Безпека й архітектура

Мобільні застосунки без облікового запису

Нативні застосунки не потребують облікового запису Revault, адреси електронної пошти, пароля чи входу через веб. Сховища створюються й шифруються на пристрої. Користування локальним сховищем не передає ваші файли на сервери Revault.

Нативні застосунки не потребують облікового запису Revault. Необов’язкова хмарна синхронізація використовує ваш обліковий запис Apple або Google, а покупки в магазині — платіжний обліковий запис платформи.

Графічний ключ сховища

Кожне сховище має випадковий 256-бітний головний ключ. Ваш графічний ключ пристрою 5 × 5 поєднується з випадковим 256-бітним локальним секретом; PBKDF2-HMAC-SHA-256 із 600 000 ітерацій і свіжою 128-бітною сіллю виводить ключ, що обгортає цей головний ключ за допомогою AES-256-GCM.

Намалюйте графічний ключ на сітці 5 × 5, щоб відкрити його сховище. Інші сховища та їхні назви залишаються непомітними. Графічні ключі мають бути різними для всіх сховищ, доданих на одному пристрої; вибір графічного ключа не розкриває, які ще сховища існують.

Цей графічний ключ розблоковує лише цей пристрій. Збережіть ключ відновлення, щоб налаштувати інший пристрій.

Захист ключа лише на пристрої

На iOS локальний секрет розблокування зберігається в елементі Keychain без синхронізації, доступному лише тоді, коли пристрій розблоковано. На Android матеріал розблокування пристрою шифрується неекспортованим ключем Android Keystore, який вимагає розблокованого пристрою.

Локальні секрети розблокування не входять до нативної хмарної синхронізації чи портативних резервних копій. Секрет на iOS не є ключем Secure Enclave, а апаратна підтримка на Android залежить від пристрою. Захист пристрою не робить передбачуваний графічний ключ безпечним після компрометації локального секрету.

Шифрується перед завантаженням

Вміст файлів, імена файлів, попередні перегляди, назви сховищ і структура папок шифруються на пристрої. AES-256-GCM автентифікує метадані та обгортки ключів; файли використовують потоковий формат AES-GCM-HKDF, щоб шифрування могло обробляти великі файли обмеженими сегментами.

Локальні сховища зберігають зашифровані файли в приватному сховищі застосунку. Зйомка фото чи відео всередині сховища використовує приватну проміжну область до шифрування, а не автоматично зберігає копію в галереї. Імпорт наявного файлу не видаляє його оригінал із Фото чи в іншого провайдера.

Необов’язкова приватна хмарна синхронізація

iOS використовує приватну базу даних CloudKit в iCloud. Android використовує приватне сховище застосунку в Google Drive. Файли, назви та попередні перегляди шифруються до передавання. Ваш хмарний провайдер усе ж бачить службову інформацію, як-от розміри, ідентифікатори та позначки часу.

Синхронізація вимкнена за замовчуванням і вибирається окремо для кожного сховища на кожному пристрої. Її вимкнення припиняє подальше передавання з цього пристрою; воно не видаляє наявних зашифрованих хмарних копій. Підключіть інший пристрій на тій самій платформі з тим самим нативним хмарним обліковим записом і ключем відновлення сховища.

Синхронізація iCloud і Google Drive працює лише в межах власних платформ. Оберіть Revault Cloud для синхронізації між iOS і Android у реальному часі або скористайтеся зашифрованим перенесенням між телефонами.

Сховище Pro для зашифрованих сховищ на iOS і Android. Revault отримує шифротекст, але ніколи не отримує ключ сховища чи фразу відновлення. Якщо змінити провайдера, попередні хмарні копії залишаються на місці.

Автоматичне блокування сховища

Тайм-аут за замовчуванням — 60 секунд. У налаштуваннях сховища виберіть 30 секунд, 1 хвилину, 2 хвилини, 5 хвилин або 10 хвилин. Спільні сховища використовують значення за замовчуванням — 60 секунд; блокування у фоні діє незалежно від вибраного тайм-ауту.

