Приложение для личного дневника с паролем: что защищает пароль, что защищает шифрование и что проверить
Почти каждое приложение-дневник называет себя личным и защищённым. Одни имеют в виду, что у приложения есть пароль. Другие — что данные зашифрованы на их серверах. И лишь немногие — что прочитать написанное не может никто, кроме вас, включая саму компанию. Это три очень разных обещания, и на странице в магазине редко сказано, какое из них вы получаете.
В этом гайде простыми словами объясняется, в чём разница, что шифрование обычно не охватывает и о чём спросить, прежде чем доверить приложению то, о чём вы никогда никому не рассказывали.
Уровень 1: пароль или Face ID на входе в приложение
Блокировка приложения требует код или ваше лицо, прежде чем что-то показать. Это полезно: партнёр, ребёнок или коллега, взявший ваш разблокированный телефон, не сможет пролистать ваши записи.
Больше она ничего не делает. Сами данные не меняются. Если приложение хранит копию в облаке, эта копия так же читаема, как и до того, как вы задали код. Блокировка — это занавеска, а не сейф.
Уровень 2: шифрование «при передаче» и «при хранении»
Большинство серьёзных сервисов шифруют данные по дороге на сервер (замочек в адресной строке браузера, TLS) и на дисках сервера. Это защищает от того, кто подслушивает в общественной сети Wi-Fi, и от кражи жёсткого диска.
Но ключи хранятся у сервиса. Его программе приходится читать ваши записи, чтобы показать их на новом телефоне, — значит, она может прочитать их и в других случаях: сотрудник поддержки со слишком широким доступом, взломанная учётная запись администратора, официальный запрос по закону. «Мы шифруем ваши данные» — часто правда, и всё же это значит, что компания могла бы их прочитать, если бы захотела или была вынуждена.
Уровень 3: шифрование на вашем устройстве, вашим ключом
Самая надёжная схема шифрует ваши слова прямо на телефоне — ключом, который получается из пароля, известного только вам, — ещё до того, как что-либо будет загружено. Сервер хранит набор символов, который не может прочитать. Когда система устроена так, что данные можно прочитать только на вашей стороне, это называется сквозным шифрованием: по словам Electronic Frontier Foundation, отправитель превращает информацию в секретное сообщение, которое «расшифровывает только конечный получатель». В дневнике оба — это вы.
У такой защиты есть цена, и честное приложение говорит о ней сразу: если вы забудете пароль и у вас нет ключа восстановления, вернуть ваши записи не сможет никто. Ни поддержка, ни разработчики. Сервисы, которые делают это всерьёз, так прямо и пишут: в ответах о шифровании Day One сказано, что при потере ключа зашифрованный дневник «невозможно расшифровать», а Apple предупреждает, что если вы включите Расширенную защиту данных и потеряете доступ к учётной записи, у неё «не будет ключей шифрования, чтобы помочь вам её восстановить». Это не недостаток. Именно это и означает «мы не можем прочитать». Поэтому хорошие приложения дают ключ восстановления или резервную копию ключа — и его стоит сохранить.
Что шифрование обычно оставляет на виду
Даже при сильном шифровании «зашифровано всё» редко бывает правдой в буквальном смысле. Спросите о следующем:
- Названия и даты. Многие приложения оставляют их читаемыми, чтобы лента и поиск работали без пароля.
- Фото, видео и голосовые заметки. Большие файлы часто хранятся иначе, чем текст, и не всегда шифруются так же.
- Теги, настроение, места. Мелкие поля, но вместе они могут сказать многое.
- Метаданные. Когда вы пишете, как часто, сколько. Шифрование скрывает содержание, но не сам факт, что оно существует. В руководстве EFF это сказано просто: сквозное шифрование «не защищает ваши метаданные».
- Уведомления. Напоминание, которое показывает название записи на экране блокировки, показывает его любому, кто взглянет на ваш телефон. Обычно в настройках телефона можно скрыть содержимое уведомлений.
Ничто из этого не делает приложение плохим. Но расплывчатое обещание должно настораживать. Приложение, которому можно доверять, способно точно сказать, какие поля шифруются, а какие нет.
Если в приложении есть ИИ
Функции ИИ в дневнике работают так: ваши слова отправляются языковой модели, которая почти всегда работает на чужих серверах. Зашифрованный текст проанализировать нельзя, поэтому ИИ получает читаемую версию. Это не обязательно плохо, но вам стоит знать:
- Обязателен ли ИИ и отправляется ли что-нибудь до вашего согласия?
- Модель какой компании получает текст?
- Может ли эта компания обучать на вашем тексте свои модели? (У многих ИИ-сервисов это зависит от того, платит ли разработчик за доступ.)
