Der kryptografische Lebenszyklus

Wenn du auf Verschlüsseln drückst, zieht der Browser einen frischen 256-Bit-Inhaltsschlüssel aus dem WebCrypto CSPRNG und verschlüsselt deine Daten mit AES-256-GCM. GCM ist authentifiziert: Jeder Block trägt ein 128-Bit-Tag, sodass jede spätere Manipulation erkannt wird, statt stillschweigend entschlüsselt zu werden.

Text und Dateien werden gleich behandelt: Beides wird zu einem undurchsichtigen Binär-Blob, aufgefüllt auf eine Standardgröße, sodass ein kurzes Passwort und eine kleine Datei gleich aussehen. Der Klartext berührt nie das Netzwerk und verlässt nie den Speicher des Tabs.

Dein Link trägt einen zufälligen 256-Bit-Seed im URL-Fragment, also in allem nach dem #. Laut URL-Spezifikation entfernt der Browser das Fragment, und es ist nie Teil der Anfrage an unsere Server. Aus diesem Seed leitet der Browser mit HKDF einen Suchwert ab, mit dem das Geheimnis gefunden wird, sowie den Schlüssel, der den Inhaltsschlüssel entpackt. Der Server sieht immer nur einen Hash des Suchwerts.

Der Browser der empfangenden Person liest den Seed aus dem Fragment und führt dieselbe Ableitung lokal durch. Das ist hier mit „Zero-Knowledge“ gemeint: Wer nur den Chiffretext besitzt, kann ohne den Link nichts damit anfangen.

Wenn du eine Passphrase festlegst, wird sie mit Argon2id gestreckt, einer speicherintensiven Schlüsselableitungsfunktion, und mit dem Seed zu dem Schlüssel kombiniert, der den Inhaltsschlüssel einpackt. Die Passphrase selbst wird nie übertragen oder gespeichert; nur du und die empfangende Person kennen sie. Falsche Versuche werden im Browser der empfangenden Person gegen Daten wiederholt, die er bereits hat, sodass der Server sie nicht zählen kann.

Die Speicherintensität macht massenhaftes Offline-Raten selbst auf GPUs und ASICs teuer. Teile die Passphrase über einen anderen Kanal als den Link, dann treffen die beiden Faktoren nie an einem Ort zusammen. Das Argon2-Modul wird bei jedem Erstellen und Anzeigen geladen, sodass im Netzwerk nicht erkennbar ist, welche Geheimnisse eine Passphrase nutzen.

Der Blob wird über TLS hochgeladen und als Chiffretext gespeichert, zusammen mit gehashten Zugangsdaten, seiner Lebensdauer und einem gerundeten Ablaufzeitpunkt. Wir speichern bewusst keine Identität der sendenden Person, keine Empfänger, kein IP-Protokoll, keinen Erstellungszeitpunkt und keinen Zugriffsverlauf. Es gibt kein Kontosystem, das ein Geheimnis mit einer Person verknüpfen könnte. Das Ratenlimit arbeitet mit einem HMAC der Adresse unter einem wechselnden Salt, sodass sich nichts von vor einem Wechsel mit etwas danach verknüpfen lässt.

Weil das gespeicherte Objekt ohne den Seed im Fragment bedeutungslos ist, bringen ein kompromittierter Server oder eine behördliche Anordnung nur undurchsichtige Bytes und Hashes zutage, aus denen sich nichts zurückgewinnen lässt.

Beim Laden der Anzeigeseite wird nichts abgerufen: Die Anfrage geht erst bei einem echten Klick oder Tastendruck hinaus, sodass Link-Scanner und Chat-Vorschauen kein Geheimnis verbrauchen können. Bei einem Einmal-Geheimnis beansprucht der Server die Zeile in einem einzigen bedingten Update – genau eine Anfrage gewinnt –, und ab diesem Moment gilt das Geheimnis als verbraucht. Derselbe Browser kann 15 Minuten lang erneut herunterladen, falls die Verbindung abbricht; niemand sonst kann das, und eine unbestätigte Beanspruchung wird zerstört, nie rückgängig gemacht. Befristete Geheimnisse werden bis zum Ablauf einfach gelesen.

Jedes Geheimnis hat außerdem einen privaten Brenn-Link. Ihn zu öffnen zerstört für sich noch nichts; erst die Bestätigung löscht den Chiffretext sofort, bevor eine empfangende Person ihn lesen kann.