O problema que um cofre trancado não resolve
Imagine um cofre no seu corredor. Por melhor que seja a fechadura, o cofre em si faz uma declaração: algo valioso está aqui dentro. Qualquer pessoa que o veja pode exigir que seja aberto — um ladrão, um parceiro abusivo, um funcionário em um posto de controle. A criptografia por si só é esse cofre no corredor. O conteúdo está protegido; a existência do conteúdo é anunciada.
O armazenamento negável remove o cofre do corredor. Feito corretamente, não há cofre visível, nenhuma contagem de cofres, e nenhuma forma de estabelecer que um está presente. A exigência "abra o resto" falha — não porque você resistiu, mas porque "o resto" não pode ser demonstrado como existente.
Como um cofre negável funciona
Três propriedades precisam se manter juntas. Primeiro, cada cofre é independente: cada um é criptografado com chaves derivadas de seu próprio PIN, padrão ou frase secreta, então abrir um não revela nada sobre qualquer outro. Segundo, não há registro: nenhum índice, lista ou contador de cofres é armazenado em lugar algum — o próprio software não sabe quantos existem. Terceiro, texto cifrado parece ruído: um cofre não revelado é indistinguível de dados aleatórios não utilizados, tanto para uma pessoa olhando quanto para ferramentas forenses.
O resultado inverte o ritual usual de desbloqueio. No Sealby, um PIN não "desbloqueia o app" — ele escolhe um cofre. O PIN correto revela seu cofre; qualquer outra entrada abre um cofre novo e vazio — de forma idêntica. Até um PIN digitado errado é indistinguível de abrir um cofre que sempre esteve vazio, porque são exatamente a mesma coisa.
Uma breve história
A ideia é mais antiga que smartphones. Ferramentas de desktop — mais famosamente TrueCrypt e seus sucessores — ofereciam volumes ocultos: um contêiner criptografado dentro do espaço livre de outro, com duas senhas revelando duas realidades diferentes. Pesquisadores formalizaram a propriedade como criptografia negável. O que mudou recentemente é onde estão os riscos: o dispositivo mais pessoal agora é o celular no seu bolso, e é a coisa que as pessoas são realmente pressionadas a desbloquear.
O que a negação não é
Limites honestos, declarados claramente. A negação protege dados em repouso contra inspeção. Não protege você de alguém que te observa digitar o PIN, de confirmar que o cofre existe, ou de cópias em texto plano em outro lugar — uma biblioteca de fotos sincronizada, uma conversa de chat, um backup feito antes do cofre. E não é uma desculpa para infringir a lei; é uma forma de manter a vida privada sob pressão que não deveria decidir por você.