Come eliminare definitivamente le foto prima di vendere o permutare l’iPhone

TL;DR

Eliminare una foto su iPhone la sposta in un album di attesa di 30 giorni. Svuotare quell’album rimuove il riferimento al file ma non sovrascrive i dati sulla memoria NAND. Un ripristino alle impostazioni di fabbrica crittografa il volume e scarta la chiave, il che è efficace contro il recupero casuale – ma per foto sensibili, sovrascrivere i dati prima del reset aggiunge un livello di protezione significativo. Il File Shredder di App-Vault scrive dati casuali su ogni file prima di eliminarlo, e la crittografia AES-256-GCM dell’app fa sì che anche un accesso diretto alla NAND produca solo testo cifrato. La checklist completa: distruggi i file sensibili in App-Vault, elimina e svuota Eliminati di recente in Foto, esci da iCloud, cancella contenuto e impostazioni, e verifica che il dispositivo si avvii sulla schermata Ciao.

Cosa significa realmente “Elimina” su iPhone

Tocca l’icona del cestino su una foto e iOS non cancella nulla. Sposta il file nell’album Eliminati di recente, dove rimane per 30 giorni – completamente visibile, completamente recuperabile, ancora occupando spazio. È una rete di sicurezza, non una funzione di sicurezza.

Apri Foto, vai su Album, scorri fino a Eliminati di recente, tocca “Elimina tutto” – ora il riferimento al file system è sparito. La foto non appare più in nessuna interfaccia. Ma i dati stessi rimangono sulla memoria flash NAND dell’iPhone. iOS segna quei blocchi come disponibili per il riutilizzo. Finché il controller di archiviazione non scrive nuovi dati in quei blocchi esatti, i vecchi dati della foto sono fisicamente presenti sul dispositivo.

Non è una preoccupazione teorica. Gli strumenti forensi usati dalle forze dell’ordine e dai servizi di recupero dati estraggono regolarmente file da blocchi NAND non riutilizzati su iPhone che i proprietari hanno “eliminato completamente”. Il processo è più difficile sugli iPhone moderni che sui modelli più vecchi, ma i dati sono lì finché non vengono sovrascritti o la chiave di crittografia non viene distrutta.

Perché la crittografia hardware cambia le cose

Ogni iPhone dal 3GS crittografa la memoria flash NAND a livello hardware. La chiave di crittografia è legata all’UID unico del dispositivo, fuso nel processore in fase di produzione e mai esposto al software. Quando esegui un ripristino alle impostazioni di fabbrica (“Cancella contenuto e impostazioni”), iOS non sovrascrive ogni blocco – distrugge la gerarchia delle chiavi di crittografia del file system. Senza quelle chiavi, i dati sulla NAND sono computazionalmente impossibili da decifrare.

Per la stragrande maggioranza dei venditori, un ripristino alle impostazioni di fabbrica è sufficiente. I dati sono matematicamente bloccati dietro una chiave che non esiste più.

Ma “computazionalmente impossibile” non è “fisicamente impossibile”. Un avversario a livello statale con accesso al microscopio elettronico al chip NAND potrebbe, in teoria, leggere il testo cifrato grezzo direttamente. La probabilità è bassa. La conseguenza del fallimento – se le foto in questione sono cartelle cliniche, documenti legali o materiale giornalistico – potrebbe essere abbastanza alta da giustificare un ulteriore passo.

Quel passo è sovrascrivere i dati prima del reset.

Il divario di sovrascrittura: dove si inserisce il File Shredder di App-Vault

iOS non fornisce alcuno strumento integrato per sovrascrivere i blocchi dei file eliminati. Una volta svuotato Eliminati di recente, quei blocchi rimangono intatti finché il sistema operativo non li riutilizza. Se vendi l’iPhone il giorno dopo, i blocchi sono quasi certamente ancora intatti.

Il File Shredder di App-Vault colma questo divario per i file già all’interno del vault. Prima di eliminare un file, lo shredder scrive dati casuali sui suoi blocchi di archiviazione, poi rimuove il riferimento al file. Il contenuto originale viene sostituito con rumore. Anche una lettura forense della NAND recupera solo i dati di sovrascrittura casuali, non la foto originale.

