Jak bezpečný je TEPHIA SECURE?
Jak jsou vaše soubory šifrovány, co je uloženo na našich serverech – a co by získal útočník, který by je zcela ovládl. Bez marketingových frází, zato transparentně.
Šifrováno v prohlížeči
Vaše soubory se zašifrují dříve, než opustí váš počítač, a dešifrují se až u příjemce.
Klíč se nikdy nedostane na server
Každá zásilka má vlastní náhodné heslo o 32 znacích. Náš server ho nikdy nevidí.
Metadata pro doklad
Číst můžeme jen údaje, jako je název souboru, adresy a časové údaje. Potřebuje je doklad o doručení.
Jak šifrování funguje
- HesloVáš prohlížeč vytvoří náhodné heslo: 32 znaků, přibližně 190 bitů.
- KlíčArgon2id z něj odvodí klíč, takže každý pokus o uhodnutí je nákladný.
- ŠifrováníAES-256-GCM soubor zašifruje a odhalí jakoukoli pozdější změnu.
- NahráníTeprve poté soubor odejde, přes TLS 1.2 nebo 1.3. Heslo zůstává u vás.
Heslo není součástí odkazu. Předáte ho druhou cestou, například v samostatném e-mailu nebo telefonicky. Kdo zachytí pouze odkaz, soubor neotevře.
Schránka
Kdo vám nahrává podklady, šifruje je ve svém prohlížeči stejným způsobem. Server zná pouze kontrolní hodnotu hesla, se kterou nelze nic dešifrovat.
Výjimka: abyste heslo mohli znovu najít, pošleme vám ho při vytvoření schránky e-mailem. Projde serverem jednou a neukládá se.
Doplněk pro Outlook
Doplněk šifruje přímo v Outlooku. Heslo jde přes váš vlastní e-mailový systém, ne přes náš server; samotné soubory přes váš e-mailový systém nejdou.
Dva způsoby: TEPHIA SECURE pošle každému příjemci vlastní odkaz a heslo je ve vašem e-mailu; nebo je odkaz ve vašem e-mailu a heslo přijde druhým e-mailem. Kdo má odkaz a heslo, může soubory stáhnout – jako u každého doručení e-mailem. U druhého způsobu lze stažení omezit na adresy příjemců; pak je navíc potřeba kód zaslaný do jejich poštovní schránky.
Technické podrobnosti
- Odvození klíče: Argon2id s 64 MB paměti, 4 průchody a 2 vlákny, následně HKDF-SHA256
- Šifrování: AES-256-GCM, s vlastní náhodnou solí (32 bajtů) a IV (12 bajtů) pro každou zásilku
- Šifrování po blocích: soubor se šifruje a nahrává po blocích o velikosti 8 MiB, každý blok s vlastním nonce (IV XOR číslo bloku); číslo bloku a příznak posledního bloku jako doplňková ověřovaná data (AAD) brání tomu, aby byly bloky prohozeny, vynechány nebo useknuty. Díky tomu jsou možné soubory až do 2 GB
- Bez WebAssembly (například zablokovaného firemní zásadou): PBKDF2-SHA512 s jedním milionem iterací
- Více souborů nebo složek se před šifrováním zabalí v prohlížeči do ZIP
- Přenos: TLS 1.2 nebo 1.3 s forward secrecy, HSTS na dva roky, přísná Content Security Policy
- Přihlašovací hesla: scrypt s individuální solí; druhý faktor je povinný
Co je na našem serveru
Pouze zašifrovaně, nebo vůbec
- Obsah vašich souborů: pouze zašifrovaně
- Heslo a klíč zásilky: nikdy
- Heslo schránky: pouze kontrolní hodnota
- Přihlašovací hesla: pouze jako hash
- Přihlášení přes Microsoft: nic, to zůstává u Microsoftu
- Platební údaje: nic, ty uchovává Stripe
Čitelné, pro doklad
- Názvy a velikosti souborů, u ZIP i názvy uvnitř
- Označení a zpráva
- Odesílatel se jménem, adresou a organizací
- Adresy příjemců, pokud odkaz posíláme my nebo je stažení omezeno
- Časové údaje, IP adresa a přibližné místo při stažení
- Kontrolní součty (SHA-256) souborů, vypočtené ve vašem prohlížeči
E-maily s odkazem pro vaše příjemce a upozornění jako „Váš soubor byl stažen“ odesíláme přes Microsoft 365 a Hornetsecurity (přeposílání, kontrola virů a spamu). Neobsahují názvy souborů, pouze označení, které si sami zvolíte, nebo počet souborů; heslo zásilky není v žádném našem e-mailu. PDF s dokladem o doručení, které názvy souborů obsahuje, se přikládá pouze tehdy, pokud to zapnete ve svém účtu.
