Pełny cykl życia kryptografii

Gdy naciskasz Zaszyfruj, przeglądarka losuje z WebCrypto CSPRNG nowy 256-bitowy klucz treści i szyfruje twoje dane algorytmem AES-256-GCM. GCM jest szyfrowaniem uwierzytelnionym: każdy fragment ma 128-bitowy znacznik, więc każda późniejsza manipulacja zostaje wykryta, zamiast zostać po cichu odszyfrowana.

Tekst i pliki są traktowane identycznie — jedne i drugie stają się jednym nieprzejrzystym binarnym blobem, dopełnionym do standardowego rozmiaru, tak że krótkie hasło i mały plik wyglądają tak samo. Tekst jawny nigdy nie trafia do sieci i nigdy nie opuszcza pamięci karty.

Twój link zawiera losowe 256-bitowe ziarno we fragmencie adresu URL — wszystkim, co następuje po znaku #. Zgodnie ze specyfikacją URL przeglądarka odcina fragment i nigdy nie dołącza go do żądania wysyłanego do naszych serwerów. Z tego ziarna przeglądarka wyprowadza za pomocą HKDF wartość wyszukiwania, służącą do odnalezienia sekretu, oraz klucz, który odpakowuje klucz treści. Serwer widzi wyłącznie skrót wartości wyszukiwania.

Przeglądarka odbiorcy odczytuje ziarno z fragmentu i lokalnie wykonuje to samo wyprowadzenie. Właśnie to oznacza tutaj „zero-knowledge”: sam szyfrogram jest bezużyteczny bez linku.

Jeśli ustawisz hasło, zostanie ono wzmocnione funkcją Argon2id — funkcją wyprowadzania klucza wymagającą dużo pamięci — i połączone z ziarnem w klucz, który opakowuje klucz treści. Samo hasło nigdy nie jest przesyłane ani przechowywane; znasz je tylko ty i odbiorca. Błędne próby są powtarzane w przeglądarce odbiorcy na danych, które już ma, więc serwer nie może ich policzyć.

Duże wymagania pamięciowe sprawiają, że masowe zgadywanie offline jest kosztowne nawet na GPU i układach ASIC. Przekaż hasło innym kanałem niż link, a oba składniki nigdy nie spotkają się w jednym miejscu. Moduł Argon2 jest pobierany przy każdym tworzeniu i odsłanianiu sekretu, więc z ruchu sieciowego nie da się odczytać, które sekrety mają hasło.

Blob jest przesyłany przez TLS i przechowywany jako szyfrogram obok zahaszowanych danych uwierzytelniających, swojego trybu ważności i zaokrąglonego czasu wygaśnięcia. Celowo nie przechowujemy tożsamości nadawcy, odbiorcy, logów IP, czasu utworzenia ani historii dostępu. Nie ma systemu kont, który wiązałby sekret z osobą. Ograniczanie liczby żądań działa na HMAC adresu z rotowaną solą, więc niczego sprzed rotacji nie da się powiązać z niczym po niej.

Ponieważ przechowywany obiekt nie ma znaczenia bez ziarna z fragmentu, włamanie na serwer lub nakaz sądowy dają jedynie nieprzejrzyste bajty i skróty, których nie da się zamienić z powrotem w nic.

Gdy strona odsłaniania się ładuje, nic nie jest pobierane: żądanie wychodzi dopiero po prawdziwym kliknięciu lub naciśnięciu klawisza, więc skanery linków i podglądy na czatach nie mogą zużyć sekretu. W przypadku jednorazowego sekretu serwer zajmuje wiersz jedną warunkową aktualizacją — wygrywa dokładnie jedno żądanie — i od tej chwili sekret uznaje się za zużyty. Jeśli połączenie zostanie zerwane, ta sama przeglądarka może pobrać dane ponownie w ciągu 15 minut; nikt inny nie może, a niepotwierdzone zajęcie kończy się zniszczeniem, nigdy cofnięciem. Sekrety czasowe są zwykłym odczytem aż do wygaśnięcia.

Każdy sekret ma też prywatny link do spalenia. Samo jego otwarcie niczego nie niszczy; potwierdzenie natychmiast kasuje szyfrogram — zanim jakikolwiek odbiorca zdąży go przeczytać.