নিরাপত্তা, সহজ ভাষায়
CryptoUpload কী সুরক্ষা দেয়, কী দেয় না, এবং আমরা ভুল করলে কীভাবে আমাদের জানাবেন।
এটি কী ঠেকাতে তৈরি
- কৌতূহলী কিন্তু সৎ প্রোভাইডার
- সে এনক্রিপ্ট করা বাইট, ফাইলের আকার ও লেখার সময় দেখে। ফাইলে কী আছে বা তার নাম কী, তা তার বের করতে পারার কথা নয়।
- বৈরী বা হ্যাক হওয়া প্রোভাইডার
- সে পুরোনো কপি ফেরত দিতে পারে, ফাইল কেটে ছোট করতে পারে, ব্লকের ক্রম বদলাতে পারে বা কিছু বাদ দিতে পারে। এর প্রতিটিই ধরা পড়ে: ভল্ট একটি প্রমাণিত রেকর্ড রাখে যা শুধু সামনে এগোতে পারে, প্রতিটি ফাইলের শেষ যাচাই করা হয়, আর প্রতিটি ব্লক নিজের জায়গা জানে। সিঙ্ক থেমে যায়। সীমাবদ্ধতা: প্রথমবার ভল্ট খোলা কম্পিউটার তাকে যা দেওয়া হয় তা-ই বিশ্বাস করে, এবং পিছিয়ে পড়া ডিভাইসের কাছ থেকে প্রোভাইডার সর্বশেষ পরিবর্তনগুলো আটকে রাখতে পারে।
- সংরক্ষিত ফাইল যে কপি করে নেয়
- পাসওয়ার্ড বা 24 শব্দ ছাড়া তার হাতে থাকে অপাঠ্য ডেটা। পাসওয়ার্ড Argon2id-এর মধ্য দিয়ে যায়, তাই প্রতিটি আন্দাজে 256 MiB মেমরি লাগে।
প্রোভাইডার এখনও যা দেখতে পারে
- সবসময়
- কতগুলো ফাইল ও ফোল্ডার আছে, প্রতিটি ফাইলের আকার, প্রতিটি নাম কত লম্বা, প্রতিটি অবজেক্ট কখন লেখা হয়েছে, আর অনুরোধগুলো কোন ঠিকানা থেকে আসছে। এটি যে একটি CryptoUpload ভল্ট। এছাড়াও: প্রতিটি ফোল্ডারে কয়টি জিনিস আছে, কোন কোন আনলক পদ্ধতি আছে, সদস্যদের পাবলিক কী এবং, বেসিক প্রোফাইলে, সদস্যদের যে নাম দিয়েছেন।
- ঐচ্ছিক প্রাইভেট প্রোফাইলে
- ফাইলের আকার ওপরের দিকে গোল করা হয় (সর্বোচ্চ প্রায় 12 শতাংশ), নামের দৈর্ঘ্য পাঁচটি ব্যান্ডে পড়ে, আর ভল্টের README বাদ রাখা হয়। ডিকয় ফাইল প্রতিটি ফোল্ডারে কতগুলো ফাইল আছে তাও লুকাতে পারে, তবে শুধু তার কাছ থেকে যে স্টোরেজের একটি কপি পায়: অনুরোধ লগ করে এমন প্রোভাইডার ডিকয় চিনে নিতে পারে। ফোল্ডারের সংখ্যা, অনুরোধের সময় ও ঠিকানা দৃশ্যমান থাকে।
- ফরম্যাটের একটি সীমা
- আকার ও সময় থেকে আগে থেকে জানা কোনো ফাইল চিনে ফেলা যেতে পারে, যেমন এমন একটি সিনেমা যার সঠিক আকার সবার জানা। বেসিক প্রোফাইল এটি লুকায় না।
এটি যা কভার করে না
- আগেই হ্যাক হয়ে যাওয়া কম্পিউটার
- যে কেউ খোলা অবস্থায় থাকা কম্পিউটারের নিয়ন্ত্রণ নেয়, সে তার ওপরের ভল্টেরও নিয়ন্ত্রণ নেয়।
- যার ওপর আপনাকে ভরসা করতে হবে
- ক্লাউড ক্রেডেনশিয়াল আপনার কম্পিউটারে একটি এনক্রিপ্ট করা ফাইলে রাখা হয়। আপডেটের ওপর ভরসা চলে লেখকের হাতে থাকা একটি সাইনিং কী-র মাধ্যমে। ভল্ট খোলা থাকাকালে আপনার ইউজার হিসেবে চলা প্রোগ্রাম আপনার ফাইল পড়তে পারে।
- যে প্রোভাইডার আপনাকে সেবা দিতে অস্বীকার করে
- কারসাজি ধরা পড়ে। সেবা অস্বীকার ঠেকানো এনক্রিপশনের সাধ্যের বাইরে।
- প্রবেশাধিকার ফিরিয়ে নেওয়া
