opengaat.
Wie je patroon wil raden, heeft je iPhone nodig
Je patroon wordt gecombineerd met een sleutel die de beveiligingschip van je iPhone nooit verlaat. De bestanden van de app kopiëren is dus niet genoeg om je patroon te gaan raden: voor elke poging is je iPhone nodig, en na 5 foute pogingen moet je wachten.
De wachttijd remt het raden op het patroonscherm af. Iemand die in je iPhone zelf kan inbreken, kan de wachttijd omzeilen, dus een lang patroon of een wachtwoordzin blijft belangrijk.
We ontvangen nooit je bestanden
Er is geen account, en geen server van ons bewaart je kluis. We ontvangen nooit je bestanden, je patroon of je sleutels, dus we kunnen je kluis niet openen, afgeven of laten uitlekken.
Niets wat we kunnen afgeven
Vraagt iemand ons om je kluis, dan hebben we geen bestanden, geen patroon en geen sleutels om af te geven.
Je herstelzin: 12 woorden op papier
De app maakt je herstelzin voor je, één per kluis, en controleert 3 van de woorden voordat de kluis wordt aangemaakt. Er is geen knop om te kopiëren of te downloaden, dus je bewaart je herstelzin op papier.
- Elke herstelzin opent één kluis Op deze iPhone. Bewaar het papier waar niemand anders het vindt.
- Getypt zonder suggesties Als je je herstelzin of wachtwoordzin typt, staan spellingcontrole en suggesties altijd uit. Overal in Underlock werkt alleen het eigen toetsenbord van de iPhone, niet toetsenborden van andere apps.
- Als iemand je herstelzin heeft gezien Maak een nieuwe herstelzin in Instellingen. Je oude herstelzin werkt dan niet meer.
Ben je zowel je patroon als je herstelzin kwijt, dan kan niemand je kluis openen, ook wij niet. We kunnen je patroon niet resetten, want we ontvangen nooit je sleutels.
Niets te zien buiten de kluis
Een effen scherm in de appkiezer
Verlaat je de app, al is het maar even, dan dekt een effen scherm alles af.
Vergrendelt als je weggaat
Standaard vergrendelt de app zodra je weggaat. Liever 1 of 5 minuten? Dat kies je in App-instellingen.
Niets in Spotlight of Siri
Niets uit je kluis verschijnt in Spotlight, Siri-suggesties of meldingen.
Een crash kost je niet wat al bewaard is
Crasht de app halverwege een import of raakt je iPhone vol, dan blijft wat al bewaard is bewaard, en de app vertelt je wat er is gebeurd. Een beschadigd of gemanipuleerd bestand wordt opgemerkt en bij naam genoemd, nooit als onleesbare rommel getoond, en de rest van je kluis blijft werken.
De technische details
Voor wie ons werk wil controleren. Elke bouwsteen is een standaardbouwsteen, van Apple of uit 2 bekende bibliotheken.
| Onderdeel | Hoe het werkt |
|---|---|
| Bestanden | AES-256-GCM, met een nieuwe willekeurige sleutel voor elk bestand. Grote bestanden worden opgedeeld in stukken van 64 KiB, zodat een gewijzigd, ingekort of verschoven stuk wordt opgemerkt. |
| Namen, datums en mappen | In een versleutelde database, één per kluis (SQLCipher 4, geopend met een willekeurige sleutel van 256 bits). |
| Bestandsgroottes | Opgevuld vóór de versleuteling (Padmé), zodat opgeslagen groottes minder verraden. |
| Je patroon of wachtwoordzin | Opgerekt met Argon2id, dat met opzet traag is en veel geheugen gebruikt, en daarna per poging gecombineerd met een sleutel in de Secure Enclave (P-256-sleutelovereenkomst op een gehasht punt, dan HKDF-SHA-256). |
| De sleutel van elke kluis | Willekeurig, één per kluis, en alleen ingepakt bewaard: door je patroon of wachtwoordzin op deze iPhone, door je herstelzin en, met Face ID aan, door een tweede sleutel in de Secure Enclave die een Face ID-herkenning vraagt. |
| Herstelzin | 12 woorden uit de Engelse BIP39-lijst, gemaakt door de app: 128 bits. Je kiest hem nooit zelf, en er is geen knop om hem te kopiëren. |
| Foute pogingen | Eén telling voor patroon, wachtwoordzin en herstelzin. Na 5 foute pogingen: 30 seconden, daarna 1, 5 en 15 minuten, daarna telkens 1 uur. Foute pogingen wissen nooit iets. |
| Code van anderen | Twee bibliotheken: libsodium (alleen voor Argon2id) en SQLCipher, elk vastgezet op een exacte versie en controlesom. Geen analytics- of crashrapportagecode van derden. |
| Lokpatroon | Vervangt het sleutelrecord in de Secure Enclave en de apparaat-salt waar de andere kluizen van afhangen, zodat Underlock die niet meer kan openen, en daarna hun bestanden verwijdert. |
De instellingen van Argon2id worden afgestemd op echte iPhones en hier gepubliceerd zodra ze definitief zijn.
Heb je een lek gevonden?
Laat het ons weten via security@underlock.app.
Vragen over de beveiliging
Nee. Je foto’s worden op je telefoon versleuteld voordat ze worden bewaard, en we ontvangen nooit je bestanden, je patroon of je sleutels. Er is geen account, dus we hebben ook je naam of e-mailadres niet, tenzij je ons schrijft.
AES-256-versleuteling, op je iPhone, met een nieuwe sleutel voor elk bestand. Je patroon of wachtwoordzin wordt opgerekt met Argon2id en gekoppeld aan de Secure Enclave van je iPhone, de beveiligingschip erin.
Niet zonder je patroon, wachtwoordzin of herstelzin. Eerst is er het slot van je iPhone zelf, en de versleuteling van je kluis ligt daaronder. Iemand die in de iPhone zelf kan inbreken, kan er patronen op proberen, en daarom is een lang patroon of een wachtwoordzin belangrijk.
Zo gebouwd dat wij niet kunnen kijken
Gratis voor één kluis, zonder bestandslimiet. Geen account, geen e-mail.
Wat Underlock niet kanVoor iPhone met iOS 17 of nieuwer.
Binnenkort in de App Store