iPhone売却・下取り前に写真を完全に削除する方法

TL;DR

iPhoneで写真を削除すると、30日間保持されるアルバムに移動します。そのアルバムを空にしてもファイル参照が削除されるだけで、NANDフラッシュ上のデータは上書きされません。ファクトリーリセットはボリュームを暗号化してキーを破棄するため、通常の復元試行には有効です。しかし機密写真の場合、リセット前にデータを上書きすることで保護の層を追加できます。App-Vaultのファイルシュレッダーは各ファイルにランダムデータを書き込んでから削除し、アプリのAES-256-GCM暗号化により、NANDに直接アクセスしても暗号文しか得られません。完全なチェックリスト：App-Vaultで機密ファイルをシュレッド、写真アプリで「最近削除した項目」を削除して空にする、iCloudからサインアウト、すべてのコンテンツと設定を消去、端末がHello画面で起動することを確認。

iPhoneにおける「削除」の実際の意味

写真のゴミ箱アイコンをタップしても、iOSは何も消去しません。ファイルは「最近削除した項目」アルバムに移動され、30日間完全に表示可能で復元可能な状態で保持され、ストレージを消費し続けます。これはセーフティネットであり、セキュリティ機能ではありません。

写真アプリを開き、アルバムに移動して「最近削除した項目」までスクロールし、「すべて削除」をタップすると、ファイルシステムの参照が削除されます。写真はインターフェース上どこにも表示されなくなります。しかし、データ自体はiPhoneのNANDフラッシュストレージに残っています。iOSはそれらのブロックを再利用可能とマークするだけです。ストレージコントローラーが新しいデータをそれらのブロックに書き込むまで、古い写真データは物理的に端末上に存在し続けます。

これは理論上の懸念ではありません。法執行機関やデータ復旧サービスが使用するフォレンジックツールは、所有者が「完全に削除した」iPhoneの未使用NANDブロックから日常的にファイルを抽出しています。最新のiPhoneでは古いモデルよりも困難ですが、データは上書きされるか暗号化キーが破棄されるまでそこにあります。

ハードウェア暗号化が状況を変える理由

iPhone 3GS以降のすべてのiPhoneは、NANDフラッシュをハードウェアレベルで暗号化しています。暗号化キーは端末固有のUIDに結びつけられ、製造時にプロセッサに組み込まれ、ソフトウェアに公開されることはありません。ファクトリーリセット（「すべてのコンテンツと設定を消去」）を実行すると、iOSはすべてのブロックを上書きするのではなく、ファイルシステムの暗号化キー階層を破棄します。これらのキーがなければ、NAND上のデータを復号することは計算上不可能です。

大多数の売却者にとって、ファクトリーリセットで十分です。データはもはや存在しないキーの背後に数学的にロックされています。

しかし、「計算上不可能」は「物理的に不可能」ではありません。国家レベルの攻撃者がNANDチップに電子顕微鏡でアクセスすれば、理論上は生の暗号文を直接読み取ることができます。その確率は低いですが、問題の写真が医療記録、法的文書、ジャーナリストのソース資料などである場合、失敗の結果は十分に高く、もう1つのステップを正当化するかもしれません。

そのステップとは、リセット前にデータを上書きすることです。

上書きのギャップ：App-Vaultのファイルシュレッダーの役割

iOSには、削除されたファイルブロックを上書きする組み込みツールはありません。「最近削除した項目」を空にすると、それらのブロックはOSが再利用するまでそのまま残ります。翌日にiPhoneを売却した場合、ブロックはほぼ確実に無傷です。

App-Vaultのファイルシュレッダーは、ボールト内のファイルに対してこのギャップに対処します。ファイルを削除する前に、シュレッダーはそのストレージブロックにランダムデータを書き込み、その後ファイル参照を削除します。元のコンテンツはノイズに置き換えられます。フォレンジックNAND読み取りでも、ランダムな上書きデータのみが復元され、元の写真は復元されません。

