אבטחה וארכיטקטורה

אפליקציות נייד ללא חשבון

אפליקציות הנייטיב אינן דורשות חשבון Revault, כתובת אימייל, סיסמה או התחברות לאינטרנט. הכספות נוצרות ומוצפנות במכשיר. שימוש מקומי בכספת אינו מעלה את הקבצים שלך לשרתי Revault.

האפליקציות המקוריות אינן דורשות חשבון Revault. סנכרון ענן אופציונלי משתמש בחשבון Apple או Google שלכם, ורכישות בחנות משתמשות בחשבון החיוב של הפלטפורמה.

תבנית הכספת

לכל כספת יש מפתח אב אקראי של 256 סיביות. תבנית הנעילה של המכשיר בגודל 5 × 5 משולבת עם סוד מקומי אקראי של 256 סיביות. PBKDF2-HMAC-SHA-256 עם 600,000 איטרציות ומלח חדש של 128 סיביות גוזר את המפתח שעוטף את מפתח האב הזה באמצעות AES-256-GCM.

ציירו את התבנית על רשת של 5 × 5 כדי לפתוח את הכספת שלה. כספות אחרות ושמותיהן נשארות מוסתרות. התבניות חייבות להיות שונות בין כספות שרשומות באותו מכשיר, ובחירת תבנית אינה חושפת אילו כספות אחרות קיימות.

התבנית הזו פותחת רק את המכשיר הזה. כדאי לשמור את מפתח השחזור כדי להגדיר מכשיר נוסף.

הגנת מפתחות במכשיר בלבד

ב-iOS, הסוד המקומי לפתיחת הנעילה נשמר בפריט Keychain שאינו מסתנכרן ונגיש רק כשהמכשיר פתוח. ב-Android, חומר פתיחת הנעילה של המכשיר מוצפן באמצעות מפתח Android Keystore שאינו ניתן לייצוא ודורש מכשיר פתוח.

סודות מקומיים לפתיחת הנעילה אינם נכללים בסנכרון ענן מקורי או בגיבויים ניתנים להעברה. הסוד ב-iOS אינו מפתח Secure Enclave, והגיבוי החומרתי ב-Android תלוי במכשיר. הגנת המכשיר אינה הופכת תבנית צפויה לבטוחה אחרי שהסוד המקומי נפרץ.

מוצפן לפני ההעלאה

תוכן הקבצים, שמות הקבצים, התצוגות המקדימות, שמות הכספות ומבנה התיקיות מוצפנים במכשיר. AES-256-GCM מאמת מטא-דאטה ועוטפי מפתחות, והקבצים משתמשים בפורמט הזרמה AES-GCM-HKDF כדי שההצפנה תוכל לעבד קבצים גדולים במקטעים מוגבלי גודל.

כספות מקומיות שומרות קבצים מוצפנים באחסון פרטי של האפליקציה. צילום תמונה או סרטון בתוך כספת משתמש בשטח ביניים פרטי לפני ההצפנה, ולא שומר אוטומטית עותק בגלריה. ייבוא קובץ קיים אינו מסיר את המקור שלו מ-Photos או מספק אחר.

סנכרון ענן פרטי אופציונלי

ב-iOS נעשה שימוש במסד נתונים פרטי של CloudKit ב-iCloud. ב-Android נעשה שימוש באחסון הפרטי של האפליקציה ב-Google Drive. קבצים, שמות ותצוגות מקדימות מוצפנים לפני ההעברה. ספק הענן עדיין יכול לראות מידע תפעולי כגון גדלים, מזהים וחותמות זמן.

הסנכרון כבוי כברירת מחדל ונבחר בנפרד לכל כספת בכל מכשיר. כיבויו עוצר העברות נוספות מאותו מכשיר ואינו מוחק עותקי ענן מוצפנים קיימים. חברו מכשיר נוסף באותה פלטפורמה עם אותו חשבון ענן מקורי ועם מפתח השחזור של הכספת.

סנכרון iCloud ו-Google Drive נשאר בתוך הפלטפורמות שלהם. בחרו ב-Revault Cloud לסנכרון חי בין iOS ל-Android, או השתמשו בהעברת טלפון מוצפנת.

אחסון Pro לכספות מוצפנות ב-iOS וב-Android. ל-Revault מגיע רק מידע מוצפן, לעולם לא מפתח הכספת או ביטוי השחזור שלך. החלפת ספק משאירה במקומם את עותקי הענן הקודמים.

נעילה אוטומטית של הכספת

ברירת המחדל לזמן הקצוב היא 60 שניות. בהגדרות הכספת אפשר לבחור 30 שניות, דקה, 2 דקות, 5 דקות או 10 דקות. כספות משותפות משתמשות בברירת המחדל של 60 שניות, והנעילה ברקע חלה בכל מקרה, ללא קשר לזמן הקצוב שנבחר.

