Bezpieczeństwo, prostymi słowami
Co CryptoUpload chroni, czego nie chroni i jak nam powiedzieć, że coś zrobiliśmy źle.
Na co jest odporny
- Dostawca ciekawski, ale uczciwy
- Widzi zaszyfrowane bajty, rozmiary plików i czasy zapisu. Nie powinien móc ustalić, co zawiera plik ani jak się nazywa.
- Dostawca wrogi lub przejęty
- Może oddać starą kopię, uciąć plik, zmienić kolejność bloków albo coś pominąć. Każde z tych działań zostaje wykryte: sejf prowadzi uwierzytelniony rejestr, który może iść tylko do przodu, koniec każdego pliku jest sprawdzany, a każdy blok zna swoje miejsce. Synchronizacja się zatrzymuje. Ograniczenia: komputer otwierający sejf po raz pierwszy ufa temu, co mu podano, a dostawca może wstrzymać najnowsze zmiany dla urządzenia, które pozostało w tyle.
- Ktoś, kto kopiuje zapisane pliki
- Bez hasła lub 24 słów ma w rękach nieczytelne dane. Hasło przechodzi przez Argon2id, więc każda próba kosztuje 256 MiB pamięci.
Co dostawca nadal może zobaczyć
- Zawsze
- Ile jest plików i folderów, rozmiar każdego pliku, jak długa jest każda nazwa, kiedy zapisano każdy obiekt i adres, z którego pochodzą żądania. Że to sejf CryptoUpload. Także: ile elementów zawiera każdy folder, jakie istnieją metody odblokowania, klucze publiczne członków oraz, w profilu podstawowym, nazwy nadane członkom.
- Z opcjonalnym profilem prywatnym
- Rozmiary plików są zaokrąglane w górę (najwyżej o około 12 procent), długości nazw trafiają do pięciu przedziałów, a plik README w sejfie jest pomijany. Pliki-wabiki mogą też ukryć, ile plików zawiera każdy folder, ale tylko przed kimś, kto zdobędzie kopię magazynu: dostawca, który zapisuje żądania w logach, odróżni wabiki. Liczby folderów, czasy żądań i adres pozostają widoczne.
- Ograniczenie formatu
- Rozmiar i czas mogą wystarczyć do rozpoznania pliku już znanego, na przykład filmu, którego dokładny rozmiar jest publiczny. Profil podstawowy tego nie ukrywa.
Czego nie obejmuje
- Komputer, który jest już przejęty
- Kto kontroluje odblokowany komputer, kontroluje znajdujący się na nim sejf.
- Czemu musisz zaufać
- Dane dostępowe do chmury są przechowywane w zaszyfrowanym pliku na twoim komputerze. Aktualizacjom ufa się dzięki jednemu kluczowi podpisującemu, który należy do autora. Program działający na twoim koncie, gdy sejf jest otwarty, może czytać twoje pliki.
- Dostawca, który odmawia obsługi
- Manipulacja zostaje wykryta. Odmowy świadczenia usługi szyfrowanie nie może zapobiec.
- Odebranie dostępu
- Zmiana hasła lub usunięcie osoby ze wspólnego sejfu nie cofają tego, co ta osoba już widziała. Usunięcie osoby chroni to, co zostanie zapisane później. Aby w pełni cofnąć dostęp, utwórz nowy sejf i przenieś do niego zawartość.
- Ukryte sejfy
- Nie ma wiarygodnego zaprzeczenia: sejf można rozpoznać jako sejf.
- Zapomnienie wszystkiego
- Jeśli stracisz zarówno hasło, jak i 24 słowa, nikt nie odzyska danych.
Jeszcze bez niezależnego audytu
- Co istnieje
- Wewnętrzny przegląd bezpieczeństwa, wykonany w październiku 2026. To nie jest niezależny audyt.
- O co cię prosimy
- Nie czyń z CryptoUpload jedynej ochrony informacji, których ujawnienie poważnie by ci zaszkodziło. W planach jest ubieganie się o dotacje na opłacenie niezależnego audytu. Kod jest publiczny: każdy, kto ma odpowiednie umiejętności, może go przejrzeć i zgłosić swoje ustalenia na security@cryptoupload.org.
Zgłoś lukę w zabezpieczeniach
- Jak
- Napisz na security@cryptoupload.org. Prosimy nie otwierać publicznego zgłoszenia dotyczącego luki. Jeśli możesz, podaj wersję, kroki do odtworzenia, szacowany wpływ i dowód koncepcji.
- W zakresie
- Każdy sposób odczytania tekstu jawnego, podrobienia pieczęci lub odzyskania klucza bez hasła czy frazy; każda cicha utrata danych podczas synchronizacji; każdy sposób wydobycia zapisanych danych dostępowych; backendy sieciowe (żądania bez uwierzytelnienia, path traversal, fałszowanie żądań); wiersz poleceń i aplikacja.
- Na razie poza zakresem
- Ustalenia wymagające stałego fizycznego dostępu do komputera, który jest już odblokowany; ataki odmowy usługi na dostawców chmury, którzy do nas nie należą; ogólne błędy odporności bez wpływu na rzeczywiste dane.
- Czego się spodziewać
- W ciągu 5 dni roboczych potwierdzamy otrzymanie zgłoszenia i uzgadniamy z tobą termin ujawnienia, domyślnie 90 dni. Nie ma nagród za błędy.
Co pozostaje widoczne, punkt po punkcie
| Po stronie dostawcy | Profil podstawowy | Profil prywatny |
|---|---|---|
| Zawartość plików | Nieczytelna | Nieczytelna |
| Nazwy plików i folderów | Nieczytelne | Nieczytelne |
| Rozmiar każdego pliku | Dokładny | Zaokrąglony w górę, najwyżej o około 12 % |
| Długość nazw | Dokładna | Jeden z pięciu przedziałów |
| Pliki w każdym folderze | Dokładna liczba | Zaokrąglona w górę przy włączonych wabikach; dostawca, który zapisuje żądania w logach, odróżni wabiki |
| Liczba folderów | Widoczna | Widoczna |
| Kiedy dociera każdy blok | Widoczne | Widoczne |
| Adres, z którego się łączysz | Widoczny | Widoczny |
Profil prywatny jest opcjonalny i wybierasz go przy tworzeniu sejfu. Przy obu profilach możesz przetasować kolejność i czas wysyłania oraz kierować ruch przez serwer proxy.