Come gli avvocati possono proteggere il materiale riservato dei clienti su iPhone

TL;DR

AppVault è una cassaforte locale per iPhone progettata per avvocati che archiviano materiale riservato dei clienti su dispositivi personali. Utilizza crittografia AES-256-GCM con chiavi derivate tramite PBKDF2-SHA256 a 600.000 iterazioni e avvolte dal Secure Enclave dell'iPhone. Non ci sono server, account o telemetria – quindi nulla esiste in una catena di discovery al di fuori del dispositivo stesso. Una funzione Vault Decoy offre un secondo catalogo matematicamente indipendente dietro un pattern 5×5 separato, rilevante in scenari di decifratura coatta. L'app include una calcolatrice iOS completamente funzionante come icona principale, con una scorciatoia a pressione prolungata per accedere al vault.

Il problema del privilegio dentro il tuo iPhone

L’iPhone di un avvocato è una responsabilità. Non perché il dispositivo sia insicuro per impostazione predefinita, ma perché il rullino fotografico è un archivio piatto, ricercabile e scorrevole di tutto ciò che l’avvocato ha fotografato nell’esercizio della professione. Un mandato firmato scattato in un bar. Una foto di una lavagna da una riunione con un cliente. Uno screenshot di un messaggio di testo che contiene la strategia del caso. Una foto di un documento passato attraverso un tavolo durante una revisione di discovery.

Nessuno di questi file è privilegiato perché è crittografato. Sono privilegiati a causa della relazione e del contesto in cui sono stati creati. Ma il privilegio può essere rinunciato – e uno dei modi in cui viene rinunciato è attraverso una conservazione negligente. Se la controparte ottiene accesso a un dispositivo e trova confidenze del cliente in chiaro nell’app Foto, diventa difficile sostenere che l’avvocato abbia adottato misure ragionevoli per proteggerle.

Il dovere appartiene al cliente. Il fallimento appartiene all’avvocato.

Cosa richiede la dottrina del work-product al tuo dispositivo

La dottrina del work-product, codificata nella Federal Rule of Civil Procedure 26(b)(3) e ripresa nella maggior parte delle regole statali, protegge i materiali preparati in previsione di un contenzioso. Come il privilegio avvocato-cliente, non è una regola tecnologica – è una protezione legale che può essere erosa da una gestione negligente.

La dottrina interagisce con i dispositivi mobili in un modo specifico. Gli avvocati fotografano regolarmente documenti, prove e materiali durante deposizioni, sopralluoghi e riunioni con i clienti. Quelle fotografie finiscono nello stesso rullino di foto di famiglia e screenshot di menu di ristoranti. Non c’è separazione. Non c’è controllo degli accessi. Chiunque abbia il telefono e conosca il codice di sblocco può vedere tutto.

Un’app vault introduce separazione. Ma non tutti i vault sono uguali dal punto di vista della discovery.

Perché l’architettura locale cambia il calcolo della discovery

La maggior parte delle app vault “sicure” sull’App Store si sincronizza con un backend cloud. L’utente paga un abbonamento, i file vengono caricati e l’azienda li archivia – a volte crittografati, a volte no, a volte con chiavi detenute dall’azienda. Dal punto di vista della discovery, questo crea un nuovo bersaglio. Una citazione notificata al provider cloud può obbligare alla produzione di metadati dei file, log di accesso e, in alcuni casi, i file stessi.

AppVault non effettua alcuna chiamata di rete per impostazione predefinita. Non c’è server. Non c’è account. Non esiste infrastruttura di terze parti che possa essere citata, hackerata o destinataria di una lettera di sicurezza nazionale. I file crittografati esistono solo sul dispositivo.

Questa non è una distinzione marginale. È la differenza tra una catena di discovery che termina sull’iPhone e una che si estende al data center di un provider cloud in un’altra giurisdizione.

Per gli avvocati che operano sotto il GDPR, la distinzione è ancora più concreta. L’articolo 48 del Regolamento vieta i trasferimenti di dati personali alle autorità di paesi terzi se non in condizioni specifiche. Un vault che non lascia mai il dispositivo non attiva mai la questione del trasferimento. La pagina completa sull’architettura zero-knowledge spiega cosa significa nella pratica il design senza server di AppVault.

Crittografia che resiste a ogni controllo

AppVault crittografa ogni file con AES-256-GCM (Galois/Counter Mode), utilizzando un nonce unico di 96 bit per file. AES-256 è specificato in NIST FIPS 197; la modalità GCM è definita in NIST SP 800-38D. La chiave di crittografia viene derivata dal pattern 5×5 dell’utente tramite PBKDF2-SHA256 a 600.000 iterazioni con un sale di 128 bit per installazione – la raccomandazione OWASP 2026 per la derivazione di chiavi basata su password.

L’output di PBKDF2 viene quindi avvolto da una chiave generata all’interno del Secure Enclave dell’iPhone. Quella chiave non lascia mai il chip. Senza lo specifico iPhone che l’ha creata, il materiale chiave avvolto è computazionalmente impossibile da svelare.

