Bảo mật, nói giản dị
CryptoUpload bảo vệ gì, không bảo vệ gì, và cách báo cho chúng tôi khi chúng tôi sai.
Nó được xây dựng để chống chịu những gì
- Một nhà cung cấp tò mò nhưng trung thực
- Họ thấy các byte đã mã hóa, kích thước tệp và thời điểm ghi. Về thiết kế, họ không suy ra được tệp chứa gì hay tên là gì.
- Một nhà cung cấp thù địch hoặc đã bị xâm nhập
- Họ có thể trả lại bản sao cũ, cắt ngắn một tệp, đảo thứ tự các khối hoặc bỏ sót thứ gì đó. Mỗi hành vi này đều bị phát hiện: kho giữ một sổ ghi được xác thực chỉ có thể tiến lên, phần cuối của mỗi tệp được kiểm tra, và mỗi khối biết vị trí của mình. Đồng bộ dừng lại. Giới hạn: một máy tính mở kho lần đầu tin vào những gì được phục vụ cho nó, và nhà cung cấp có thể giấu các thay đổi mới nhất khỏi một thiết bị đã tụt lại phía sau.
- Người sao chép các tệp đã lưu
- Không có mật khẩu hay 24 từ, họ chỉ có dữ liệu không đọc được. Mật khẩu được xử lý qua Argon2id, nên mỗi lần đoán tốn 256 MiB bộ nhớ.
Những gì nhà cung cấp vẫn thấy
- Luôn luôn
- Có bao nhiêu tệp và thư mục, kích thước từng tệp, mỗi tên dài bao nhiêu, mỗi đối tượng được ghi lúc nào, và địa chỉ phát ra các yêu cầu. Rằng đó là một kho CryptoUpload. Ngoài ra: mỗi thư mục chứa bao nhiêu mục, có những cách mở khóa nào, khóa công khai của các thành viên và, ở hồ sơ cơ bản, tên bạn đặt cho thành viên.
- Với hồ sơ riêng tư tùy chọn
- Kích thước tệp được làm tròn lên (tối đa khoảng 12 phần trăm), độ dài tên rơi vào năm dải, và tệp README trong kho được bỏ đi. Các tệp mồi cũng có thể che số tệp trong mỗi thư mục, nhưng chỉ với người lấy được một bản sao của kho lưu trữ: nhà cung cấp ghi nhật ký yêu cầu có thể phân biệt được tệp mồi. Số lượng thư mục, thời điểm yêu cầu và địa chỉ vẫn nhìn thấy được.
- Một giới hạn của định dạng
- Kích thước và thời gian có thể đủ để nhận ra một tệp đã biết, ví dụ một bộ phim có kích thước chính xác được công bố. Hồ sơ cơ bản không che được điều này.
Những gì nó không bao phủ
- Một máy tính đã bị xâm nhập
- Ai kiểm soát một máy tính đang mở khóa thì kiểm soát kho trên đó.
- Những gì bạn phải tin
- Thông tin đăng nhập đám mây được giữ trong một tệp mã hóa trên máy tính của bạn. Các bản cập nhật được tin cậy qua một khóa ký do tác giả nắm giữ. Một chương trình chạy dưới quyền bạn khi kho đang mở có thể đọc tệp của bạn.
- Một nhà cung cấp từ chối phục vụ bạn
- Việc can thiệp bị phát hiện. Việc từ chối dịch vụ thì mã hóa không ngăn được.
- Thu hồi quyền truy cập
- Đổi mật khẩu, hoặc gỡ một người khỏi kho dùng chung, không xóa được những gì họ đã thấy. Gỡ một người bảo vệ những gì được ghi sau đó. Để thu hồi hoàn toàn, hãy tạo kho mới và sao chép nội dung sang.
- Kho ẩn
- Không có khả năng chối bỏ: một kho có thể bị nhận ra là một kho.
- Quên tất cả
- Nếu bạn mất cả mật khẩu lẫn 24 từ, không ai có thể khôi phục dữ liệu.
Chưa có kiểm toán độc lập
- Những gì đã có
- Một lần rà soát bảo mật nội bộ, thực hiện vào tháng 10 năm 2026. Đó không phải là kiểm toán độc lập.
- Những gì chúng tôi đề nghị bạn
- Đừng biến CryptoUpload thành sự bảo vệ duy nhất cho thông tin mà nếu bị lộ sẽ gây hại nghiêm trọng cho bạn. Kế hoạch là xin tài trợ để trả cho một cuộc kiểm toán độc lập. Mã nguồn công khai: ai có kỹ năng đều có thể xem xét và báo những gì tìm thấy đến security@cryptoupload.org.
Báo cáo một lỗ hổng
- Cách làm
- Viết đến security@cryptoupload.org. Xin đừng mở issue công khai cho một lỗ hổng. Nếu được, hãy kèm phiên bản, các bước tái hiện, mức tác động bạn ước tính và một bản chứng minh khái niệm.
- Thuộc phạm vi
- Mọi cách đọc được văn bản gốc, làm giả dấu niêm phong hoặc khôi phục khóa mà không cần mật khẩu hay cụm từ; mọi trường hợp mất dữ liệu trong im lặng khi đồng bộ; mọi cách trích xuất thông tin đăng nhập đã lưu; các backend mạng (yêu cầu không xác thực, path traversal, giả mạo yêu cầu); dòng lệnh và ứng dụng.
- Tạm thời ngoài phạm vi
- Các phát hiện cần quyền truy cập vật lý liên tục vào một máy tính đã mở khóa; tấn công từ chối dịch vụ nhằm vào nhà cung cấp đám mây, vốn không phải của chúng tôi; các lỗi về độ vững chắc chung không ảnh hưởng đến dữ liệu thật.
- Điều bạn có thể mong đợi
- Chúng tôi xác nhận đã nhận báo cáo của bạn trong vòng 5 ngày làm việc và thống nhất với bạn một thời hạn công bố, mặc định 90 ngày. Không có tiền thưởng cho lỗi.
Những gì vẫn nhìn thấy được, từng mục một
| Ở phía nhà cung cấp | Hồ sơ cơ bản | Hồ sơ riêng tư |
|---|---|---|
| Nội dung tệp | Không đọc được | Không đọc được |
| Tên tệp và tên thư mục | Không đọc được | Không đọc được |
| Kích thước từng tệp | Chính xác | Làm tròn lên, tối đa khoảng 12% |
| Độ dài của tên | Chính xác | Một trong năm dải |
| Số tệp trong mỗi thư mục | Con số chính xác | Làm tròn lên khi bật tệp mồi; nhà cung cấp ghi nhật ký yêu cầu có thể phân biệt được tệp mồi |
| Số lượng thư mục | Nhìn thấy được | Nhìn thấy được |
| Thời điểm từng khối đến nơi | Nhìn thấy được | Nhìn thấy được |
| Địa chỉ bạn kết nối từ đó | Nhìn thấy được | Nhìn thấy được |
Hồ sơ riêng tư là tùy chọn và được chọn khi bạn tạo kho. Với cả hai hồ sơ, bạn đều có thể xáo trộn thứ tự và thời điểm tải lên, và định tuyến lưu lượng qua proxy.