Lo shredder opera all’interno del vault crittografato di App-Vault. Le foto che sono ancora nell’app Foto di iOS devono essere spostate prima in App-Vault – importate tramite il selettore file dell’app – poi distrutte. Questo è un passo extra, ma è l’unico modo per garantire che file specifici vengano sovrascritti anziché semplicemente dereferenziati.

I file all’interno di App-Vault sono crittografati con AES-256-GCM utilizzando un nonce unico a 96 bit per file. La chiave di crittografia è derivata dal pattern dell’utente tramite PBKDF2-SHA256 con 600.000 iterazioni, poi avvolta da una chiave generata all’interno del Secure Enclave dell’iPhone. Anche senza il passo di sovrascrittura, l’accesso diretto alla NAND produce solo testo cifrato. Il passo di sovrascrittura garantisce che anche il testo cifrato stesso sia sparito.

La checklist completa pre-vendita

Segui questi passi in ordine. Saltare un passo lascia un vuoto.

1. Sposta le foto sensibili in App-Vault

Apri App-Vault. Usa la funzione di importazione per prelevare foto e video dall’app Foto di iOS e portarli nel vault crittografato. Questo copre il materiale che ti preoccupa di più – i file che causerebbero danni reali se recuperati da un estraneo.

Se usi il Lanciatore Calcolatrice di App-Vault come metodo di accesso principale, il vault è già separato dall’app Foto sia nell’interfaccia che nell’archiviazione. Spostare i file è un atto deliberato, il che significa che sai esattamente cosa c’è dentro.

2. Distruggi i file

All’interno di App-Vault, seleziona le foto importate ed esegui il File Shredder. L’app scrive dati casuali su ogni blocco di archiviazione dei file, poi elimina il riferimento al file crittografato. Ci vogliono alcuni secondi per file a seconda della dimensione.

Dopo la distruzione, i file sono spariti dal vault. Non sono in Eliminati di recente. Non sono in nessun album. I blocchi che li contenevano ora contengono dati casuali.

3. Elimina le foto rimanenti dall’app Foto di iOS

Scorri l’app Foto ed elimina tutto il resto che non vuoi che il prossimo proprietario veda. Questo include screenshot, immagini scaricate e qualsiasi foto che non è mai stata spostata in App-Vault.

Tocca Seleziona, scegli le foto, tocca l’icona del cestino. Poi vai su Album → Eliminati di recente → Elimina tutto. Questo rimuove i riferimenti al file system. I dati rimangono sulla NAND, ma saranno resi inaccessibili dal ripristino alle impostazioni di fabbrica al passo 6.

4. Esci da iCloud e dall’ID Apple

Vai su Impostazioni → [il tuo nome] → Esci. Inserisci la password del tuo ID Apple e scegli di rimuovere i dati iCloud dal dispositivo. Questo disconnette l’iPhone dal tuo account iCloud, inclusi Foto iCloud, iCloud Drive, Portachiavi e Dov’è.

Se Foto iCloud è attivo, la tua intera libreria fotografica vive sui server Apple. Uscire rimuove le copie locali ma non tocca la libreria cloud. Se vuoi eliminare anche la libreria cloud, gestiscila separatamente su icloud.com prima di uscire.

5. Cancella contenuto e impostazioni

Vai su Impostazioni → Generali → Trasferisci o ripristina iPhone → Cancella contenuto e impostazioni. Inserisci il codice e la password dell’ID Apple quando richiesto. Il dispositivo si riavvierà, distruggerà la gerarchia delle chiavi di crittografia del file system e mostrerà la schermata di configurazione Ciao.

Questo è il passo che rende i dati rimanenti sulla memoria flash NAND computazionalmente inaccessibili. Senza le chiavi di crittografia, i dati grezzi sono rumore.

6. Verifica la schermata Ciao

Dopo il reset, l’iPhone dovrebbe mostrare la schermata di configurazione “Ciao” in più lingue. Se lo fa, il reset è riuscito. Se si avvia sulla schermata di blocco o sulla home, qualcosa è andato storto – ripeti il passo 5.

Non configurare di nuovo il dispositivo. Lo farà il prossimo proprietario.

E i backup iCloud?

