Sécurité et architecture

Applications mobiles sans compte

Les applications natives ne nécessitent pas de compte Revault, d'adresse e-mail, de mot de passe ou de connexion Web. Les coffres-forts sont créés et chiffrés sur l'appareil. L'utilisation du coffre-fort local ne télécharge pas vos fichiers sur les serveurs de Revault.

Les applications natives n'ont pas besoin de compte Revault. La synchronisation cloud facultative utilise votre compte Apple ou Google ; les achats en magasin utilisent le compte de facturation de la plateforme.

Schéma du coffre

Chaque coffre-fort possède une clé principale aléatoire de 256 bits. Le modèle de votre appareil 5 × 5 se combine avec un secret local aléatoire de 256 bits ; PBKDF2-HMAC-SHA-256 avec 600 000 itérations et un nouveau sel de 128 bits dérive la clé qui enveloppe cette clé principale avec AES-256-GCM.

Dessinez votre motif sur la grille 5×5 pour ouvrir son coffre-fort. Les autres coffres-forts et leurs noms restent hors de vue. Les modèles doivent être différents selon les coffres inscrits sur le même appareil ; le choix d'un modèle ne révèle pas quels autres coffres existent.

Ce schéma déverrouille uniquement cet appareil. Conservez votre clé de récupération pour configurer un autre appareil.

Protection des clés de l'appareil uniquement

Sur iOS, le secret de déverrouillage local est stocké dans un élément Keychain non synchronisé, accessible uniquement lorsque l'appareil est déverrouillé. Sur Android, le matériel de déverrouillage de l'appareil est chiffré avec une clé Android Keystore non exportable qui nécessite un appareil déverrouillé.

Les secrets de déverrouillage locaux ne sont pas inclus dans la synchronisation cloud native ou dans les sauvegardes portables. Le secret iOS n'est pas une clé Secure Enclave et la sauvegarde matérielle Android dépend du périphérique. La protection des appareils ne garantit pas la sécurité d’un modèle prévisible une fois que le secret local a été compromis.

Chiffré avant le téléchargement

Le contenu des fichiers, les noms de fichiers, les aperçus, les noms de coffre-fort et la structure des dossiers sont cryptés sur l'appareil. AES-256-GCM authentifie les métadonnées et les wrappers de clés ; les fichiers utilisent un format de streaming AES-GCM-HKDF afin que le chiffrement puisse traiter des fichiers volumineux dans des segments délimités.

Les coffres-forts locaux conservent les fichiers cryptés dans le stockage privé des applications. Prendre une photo ou une vidéo dans un coffre-fort utilise une mise en scène privée avant le cryptage, plutôt que d'enregistrer automatiquement une copie de la galerie. L'importation d'un fichier existant ne supprime pas son original de Photos ou d'un autre fournisseur.

Synchronisation cloud privée en option

iOS utilise une base de données privée CloudKit dans iCloud. Android utilise le stockage d'application privé de Google Drive. Les fichiers, noms et aperçus sont cryptés avant le transfert. Votre fournisseur de cloud peut toujours observer les informations opérationnelles telles que les tailles, les identifiants et les horodatages.

La synchronisation est désactivée par défaut et sélectionnée séparément pour chaque coffre-fort sur chaque appareil. Le désactiver arrête les transferts ultérieurs à partir de cet appareil ; il ne supprime pas les copies cloud chiffrées existantes. Connectez un autre appareil sur la même plateforme avec le même compte cloud natif et la clé de récupération du coffre-fort.

La synchronisation iCloud et Google Drive reste sur leurs propres plates-formes. Choisissez Revault Cloud pour une synchronisation en direct iOS–Android ou utilisez un transfert téléphonique crypté.

Stockage professionnel pour les coffres-forts chiffrés entre iOS et Android. Revault reçoit le texte chiffré, jamais votre clé de coffre-fort ou votre phrase de récupération. Le changement de fournisseur laisse les copies cloud précédentes en place.

Verrouillage automatique du coffre-fort

Le délai d'expiration par défaut est de 60 secondes. Choisissez 30 secondes, 1 minute, 2 minutes, 5 minutes ou 10 minutes dans les paramètres de ce coffre-fort. Les coffres-forts partagés utilisent la valeur par défaut de 60 secondes ; le verrouillage en arrière-plan s'applique quel que soit le délai d'expiration sélectionné.