- পাসওয়ার্ড বদলানো, বা শেয়ার করা ভল্ট থেকে কাউকে সরানোয় তাঁরা যা আগেই দেখেছেন তা ফেরানো যায় না। কাউকে সরালে তার পরে যা লেখা হয় তা সুরক্ষিত থাকে। সম্পূর্ণ প্রত্যাহারের জন্য নতুন ভল্ট তৈরি করে বিষয়বস্তু সেখানে কপি করুন।
- লুকানো ভল্ট
- অস্বীকারের সুযোগ নেই: একটি ভল্টকে ভল্ট হিসেবে চেনা যায়।
- সব ভুলে যাওয়া
- পাসওয়ার্ড ও 24 শব্দ দুটোই হারালে ডেটা কেউই ফিরিয়ে দিতে পারে না।
এখনও কোনো স্বাধীন অডিট নেই
- যা আছে
- 2026 সালের অক্টোবরে করা একটি অভ্যন্তরীণ নিরাপত্তা পর্যালোচনা। এটি স্বাধীন অডিট নয়।
- আমরা আপনার কাছে কী চাই
- যে তথ্য ফাঁস হলে আপনার গুরুতর ক্ষতি হবে তার একমাত্র সুরক্ষা CryptoUpload-কে করবেন না। পরিকল্পনা হলো স্বাধীন অডিটের খরচ মেটাতে অনুদানের জন্য আবেদন করা। কোড প্রকাশ্য: দক্ষতা থাকলে যে কেউ এটি পর্যালোচনা করে যা পায় তা security@cryptoupload.org-এ জানাতে পারে।
দুর্বলতা জানান
- কীভাবে
- security@cryptoupload.org-এ লিখুন। দুর্বলতার জন্য দয়া করে প্রকাশ্য ইস্যু খুলবেন না। পারলে সংস্করণ, পুনরায় ঘটানোর ধাপ, আপনার অনুমিত প্রভাব এবং একটি প্রুফ অফ কনসেপ্ট দিন।
- পরিধির ভেতরে
- পাসওয়ার্ড বা বাক্যাংশ ছাড়া সাদা টেক্সট পড়া, সিল জাল করা বা চাবি উদ্ধারের যেকোনো উপায়; সিঙ্ক চলাকালে নিঃশব্দে ডেটা হারানোর যেকোনো ঘটনা; সংরক্ষিত ক্রেডেনশিয়াল বের করার যেকোনো উপায়; নেটওয়ার্ক ব্যাকএন্ড (অপ্রমাণিত অনুরোধ, পাথ ট্রাভার্সাল, অনুরোধ জালিয়াতি); কমান্ড লাইন ও অ্যাপ।
- আপাতত পরিধির বাইরে
- যে ফলাফলের জন্য আগে থেকে খোলা কম্পিউটারে ক্রমাগত শারীরিক প্রবেশাধিকার লাগে; ক্লাউড প্রোভাইডারদের বিরুদ্ধে ডিনায়াল অফ সার্ভিস, যা আমাদের নয়; আসল ডেটায় প্রভাব না ফেলা সাধারণ দৃঢ়তার বাগ।
- কী আশা করবেন
- আমরা 5 কার্যদিবসের মধ্যে আপনার রিপোর্ট পাওয়ার কথা নিশ্চিত করি এবং আপনার সঙ্গে প্রকাশের সময়সীমা ঠিক করি, ডিফল্টভাবে 90 দিন। কোনো বাগ বাউন্টি নেই।
কী দৃশ্যমান থাকে, একটি একটি করে
| প্রোভাইডারের দিকে | বেসিক প্রোফাইল | প্রাইভেট প্রোফাইল |
|---|---|---|
| ফাইলের বিষয়বস্তু | অপাঠ্য | অপাঠ্য |
| ফাইল ও ফোল্ডারের নাম | অপাঠ্য | অপাঠ্য |
| প্রতিটি ফাইলের আকার | নির্ভুল | ওপরের দিকে গোল করা, সর্বোচ্চ প্রায় 12 % |
| নামের দৈর্ঘ্য | নির্ভুল | পাঁচটি ব্যান্ডের একটি |
| প্রতিটি ফোল্ডারে ফাইল | নির্ভুল সংখ্যা | ডিকয় চালু থাকলে বাড়িয়ে গোল করা; অনুরোধ লগ করে এমন প্রোভাইডার ডিকয় চিনে নিতে পারে |
| ফোল্ডারের সংখ্যা | দৃশ্যমান | দৃশ্যমান |
| প্রতিটি ব্লক কখন পৌঁছায় | দৃশ্যমান | দৃশ্যমান |
| আপনি যে ঠিকানা থেকে যুক্ত হন | দৃশ্যমান | দৃশ্যমান |
প্রাইভেট প্রোফাইল ঐচ্ছিক এবং ভল্ট তৈরির সময় বেছে নিতে হয়। যেকোনো প্রোফাইলেই আপনি আপলোডের ক্রম ও সময় এলোমেলো করতে এবং ট্রাফিক প্রক্সির মধ্য দিয়ে পাঠাতে পারেন।