NQ Vault: como um app protege (ou não) os dados em seu telefone

Muito fica escondido, inclusive a tecnologia usada para ‘esconder’. (Reprodução)

Pelo menos 30 milhões de pessoas já baixaram um aplicativo chamado NQ Vault para proteger os dados do telefone contra curiosos e, talvez, ladrões. Disponível no Google Play, o app gratuito é desenvolvido pela empresa de segurança chinesa[1. A empresa tem dupla sede: uma em Beijing e outra em Dallas (Estados Unidos).] NQ e promete “esconder” suas informações de chamada, fotos, vídeos e outros dados.

Na semana passada, o programador amador Ninja Doge publicou um texto em seu blog mostrando como o NQ Vault “protege” arquivos de imagem e vídeo. Na verdade, os dados não são protegidos: apenas os primeiros 128 bytes são trocados por meio de um algoritmo chamado XOR.

O XOR pode funcionar bem para proteger informações, com uma condição: a chave precisa ter o mesmo tamanho da quantidade dados que será protegida. Isso significa que um vídeo de 50 MB precisaria de uma chave de 50 MB para ficar bem protegido com XOR.

O NQ Vault usa, na verdade, uma chave de um único byte. Essa chave é baseada na senha configurada no app. Não importa o tamanho da senha: a chave terá sempre um único byte. Não adianta você usar uma senha forte, porque o app sempre irá convertê-la em um valor fácil de ser adivinhado.

Resumindo, o NQ Vault não protege seus arquivos de maneira correta.

No entanto, além de arquivos de imagem e vídeo, o NQ Vault promete ainda proteger mensagens e o histórico de chamadas. Nesse caso, o algoritmo de criptografia usado é o AES-128. Essa é uma proteção muito melhor.

Segundo a empresa, essas proteções são “suficientes para os casos de uso dos consumidores para os quais o aplicativo se destina”.

Para quem precisa de mais proteção, a NQ diz que oferece soluções corporativas.

Infelizmente, esses detalhes técnicos raramente são informados em termos claros para as pessoas. Na prática, o NQ Vault não protege seus arquivos contra alguém que tenha um mínimo de conhecimento. Ele oferece uma pequena proteção contra outros aplicativos e curiosos que tenham os seu celular em mãos. Talvez isso seja o que você precisa. Talvez não.

Já a proteção para mensagens e chamadas é confiável e pode ser usada. Essa diferença parece confusa, mas é compreensível: o AES-128 exige mais recursos de processamento. Sendo mais lento, levaria muito tempo para proteger arquivos grandes, como fotos e vídeos.

Nem todas as senhas são iguais. A criptografia completa do dispositivo, disponível em alguns celulares Android e no iPhone, por exemplo, é muito melhor. Em casos de armazenamento local, como os vídeos e fotos que você guarda em seu celular, uma senha só vale de verdade quando ela tiver por base uma tecnologia forte de criptografia. Sem isso, ela é o mesmo que nada.