A maioria das falhas de privacidade acontece após um desbloqueio legítimo
O bloqueio do telefone é projetado para uma pergunta: esta pessoa pode usar o dispositivo. Ele responde bem a essa pergunta, e então deixa de ser relevante.
No entanto, as situações que as pessoas realmente temem ocorrem em sua maioria do outro lado desse limite — mostrar uma foto a alguém, entregar o telefone para um reparo, deixar um familiar usá-lo ou ser obrigado a desbloqueá-lo. Em todas essas, o dispositivo já está desbloqueado, e o bloqueio de tela não tem nada mais a contribuir.
O que uma segunda credencial muda
Uma credencial de cofre separada muda o que um único código divulgado revela. Alguém que conhece ou observa o código do telefone ganha o dispositivo; não ganha automaticamente o cofre.
Esse é todo o mecanismo. Não é uma criptografia mais forte — é um segundo limite, não relacionado, colocado onde o primeiro já foi atravessado.
Por que reutilizar o PIN do telefone anula o propósito
Usar o código do dispositivo como credencial do cofre colapsa dois limites em um só. Qualquer pessoa que observe você desbloquear o telefone, no mesmo olhar, aprendeu como abrir o cofre.
O mesmo se aplica a um padrão derivado de um fato pessoal óbvio, ou desenhado regularmente onde uma câmera ou outra pessoa pode observá-lo. O valor da credencial vem de não estar relacionada a nada mais.
A biometria não cria um segredo separado
O reconhecimento facial e de impressão digital são formas convenientes de autorizar o acesso a material que o dispositivo já detém. Eles não são um segredo adicional, e na maioria dos designs recorrem, em última instância, ao código do dispositivo.
Se a sua preocupação é alguém que tem o telefone desbloqueado, um portão biométrico na mesma autoridade não muda o resultado. O NullVault associa cada padrão a um cofre diferente no iOS e no Android, sem uma lista principal visível, o que é um arranjo diferente de uma segunda solicitação biométrica.
Decida o que você realmente precisa
- Defina quem conhece ou pode observar legitimamente o código do telefone.
- Liste as situações em que o telefone está desbloqueado perto de outras pessoas.
- Decida se você precisa de um espaço privado ou de vários que não devem se revelar mutuamente.
- Escolha credenciais que não estejam relacionadas ao código do dispositivo nem entre si.
- Planeje a recuperação separadamente para cada espaço, antes de confiar em qualquer um deles.
Erros comuns
- Reutilizar o PIN ou padrão do dispositivo como credencial do cofre.
- Presumir que uma solicitação biométrica constitui um segredo diferente.
- Esquecer que notificações e pré-visualizações aparecem sobre uma tela bloqueada.
- Criar vários espaços com variações do mesmo padrão.
Sofia começa com um teste não sensível: «Define quem pode conhecer ou observar o código do telefone». Em seguida, Sofia segue a segunda verificação: «Lista situações em que o telefone está desbloqueado perto de outros». Este cenário fictício ilustra o processo de decisão; não é um relato de testes de produto.
- Reutilizar o PIN do dispositivo como padrão do cofre
- Presumir que a biometria cria um segredo diferente
- Esquecer a exposição de notificações e da tela
Um bloqueio de cofre é sempre mais forte?
Somente se a implementação, a credencial, a recuperação e o estado do dispositivo suportarem o limite pretendido.
Por que vários padrões?
O NullVault associa cada padrão a um cofre diferente no iOS e no Android, sem uma lista principal visível.