Segui la foto attraverso il suo ciclo di vita
- Prima dell'importazione — L'app sorgente può vedere l'originale. Apple Photos, una libreria cloud, File, uno scanner, un'app di messaggistica o una fotocamera possono già detenere copie, miniature, metadati o backup. Una cassaforte non può controllare retroattivamente quelle posizioni.
- Durante l'importazione — Il sistema operativo e l'app cassaforte elaborano il testo in chiaro abbastanza a lungo da leggerlo e crittografarlo. Un dispositivo compromesso, un servizio di accessibilità malevolo, codice iniettato o una registrazione dello schermo non attendibile potrebbero osservare questa fase. Usa un dispositivo attuale e attendibile e importa lontano da altre persone e fotocamere.
- Mentre la cassaforte è bloccata — Il payload gestito dall'app dovrebbe essere testo cifrato. Il dispositivo e il provider di archiviazione possono comunque osservare che un'app e dei file esistono, le dimensioni approssimative, le marche temporali, gli identificatori dell'account o l'attività di rete. La crittografia protegge il contenuto, non ogni frammento di metadati operativi.
- Durante il backup crittografato — Il provider di backup può memorizzare e trasmettere record crittografati senza necessariamente avere la chiave di decrittazione dell'applicazione. Gestisce comunque l'account e l'infrastruttura. Esamina come funzionano i backup fotografici crittografati per la differenza tra payload e metadati del servizio.
- Mentre è sbloccata — L'app autorizzata deve decrittare contenuto sufficiente per visualizzarlo. La persona che tiene il dispositivo sbloccato, lo schermo e il processo in esecuzione possono vedere il testo in chiaro. Il blocco automatico riduce la finestra di esposizione; non protegge una foto attualmente visibile.
- Dopo l'esportazione o la condivisione — Un'esportazione è una nuova copia in chiaro a meno che non venga usato un formato protetto separato. L'app ricevente, il suo provider cloud, il destinatario e qualsiasi backup o anteprima che crea possono vedere il contenuto. Un destinatario può conservare o fotografare i media anche se l'accesso scade in seguito.
Il provider della cassaforte può vederla?
Dipende dal design delle chiavi. Se il provider detiene o può reimpostare una chiave che rivela direttamente il contenuto, ha un percorso tecnico verso il testo in chiaro. Se la crittografia e il recupero dipendono da segreti che rimangono con l'utente, il provider può non essere in grado di decrittare il payload dell'applicazione.
NullVault è progettato in modo che l'assistenza non conosca un pattern della cassaforte o una frase di recupero e non possa aggirarli. Questo confine di privacy crea una conseguenza sul recupero: l'assistenza non può ripristinare l'accesso dopo che i segreti richiesti e i backup utilizzabili sono spariti.
Il provider della piattaforma può vederla?
La piattaforma del dispositivo controlla il sistema operativo, i servizi di sicurezza, la distribuzione del software e parti dell'ambiente dell'account. NullVault mantiene il contenuto gestito della cassaforte in un'archiviazione privata crittografata dell'app, ma questo non rende affidabile una piattaforma compromessa né rimuove i metadati dell'account dello store e del dispositivo.
Evita affermazioni assolute su ciò a cui un fornitore di piattaforma «non potrà mai» accedere. La tua sicurezza dipende anche dal sistema operativo, dall'integrità del dispositivo, dallo stato dell'account, dalla configurazione del backup e dall'assenza di modifiche software forzate o malevole.
Le forze dell'ordine, un datore di lavoro o un familiare possono vederla?
Il loro accesso dipende dal possesso del dispositivo, dalle credenziali, dal controllo dell'account, dal software di gestione installato, dai backup, dall'autorità legale e dal fatto che la cassaforte sia sbloccata. La crittografia può rendere illeggibili i payload memorizzati senza una chiave, ma non è consulenza legale, protezione contro la coercizione o una garanzia contro la compromissione dell'endpoint.
Riduci il numero di osservatori
Per il design sottostante, leggi come funzionano le casseforti fotografiche crittografate e i limiti di sicurezza.
Guida rivista: 23 agosto 2026.
- Rimuovi le copie sorgente ed esportate non necessarie solo dopo la verifica.
- Usa un pattern della cassaforte forte e privato e un breve blocco automatico.
- Mantieni i segreti di recupero offline e separati.
- Mantieni gli aggiornamenti del dispositivo ed esamina i profili di gestione.
- Sblocca solo in un ambiente fisico attendibile.
- Condividi l'elemento minimo necessario con i metadati minimi necessari.
Jonas inizia con un test non sensibile: «inizia con un elemento non sensibile mentre valuta chi può vedere le tue foto crittografate». Poi, Jonas segue la seconda verifica: «blocca l'app o il dispositivo pertinente e poi conferma il risultato da una sessione nuova». Questo scenario fittizio illustra il processo decisionale; non è un resoconto di test di prodotto.
- Il risultato descritto da chi può vedere le tue foto crittografate? non copre automaticamente le copie esportate, condivise, memorizzate nella cache o sincronizzate nel cloud.
- Una credenziale persa, un contenitore dell'app eliminato, un dispositivo resettato o un backup non testato possono rendere indisponibili i dati protetti.
Lo sviluppatore della cassaforte può vedere le mie foto?
In un design local-first che non trasmette mai testo in chiaro, non c'è un percorso ordinario per cui lo sviluppatore legga il contenuto bloccato. È una proprietà del design, e non si estende alle copie altrove sul dispositivo.
Chi potrebbe vedere una foto prima che raggiunga la cassaforte?
L'app sorgente e qualsiasi cosa detenga copie precedenti. Apple Photos, una libreria cloud, File, uno scanner o un'app di messaggistica possono già detenere l'originale o le sue miniature prima che l'importazione inizi.