写真保管庫アプリは安全？

「保管庫」という言葉は安心感を与えますが、アプリが実際にファイルをどう保存しているかについては何も語っていません。秘密情報から導出した鍵ですべてを暗号化する保管庫アプリもあれば、普通のフォルダに写真を入れて、その前にキーパッドを置いているだけのものもあります。コードを調べることはできなくても、アプリが伝えている内容と求めている権限から、多くのことが分かります。

検討中のどの保管庫にも、私たちのアプリにも、次のチェックリストを当てはめてみてください。

チェックリスト

1. 暗号化について説明しているか

保存時の暗号化とは、ファイルが判読できない形で保存され、正しい鍵がなければ読めない状態のことです。安全な保管庫は、どのアルゴリズムを使っているか（例：AES-256）、PIN、パスワード、パターンから鍵をどう導出するか、鍵をどこに保存するかを、分かりやすい言葉で説明しています。

具体性のない「銀行レベルのセキュリティ」といった曖昧な表現は危険信号です。ロック画面のことしか書いていない説明も同様です。しっかりした答えとはどんなものかは、AES-256暗号化とはをご覧ください。

2. 秘密情報はデバイスのパスコードと別か

保管庫がFace IDで開き、iPhoneのパスコードが代替手段になっているなら、そのパスコードを知っている人は誰でも入れます。標準の「非表示」アルバムと同じ限界です。別のPIN、パスワード、パターンは意味のある保護の層になります。

3. プライバシーラベルには何と書かれているか

App Storeのアプリのページで、Appのプライバシーまでスクロールします。Appleは開発者の申告を、トラッキングに使われるデータ、ユーザに関連付けられたデータ、ユーザに関連付けられないデータに分けて表示しています。保管庫なら、理想はデータの収集なしか、説明のつく短い一覧です。ラベルは自己申告ですが、プライバシーのためのアプリで識別子、使用状況データ、位置情報が長々と並んでいたら、立ち止まって考えるべきです。

4. アカウントが必要か

メールアドレスによるアカウント自体が危険なわけではなく、バックアップを可能にすることも多いです。しかし、あなたが誰で、保管庫を使っていることを企業が知ることになり、侵害やフィッシングの対象になりうるアカウントが1つ増えます。クラウドの機能が不要なら、アカウント不要の保管庫でそれを避けられます。

5. クラウドに何か送られるか

写真がiPhoneの外に出ることがあるかを確認しましょう。クラウドバックアップがあるなら、エンドツーエンドで暗号化されている（鍵をあなただけが持つ）のか、単に企業のサーバー上で暗号化されているだけなのかを確認します。簡単な実地テストをアカウント不要のガイドで紹介しています。機内モードでアプリを使い、何が動かなくなるかを見る方法です。

6. 広告で収益を得ているか

広告で収益を得るアプリには通常、サードパーティの広告SDKが組み込まれており、デバイスレベルのデータを収集し、あなたが制御できない通信を行います。写真が漏れるという意味ではありませんが、関わる当事者の数が増えます。これはたいてい、プライバシーラベルのトラッキングの項目に反映されています。

7. アンインストールするとどうなるか

iOSのアプリは、ファイルを独自の専用コンテナに保存しています。アプリを削除するとiOSはそのコンテナを削除し、デバイス上だけに保存されていた保管庫の中身も一緒に消えます。プライバシーには良いことですが、データにとっては危険です。保管庫をアンインストールする前に、残したいものを書き出し、削除すべきクラウド上のコピーがないかも確認しましょう。

8. 復旧はどう機能するか

秘密情報を忘れたりiPhoneを失くしたりしたらどうなるかを確認しましょう。考えられる答えは次のとおりです。

• **メールやアカウントによる復旧：**便利ですが、あなた以外の誰かがアクセスを許可できることを意味します。
• **自分で管理する復旧キーやバックアップ：**慎重に保管すれば強力です。
• **復旧手段なし：**最もプライベートで、最も融通が利かない選択肢です。

どれも全員にとって正しいわけではありません。大切なのは、アプリがそれを正直に伝えていることです。私たちの対応は保管庫のパターンを忘れたらをご覧ください。

9. 元の写真をどう扱うか

ほとんどの保管庫は、読み込み時に写真をコピーします。元の写真は削除するまで「写真」に、場合によってはiCloudにも残り、削除後も約30日間最近削除した項目に残ります。良いアプリはこのことを知らせてくれますが、配慮の足りないアプリでは写真が移動したと思い込まされます。後片付けは読み込み後に元の写真を削除する方法で解説しています。

危険信号の早見表

サイン	問題になる理由
ファイルの暗号化方法に触れていない	ロック画面だけの可能性がある
デバイスのパスコードが代替手段として開く	パスコードを知る人は誰でも入れる
トラッキングを含む長いプライバシーラベル	プライバシーアプリに第三者が関わっている
基本的な使用にアカウントが必要	あなたの身元が保管庫と結びつく
エンドツーエンド暗号化のないクラウドバックアップ	企業がコピーにアクセスできる
絶対に破られないセキュリティをうたっている	誠実なセキュリティ製品はそんな約束をしない

どんな保管庫でも守れないこと

よくできた保管庫にも限界があり、誠実なアプリはそれを明言します。秘密情報を入力するところを見られること、脱獄したiPhoneのマルウェア、保管庫を開いたままiPhoneを渡した相手、画面を撮影する人は防げません。また、「写真」、iCloud、チャット、写真を送った相手のiPhoneなど、ほかの場所にあるコピーには手が届きません。

Velcryptのチェックリストへの回答

透明性のために、私たちのアプリがどう当てはまるかを示します。

• **暗号化：**Apple CryptoKitによるAES-256-GCM。鍵はパターンからPBKDF2-HMAC-SHA512（600,000回以上の反復）で導出され、保管庫ごとに独自のランダムなマスターキーがあり、その上にiOSのデータ保護が適用されます。詳しくはセキュリティのページと暗号化機能のページをご覧ください。
• **秘密情報：**デバイスのパスコードとは別の、5×5のグリッド上のパターン。設計上Face IDはありません。
• **アカウントとクラウド：**なし。登録も、サーバーも、アップロードもありません（オフライン・アカウント不要）。
• **復旧：**最初のバージョンにはありません。保管庫の中身はiCloudやコンピュータのバックアップから除外されるため、iPhoneを紛失したりパターンを忘れたりすると中身は復元できません。暗号化バックアップのオプションは予定されています。
• **元の写真：**読み込みは項目のコピーです。元の写真はご自身で削除します。

検討中の保管庫がこれらの点に同じくらい明確に答えられるなら、良いサインです。選択肢の幅広い比較は、iPhone向けプライベート写真保管庫アプリの比較をご覧ください。