O que é um cofre negável?

O problema que um cofre trancado não resolve

Imagine um cofre no seu corredor. Por melhor que seja a fechadura, o cofre em si faz uma declaração: algo valioso está aqui dentro. Qualquer pessoa que o veja pode exigir que seja aberto — um ladrão, um parceiro abusivo, um funcionário num posto de controlo. A encriptação por si só é esse cofre no corredor. O conteúdo está protegido; a existência do conteúdo é anunciada.

O armazenamento negável remove o cofre do corredor. Feito corretamente, não há cofre visível, nenhuma contagem de cofres, e nenhuma forma de estabelecer que um está presente. A exigência "abra o resto" falha — não porque resistiu, mas porque "o resto" não pode ser demonstrado como existente.

Como um cofre negável funciona

Três propriedades precisam de se manter juntas. Primeiro, cada cofre é independente: cada um é encriptado com chaves derivadas do seu próprio PIN ou frase secreta, pelo que abrir um não revela nada sobre qualquer outro. Segundo, não há registo: nenhum índice, lista ou contador de cofres é armazenado em lugar algum — o próprio software não sabe quantos existem. Terceiro, texto cifrado parece ruído: um cofre não revelado é indistinguível de dados aleatórios não utilizados, tanto para uma pessoa a olhar quanto para ferramentas forenses.

O resultado inverte o ritual habitual de desbloqueio. No Sealby, um PIN não "desbloqueia a app" — escolhe um cofre. O PIN correto revela o seu cofre; qualquer outra entrada abre um cofre novo e vazio — de forma idêntica. Até um PIN mal digitado é indistinguível de abrir um cofre que sempre esteve vazio, porque são exatamente a mesma coisa.

Uma breve história

A ideia é mais antiga que os smartphones. Ferramentas de desktop — mais famosamente TrueCrypt e os seus sucessores — ofereciam volumes ocultos: um contentor encriptado dentro do espaço livre de outro, com duas palavras-passe a revelar duas realidades diferentes. Investigadores formalizaram a propriedade como encriptação negável. O que mudou recentemente é onde estão os riscos: o dispositivo mais pessoal é agora o telemóvel no seu bolso, e é aquilo que as pessoas são realmente pressionadas a desbloquear.

O que a negação não é

Limites honestos, declarados claramente. A negação protege dados em repouso contra inspeção. Não o protege de alguém que o observe a digitar o PIN, de confirmar que o cofre existe, ou de cópias em texto simples noutro local — uma biblioteca de fotos sincronizada, uma conversa de chat, uma cópia de segurança feita antes do cofre. E não é uma desculpa para infringir a lei; é uma forma de manter a vida privada sob pressão que não deveria decidir por si.