Eine Fotobibliothek, in die Ihr eigener Server nicht hineinsieht.
Handy, Mac und Browser versiegeln jedes Bild vor dem Upload. Ihr Server speichert nur Chiffretext.
- Open Source, AGPL-3.0
- Android, Mac und Web
Wie die Verschlüsselung funktioniert, in einfachen Worten
Jedes Foto bekommt seinen eigenen Schlüssel.
Ihr Gerät erzeugt für jedes Foto und Video einen neuen Zufallsschlüssel und verschlüsselt damit die Datei, das Vorschaubild und die Angaben dazu: Name, Aufnahmedatum, Ort und Kamera.
Ihr Passwort sperrt die Schlüssel.
Diese Schlüssel werden mit einem Schlüssel gesperrt, den nur Ihr Passwort oder Ihr Wiederherstellungsschlüssel aus 24 Wörtern öffnet. Das Passwort verlässt Ihr Gerät nie; der Server kennt nur einen Prüfwert.
Der Server verwahrt versiegelte Kisten.
Er speichert sie und gibt sie zurück, kann aber keine öffnen. Das tut Ihr Gerät, und es weist alles zurück, was unterwegs verändert wurde.
Was Ihr Server trotzdem sieht
Verschlüsselung verbirgt den Inhalt, nicht dass es ihn gibt. Darum klar gesagt:
Der Server sieht
- die E-Mail-Adresse, mit der sich jemand anmeldet
- wie viele Fotos und Videos jemand hat und ungefähr wie gross sie sind
- wann etwas hochgeladen oder gelöscht wurde und wann sich jemand zuletzt angemeldet hat
- wie viele Alben es gibt und was in welchem liegt
- welche Fotos als Favoriten markiert sind
Er sieht nie
- Ihre Fotos, Videos und Vorschaubilder
- Dateinamen, Aufnahmedaten, Orte und Kameradaten
- Albumnamen und die Namen von Personen
- was auf einem Foto ist oder wer
- Ihr Passwort, Ihren Wiederherstellungsschlüssel oder irgendeinen Schlüssel
Eine Grenze sollten Sie kennen.
In der Web-App liefert Ihr Server den Code, der verschlüsselt. Wer den Server kontrolliert, könnte veränderten Code ausliefern. Die Android- und die Mac-App sind installiert, ihr Code kommt also nicht von Ihrem Server.
Und eine Regel.
Verlieren Sie Passwort und Wiederherstellungsschlüssel, sind die Fotos weg. Niemand kann das zurücksetzen, auch der Admin nicht. Genau darum geht es, und die App sagt das deutlich.
Alles, was eine Fotobibliothek können soll, ohne Mitlesen
Eine ruhige Zeitleiste, sortiert nach Aufnahmetag
Alben, Favoriten, Leuchtkasten, Videos mit Spulen, ZIP-Downloads und ein Papierkorb, der sich nach 30 Tagen leert. Originale bleiben Byte für Byte erhalten: JPEG, PNG, WebP, HEIC, MP4 und MOV.
Nach „Strand“ oder „Hund“ suchen, auf dem eigenen Gerät
Offene Modelle laufen auf Ihrem Handy oder Mac und finden Fotos nach dem, was darauf ist. Gesichter werden zu Personen gruppiert, denen Sie Namen geben. Die Ergebnisse gehen verschlüsselt an Ihren Server, damit ein zweites Gerät sie nicht neu berechnen muss.
- Ihr GerätMobileCLIP und Gesichtsmodelle laufen lokal, geprüft per SHA-256
- Ihr Serverspeichert die Ergebnisse versiegelt, ohne sie zu lesen
- Andere Gerätelesen das Ergebnis, statt neu zu rechnen
Backup vom Handy, im Hintergrund
Die Android-App lädt neue Fotos und Videos von selbst hoch. Das Backup kennt nur einen öffentlichen Schlüssel: Es kann Fotos hinzufügen, aber kein einziges lesen.
Eine Mac-App mit überwachten Ordnern
Wählen Sie Ordner, und neue Bilder darin werden hochgeladen. Die Mac-App hält einen Export-Ordner mit Ihren Originalen aktuell und baut den Suchindex, solange sie entsperrt ist.
Ihre Fotos, auch ohne die App
Ein kleines, eigenständiges Entschlüsselungsprogramm stellt Originale, Alben und Daten direkt aus dem Datenordner des Servers oder aus einem Backup wieder her, mit Passwort oder Wiederherstellungsschlüssel. Ohne Netz, ohne Docker, ohne Cipherfilm-Code.
Ihre Bilder im Vollbild
Ein ruhiger schwarzer Betrachter mit Filmstreifen, den Angaben zu jedem Foto und dem Original einen Klick entfernt. Entschlüsselt wird in Ihrem Browser, während Sie schauen.
Cipherfilm holen
Sie betreiben den Server; die Apps verbinden sich mit ihm. Alles ist kostenlos und Open Source.
