Bezpieczeństwo i architektura

Aplikacje mobilne bez konta

Natywne aplikacje nie wymagają konta Revault, adresu e-mail, hasła ani logowania do Internetu. Skarbce są tworzone i szyfrowane na urządzeniu. Korzystanie z lokalnego skarbca nie powoduje przesyłania plików na serwery Revault.

Aplikacje natywne nie wymagają konta Revault. Opcjonalna synchronizacja w chmurze wykorzystuje Twoje konto Apple lub Google; zakupy w sklepie korzystają z konta rozliczeniowego platformy.

Wzór sejfu

Każdy skarbiec ma losowy 256-bitowy klucz główny. Twój wzór urządzenia 5 × 5 łączy się z losowym 256-bitowym sekretem lokalnym; PBKDF2-HMAC-SHA-256 z 600 000 iteracji i świeżą 128-bitową solą tworzy klucz, który otacza ten klucz główny za pomocą AES-256-GCM.

Narysuj wzór na siatce 5 × 5, aby otworzyć skarbiec. Inne skarbce i ich nazwy pozostają poza zasięgiem wzroku. Wzorce muszą być różne w przypadku skarbców zarejestrowanych na tym samym urządzeniu; wybranie wzoru nie ujawnia, jakie inne skarbce istnieją.

Ten wzór odblokowuje tylko to urządzenie. Zachowaj klucz odzyskiwania, aby skonfigurować inne urządzenie.

Ochrona kluczy tylko urządzenia

W iOS lokalny klucz odblokowania jest przechowywany w niezsynchronizowanym elemencie Keychain, dostępnym tylko wtedy, gdy urządzenie jest odblokowane. W Android materiał do odblokowania urządzenia jest szyfrowany za pomocą nieeksportowalnego klucza Android Keystore, który wymaga odblokowanego urządzenia.

Lokalne klucze odblokowania nie są uwzględniane w natywnej synchronizacji w chmurze ani w przenośnych kopiach zapasowych. Sekret iOS nie jest kluczem Secure Enclave, a wsparcie sprzętowe Android zależy od urządzenia. Ochrona urządzenia nie zapewnia bezpieczeństwa przewidywalnego wzorca po naruszeniu lokalnego sekretu.

Zaszyfrowane przed przesłaniem

Zawartość plików, nazwy plików, podglądy, nazwy skarbców i struktura folderów są szyfrowane na urządzeniu. AES-256-GCM uwierzytelnia metadane i opakowania kluczy; pliki używają formatu przesyłania strumieniowego AES-GCM-HKDF, dzięki czemu szyfrowanie może przetwarzać duże pliki w ograniczonych segmentach.

Lokalne skarbce przechowują zaszyfrowane pliki w prywatnej pamięci aplikacji. Robienie zdjęcia lub filmu w skarbcu odbywa się przed szyfrowaniem w trybie prywatnym, zamiast automatycznego zapisywania kopii galerii. Importowanie istniejącego pliku nie powoduje usunięcia jego oryginału ze Zdjęć lub innego dostawcy.

Opcjonalna synchronizacja z chmurą prywatną

iOS korzysta z prywatnej bazy danych CloudKit w iCloud. Android korzysta z prywatnego miejsca na aplikacje Google Drive. Pliki, nazwy i podglądy są szyfrowane przed przesłaniem. Twój dostawca usług w chmurze może nadal obserwować informacje operacyjne, takie jak rozmiary, identyfikatory i znaczniki czasu.

Synchronizacja jest domyślnie wyłączona i wybierana osobno dla każdego skarbca na każdym urządzeniu. Wyłączenie powoduje zatrzymanie dalszych transferów z tego urządzenia; nie usuwa istniejących zaszyfrowanych kopii w chmurze. Podłącz inne urządzenie na tej samej platformie z tym samym natywnym kontem w chmurze i kluczem odzyskiwania skarbca.

iCloud i Google Drive Sync pozostają na swoich własnych platformach. Wybierz Revault Cloud, aby synchronizować na żywo iOS–Android lub użyj szyfrowanego transferu telefonicznego.

Profesjonalna pamięć masowa dla zaszyfrowanych skarbców w iOS i Android. Revault otrzymuje zaszyfrowany tekst, a nie klucz skarbca ani frazę odzyskiwania. Zmiana dostawcy powoduje pozostawienie poprzednich kopii w chmurze.

Automatyczne blokowanie skarbca

Domyślny limit czasu wynosi 60 sekund. Wybierz 30 sekund, 1 minutę, 2 minuty, 5 minut lub 10 minut w ustawieniach skarbca. W skarbcach współdzielonych używany jest domyślny czas 60 sekund; blokowanie w tle ma zastosowanie niezależnie od wybranego limitu czasu.