Мобільний застосунок блокується одразу після згортання. Блокування скасовує роботу зі сховищем, очищає розшифровану інформацію про файли та стан пошуку, прибирає тимчасові попередні перегляди й затирає буфери ключів. iOS також закриває знімки перемикача застосунків; Android використовує прапорець безпечного вікна операційної системи.

Кероване сховище пам’яті та пристрою не може гарантувати негайного судово-технічного стирання кожної копії. Автоматичне блокування також не може відкликати файл, який ви явно експортували до іншого застосунку.

Зашифровані резервні копії та відновлення

Ключ відновлення розблоковує зашифрований матеріал ключа сховища; він не містить ваших файлів. Резервна копія містить зашифровані файли; вона не замінює збереження ключа відновлення. Зберігайте їх окремо та захищайте обидва від втрати.

Збережіть фразу відновлення під час налаштування. Revault генерує 18 випадкових слів, або ви можете вибрати й підтвердити власну фразу. Вона дає змогу підключити інший пристрій або відновити резервну копію без локального графічного ключа. Ви можете замінити її в налаштуваннях сховища; для старіших резервних копій усе ще може знадобитися початковий ключ. Наявні шістнадцяткові ключі залишаються чинними. Revault не зберігає копію і не може скинути її за вас.

Перенесення між телефонами створює свіжу зашифровану копію та окремий ключ перенесення, зокрема між iPhone та Android. Оригінал залишається на старому телефоні. Перевірте сховище на приймальному пристрої, перш ніж видаляти старі файли, і тримайте незалежні резервні копії, адже синхронізація може поширювати видалення.

Безпечний спільний доступ

Графічний ключ вашого сховища, ключ відновлення та головний ключ сховища ніколи не передаються разом із файлами. Сервіс отримує зашифровані дані файлів і службові метадані, як-от розміри, контрольні суми, позначки часу та кількість сеансів доступу. Окремий секретний код для розшифрування не завантажується.

Контрольований спільний доступ використовує термін дії, що забезпечується сервером, і необов’язкові ліміти сеансів доступу, обмеження експорту та таймер після першого відкриття. iOS також підтримує приватні запрошення CloudKit, які не застосовують цих серверних обмежень. Отримувачі відкривають ізольоване спільне сховище за допомогою окремого секретного коду, без вашого особистого графічного ключа.

Закінчення терміну дії та скасування доступу припиняють подальше отримання файлів через Revault. Вони не можуть стерти знімки екрана, експортовані файли чи копії, які зберіг отримувач. Обирайте тих, кому довіряєте, навіть якщо експорт вимкнено.

Необов’язкові засоби захисту сховища

Безпечний вихід видаляє локальний доступ і дані інших сховищ, коли відкривається призначене сховище. Хмарні копії залишаються, а сховища, що існують лише офлайн, без окремої резервної копії можуть бути втрачені. Це не гарантоване судово-технічне стирання.

Історія активності та фотосповіщення про спроби злому необов’язкові для кожного сховища. Історія пристрою та фото залишаються локальними й зашифрованими; контрольований спільний доступ може окремо записувати позначки часу сеансів доступу. Знімки спроб злому потребують дозволу на камеру та звичайних системних індикаторів. Зйомка в заблокованому стані використовує відкритий ключ шифрування; для перегляду фото все одно потрібно розблокувати сховище.

Зауваження щодо безпеки

Використання локального сховища не завантажує файли до Revault. Необов’язкова нативна синхронізація розкриває службові метадані Apple або Google. Контрольований спільний доступ надсилає до Revault зашифровані копії та метадані доступу, але не завантажує окремий секретний код для розшифрування.

Шкідливе ПЗ, скомпрометована операційна система чи застосунок і людина, що дивиться на розблокований екран, можуть розкрити відкритий текст. Зміна графічного ключа не відкликає інший пристрій, не робить недійсними старі резервні копії й не змінює головний ключ сховища. Якщо ключ сховища або секрет відновлення скомпрометовано, перенесіть файли в нове сховище зі свіжими ключами.

Revault не проходив незалежного аудиту безпеки. Це опис реалізованої криптографічної конструкції, а не сертифікація чи гарантія від будь-якого вторгнення.