- ServerEin Docker-Image für amd64 und arm64, mit eingebauter Web-App. Läuft unter Linux oder macOS.
- Web-AppKommt mit Ihrem Server. Läuft in jedem aktuellen Browser, auch auf iPhone und iPad (eine iPhone-App gibt es noch nicht).
- AndroidDie App mit automatischem Backup, als APK-Datei für Handys mit 64-Bit-ARM-Prozessor.
- MacFür Macs mit Apple Silicon und macOS 15 oder neuer, mit überwachten Ordnern und Export-Ordner.
- WerkzeugeEin Upload-Programm für grosse Ordner vom Mac und das Entschlüsselungsprogramm für macOS, Linux und Windows.
Die Download-Seite auf GitHub erklärt die Installation für jede Plattform und führt immer zum neuesten Release. Noch nicht in Google Play oder im App Store.
Selbst hosten in ein paar Zeilen
Sie brauchen eine Maschine mit Docker: einen kleinen VPS, ein NAS oder Ihren Mac. Cipherfilm läuft gut mit 1 bis 2 CPUs und 2 GB Arbeitsspeicher und braucht im Leerlauf etwa 35 MB.
Eine Compose-Datei startet das fertige Image mit Caddy, das sich das HTTPS-Zertifikat selbst holt. DNS-Namen auf die Maschine zeigen lassen, starten und das erste Konto mit dem einmaligen Token aus dem Log anlegen. Ohne offene Ports über Tailscale oder hinter dem eigenen Proxy: siehe README.
$ mkdir cipherfilm && cd cipherfilm
$ curl -fsSLO https://raw.githubusercontent.com/basmatiactivist/cipherfilm/master/deploy/quickstart/compose.yaml
$ echo "DOMAIN=photos.example.com" > .env # Ihr DNS-Name
$ docker compose up -d
$ docker compose logs app | grep "FIRST-TIME SETUP"- Nur auf Einladung: Sie erstellen Einladungslinks und geben sie selbst weiter. Cipherfilm verschickt nie E-Mails.
- Personen vom Server aus verwalten: docker compose exec app /app help.
- Sichern mit einem Skript. Auch das Backup ist Chiffretext und darf überall liegen.
Open Source, und ehrlich dabei
Cipherfilm steht unter der GNU AGPL-3.0. Die Verschlüsselung nutzt libsodium, eine weit verbreitete Bibliothek, und keine selbst gebaute Kryptografie. Das Entschlüsselungsprogramm setzt das Format unabhängig um, damit Ihre Daten nicht von der App abhängen.
Es ist junge Software und wurde noch nicht unabhängig auf Sicherheit geprüft. Lesen Sie das Bedrohungsmodell, bevor Sie ihr etwas anvertrauen, dessen Verlust Sie nicht verkraften würden, und machen Sie eigene Backups.
Fragen
Was kostet es?
Nichts. Cipherfilm ist Open Source und läuft auf Ihrem eigenen Server. Es gibt kein Konto bei uns und kein Abo.
Kann der Admin meine Fotos sehen?
Nein. Der Admin kann Personen einladen und entfernen, Speichergrenzen setzen und die oben genannten Metadaten sehen, aber keine Fotos, Dateinamen oder Albumnamen öffnen.
Was, wenn ich mein Passwort vergesse?
Melden Sie sich mit dem Wiederherstellungsschlüssel aus 24 Wörtern an und setzen Sie ein neues Passwort. Gehen beide verloren, kann niemand die Fotos wiederherstellen. Drucken Sie den Schlüssel aus und bewahren Sie ihn sicher auf.
Wie kann die Suche funktionieren, wenn der Server die Fotos nicht sieht?
Ihr Handy oder Mac schaut sich jedes Foto mit offenen Modellen an und legt das Ergebnis verschlüsselt auf Ihrem Server ab. Gesucht wird ebenfalls auf Ihrem Gerät.
Brauche ich einen eigenen Server?
Ja. Jede Maschine mit Docker genügt, vom kleinen VPS bis zum Mac zu Hause. Mit Tailscale braucht es gar keine offenen Ports.
Gibt es eine iPhone-App?
Noch nicht. Die Web-App läuft in Safari auf iPhone und iPad.
Können Personen Alben miteinander teilen?
Noch nicht. Jede Person hat eine vollständig private Bibliothek.
Wurde es geprüft?
Noch nicht von unabhängiger Seite. Es wurde mithilfe von KI-Agenten geschrieben und in mehreren Runden automatischer Quellcode-Prüfungen untersucht; was sie fanden und was behoben wurde, steht in der Sicherheitsrichtlinie.
Bekomme ich meine Fotos wieder heraus?
Immer. Laden Sie Originale einzeln oder als ZIP herunter, oder stellen Sie alles mit dem Entschlüsselungsprogramm wieder her, auch wenn der Server weg ist.
Wer macht Cipherfilm?
Ein unabhängiges Open-Source-Projekt, auf GitHub veröffentlicht als basmatiactivist. Schreiben Sie uns an die Adresse unten.