L'application mobile se verrouille immédiatement lorsqu'elle est en arrière-plan. Le verrouillage annule le travail du coffre-fort, efface les informations sur les fichiers déchiffrés et l'état de recherche, nettoie les aperçus temporaires et efface les tampons de clés détenus. iOS couvre également les instantanés du commutateur d'application ; Android utilise l'indicateur de fenêtre sécurisée du système d'exploitation.

La mémoire gérée et le stockage de l'appareil ne peuvent pas garantir l'effacement médico-légal immédiat de chaque copie. Le verrouillage automatique ne peut pas non plus retirer un fichier que vous avez explicitement exporté vers une autre application.

Sauvegardes et récupération cryptées

Une clé de récupération déverrouille le matériel de clé de coffre-fort chiffré ; il ne contient pas vos fichiers. Une sauvegarde contient les fichiers cryptés ; cela ne remplace pas la conservation de la clé de récupération. Rangez-les séparément et protégez-les tous deux de la perte.

Enregistrez votre phrase de récupération lors de la configuration. Revault génère une phrase contenant 18 mots aléatoires, sans phrase personnalisée ni option de régénération. Il vous permet d'inscrire un autre appareil ou de restaurer une sauvegarde sans votre modèle local. Les phrases personnalisées et les clés hexadécimales existantes restent valables pour leurs coffres-forts et sauvegardes d'origine. Revault ne conserve pas de copie et ne peut pas la réinitialiser à votre place.

Les transferts téléphoniques créent une nouvelle copie cryptée et une clé de transfert distincte, y compris entre l'iPhone et Android. L'original reste sur l'ancien téléphone. Vérifiez le coffre-fort de réception avant de supprimer les anciens fichiers et conservez des sauvegardes indépendantes, car la synchronisation peut propager les suppressions.

Partage sécurisé

Votre modèle de coffre-fort, votre clé de récupération et votre clé principale de coffre-fort ne sont jamais inclus dans un partage. Le service reçoit des données de fichiers cryptées et des métadonnées opérationnelles telles que les tailles, les sommes de contrôle, les horodatages et le nombre de sessions d'accès. Le secret de déchiffrement distinct n'est pas téléchargé.

Les partages contrôlés utilisent une expiration imposée par le serveur et des limites de session d'accès facultatives, des restrictions d'exportation et un minuteur après le premier accès. iOS prend également en charge les invitations privées CloudKit, qui n'appliquent pas ces contrôles de serveur. Les destinataires ouvrent un coffre-fort partagé isolé en utilisant le secret distinct, sans votre modèle personnel.

L'expiration et la révocation arrêtent la récupération future via Revault. Ils ne peuvent pas effacer les captures d'écran, les fichiers exportés ou les copies conservées par un destinataire. Choisissez une personne de confiance, même lorsque l'exportation est désactivée.

Contrôles de sécurité du coffre-fort en option

Safe Exit supprime l'accès local et les données des autres coffres-forts lorsqu'un coffre-fort désigné est ouvert. Les copies cloud demeurent et les coffres-forts uniquement hors ligne peuvent être perdus sans sauvegarde distincte. L’effacement médico-légal n’est pas garanti.

L’historique des activités et les alertes photo d’effraction sont facultatifs par coffre-fort. L'historique de l'appareil et les photos restent locaux et cryptés ; les partages contrôlés peuvent enregistrer séparément les horodatages des sessions d'accès. Les captures par effraction nécessitent l’autorisation de la caméra et des indicateurs système normaux. La capture verrouillée utilise une clé de cryptage publique ; l'examen des photos nécessite toujours de déverrouiller le coffre-fort.

À propos de la sécurité

L'utilisation du coffre-fort local ne télécharge pas les fichiers vers Revault. La synchronisation native facultative expose les métadonnées opérationnelles à Apple ou Google. Le partage contrôlé envoie des copies chiffrées et des métadonnées d'accès à Revault, sans télécharger le secret de décryptage distinct.

Les logiciels malveillants, un système d'exploitation ou une application compromis et une personne visualisant un écran déverrouillé peuvent exposer du texte en clair. La modification d'un modèle ne révoque pas un autre appareil, n'invalide pas les anciennes sauvegardes ou ne fait pas pivoter la clé principale du coffre-fort. Si une clé de coffre-fort ou un secret de récupération est compromis, déplacez les fichiers vers un nouveau coffre-fort avec de nouvelles clés.

Revault n'a pas fait l'objet d'un audit de sécurité indépendant. Il s’agit de descriptions de la conception cryptographique mise en œuvre, et non d’une certification ou d’une garantie contre toute intrusion.