Segurança e arquitetura

Aplicativos móveis sem conta

Os aplicativos nativos não exigem uma conta Revault, endereço de e-mail, senha ou login na web. Os cofres são criados e criptografados no dispositivo. O uso do cofre local não carrega seus arquivos para os servidores de Revault.

Os aplicativos nativos não precisam de conta Revault. A sincronização opcional na nuvem usa sua conta Apple ou Google; as compras na loja usam a conta de faturamento da plataforma.

Padrão do cofre

Cada cofre possui uma chave mestra aleatória de 256 bits. Seu padrão de dispositivo 5 × 5 combina-se com um segredo local aleatório de 256 bits; PBKDF2-HMAC-SHA-256 com 600.000 iterações e um novo salt de 128 bits deriva a chave que envolve essa chave mestra com AES-256-GCM.

Desenhe seu padrão na grade 5 × 5 para abrir seu cofre. Outros cofres e seus nomes ficam fora de vista. Os padrões devem ser diferentes entre os vaults registrados no mesmo dispositivo; a escolha de um padrão não revela quais outras abóbadas existem.

Este padrão desbloqueia apenas este dispositivo. Guarde a chave de recuperação para configurar outro dispositivo.

Proteção de chave somente para dispositivo

Em iOS, o segredo de desbloqueio local é armazenado em um item não sincronizado Keychain acessível apenas enquanto o dispositivo está desbloqueado. Em Android, o material de desbloqueio do dispositivo é criptografado com uma chave Android Keystore não exportável que requer um dispositivo desbloqueado.

Os segredos de desbloqueio local não estão incluídos na sincronização nativa da nuvem ou nos backups portáteis. O segredo iOS não é uma chave Secure Enclave e o suporte de hardware Android depende do dispositivo. A proteção do dispositivo não torna seguro um padrão previsível depois que o segredo local foi comprometido.

Criptografado antes do upload

O conteúdo dos arquivos, nomes de arquivos, visualizações, nomes de cofres e estrutura de pastas são criptografados no dispositivo. AES-256-GCM autentica metadados e wrappers de chaves; os arquivos usam um formato de streaming AES-GCM-HKDF para que a criptografia possa processar arquivos grandes em segmentos limitados.

Os cofres locais mantêm arquivos criptografados no armazenamento privado de aplicativos. Tirar uma foto ou gravar um vídeo dentro de um cofre usa preparação privada antes da criptografia, em vez de salvar automaticamente uma cópia da galeria. A importação de um arquivo existente não remove seu original do Fotos ou de outro provedor.

Sincronização de nuvem privada opcional

iOS usa um banco de dados privado CloudKit em iCloud. Android usa o armazenamento privado de aplicativos de Google Drive. Arquivos, nomes e visualizações são criptografados antes da transferência. Seu provedor de nuvem ainda pode observar informações operacionais como tamanhos, identificadores e carimbos de data/hora.

A sincronização está desativada por padrão e selecionada separadamente para cada cofre em cada dispositivo. Desligá-lo interrompe futuras transferências desse dispositivo; ele não exclui cópias criptografadas existentes na nuvem. Conecte outro dispositivo na mesma plataforma com a mesma conta de nuvem nativa e a chave de recuperação do cofre.

A sincronização de iCloud e Google Drive permanece em suas próprias plataformas. Escolha Revault Cloud para sincronização ao vivo iOS–Android ou use uma transferência telefônica criptografada.

Armazenamento Pro para cofres criptografados em iOS e Android. Revault recebe texto cifrado, nunca sua chave do cofre ou frase de recuperação. A troca de provedor deixa as cópias anteriores na nuvem em vigor.

Bloqueio automático do cofre

O tempo limite padrão é 60 segundos. Escolha 30 segundos, 1 minuto, 2 minutos, 5 minutos ou 10 minutos nas configurações desse cofre. Os cofres compartilhados usam o padrão de 60 segundos; o bloqueio em segundo plano se aplica independentemente do tempo limite selecionado.