Se hai attivato il backup iCloud, una copia della tua libreria fotografica – incluse le foto che hai eliminato dal dispositivo – potrebbe esistere nel tuo backup iCloud. Il ripristino alle impostazioni di fabbrica non lo tocca.

Prima di vendere il telefono, vai su Impostazioni → [il tuo nome] → iCloud → Gestisci archiviazione → Backup. Seleziona il backup del dispositivo e cancellalo o disabilita Foto nell’ambito del backup. Questo garantisce che anche se qualcuno ottiene accesso al tuo account iCloud in seguito, il backup non contenga le foto che pensavi di aver eliminato.

Il backup iCloud crittografato di App-Vault è facoltativo e utilizza una chiave di backup separata per dispositivo. Se lo hai attivato, il backup sui server Apple è testo cifrato. App-Vault non può decifrarlo – questo è il punto dell’architettura zero-knowledge. Ma se stai dismettendo completamente il dispositivo, elimina anche il backup di App-Vault da iCloud.

Cosa questo processo non protegge

L’onestà sui limiti è una caratteristica, non una debolezza.

Dati lato server iCloud. Questa guida copre il dispositivo. Se le tue foto sono state sincronizzate con iCloud, esistono sui server Apple finché non le elimini lì. Il ripristino alle impostazioni di fabbrica non arriva attraverso internet.

Screenshot e miniature in cache. Alcune app generano le proprie cache di miniature al di fuori dell’app Foto. Un ripristino alle impostazioni di fabbrica le cancella, ma se sei preoccupato per la cache di un’app specifica, elimina l’app prima del reset.

Forensica fisica della NAND su file non distrutti. Se hai eliminato foto dall’app Foto di iOS senza prima distruggerle, e hai eseguito immediatamente il ripristino alle impostazioni di fabbrica, i dati grezzi potrebbero essere ancora sulla NAND. La chiave di crittografia è sparita, quindi i dati sono testo cifrato – ma è testo cifrato che potrebbe, in modelli di minaccia estremi, essere preso di mira per attacchi di forza bruta o side-channel. Lo shredder elimina questo vettore per i file all’interno di App-Vault.

La pagina del modello di minaccia copre in dettaglio i confini difensivi di App-Vault. Leggila prima di decidere se questo processo corrisponde al tuo livello di rischio.

Confronto con altre app vault

La maggior parte delle app vault per foto sull’App Store – Keepsafe, Private Photo Vault, HideX – memorizzano i file nel proprio contenitore sandbox. Eliminare l’app rimuove il contenitore. Se i dati sottostanti vengano sovrascritti dipende dall’implementazione dell’app, e la maggior parte non pubblica il proprio comportamento di sovrascrittura.

Keepsafe è il leader di categoria per numero di installazioni; la ripartizione completa delle funzionalità è su App-Vault vs Keepsafe. Vaultaire è il concorrente architetturale più vicino; vedi App-Vault vs Vaultaire.

App-Vault è l’unica app vault per iPhone che pubblica il suo stack crittografico completo – AES-256-GCM, PBKDF2 a 600.000 iterazioni, wrapping delle chiavi con Secure Enclave – con citazioni di fonti primarie, e lo abbina a un file shredder che sovrascrive i dati prima dell’eliminazione. Se la domanda è “come eliminare definitivamente le foto dal mio iPhone prima di venderlo”, la risposta non è solo “usa un’app vault”. La risposta è “usa un’app vault che crittografa, sovrascrive e ti permette di verificare ogni livello”.

In conclusione

Eliminare una foto su iPhone non equivale a distruggerla. L’album Eliminati di recente è un periodo di grazia di 30 giorni. Svuotarlo rimuove il riferimento, non i dati. Un ripristino alle impostazioni di fabbrica distrugge le chiavi di crittografia, il che è efficace contro qualsiasi tentativo di recupero realistico. Per materiale sensibile, sovrascrivere i dati prima – usando il File Shredder di App-Vault – chiude l’ultimo divario.

L’intero processo richiede 15-30 minuti. Il costo di saltarlo è consegnare a uno sconosciuto un dispositivo che potrebbe ancora contenere le tue cartelle cliniche, i tuoi documenti legali o le tue foto private – anche se sei certo di averle eliminate.