Zabezpečení a architektura

Mobilní aplikace bez účtu

Nativní aplikace nevyžadují účet Revault, e-mailovou adresu, heslo ani webové přihlášení. Trezory se vytvářejí a šifrují přímo v zařízení. Používání místního trezoru nenahrává vaše soubory na servery Revault.

Nativní aplikace nevyžadují účet Revault. Volitelná synchronizace v cloudu používá váš účet Apple nebo Google; nákupy v obchodě používají fakturační účet platformy.

Gesto k trezoru

Každý trezor má náhodný 256bitový hlavní klíč. Vaše gesto zařízení na mřížce 5 × 5 se spojí s náhodným 256bitovým místním tajemstvím; PBKDF2-HMAC-SHA-256 s 600 000 iteracemi a novou 128bitovou solí odvodí klíč, který zabalí tento hlavní klíč pomocí AES-256-GCM.

Nakreslete gesto na mřížce 5 × 5 a otevřete příslušný trezor. Ostatní trezory a jejich názvy zůstanou skryté. Gesta se musejí lišit napříč trezory registrovanými na stejném zařízení; volba gesta neprozradí, které další trezory existují.

Toto gesto odemyká pouze toto zařízení. Klíč pro obnovení si ponechte, abyste mohli nastavit další zařízení.

Ochrana klíčů pouze v zařízení

V iOS je místní odemykací tajemství uloženo v nesynchronizované položce Keychain přístupné jen při odemčeném zařízení. V Androidu je odemykací materiál zařízení šifrován neexportovatelným klíčem Android Keystore, který vyžaduje odemčené zařízení.

Místní odemykací tajemství nejsou součástí nativní synchronizace v cloudu ani přenosných záloh. Tajemství v iOS není klíčem Secure Enclave a hardwarová podpora v Androidu závisí na zařízení. Ochrana zařízení neučiní předvídatelné gesto bezpečným poté, co bylo místní tajemství kompromitováno.

Šifrováno před nahráním

Obsah souborů, názvy souborů, náhledy, názvy trezorů a struktura složek se šifrují v zařízení. AES-256-GCM ověřuje metadata a obaly klíčů; soubory používají streamovací formát AES-GCM-HKDF, takže šifrování může zpracovávat velké soubory po omezených segmentech.

Místní trezory uchovávají šifrované soubory v soukromém úložišti aplikace. Pořízení fotografie nebo videa uvnitř trezoru využívá před šifrováním soukromé dočasné úložiště, místo aby se automaticky ukládala kopie do galerie. Import existujícího souboru neodstraní jeho originál z Fotek ani od jiného poskytovatele.

Volitelná soukromá synchronizace v cloudu

iOS používá soukromou databázi CloudKit v iCloudu. Android používá soukromé úložiště aplikace v Google Drive. Soubory, názvy a náhledy se před přenosem šifrují. Váš poskytovatel cloudu přesto může vidět provozní informace, jako jsou velikosti, identifikátory a časová razítka.

Synchronizace je ve výchozím nastavení vypnutá a vybírá se zvlášť pro každý trezor v každém zařízení. Její vypnutí zastaví další přenosy z daného zařízení; neodstraní stávající šifrované kopie v cloudu. Další zařízení na stejné platformě připojíte pomocí stejného nativního cloudového účtu a klíče pro obnovení trezoru.

Synchronizace iCloud a Google Drive zůstává v rámci vlastních platforem. Pro živou synchronizaci mezi iOS a Androidem zvolte Revault Cloud nebo použijte šifrovaný přenos mezi telefony.

Úložiště Pro pro šifrované trezory na iOS a Androidu. Revault přijímá pouze šifrovaný text, nikdy váš klíč od trezoru ani frázi pro obnovení. Změnou poskytovatele zůstanou předchozí kopie v cloudu zachovány.

Automatické zamykání trezoru

Výchozí časový limit je 60 sekund. V nastavení daného trezoru zvolte 30 sekund, 1 minutu, 2 minuty, 5 minut nebo 10 minut. Sdílené trezory používají výchozích 60 sekund; zamykání na pozadí platí bez ohledu na zvolený limit.

