Neo Backup призначений для резервного копіювання на Android-пристроях із root-доступом і заявляє шифрування копій за допомогою AES-256. Водночас захист самого архіву, місце зберігання пароля та локальне блокування інтерфейсу – це три різні механізми. Для телефона, який уже вважають ненадійним або потенційно скомпрометованим, така різниця визначає, чи справді секрет залишається поза межами пристрою.
AES-256 захищає архів резервної копії, а не весь телефон
У Neo Backup пароль шифрування задають у налаштуваннях застосунку. Проєкт заявляє використання AES-256 для зашифрованих резервних копій, тобто механізм призначений для захисту вмісту створеного архіву.
Це не тотожне захисту доступу до застосунку або самого пристрою. Екран блокування в інтерфейсі може обмежувати відкриття програми, а пароль резервної копії – бути потрібним для відновлення даних. Змішування цих рівнів створює хибне враження, ніби наявність шифрування автоматично означає, що пароль не пов’язаний із телефоном.
Пароль Neo Backup лишається у файлі налаштувань
Офіційний FAQ Neo Backup прямо вказує, що пароль шифрування зберігається у файлі налаштувань застосунку. Водночас це не означає, що пароль лежить там у відкритому вигляді: за документацією, файл захищений ключем Android Keystore.
Документація також описує межу цієї зручності: якщо файл налаштувань недоступний, пароль для відновлення резервної копії доведеться ввести знову. Отже, застосунок поєднує можливість автоматично мати пароль під рукою з механізмом захисту, який прив’язаний до середовища Android на конкретному пристрої.
Android Keystore не дорівнює винесенню секрету з телефона
Для повсякденного відновлення збережений пароль зменшує кількість ручних дій. Але в моделі загроз, де сам root-пристрій не вважають надійним, головним стає не лише шифрування архіву, а й те, чи перебуває потрібний для відновлення секрет у тому самому середовищі.
Сам факт зберігання пароля в Neo Backup не доводить слабкість реалізації, адже FAQ описує захист через Android Keystore. Водночас він не підтверджує, що пароль повністю винесений за межі телефона. Практичну стійкість такого захисту неможливо оцінити без конкретної версії Neo Backup, версії Android, стану root-доступу та способу можливої компрометації пристрою.
Відомості про обхід блокування не відтворені незалежно
У changelog Neo Backup зафіксовано виправлення, пов’язані з екраном блокування: зокрема вилучення сторінки блокування зі стеку після розблокування та помилки запитів пристроєвого або біометричного блокування. Також у журналі змін зазначено, що параметри пароля не слід вимикати після вимкнення шифрування, бо вони можуть залишатися потрібними для відновлення.
Однак конкретні повідомлення про можливий обхід блокування через кнопку «Назад» або повторне відкриття програми незалежно не підтверджені. Так само немає підтвердження сценарію, за якого після вибору режиму без пароля застосунок автоматично підставляє попереднє значення. Ці твердження варто розглядати не як встановлену вразливість, а як підставу перевіряти поведінку актуальної версії окремо від задокументованої схеми шифрування.
Репозиторії, згадані в матеріалі: