Ο πλήρης κρυπτογραφικός κύκλος ζωής

Όταν πατάτε Κρυπτογράφηση, το πρόγραμμα περιήγησης παράγει ένα νέο κλειδί περιεχομένου 256 bit από το WebCrypto CSPRNG και κρυπτογραφεί το φορτίο σας με AES-256-GCM. Το GCM είναι αυθεντικοποιημένο: κάθε τμήμα φέρει ετικέτα 128 bit, οπότε κάθε μεταγενέστερη αλλοίωση εντοπίζεται αντί να αποκρυπτογραφηθεί σιωπηλά.

Το κείμενο και τα αρχεία αντιμετωπίζονται με τον ίδιο τρόπο — και τα δύο γίνονται ένα αδιαφανές δυαδικό blob, συμπληρωμένο σε τυπικό μέγεθος, ώστε ένας σύντομος κωδικός και ένα μικρό αρχείο να μοιάζουν ίδια. Το απλό κείμενο δεν αγγίζει ποτέ το δίκτυο και δεν φεύγει ποτέ από τη μνήμη της καρτέλας.

Ο σύνδεσμός σας μεταφέρει έναν τυχαίο σπόρο 256 bit στο τμήμα (fragment) του URL — όλα όσα βρίσκονται μετά το #. Σύμφωνα με την προδιαγραφή URL, το πρόγραμμα περιήγησης αφαιρεί το τμήμα και αυτό δεν περιλαμβάνεται ποτέ στο αίτημα που στέλνεται στους διακομιστές μας. Από αυτόν τον σπόρο το πρόγραμμα περιήγησης παράγει, με HKDF, μια τιμή αναζήτησης για να βρει το μυστικό και το κλειδί που ξετυλίγει το κλειδί περιεχομένου. Ο διακομιστής βλέπει μόνο έναν κατακερματισμό της τιμής αναζήτησης.

Το πρόγραμμα περιήγησης του παραλήπτη διαβάζει τον σπόρο από το τμήμα και κάνει την ίδια παραγωγή τοπικά. Αυτό σημαίνει εδώ «μηδενική γνώση»: η κατοχή του κρυπτογραφημένου κειμένου μόνη της είναι άχρηστη χωρίς τον σύνδεσμο.

Αν ορίσετε φράση πρόσβασης, αυτή ενισχύεται με Argon2id — μια συνάρτηση παραγωγής κλειδιού που απαιτεί πολλή μνήμη — και συνδυάζεται με τον σπόρο στο κλειδί που τυλίγει το κλειδί περιεχομένου. Η ίδια η φράση πρόσβασης δεν μεταδίδεται ούτε αποθηκεύεται ποτέ· μόνο εσείς και ο παραλήπτης την ξέρετε. Οι λανθασμένες προσπάθειες επαναλαμβάνονται στο πρόγραμμα περιήγησης του παραλήπτη, πάνω σε δεδομένα που έχει ήδη, οπότε ο διακομιστής δεν μπορεί να τις μετρήσει.

Η απαίτηση μνήμης κάνει τις μαζικές μαντεψιές εκτός σύνδεσης ακριβές ακόμη και σε GPU και ASIC. Στείλτε τη φράση πρόσβασης από διαφορετικό κανάλι από τον σύνδεσμο, και οι δύο παράγοντες δεν συναντιούνται ποτέ στο ίδιο σημείο. Η μονάδα Argon2 φορτώνεται σε κάθε δημιουργία και εμφάνιση, ώστε το δίκτυο να μην μπορεί να καταλάβει ποια μυστικά χρησιμοποιούν φράση πρόσβασης.

Το blob μεταφορτώνεται μέσω TLS και αποθηκεύεται ως κρυπτογραφημένο κείμενο μαζί με κατακερματισμένα διαπιστευτήρια, τη διάρκεια ζωής του και έναν στρογγυλοποιημένο χρόνο λήξης. Σκόπιμα δεν κρατάμε ταυτότητα αποστολέα, παραλήπτη, αρχεία IP, χρόνο δημιουργίας ή ιστορικό πρόσβασης. Δεν υπάρχει σύστημα λογαριασμών που να συνδέει ένα μυστικό με ένα πρόσωπο. Ο περιορισμός ρυθμού λειτουργεί με ένα HMAC της διεύθυνσης κάτω από ένα salt που εναλλάσσεται, οπότε τίποτα πριν από μια εναλλαγή δεν μπορεί να συνδεθεί με κάτι μετά από αυτήν.

Επειδή το αποθηκευμένο αντικείμενο δεν έχει νόημα χωρίς τον σπόρο στο τμήμα του URL, μια παραβίαση του διακομιστή ή μια δικαστική εντολή αποδίδει μόνο αδιαφανή byte και κατακερματισμούς που δεν μπορούν να μετατραπούν ξανά σε τίποτα.

Τίποτα δεν ανακτάται όταν φορτώνει η σελίδα εμφάνισης: το αίτημα στέλνεται μόνο με πραγματικό κλικ ή πάτημα πλήκτρου, οπότε οι σαρωτές συνδέσμων και οι προεπισκοπήσεις συνομιλιών δεν μπορούν να καταναλώσουν ένα μυστικό. Για ένα μυστικό μίας προβολής ο διακομιστής διεκδικεί τη γραμμή με μία μόνο υπό όρους ενημέρωση — ακριβώς ένα αίτημα κερδίζει — και το μυστικό θεωρείται καταναλωμένο από εκείνη τη στιγμή. Το ίδιο πρόγραμμα περιήγησης μπορεί να κάνει ξανά λήψη για 15 λεπτά αν διακοπεί η σύνδεση· κανείς άλλος δεν μπορεί, και μια διεκδίκηση που δεν επιβεβαιώνεται καταστρέφεται, ποτέ δεν αναιρείται. Τα χρονομετρημένα μυστικά είναι μια απλή ανάγνωση μέχρι να λήξουν.

Κάθε μυστικό έχει επίσης έναν ιδιωτικό σύνδεσμο καταστροφής. Το άνοιγμά του δεν καταστρέφει τίποτα από μόνο του· η επιβεβαίωση σβήνει αμέσως το κρυπτογραφημένο κείμενο — πριν μπορέσει να το διαβάσει οποιοσδήποτε παραλήπτης.