シュレッダーはApp-Vaultの暗号化ボールト内で動作します。iOS写真アプリ内の写真は、まずApp-Vaultに移動する必要があります（アプリのファイルピッカーを介してインポート）。その後シュレッドします。これは追加のステップですが、特定のファイルが単に参照解除されるのではなく上書きされることを保証する唯一の方法です。

App-Vault内のファイルは、AES-256-GCMで暗号化され、ファイルごとに固有の96ビットnonceが使用されます。暗号化キーは、ユーザーのパターンからPBKDF2-SHA256（600,000回の反復）で導出され、iPhoneのSecure Enclave内で生成されたキーでラップされます。上書きステップがなくても、NANDへの直接アクセスでは暗号文しか得られません。上書きステップにより、その暗号文自体が消去されます。

売却前の完全チェックリスト

以下の手順を順番に実行してください。ステップをスキップすると隙間が生まれます。

1. 機密写真をApp-Vaultに移動する

App-Vaultを開きます。インポート機能を使用して、iOS写真アプリから写真や動画を暗号化ボールトに取り込みます。これにより、最も懸念される素材（見知らぬ人に復元されると深刻な被害をもたらすファイル）をカバーします。

App-Vaultの計算機ランチャーを主要なアクセス方法として使用している場合、ボールトはインターフェースとストレージの両方で写真アプリから分離されています。ファイルを移動することは意図的な行為であり、内部に何があるかを正確に把握できます。

2. ファイルをシュレッドする

App-Vault内で、インポートした写真を選択し、ファイルシュレッダーを実行します。アプリは各ファイルのストレージブロックにランダムデータを書き込み、その後暗号化されたファイル参照を削除します。ファイルサイズにもよりますが、1ファイルあたり数秒かかります。

シュレッド後、ファイルはボールトから消えます。「最近削除した項目」にも、どのアルバムにもありません。それらのブロックにはランダムデータが含まれています。

3. iOS写真アプリから残りの写真を削除する

写真アプリを開き、次の所有者に見られたくないその他すべての写真を削除します。これにはスクリーンショット、ダウンロードした画像、App-Vaultに移動しなかった写真が含まれます。

「選択」をタップし、写真を選び、ゴミ箱アイコンをタップします。次に、アルバム→「最近削除した項目」→「すべて削除」に移動します。これによりファイルシステムの参照が削除されます。データはNAND上に残りますが、ステップ6のファクトリーリセットによってアクセス不可能になります。

4. iCloudとApple IDからサインアウトする

設定→[あなたの名前]→サインアウトに移動します。Apple IDのパスワードを入力し、端末からiCloudデータを削除することを選択します。これにより、iCloud写真、iCloud Drive、キーチェーン、探すを含むiCloudアカウントからiPhoneが切断されます。

iCloud写真が有効な場合、完全な写真ライブラリはAppleのサーバーに保存されています。サインアウトするとローカルコピーは削除されますが、クラウドライブラリには影響しません。クラウドライブラリも削除したい場合は、サインアウト前にicloud.comで個別に管理してください。

5. すべてのコンテンツと設定を消去する

設定→一般→転送またはiPhoneをリセット→すべてのコンテンツと設定を消去に移動します。パスコードとApple IDのパスワードを求められたら入力します。端末が再起動し、ファイルシステムの暗号化キー階層が破棄され、Helloセットアップ画面が表示されます。

このステップにより、NANDフラッシュ上の残りのデータが計算上アクセス不可能になります。暗号化キーがなければ、生データはノイズです。

6. Hello画面を確認する

リセット完了後、iPhoneに複数言語で「Hello」セットアップ画面が表示されるはずです。表示されればリセット成功です。ロック画面やホーム画面で起動した場合は何かが間違っています。ステップ5を繰り返してください。