Mobilní aplikace se zamkne okamžitě po přesunu na pozadí. Zamknutí zruší práci s trezorem, vymaže dešifrované informace o souborech a stav vyhledávání, uklidí dočasné náhledy a přepíše vlastněné vyrovnávací paměti klíčů. iOS navíc zakrývá snímky přepínače aplikací; Android používá příznak zabezpečeného okna operačního systému.

Spravovaná paměť a úložiště zařízení nemohou zaručit okamžité forenzní vymazání každé kopie. Automatické zamykání také nemůže vzít zpět soubor, který jste výslovně exportovali do jiné aplikace.

Šifrované zálohy a obnovení

Klíč pro obnovení odemyká šifrovaný materiál klíče trezoru; neobsahuje vaše soubory. Záloha obsahuje šifrované soubory; nenahrazuje uchování klíče pro obnovení. Uložte je odděleně a chraňte obojí před ztrátou.

Frázi pro obnovení si uložte během nastavení. Revault vygeneruje 18 náhodných slov, nebo si můžete zvolit a potvrdit vlastní frázi. Umožňuje zaregistrovat další zařízení nebo obnovit zálohu bez místního gesta odemknutí. Můžete ji nahradit v nastavení trezoru; starší zálohy mohou stále vyžadovat původní klíč. Stávající hexadecimální klíče zůstávají platné. Revault si kopii neuchovává a nemůže ji za vás obnovit.

Přenosy mezi telefony vytvoří novou šifrovanou kopii a samostatný přenosový klíč, a to i mezi iPhonem a Androidem. Originál zůstává ve starém telefonu. Před odstraněním starých souborů ověřte přijímající trezor a uchovávejte nezávislé zálohy, protože synchronizace může šířit mazání.

Bezpečné sdílení

Gesto odemknutí vašeho trezoru, klíč pro obnovení ani hlavní klíč trezoru se do sdílení nikdy nezahrnují. Služba přijímá šifrovaná data souborů a provozní metadata, jako jsou velikosti, kontrolní součty, časová razítka a počty přístupových relací. Samostatný tajný kód pro dešifrování se nenahrává.

Řízená sdílení používají serverem vynucené vypršení platnosti a volitelné limity přístupových relací, omezení exportu a časovač po prvním přístupu. iOS podporuje také soukromé pozvánky CloudKit, které tyto serverové kontroly nevynucují. Příjemci otevřou izolovaný sdílený trezor pomocí samostatného tajného kódu, bez vašeho osobního gesta.

Vypršení platnosti a zrušení zabrání dalšímu stahování přes Revault. Nemohou ale smazat snímky obrazovky, exportované soubory ani kopie, které si příjemce ponechal. Vybírejte někoho, komu věříte, i když je export zakázán.

Volitelné bezpečnostní prvky trezoru

Bezpečný odchod odstraní místní přístup k ostatním trezorům a jejich data, když se otevře určený trezor. Cloudové kopie zůstávají a trezory pouze offline lze bez samostatné zálohy ztratit. Nejde o zaručené forenzní vymazání.

Historie aktivity a upozornění na vloupání s fotografií jsou volitelné pro každý trezor. Historie zařízení a fotografie zůstávají místní a šifrované; řízená sdílení mohou samostatně zaznamenávat časová razítka přístupových relací. Pořízení snímků při vloupání vyžaduje oprávnění k fotoaparátu a běžné systémové indikátory. Pořízení při zamčení používá veřejný šifrovací klíč; prohlížení fotografií stále vyžaduje odemknutí trezoru.

Poznámka k zabezpečení

Používání místního trezoru nenahrává soubory do Revaultu. Volitelná nativní synchronizace vystavuje provozní metadata společnosti Apple nebo Google. Řízené sdílení odesílá do Revaultu šifrované kopie a metadata přístupu, bez nahrání samostatného tajného kódu pro dešifrování.

Malware, napadený operační systém nebo aplikace a někdo, kdo se dívá na odemčenou obrazovku, mohou odhalit otevřený text. Změna gesta neodvolá jiné zařízení, nezneplatní staré zálohy ani nevymění hlavní klíč trezoru. Pokud je klíč trezoru nebo tajný kód pro obnovení kompromitován, přesuňte soubory do nového trezoru s novými klíči.

Revault neprošel nezávislým bezpečnostním auditem. Jde o popis implementovaného kryptografického návrhu, nikoli o certifikaci ani záruku proti každému průniku.