אפליקציית הנייד ננעלת מיד כשהיא עוברת לרקע. הנעילה מבטלת עבודה בכספת, מנקה פרטי קבצים מפוענחים ומצב חיפוש, מנקה תצוגות מקדימות זמניות ומוחקת מאגרי מפתחות בבעלות האפליקציה. iOS מכסה גם תמונות מצב של מחליף האפליקציות, ו-Android משתמש בדגל החלון המאובטח של מערכת ההפעלה.

זיכרון מנוהל ואחסון המכשיר אינם יכולים להבטיח מחיקה פורנזית מיידית של כל עותק. נעילה אוטומטית גם אינה יכולה לבטל קובץ שייצאתם במפורש לאפליקציה אחרת.

גיבויים מוצפנים ושחזור

מפתח שחזור פותח חומר מפתח מוצפן של הכספת, אך אינו מכיל את הקבצים שלכם. גיבוי מכיל את הקבצים המוצפנים, אך אינו תחליף לשמירת מפתח השחזור. אחסנו אותם בנפרד והגנו על שניהם מפני אובדן.

שמרו את ביטוי השחזור בזמן ההגדרה. Revault יוצרת 18 מילים אקראיות, או שאפשר לבחור ולאשר ביטוי משלכם. הוא מאפשר לצרף מכשיר נוסף או לשחזר גיבוי בלי התבנית המקומית שלכם. אפשר להחליף אותו בהגדרות הכספת; גיבויים ישנים עשויים עדיין לדרוש את המפתח המקורי שלהם. מפתחות הקסדצימליים קיימים ממשיכים לעבוד. Revault אינה שומרת עותק ואינה יכולה לאפס אותו עבורכם.

העברות בין טלפונים יוצרות עותק מוצפן חדש ומפתח העברה נפרד, גם בין iPhone ל-Android. המקור נשאר בטלפון הישן. אמתו את הכספת המקבלת לפני שמסירים קבצים ישנים, ושמרו גיבויים עצמאיים כי סנכרון יכול להפיץ מחיקות.

שיתוף מאובטח

תבנית הנעילה של הכספת, מפתח השחזור ומפתח האב של הכספת לעולם אינם נכללים בשיתוף. השירות מקבל נתוני קבצים מוצפנים ומטא-דאטה תפעולי כגון גדלים, סכומי ביקורת, חותמות זמן ומספר מופעי הגישה. הקוד הסודי לפענוח, שנשמר בנפרד, אינו מועלה.

שיתופים מבוקרים משתמשים בתפוגה שנאכפת בשרת ובמגבלות אופציונליות על מופעי גישה, הגבלות ייצוא וטיימר אחרי הגישה הראשונה. iOS תומכת גם בהזמנות CloudKit פרטיות, שאינן אוכפות את בקרות השרת האלה. הנמענים פותחים כספת משותפת מבודדת באמצעות הקוד הסודי הנפרד, בלי תבנית הנעילה האישית שלכם.

תפוגה וביטול גישה עוצרים אחזור עתידי דרך Revault. הם אינם יכולים למחוק צילומי מסך, קבצים שיוצאו או עותקים שהנמען שמר. בחרו במי שאתם סומכים עליו, גם כשהייצוא מושבת.

בקרות אבטחה אופציונליות לכספת

יציאה בטוחה מסירה את הגישה המקומית והנתונים של שאר הכספות כשנפתחת כספת ייעודית. עותקי ענן נשארים, וכספות שקיימות רק במכשיר עלולות ללכת לאיבוד בלי גיבוי נפרד. זו אינה מחיקה פורנזית מובטחת.

היסטוריית פעילות והתראות תמונה על פריצה הן אופציונליות לכל כספת. היסטוריית המכשיר והתמונות נשארות מקומיות ומוצפנות, ושיתופים מבוקרים עשויים לתעד בנפרד חותמות זמן של מופעי גישה. צילומי פריצה דורשים הרשאת מצלמה ומחוונים רגילים של המערכת. צילום בזמן נעילה משתמש במפתח הצפנה ציבורי, ועיון בתמונות עדיין דורש פתיחת הנעילה של הכספת.

הערה על אבטחה

שימוש בכספת מקומית אינו מעלה קבצים ל-Revault. סנכרון מקורי אופציונלי חושף ל-Apple או ל-Google מטא-דאטה תפעולי. שיתוף מבוקר שולח ל-Revault עותקים מוצפנים ומטא-דאטה של גישה, בלי להעלות את הקוד הסודי הנפרד לפענוח.

תוכנה זדונית, מערכת הפעלה או אפליקציה שנפרצו, ומישהו שצופה במסך פתוח יכולים לחשוף טקסט גלוי. שינוי תבנית אינו מבטל מכשיר אחר, אינו פוסל גיבויים ישנים ואינו מחליף את מפתח האב של הכספת. אם מפתח כספת או סוד שחזור נפרצו, העבירו את הקבצים לכספת חדשה עם מפתחות חדשים.

Revault לא עבר ביקורת אבטחה עצמאית. אלה תיאורים של התכנון הקריפטוגרפי שמומש, לא אישור או ערובה מפני כל חדירה.