O aplicativo móvel é bloqueado imediatamente quando em segundo plano. O bloqueio cancela o trabalho do vault, limpa informações de arquivos descriptografados e estado de pesquisa, limpa visualizações temporárias e limpa buffers de chaves de propriedade. iOS também abrange instantâneos do alternador de aplicativos; Android usa o sinalizador de janela segura do sistema operacional.

A memória gerenciada e o armazenamento do dispositivo não podem garantir o apagamento forense imediato de todas as cópias. O bloqueio automático também não pode retrair um arquivo que você exportou explicitamente para outro aplicativo.

Backups e recuperação criptografados

Uma chave de recuperação desbloqueia o material criptografado da chave do cofre; ele não contém seus arquivos. Um backup contém os arquivos criptografados; não substitui a manutenção da chave de recuperação. Armazene-os separadamente e proteja ambos contra perdas.

Salve sua frase de recuperação durante a configuração. Revault gera uma frase contendo 18 palavras aleatórias, sem frase personalizada ou opção de regeneração. Ele permite registrar outro dispositivo ou restaurar um backup sem o padrão local. As frases personalizadas e chaves hexadecimais existentes permanecem válidas para seus cofres e backups originais. Revault não mantém uma cópia e não pode redefini-la para você.

As transferências telefônicas criam uma nova cópia criptografada e uma chave de transferência separada, inclusive entre o iPhone e Android. O original permanece no telefone antigo. Verifique o cofre de recebimento antes de remover arquivos antigos e mantenha backups independentes porque a sincronização pode propagar exclusões.

Compartilhamento seguro

O padrão do cofre, a chave de recuperação e a chave mestra do cofre nunca são incluídos em um compartilhamento. O serviço recebe dados de arquivos criptografados e metadados operacionais, como tamanhos, somas de verificação, carimbos de data/hora e contagens de sessões de acesso. O segredo de descriptografia separado não é carregado.

Os compartilhamentos controlados usam uma expiração imposta pelo servidor e limites opcionais de sessão de acesso, restrições de exportação e um cronômetro após o primeiro acesso. iOS também oferece suporte a convites CloudKit privados, que não impõem esses controles de servidor. Os destinatários abrem um cofre compartilhado isolado usando o segredo separado, sem o seu padrão pessoal.

A expiração e a revogação interrompem a recuperação futura por meio de Revault. Eles não podem apagar capturas de tela, arquivos exportados ou cópias retidas por um destinatário. Escolha alguém em quem você confia, mesmo quando a exportação estiver desativada.

Controles opcionais de segurança do cofre

Safe Exit remove o acesso local e os dados de outros cofres quando um cofre designado é aberto. As cópias na nuvem permanecem e os cofres somente offline podem ser perdidos sem um backup separado. Não é garantido o apagamento forense.

O histórico de atividades e os alertas de fotos de invasão são opcionais por cofre. O histórico e as fotos do dispositivo permanecem locais e criptografados; os compartilhamentos controlados podem registrar separadamente os carimbos de data/hora da sessão de acesso. As capturas de invasão requerem permissão da câmera e indicadores normais do sistema. A captura bloqueada usa uma chave de criptografia pública; revisar as fotos ainda requer o desbloqueio do cofre.

Uma nota sobre segurança

O uso do cofre local não carrega arquivos para Revault. A sincronização nativa opcional expõe metadados operacionais à Apple ou ao Google. O compartilhamento controlado envia cópias criptografadas e metadados de acesso para Revault, sem carregar o segredo de descriptografia separado.

Malware, um sistema operacional ou aplicativo comprometido e alguém visualizando uma tela desbloqueada podem expor texto simples. Alterar um padrão não revoga outro dispositivo, invalida backups antigos ou gira a chave mestra do cofre. Se uma chave do cofre ou um segredo de recuperação for comprometido, mova os arquivos para um novo cofre com chaves novas.

Revault não passou por uma auditoria de segurança independente. Estas são descrições do design criptográfico implementado, não uma certificação ou garantia contra qualquer intrusão.