- Можно ли выключить каждую функцию ИИ по отдельности и что происходит с зашифрованными записями?
Привязка: сможете ли вы уйти?
Приватность — это ещё и контроль. Дневник, который нельзя экспортировать, нельзя и забрать с собой, когда компания поднимет цены, добавит ненужные вам функции или закроется. Проверьте, бесплатен ли экспорт, в каком он формате и попадают ли в него фото и аудио или только текст.
Десять вопросов любому приложению-дневнику
- Есть ли блокировка приложения и что именно она защищает?
- Шифруется ли мой текст на устройстве до загрузки или только на сервере?
- У кого ключ? Может ли компания читать мои записи?
- Что будет, если я забуду пароль? Есть ли ключ восстановления?
- Какие поля не шифруются: названия, даты, настроение, фото, аудио?
- Есть ли в приложении ИИ? Включается ли он только с моего согласия? Какая компания получает мой текст?
- Используются ли мои записи для обучения каких-либо моделей ИИ?
- Что показывают уведомления на экране блокировки?
- Могу ли я бесплатно экспортировать всё, вместе с медиафайлами?
- Могу ли я удалить аккаунт и данные прямо в приложении?
Как на них отвечает Lifeline
Раз уж мы предлагаем вам мерить приложения этой меркой, вот наши собственные ответы, включая не самые впечатляющие.
- Шифрование. Любое воспоминание можно зашифровать мастер-паролем. Его слова (текст, ваши размышления, вопросы ИИ и ваши ответы) шифруются на телефоне алгоритмом AES-256-GCM ключом, полученным из вашего пароля, ещё до того, как попадут на наш сервер. Прочитать их мы не можем. Когда мастер-пароль задан, открывать воспоминания можно и с помощью Face ID, отпечатка пальца или кода-пароля телефона.
- Что не шифруется. Название, дата, эмоции (включая ваше собственное слово для чувства), фото, видео, голосовые заметки и их названия, а также прикреплённая к воспоминанию песня не шифруются. Воспоминания, которые вы не шифруете, защищены при передаче и на серверах Google, как в большинстве приложений, но не зашифрованы вашим ключом.
- Забытый пароль. Когда вы задаёте пароль, приложение выдаёт ключ восстановления. С ним можно задать новый пароль и ничего не потерять. Без него зашифрованные воспоминания не откроет никто, и мы тоже.
- ИИ. Необязателен. Пока вы один раз не дадите согласие, ничего не отправляется. После этого каждая функция отправляет только то, что ей нужно, через наш сервер в модель Google Gemini. Один переключатель выключает всё сразу, а ещё есть отдельные переключатели для вопросов, для паттернов месяца и для компаса жизни вместе с «Что было после похожих моментов». Мы используем Gemini на условиях платного сервиса Google, по которым Google не использует запросы и ответы для улучшения своих продуктов; журналы он хранит ограниченное время — для защиты от злоупотреблений и по требованиям закона. Фоновые функции никогда не отправляют текст зашифрованного воспоминания; вопросы к зашифрованному воспоминанию уходят только после вашего подтверждения. В приложении есть экран «Что видит ИИ», где описано, что отправляет каждая функция.
- Уведомления. Напоминания «В этот день» и виджет на главном экране показывают название воспоминания, но никогда — название зашифрованного. Если для экрана блокировки и это слишком, выключите напоминание или скройте содержимое уведомлений в настройках телефона.
- Статистика использования. Как и большинство приложений, Lifeline использует Firebase Analytics и Crashlytics от Google, чтобы считать, как используются функции, и получать отчёты о сбоях. Текста ваших воспоминаний в них нет. Ещё мы используем App Events от Meta, чтобы понимать, какая наша реклама приводит к установкам и покупкам: туда попадают события вроде регистрации, начала пробного периода и покупки Premium, но никогда то, что вы пишете. На iPhone это происходит, только если вы разрешили приложению отслеживание.
- Экспорт и удаление. Экспорт бесплатный: ZIP, где каждое воспоминание лежит текстом, вместе с вашими фото, видео и голосовыми заметками. Зашифрованные воспоминания попадают в архив, когда вы вводите пароль, и внутри ZIP они уже не зашифрованы, так что храните файл в надёжном месте. Аккаунт и данные можно удалить прямо в приложении; из наших резервных копий они стираются в течение 30 дней.
Какое бы приложение вы ни выбрали, сильнее всего вас защищает скучная привычка: надёжная блокировка самого телефона и ключ восстановления, записанный и сохранённый в надёжном месте — не на этом же телефоне.