「私たちは写真を見られません」は、主張であって感覚ではありません
プライバシー系の App は、どれもこれに近いことを言います。たいていの場合、それは「データを慎重に扱うよう努めています」というマーケティングの短縮形で、「構造上、アクセスできない」とは違います。二つは別の主張で、実際に確かめられるのは片方だけです。
確かめ方は二つに分かれます。Privately が関わる前に iPhone 上で起きていることと、その上に Privately が足すことです。
どの App が触れるより前に、写真はすでに暗号化されています
iPhone 8 以降、端末上のすべてのファイルは、写真も含めて、Secure Enclave というチップで保護されています。これはメイン CPU とは別に、暗号鍵を扱うプロセッサです。写真がストレージへ書き込まれるとき、その写真専用の暗号鍵が付きます。その鍵はさらに、パスコードと、工場で Secure Enclave に焼き付けられたハードウェア識別子に結びついた別の鍵で包まれます。この識別子は読み出せず、抜き出せません。端末を手にした人にも、Apple にもです。
iPhone をロックすると、そのデータを復号するのに必要な鍵は、システムの残りから使えなくなります。再び使えるようにするのが、Face ID、Touch ID、またはパスコードです。だから、特殊なハードウェア攻撃を除けば、盗まれてロックされた iPhone は、読める写真ファイルの束ではありません。本人だと証明されるまで、暗号化されたノイズです。
これは Privately に固有のことではありません。このプラットフォーム上のすべての App に Apple が与えている基線で、隠していてもいなくても、今のカメラロールをすでに守っています。
その上に載る App にとって、「写真を見ていません」が実際に意味すること
この基線があるとき、App が約束を破る方法は一つだけです。Secure Enclave の保護が届かない場所へ写真を移すことです。サーバー、クラウドのバケット、解析のパイプライン、サポートのチケット。経路にネットワークがあるものは、すべて数に入ります。
Privately がしないのは、まさにこれです。App のどこにもアップロードの手順はなく、ロックした写真をバックエンドへ同期するサインイン用のアカウントもなく、召喚状、侵害、あるいは設定ミスで写真が載り得るサーバーもありません。ライブラリが端末から出ないなら、「見た」という状態は、見たいかどうかに関係なく、物理的に成立しません。
これを私たちだけの言葉で信じる必要もありません。このサイトの EXIF 削除ツールと写真モザイク・黒塗りツールは同じやり方で動きます。こちらの方が自分で確認しやすいです。ブラウザの開発者ツールを開き、ネットワークのタブを見て、写真を置き、メタデータを削ってください。外へは何も出ません。同じ構造で、ネイティブ App よりデバッガを向けやすいだけです。
ロックされたアルバムが、OS が初期状態では渡さないもの
端末全体がすでに暗号化されているなら、App に残る仕事は何でしょう。分離です。通常のデータ保護は、ライブラリのすべてを同じように暗号化します。それが問題でもあります。子どもの誕生日の写真と、誰かにめくってほしくない一枚が、同じ解除の後ろにあります。Face ID を一度通すと、全部が見えます。
ロックされたアルバムは、二つ目の、独立した保管庫です。移した写真はライブラリ、カメラロール、iCloud 写真の同期から消え、iPhone を解除しても開きません。専用の Face ID、Touch ID、または PIN が要ります。「他のすべてと一緒に暗号化されている」と「暗号化されていて、しかも他のすべてと同じ部屋にはない」の違いです。この隙間の長い説明は、iPhone 内蔵の非表示アルバムとの比較にあります。非表示アルバムもこの記事で述べるデータ保護を使いますが、分離の部分はありません。
これがカバーしないこと
限界を正確に言うと、ここまで書いたのは構造の話です。データが物理的にどこにあり、技術的に誰が届くかです。OS の提供者である Apple に対する法的手続き、脱獄や侵害された端末、アルバムを開いたまま後ろに立っている人については、何も言いません。暗号化が解くのは「ネットワーク越しに届くか」です。「パスコードが付箋に書いてあるか」は、もともと解く対象ではありません。
ロックするより前に、写真が何を漏らし得るかの全体は、写真が初期状態で持つメタデータに書いてあります。GPS 座標、端末のモデル、撮影日時。Secure Enclave はこれらについて意見を持ちません。守る対象がそれではないからです。
Privately は無料でダウンロードできます。ロックされたアルバムとその他の Pro 機能は、分かりやすいサブスクリプションです。無料トライアルはなく、保管庫の中で追加の販売もしません。