端末を再度セットアップしないでください。次の所有者が行います。

iCloudバックアップはどうする？

iCloudバックアップが有効な場合、端末から削除した写真を含む写真ライブラリのコピーがiCloudバックアップに存在する可能性があります。ファクトリーリセットはこれに影響しません。

電話を売却する前に、設定→[あなたの名前]→iCloud→ストレージを管理→バックアップに移動します。端末のバックアップを選択し、削除するか、バックアップ範囲から写真を無効にします。これにより、後で誰かがあなたのiCloudアカウントにアクセスしたとしても、バックアップに削除したと思っていた写真が含まれないことが保証されます。

App-Vault独自の暗号化iCloudバックアップはオプトインであり、デバイスごとに異なるバックアップキーを使用します。有効にした場合、Appleのサーバー上のバックアップは暗号文です。App-Vaultはそれを復号できません。それがゼロ知識アーキテクチャのポイントです。ただし、端末を完全に廃棄する場合は、App-VaultのバックアップもiCloudから削除してください。

このプロセスが保護しないもの

限界について正直であることは、弱点ではなく機能です。

iCloudサーバー側のデータ。 このガイドは端末を対象としています。写真がiCloudに同期された場合、Appleのサーバー上に存在し、そこで削除するまで残ります。ファクトリーリセットはインターネットを越えて作用しません。

スクリーンショットとキャッシュされたサムネイル。 一部のアプリは写真アプリの外部に独自のサムネイルキャッシュを生成します。ファクトリーリセットでこれらはクリアされますが、特定のアプリのキャッシュが気になる場合は、リセット前にアプリを削除してください。

シュレッドされていないファイルの物理NANDフォレンジック。 iOS写真アプリから写真を削除した後にすぐにファクトリーリセットを実行した場合、生データがNAND上に残っている可能性があります。暗号化キーはなくなっているため、データは暗号文ですが、極端な脅威モデルではブルートフォースやサイドチャネル攻撃の標的になる可能性があります。シュレッダーはApp-Vault内のファイルに対してこのベクトルを排除します。

脅威モデルページでは、App-Vaultの防御境界を詳細にカバーしています。このプロセスが自分のリスクレベルに合っているか判断する前に読んでください。

他のボールトアプリとの比較

App Store上のほとんどの写真ボールトアプリ（Keepsafe、Private Photo Vault、HideXなど）は、ファイルを独自のサンドボックスコンテナに保存します。アプリを削除するとコンテナも削除されます。基礎となるデータが上書きされるかどうかはアプリの実装に依存し、ほとんどのアプリは上書き動作を公開していません。

Keepsafeはインストール数でカテゴリリーダーです。機能ごとの完全な比較はApp-Vault vs Keepsafeにあります。Vaultaireは最もアーキテクチャが近い競合です。App-Vault vs Vaultaireを参照してください。

App-Vaultは、完全な暗号化スタック（AES-256-GCM、PBKDF2 600,000回反復、Secure Enclaveキーラッピング）を一次ソースの引用付きで公開し、削除前にデータを上書きするファイルシュレッダーと組み合わせた唯一のiPhoneボールトアプリです。「iPhoneを売却する前に写真を完全に削除するにはどうすればいいか」という質問に対する答えは、単に「ボールトアプリを使う」ではありません。答えは「暗号化、上書き、そしてすべての層を検証できるボールトアプリを使う」です。

結論

iPhoneで写真を削除することは、破壊することと同じではありません。「最近削除した項目」アルバムは30日間の猶予期間です。それを空にしても参照が削除されるだけで、データは削除されません。ファクトリーリセットは暗号化キーを破棄し、現実的な復元試行に対して有効です。機密素材の場合は、App-Vaultのファイルシュレッダーを使用して事前にデータを上書きすることで、最後の隙間を埋めます。

完全なプロセスには15〜30分かかります。スキップした場合の代償は、医療記録、法的文書、プライベート写真がまだ含まれている可能性のある端末を見知らぬ人に渡すことです。たとえ削除したと確信していてもです。