暗号処理のライフサイクル全体

シークレットを暗号化を押すと、ブラウザは WebCrypto CSPRNG から新しい 256 ビットのコンテンツ鍵を生成し、データを AES-256-GCM で暗号化します。GCM は認証付き暗号です。各チャンクに 128 ビットのタグが付くため、後から改ざんされても、黙って復号されることはなく検出されます。

テキストとファイルはまったく同じように扱われます。どちらも中身の見えない1つのバイナリデータになり、標準的なサイズにパディングされるため、短いパスワードと小さなファイルは見分けがつきません。平文がネットワークに触れることはなく、タブのメモリの外に出ることもありません。

リンクには、ランダムな 256 ビットのシードが URL のフラグメント、つまり # より後ろの部分に入っています。URL の仕様により、フラグメントはブラウザによって取り除かれ、私たちのサーバーに送られるリクエストには決して含まれません。ブラウザはこのシードから HKDF を使って、シークレットを検索するための値と、コンテンツ鍵を取り出すための鍵を導出します。サーバーが目にするのは、検索用の値のハッシュだけです。

受信者のブラウザもフラグメントからシードを読み取り、同じ導出をその場で行います。これがここでいう「ゼロ知識」の意味です。暗号文を持っていても、リンクがなければ役に立ちません。

パスフレーズを設定すると、メモリハードな鍵導出関数である Argon2id で引き伸ばされ、シードと組み合わされて、コンテンツ鍵を包む鍵になります。パスフレーズそのものが送信・保存されることはなく、知っているのはあなたと受信者だけです。間違った推測の再試行は、受信者のブラウザがすでに持っているデータに対して行われるため、サーバーがその回数を数えることはできません。

メモリハード性により、GPU や ASIC を使っても大規模なオフライン推測は高コストになります。パスフレーズをリンクとは別の手段で伝えれば、2つの要素が1か所にそろうことはありません。Argon2 モジュールは作成時と表示時に毎回取得されるため、どのシークレットがパスフレーズを使っているかをネットワークから見分けることはできません。

データは TLS でアップロードされ、ハッシュ化された認証情報、有効期間、丸められた有効期限とともに、暗号文のまま保存されます。送信者の身元、受信者、IP ログ、作成日時、アクセス履歴は、意図的に一切保持しません。シークレットを個人と結びつけるアカウントの仕組みもありません。レート制限は、定期的に入れ替わるソルトを用いたアドレスの HMAC で行うため、入れ替わる前の情報と後の情報を結びつけることはできません。

保存されたデータはフラグメント内のシードがなければ意味をなさないため、サーバーが侵害されたり、開示命令を受けたりしても、得られるのは中身の見えないバイト列と、元に戻せないハッシュだけです。

表示ページを読み込んだだけでは何も取得されません。リクエストは実際のクリックまたはキー操作があったときにのみ送られるため、リンクスキャナーやチャットのプレビューがシークレットを消費することはありません。1回限りのシークレットの場合、サーバーは単一の条件付き更新でその行を claim します。成功するリクエストはちょうど1つだけで、その瞬間からシークレットは消費済みとみなされます。接続が切れた場合、同じブラウザは 15 分間再ダウンロードできますが、他の誰にもできません。確認されなかった claim は破棄され、取り消されることはありません。期限付きのシークレットは、有効期限が来るまで普通に読み出せます。

すべてのシークレットには、自分専用の破棄リンクもあります。開いただけでは何も破棄されません。確定すると、受信者が読む前に暗号文がすぐに消去されます。