Aplikacja mobilna blokuje się natychmiast po uruchomieniu w tle. Blokowanie anuluje pracę skarbca, czyści informacje o odszyfrowanych plikach i stan wyszukiwania, czyści tymczasowe podglądy i czyści posiadane bufory kluczy. iOS obejmuje także migawki przełącznika aplikacji; Android używa flagi bezpiecznego okna systemu operacyjnego.

Pamięć zarządzana i pamięć urządzenia nie mogą zagwarantować natychmiastowego usunięcia każdej kopii w drodze analizy kryminalistycznej. Automatyczne blokowanie nie może również wycofać pliku, który został jawnie wyeksportowany do innej aplikacji.

Szyfrowane kopie zapasowe i odzyskiwanie

Klucz odzyskiwania odblokowuje zaszyfrowany materiał klucza skarbca; nie zawiera Twoich plików. Kopia zapasowa zawiera zaszyfrowane pliki; nie zastępuje przechowywania klucza odzyskiwania. Przechowuj je oddzielnie i chroń oba przed utratą.

Zapisz frazę odzyskiwania podczas konfiguracji. Revault generuje jedną frazę zawierającą 18 losowych słów, bez niestandardowej frazy lub opcji regeneracji. Umożliwia zarejestrowanie kolejnego urządzenia lub przywrócenie kopii zapasowej bez lokalnego wzorca. Istniejące niestandardowe frazy i klucze szesnastkowe pozostają ważne dla ich oryginalnych skarbców i kopii zapasowych. Revault nie przechowuje kopii i nie może jej zresetować.

Transfery telefoniczne tworzą nową zaszyfrowaną kopię i oddzielny klucz transferu, w tym między iPhonem a Android. Oryginał pozostaje w starym telefonie. Przed usunięciem starych plików sprawdź skarbiec odbiorczy i przechowuj niezależne kopie zapasowe, ponieważ synchronizacja może propagować usunięcia.

Bezpieczne udostępnianie

Twój wzór skarbca, klucz odzyskiwania i klucz główny skarbca nigdy nie są uwzględniane w udziale. Usługa otrzymuje zaszyfrowane dane plików i metadane operacyjne, takie jak rozmiary, sumy kontrolne, znaczniki czasu i liczba sesji dostępu. Oddzielny sekret deszyfrowania nie jest przesyłany.

Kontrolowane udziały korzystają z wymuszonego przez serwer wygaśnięcia i opcjonalnych limitów sesji dostępu, ograniczeń eksportu i licznika czasu po pierwszym dostępie. iOS obsługuje także zaproszenia prywatne CloudKit, które nie wymuszają kontroli serwera. Odbiorcy otwierają izolowany skarbiec współdzielony, korzystając z oddzielnego sekretu, bez Twojego osobistego wzorca.

Wygaśnięcie i unieważnienie zatrzymują przyszłe pobieranie poprzez Revault. Nie mogą usunąć zrzutów ekranu, wyeksportowanych plików ani kopii zatrzymanych przez odbiorcę. Wybierz osobę, której ufasz, nawet jeśli eksport jest wyłączony.

Opcjonalne kontrole bezpieczeństwa skarbca

Safe Exit usuwa lokalny dostęp i dane innych skarbców po otwarciu wyznaczonego skarbca. Kopie w chmurze pozostają, a skarbce działające wyłącznie w trybie offline mogą zostać utracone bez osobnej kopii zapasowej. Nie ma gwarancji usunięcia danych na potrzeby medycyny sądowej.

Historia aktywności i alerty dotyczące zdjęć włamań są opcjonalne w przypadku każdego skarbca. Historia urządzenia i zdjęcia pozostają lokalne i szyfrowane; kontrolowane akcje mogą oddzielnie rejestrować znaczniki czasu sesji dostępu. Ujęcia włamań wymagają pozwolenia kamery i normalnych wskaźników systemowych. Przechwytywanie zablokowane wykorzystuje publiczny klucz szyfrowania; Przeglądanie zdjęć nadal wymaga odblokowania skarbca.

Uwaga o bezpieczeństwie

Użycie lokalnego skarbca nie powoduje przesyłania plików do Revault. Opcjonalna synchronizacja natywna udostępnia metadane operacyjne firmie Apple lub Google. Kontrolowane udostępnianie wysyła zaszyfrowane kopie i metadane dostępu do Revault bez przesyłania osobnego sekretu deszyfrowania.

Złośliwe oprogramowanie, zainfekowany system operacyjny lub aplikacja oraz osoba przeglądająca odblokowany ekran mogą ujawnić zwykły tekst. Zmiana wzorca nie powoduje unieważnienia innego urządzenia, unieważnienia starych kopii zapasowych ani zmiany głównego klucza skarbca. Jeśli klucz skarbca lub sekret odzyskiwania zostaną naruszone, przenieś pliki do nowego skarbca z nowymi kluczami.

Revault nie przeszedł niezależnego audytu bezpieczeństwa. Są to opisy wdrożonego projektu kryptograficznego, a nie certyfikat czy gwarancja na wypadek każdego włamania.