Questo è importante per gli avvocati perché la crittografia non è un’affermazione di marketing – è uno stack specifico e verificabile con citazioni da fonti primarie. Se un tribunale chiede mai quali misure sono state adottate per proteggere le confidenze del cliente, “abbiamo usato un’app con crittografia militare” non è una risposta. “Abbiamo usato AES-256-GCM con PBKDF2 a 600.000 iterazioni e avvolgimento della chiave con Secure Enclave, e queste sono le specifiche NIST” è una risposta.

Acquisizione sicura durante l’intake del cliente

L’intake del cliente è uno dei momenti a più alto rischio per l’esposizione del privilegio. Un nuovo cliente consegna documenti. L’avvocato li fotografa. Le foto rimangono nel rullino finché l’avvocato non si ricorda di spostarle – il che spesso significa che rimangono nel rullino a tempo indeterminato.

Il flusso di acquisizione di AppVault è progettato per questo momento. Un avvocato può fotografare un mandato firmato, un documento di identificazione o una prova documentale e spostarlo direttamente nel vault nella stessa sessione. Il file viene crittografato a riposo con AES-256-GCM prima che l’app torni alla schermata principale. Il rullino non contiene mai l’originale non crittografato.

Per i paralegali e gli assistenti legali che gestiscono l’intake alla reception, il sistema Pattern Lock significa che il vault è accessibile con un rapido gesto sulla griglia 5×5 – più veloce che digitare una password e senza che la password sia visibile a qualcuno nelle vicinanze.

Il problema dell’iPad condiviso in studio

Gli studi legali piccoli e i professionisti singoli spesso condividono iPad tra il personale. Un receptionist usa lo stesso dispositivo di un paralegale. Un partner passa l’iPad a un cliente per firmare un documento. L’app Foto su quel dispositivo condiviso può contenere foto di intake, mandati firmati e screenshot relativi a casi di diverse pratiche.

Senza un vault, il controllo degli accessi su quell’iPad è binario: o qualcuno conosce il codice di sblocco del dispositivo e può vedere tutto, oppure non può. Non esiste una via di mezzo. Un’app vault con un pattern separato crea un secondo livello. Il codice di sblocco dell’iPad condiviso porta l’utente alla schermata principale. Il pattern del vault porta l’utente al materiale riservato. Membri diversi dello staff possono avere accessi diversi al vault senza condividere una singola password.

Non è un problema teorico. Le associazioni forensi hanno emesso pareri etici sul dovere di proteggere le confidenze dei clienti su dispositivi condivisi. Il dovere non cambia perché lo studio è piccolo.

Vault Decoy e decifratura coatta

La questione della decifratura coatta è una delle aree più controverse nella giurisprudenza del Quinto Emendamento. Corti in diversi circuiti hanno raggiunto conclusioni diverse sulla possibilità di obbligare un sospettato a fornire un codice di sblocco o un dato biometrico. Il Terzo Circuito in In re Grand Jury Subpoena Duces Tecum (2012) ha stabilito che obbligare a fornire un codice violava il Quinto Emendamento quando il governo non poteva descrivere con ragionevole specificità cosa si aspettava di trovare. Il Primo Circuito in United States v. Gavegnano (2016) ha raggiunto la conclusione opposta.

La funzione Vault Decoy di AppVault è costruita per questa incertezza. Un secondo pattern 5×5 apre un catalogo vault completamente separato – matematicamente indipendente dal vault principale, senza materiale chiave condiviso, nessun metadato collegato e nessun modo per dimostrare che esiste un secondo vault. Il vault decoy non è una cartella nascosta. È un catalogo crittografato separato che appare, dall’esterno, come l’unico vault sul dispositivo.

Questa funzione è rilevante in diversi scenari oltre alla difesa penale. Ispezioni doganali e di frontiera, dove gli ufficiali possono chiedere di sfogliare un dispositivo. Sequestro del dispositivo durante una discovery civile. Situazioni in cui un avvocato viaggia in una giurisdizione con richieste aggressive di decifratura. Il vault decoy non risolve la questione legale – nessuna app può farlo – ma cambia il panorama fattuale in modo da dare all’avvocato delle opzioni.

Cosa AppVault non difende

L’onestà sui limiti è un principio di progettazione, non una svista. AppVault non protegge contro:

• Un avvocato che scrive il pattern su un post-it attaccato all’iPhone. Il vault è forte quanto la sicurezza operativa che lo circonda.
• Sblocco biometrico coatto in una giurisdizione che lo permette. Se un tribunale ordina a un avvocato di posare un dito sul sensore Touch ID, il vault si apre. Il Vault Decoy mitiga questo solo se l’avvocato ha configurato un pattern decoy.
• Estrazione fisica da parte di uno strumento forense con un exploit noto. Se l’iPhone stesso è vulnerabile a un exploit di bootrom (come checkm8 sui chip A5–A11), i dati del vault crittografati possono essere estratti e attaccati offline. La crittografia di AppVault rende gli attacchi offline computazionalmente costosi, ma non li rende impossibili contro un avversario sufficientemente attrezzato.
• Le abitudini di backup del dispositivo dell’avvocato. Se l’avvocato esegue il backup dell’iPhone su un backup iTunes non crittografato su un laptop, il blob crittografato del vault si trova in quel backup – ma così anche tutto il resto. Il backup iCloud opzionale di AppVault utilizza una chiave di backup separata per dispositivo in modo che Apple riceva solo testo cifrato, ma questa protezione non si estende ai backup locali non crittografati.

