Шифрованное резервное копирование дорожных документов в облаке: у кого ключ

Вы отсканировали четыре паспорта, две визы и свидетельства о рождении детей в приложение, которое хранит всё на вашем телефоне. Хорошо. А затем приходит очевидное беспокойство: что случится, если телефон окажется на дне моря или его стащат со столика кафе в Лиссабоне.

Ответ - резервное копирование. Неловкость в том, что почти каждое приложение использует фразу «зашифрованная резервная копия», и почти никто не вкладывает в неё один и тот же смысл. Эта статья объясняет, что эти слова на самом деле значат и на что вы соглашаетесь, когда компания действительно не может прочитать ваши данные. В конце - короткий план действий на неделю перед поездкой, чтобы потерянный телефон остался просто неудобством, а не катастрофой.

Что на самом деле означает «зашифрованная резервная копия»

Шифрование превращает файл в набор случайных символов, который может расшифровать только подходящий ключ. Это стандартная часть. А вот защищает ли оно именно вас, решают два фактора: где происходит шифрование и у кого в итоге оказывается ключ.

Под названием «зашифрованная резервная копия» продают два совершенно разных подхода.

В первом случае файл отправляют на сервер компании по зашифрованному соединению, а затем хранят в зашифрованном виде. Оба утверждения верны и звучат обнадёживающе. Но ключ по-прежнему у компании, а значит, она может расшифровать ваши документы, когда ей это нужно: чтобы запустить какую-то функцию, ответить на юридический запрос или просто из-за чьей-то ошибки внутри компании. На другом конце скан вашего паспорта остаётся читаемым.

Во втором случае файл шифруется прямо на телефоне, ещё до отправки, с помощью ключа, полученного из чего-то, что есть только у вас. В хранилище попадает бессмысленный набор данных, и никто на другом конце не может его прочитать, потому что ни у кого там нет ключа. Такой подход обычно называют сквозным шифрованием или архитектурой нулевого разглашения.

Поэтому у любого приложения стоит спросить одно короткое: у кого ключ? Всё остальное в маркетинге - лишь следствие ответа на этот вопрос.

Код восстановления и почему его нельзя сбросить

Вот часть, которую большинство статей пропускает, а сказать стоит прямо: у Travel Document Vault нет аккаунтов. Вы никогда не давали нам адрес электронной почты, мы никогда не задавали вам пароль, и на наших серверах нет никакой записи о вас. Когда вы включаете резервное копирование в облако, приложение генерирует 24-значный код восстановления и выводит из него ключ шифрования. Зашифрованное хранилище отправляется в ваш собственный iCloud на iPhone и iPad или в ваш собственный Google Drive на Android, а не к нам.

Последствие неизбежно. Если вы потеряете этот код восстановления, резервную копию больше никогда не удастся открыть. Ни вам, ни Apple или Google, ни нам. Ссылки для сброса не существует, потому что не существует аккаунта, к которому её можно привязать. Обращение в поддержку тоже не поможет, потому что мы никогда не хранили этот код и даже не можем его угадать.

На бумаге это звучит жёстко, и честнее сказать это прямо, чем прятать где-то в настройках. Это тот же компромисс, что и с ключом от дома: замок чего-то стоит именно потому, что ни один слесарь в мире не хранит запасной ключ, и именно поэтому потеря своего - ваша проблема. Компания, способная восстановить ваши документы после того, как вы всё забыли, - это компания, которая могла читать их всё это время.

Поэтому отнеситесь к коду как к единственной вещи, которую нужно сделать правильно:

• Сохраните его прежде, чем начнёте полагаться на резервную копию, а не после.
• Храните его там, куда не дотянется потеря телефона. Подойдёт менеджер паролей на другом устройстве. Подойдёт и листок бумаги в том же ящике, где лежат свидетельства о рождении.
• Один раз перечитайте код оттуда, где вы его сохранили. Почерк, который казался понятным в момент записи, имеет свойство становиться неразборчивым именно в критической ситуации.
• Две копии в двух местах надёжнее одной идеальной копии.

Безопасно ли резервное копирование в облако для сканов паспорта?

Это полностью зависит от того, что именно попадает в облако, а это вопрос скорее к приложению, чем к облаку.

Фото паспорта в обычной фотобиблиотеке или синхронизируемой папке попадает туда в читаемом виде. Оно лежит в аккаунте, защищённом паролем, который вы, возможно, уже где-то использовали. Его индексируют и создают миниатюры, и любой, кто получит доступ к этому аккаунту, увидит чистую копию разворота с личными данными. Мы подробно разобрали, как выглядит такая уязвимость, в статье о хранении паспорта в Google Фото. Это реальный риск, и именно такую схему используют большинство семей, ни разу сознательно её не выбрав.

