Pourquoi chaque document de votre coffre devrait avoir sa propre clé

Imaginez que vous gardiez tout ce que vous possédez de précieux dans un seul grand coffre-fort avec une seule clé. Pratique, jusqu'au jour où cette clé est copiée, devinée, ou remise à la mauvaise personne. À ce moment-là, vous ne perdez pas une seule chose. Vous perdez tout, d'un coup.

Beaucoup de stockages « chiffrés » fonctionnent exactement comme ce coffre-fort unique. Une seule clé maîtresse protège l'ensemble, de sorte que la sécurité de chaque fichier varie de concert. Il existe une meilleure approche, presque invisible quand elle fonctionne : donner à chaque document sa propre clé.

Le problème d'un seul verrou maître

Lorsqu'un coffre entier est chiffré sous une seule clé, cette clé devient un point de défaillance unique. Si elle venait à être exposée, dans une sauvegarde, en mémoire, dans une implémentation défaillante, alors tout ce qu'elle protège est exposé avec elle. Les dégâts ne sont pas proportionnels à l'erreur. Un petit faux pas a la même portée qu'une catastrophe, parce que tout partage le même verrou.

Les ingénieurs en sécurité appellent l'ampleur d'une compromission son rayon d'impact. Avec une seule clé, le rayon d'impact est le coffre entier. L'objectif d'une bonne conception est de rendre ce rayon aussi restreint que possible, afin que si quelque chose tourne mal, cela ne touche qu'un seul endroit, pas tout.

Des coffres séparés, pas un seul grand coffre

Le chiffrement par document inverse le modèle. Au lieu d'une seule clé gardant une grande pièce, chaque document repose dans son propre petit coffre avec sa propre clé. Ouvrez-en un, et les autres restent fermés, car la clé qui en ouvre un n'a aucun rapport avec la suivante.

Une erreur qui touche un document ne devrait jamais être une erreur qui les touche tous.

C'est un schéma courant dans la conception sérieuse du chiffrement, parfois appelé chiffrement enveloppe : une clé propre à chaque élément protège l'élément, et une clé maîtresse conservée sur l'appareil protège ces clés individuelles. Ce qui compte pour vous, c'est l'effet obtenu. L'unité de risque devient un seul document, et non l'ensemble des papiers de toute une vie.

Pourquoi la clé maîtresse compte toujours

Les clés par document ne remplacent pas une clé maîtresse solide. Elles fonctionnent ensemble. Les clés individuelles sont elles-mêmes enveloppées par une clé maîtresse générée sur votre appareil et scellée dans un matériel sécurisé, le Secure Enclave sur les appareils Apple ou l'Android Keystore. C'est ce matériel qui empêche la clé d'être extraite de l'appareil, même si le stockage est copié. Nous expliquons cette couche dans ce qu'est le Secure Enclave et pourquoi il compte.

La structure est donc en couches : le matériel protège la clé maîtresse, la clé maîtresse protège les clés par document, et les clés par document protègent vos documents. Chaque couche contient la défaillance de celle du dessous.

Comment Kinship Vault s'y prend

Kinship Vault est conçu ainsi depuis le départ. Votre clé maîtresse est générée sur votre appareil et scellée dans son matériel sécurisé, et chaque document, photo, mot de passe et clé d'accès obtient sa propre clé. Rien n'est envoyé pour traitement, il n'existe aucun serveur Kinship Vault qui héberge votre coffre, et il n'y a aucun mot de passe maître de notre côté à réinitialiser. Le tableau complet se trouve dans la documentation du modèle de sécurité.

En résumé

La question à poser à propos de n'importe quel coffre n'est pas seulement « est-il chiffré » mais « si quelque chose tourne mal, combien est exposé ». Un seul verrou maître répond « tout ». Les clés par document répondent « un seul document ». Cette différence est tout l'enjeu, et il vaut la peine de choisir un coffre qui la prend au sérieux. Cela s'appuie sur les mêmes bases que nous abordons dans le chiffrement sur l'appareil, expliqué sans jargon.