La pagina completa sul modello di minaccia dettaglia contro cosa AppVault difende e cosa non difende.

Come AppVault si differenzia dai vault sincronizzati su cloud

La maggior parte delle app vault per foto più installate nella categoria sono prodotti cloud-first: i dati dei file o i metadati risiedono sui server del fornitore, è richiesta la registrazione di un account e alcune includono SDK di analytics che trasmettono dati di utilizzo fuori dal dispositivo. Dal punto di vista del privilegio e della discovery, ciascuno di questi sistemi del fornitore è un punto separato di procedimento legale. Le pagine di confronto dedicate AppVault vs Keepsafe e AppVault vs Vaultaire analizzano le differenze architetturali specifiche per ogni concorrente nominato.

L’architettura di AppVault è l’opposto. Nessun account. Nessun server. Nessun SDK. Nessuna chiamata di rete. I file crittografati esistono sull’iPhone e da nessun’altra parte, a meno che l’utente non li esporti esplicitamente.

Per gli avvocati che valutano le app vault, la domanda non è “quale app ha la migliore interfaccia”. La domanda è: se questo fornitore riceve una citazione domani, cosa deve produrre? Con AppVault, la risposta è nulla – perché non esiste infrastruttura del fornitore che detenga i dati dei clienti.

Le pagine di confronto AppVault vs Keepsafe e AppVault vs Vaultaire analizzano in dettaglio le differenze architetturali.

Calculator Launcher: discrezione pratica

AppVault include una calcolatrice iOS completamente funzionante come icona principale. La calcolatrice funziona – esegue operazioni aritmetiche, gestisce l’ordine delle operazioni e si comporta esattamente come l’app Calcolatrice integrata di iOS. Una pressione prolungata sul tasto uguale apre il vault crittografato.

Non è un travestimento. È un’icona alternativa completamente funzionante che soddisfa la linea guida Apple 4.3. La calcolatrice non finge di essere qualcosa che non è. È una calcolatrice che, incidentalmente, fornisce accesso a un vault attraverso un gesto deliberato.

Per gli avvocati, il valore pratico è la discrezione in situazioni a basso rischio. Un telefono prestato. Uno schermo condiviso durante una riunione. Un dispositivo passato a qualcuno per una foto di gruppo. L’icona della calcolatrice non pubblicizza l’esistenza di un vault. La pagina Calculator Launcher copre l’implementazione.

Configurazione e recupero

AppVault genera una frase di recupero scritta opzionale durante la configurazione iniziale. Questo è l’unico meccanismo di recupero. Non esiste reimpostazione della password. Non esiste canale di supporto che possa sbloccare il vault. Se il pattern viene dimenticato e la frase di recupero viene persa, il vault rimane sigillato permanentemente.

Questa è una funzionalità per gli avvocati, non un limite. Un vault che può essere reimpostato dal fornitore è un vault che può essere reimpostato da un ordine del tribunale diretto al fornitore. Un vault senza meccanismi di recupero al di fuori del controllo dell’utente è un vault che mantiene sigillati i suoi contenuti indipendentemente da ciò che accade all’azienda.

La raccomandazione è semplice: scrivere la frase di recupero, conservarla in una posizione fisica separata (una cassaforte, un cassetto chiuso a chiave, il sistema di gestione documentale dello studio) e trattarla con la stessa cura di qualsiasi altro materiale riservato.

Il punto fondamentale per i professionisti legali

Il privilegio avvocato-cliente non è un problema tecnologico, ma la tecnologia può renderlo più difficile da proteggere. Un rullino fotografico piatto senza controllo degli accessi, senza crittografia e senza separazione tra file personali e professionali è una rinuncia in attesa di accadere.

AppVault non risolve il problema del privilegio. Solo il giudizio legale, la pratica etica e una ragionevole sicurezza operativa risolvono il problema del privilegio. Ciò che AppVault fa è rimuovere la modalità di errore più comune: materiale riservato in chiaro su un dispositivo che chiunque conosca il codice di sblocco può sfogliare.

Crittografia AES-256-GCM. PBKDF2 a 600.000 iterazioni. Avvolgimento della chiave con Secure Enclave. Nessun server. Nessun account. Nessuna telemetria. Un Vault Decoy per scenari di sequestro. Un Calculator Launcher per discrezione. Un Pattern Lock che si apre in due secondi e che nessuno nelle vicinanze può osservare.

I file rimangono sull’iPhone. Le chiavi rimangono sull’iPhone. Nient’altro esiste.