Хранилище, зашифрованное на устройстве перед отправкой, попадает в облако в виде зашифрованных данных. Тот, кто взломает облачный аккаунт, найдёт файл, который не сможет открыть. Защита следует вместе с файлом, а не зависит от аккаунта, в который он попадает.

Поэтому честный ответ на вопрос «безопасно ли облако» такой: облако - это просто адрес доставки, а не модель безопасности. Важно, в каком состоянии файл прибывает туда. Наше сравнение основных мест, где люди хранят сканы паспорта, разбирает компромиссы каждого варианта.

Что попадает в резервную копию, а что остаётся на устройстве

Резервная копия содержит зашифрованную копию хранилища: все профили, все сканы, сроки действия, напоминания, заметки и вложения. Восстановите её - и приложение будет выглядеть точно так же, как вы его оставили.

Три вещи намеренно остаются только на телефоне, и код восстановления среди них первый: он никогда не покидает устройство, в этом весь смысл. Блокировка приложения тоже остаётся локальной, поэтому Face ID, Touch ID или PIN не пускают посторонних в телефон, пока шифрование не пускает их в файл. И автоматические локальные снимки, которые приложение делает во время работы, тоже остаются только на устройстве.

Последний пункт часто застаёт людей врасплох, так что скажем прямо. Системная резервная копия устройства переустановит приложение, но не сможет восстановить ваши документы. Ключ шифрования никогда не покидал старый телефон, поэтому новому просто нечем расшифровывать данные. Если вы хотите, чтобы хранилище пережило смену телефона, нужно либо включённое резервное копирование в облако, либо сохранённый где-то экспортированный файл.

Восстановление на новом телефоне

Само восстановление занимает немного времени - в этом и смысл подготовки заранее.

Установите приложение на новый телефон и войдите в тот же аккаунт iCloud или Google, что и раньше. Откройте Настройки, затем Резервное копирование облака, затем Восстановить из резервной копии и введите код восстановления. Хранилище вернётся со всеми профилями, сроками действия и напоминаниями.

Приложение также проверяет данные перед записью. Если резервное копирование облака обнаруживает уже существующую резервную копию в этом аккаунте, оно предлагает выбрать - восстановить её или начать заново. Новый телефон не может тихо перезаписать то, что там уже есть.

Переход между iPhone и Android

Резервное копирование в облако остаётся в рамках одной платформы, потому что использует ваш iCloud на устройствах Apple и ваш Google Drive на Android. Чтобы перейти с одной платформы на другую, нужен другой путь.

Используйте Экспорт хранилища. Настройки, Экспорт хранилища создаёт единый защищённый паролем файл со всем содержимым, а вы сами выбираете, куда его сохранить: в приложение Файлы, на диск, отправить себе по почте. На новом телефоне пункт Настройки, Импорт хранилища читает этот файл обратно. Это работает в обе стороны и сохраняет имена, даты, напоминания, цвета, заметки и вложения в неизменном виде.

Этот экспортированный файл - ещё и решение для тех, кто хочет копию, вообще не зависящую от облачного аккаунта. Держать такой файл на домашнем диске имеет смысл независимо от того, каким телефоном вы пользуетесь.

Порядок действий, который переживёт потерю телефона

Двадцать минут, один раз, перед следующей поездкой:

• Включите зашифрованное резервное копирование и дождитесь завершения первой загрузки, пока вы дома, на своём wifi.
• Запишите код восстановления где-нибудь вне телефона, а затем перечитайте его с этой копии, чтобы убедиться в разборчивости.
• Сделайте вторую копию кода и храните её отдельно от первой.
• Один раз экспортируйте хранилище и сохраните файл там, где контролируете именно вы - как путь, не зависящий ни от одного облачного аккаунта.
• Перед вылетом проверьте, что приложение показывает недавнюю резервную копию - так же, как вы проверяете, что паспорта лежат в сумке.

Ничего драматичного в этом нет, и в этом весь смысл. Семьи, которые спокойно переживают кражу телефона за границей, почти никогда не оказываются теми, кто гениально среагировал в моменте. Это те, кто провёл двадцать ничем не примечательных минут за кухонным столом парой недель раньше.

И последнее об ожиданиях. Резервное копирование - это дополнительный уровень защиты, а не гарантия: облачные аккаунты блокируют, коды забывают, у сервисов хранения случаются неудачные дни. Для документов, которые действительно важны, держите ещё и что-то независимое - будь то распечатка в домашнем ящике или второй экспорт на диске.

Прежде чем полагаться на это: это блог, а не официальный источник. Правила и детали меняются, и ваша ситуация может отличаться. Мы проверяем то, что публикуем, и всё равно можем ошибиться или устареть. Если что-то здесь важно для ваших планов, уточните это в ответственном ведомстве, прежде чем действовать.