Il ciclo di vita crittografico completo

Quando premi Cifra, il browser genera una nuova chiave di contenuto a 256 bit dal WebCrypto CSPRNG e cifra il contenuto con AES-256-GCM. GCM è autenticato: ogni blocco porta un tag a 128 bit, quindi qualsiasi manomissione successiva viene rilevata invece di essere decifrata senza avvisi.

Testo e file vengono trattati allo stesso modo: entrambi diventano un unico blob binario opaco, portato con il padding a una dimensione standard, così una password breve e un file piccolo sembrano uguali. Il testo in chiaro non tocca mai la rete e non lascia mai la memoria della scheda.

Il tuo link contiene un seed casuale a 256 bit nel frammento dell'URL, cioè tutto ciò che segue il #. Secondo la specifica degli URL, il browser rimuove il frammento e non lo include mai nella richiesta inviata ai nostri server. Da quel seed il browser ricava, con HKDF, un valore di ricerca per trovare il segreto e la chiave che sblocca la chiave di contenuto. Il server vede sempre e solo un hash del valore di ricerca.

Il browser del destinatario legge il seed dal frammento ed esegue la stessa derivazione in locale. Ecco cosa significa qui «zero-knowledge»: possedere solo il testo cifrato è inutile senza il link.

Se imposti una passphrase, viene rafforzata con Argon2id, una funzione di derivazione della chiave memory-hard, e combinata con il seed nella chiave che protegge la chiave di contenuto. La passphrase in sé non viene mai trasmessa né conservata: la conoscete solo tu e il destinatario. I tentativi errati vengono ripetuti nel browser del destinatario sui dati che ha già, quindi il server non può contarli.

L'uso intensivo di memoria rende costosi i tentativi offline su larga scala, anche con GPU e ASIC. Condividi la passphrase su un canale diverso da quello del link, così i due fattori non si trovano mai nello stesso posto. Il modulo Argon2 viene scaricato a ogni creazione e apertura, così la rete non può capire quali segreti ne usano una.

Il blob viene caricato tramite TLS e conservato a riposo come testo cifrato, insieme a credenziali sottoposte a hash, alla sua durata e a un orario di scadenza arrotondato. Di proposito non conserviamo l'identità del mittente, il destinatario, log degli IP, l'orario di creazione o lo storico degli accessi. Non esiste un sistema di account che colleghi un segreto a una persona. Il rate limiting lavora su un HMAC dell'indirizzo con un salt che ruota, quindi nulla di ciò che precede una rotazione può essere collegato a ciò che la segue.

Poiché l'oggetto conservato non ha senso senza il seed nel frammento, la compromissione del server o un ordine giudiziario producono solo byte opachi e hash da cui non si può risalire a nulla.

Al caricamento della pagina di apertura non viene recuperato nulla: la richiesta parte solo dopo un vero clic o la pressione di un tasto, quindi gli scanner di link e le anteprime delle chat non possono consumare un segreto. Per un segreto monouso il server rivendica la riga con un unico aggiornamento condizionale (vince esattamente una richiesta) e da quel momento il segreto è considerato consumato. Lo stesso browser può riscaricarlo per 15 minuti se la connessione cade; nessun altro può farlo, e una rivendicazione non confermata viene distrutta, mai annullata. I segreti a tempo sono una semplice lettura fino alla scadenza.

Ogni segreto ha anche un link di distruzione privato. Aprirlo di per sé non distrugge nulla; confermando, il testo cifrato viene cancellato subito, prima che qualsiasi destinatario possa leggerlo.