Co když někdo ovládne server?
Vycházíme z nejhoršího případu: útočník má plnou kontrolu nad serverem, databází a úložištěm souborů.
Co by získal
- Zašifrované soubory, které jsou právě na serveru – bez hesla nečitelné
- Metadata: kdo co komu a kdy poslal, názvy souborů a adresy. Název jako „Rozvod_Novak.pdf“ něco prozrazuje.
Co by nezískal
- Obsah minulých zásilek a schránek: hesla nikdy nebyla na serveru a 190 bitů nelze prolomit hrubou silou
- Smazané soubory: nejsou ani v žádné záloze
- Hesla Microsoft a platební údaje
Jak se proti tomu bráníme
- Krátké uchovávání: soubory se po stažení mažou. Co už neexistuje, nelze ukrást.
- Kód z jednoho zdroje: webová aplikace načítá svůj kód pouze z našeho vlastního serveru a přísná Content Security Policy brání podstrčenému kódu.
- Uzamčený přístup: údržba pouze s klíčem a pouze z pevně určených sítí; organizace jsou navíc odděleny v databázi.
- Oznámení v nouzi: pokud zjistíme vloupání, informujeme dotčené organizace bez zbytečného odkladu (čl. 33 GDPR).
Jak dlouho by trvalo prolomit zachycený soubor?
I s miliardou grafických karet by útočník potřeboval v průměru zhruba 4 × 1037 let.
Předpokládejme, že někdo zachytí zašifrovaný soubor – při přenosu nebo ze serveru. Bez hesla mu nezbývá nic jiného než zkoušet hesla. Tolik času by k tomu v průměru potřeboval:
Pro srovnání: vesmír je starý přibližně 1,4 × 1010 let. I miliarda grafických karet by potřebovala zhruba 1027krát déle.
Proč to trvá tak dlouho
- Dlouhá náhodná hesla: každá zásilka dostane vlastní heslo o 32 znacích, vytvořené ve vašem prohlížeči. To je přibližně 2,3 × 1057 možností (190 bitů).
- Každý pokus je nákladný: než lze heslo ověřit, musí projít Argon2id s 64 MB paměti a čtyřmi průchody. To cíleně zpomaluje grafické karty i specializovaný hardware.
- Samotný klíč (AES-256) by se s 2256 možnostmi uhodl ještě hůře než heslo.
A kvantové počítače?
Podle současných poznatků kvantový počítač při zkoušení možností sníží počet bitů nanejvýš na polovinu. Ze 190 bitů by početně zbylo 95 a každý pokus by stále musel projít Argon2id. I to leží daleko za hranicí jakéhokoli předvídatelného výpočetního výkonu.
Čísla jsou odhadnuta velkoryse ve prospěch útočníka a zaokrouhlena na jednu platnou číslici. Počítá se s průměrem, tedy s polovinou všech možností.
Realistické útoky proto nemíří na šifrování, ale na heslo: kdo získá odkaz i heslo zároveň, nemusí nic prolamovat. Proto obojí vždy putuje oddělenými cestami – viz Co můžete udělat sami.
Kde a jak dlouho jsou data uložena
Co můžete udělat sami
- Heslo a odkaz posílejte odděleně, nikdy ve stejné zprávě.
- Přihlašujte se přes Microsoft a vypněte přihlašování heslem, nebo použijte bezpečnostní klíč či přístupový klíč.
- Volte neutrální názvy souborů, pokud je důvěrný už samotný název.
- Omezte stažení na adresy příjemců: pak samotný odkaz a heslo nestačí.
Omezení, o kterých otevřeně mluvíme
- Metadata, jako jsou názvy souborů, adresy a časové údaje, jsou pro nás čitelná; doklad o doručení je potřebuje.
- Heslo schránky projde při jejím vytvoření jednou naším serverem, Microsoft 365 a Hornetsecurity.
- Microsoft a Hornetsecurity vidí, co obsahují naše e-maily: odesílatele, označení, vaši zprávu, odkaz a časové údaje – žádné názvy souborů a nikdy heslo zásilky.
- Kontrolu při odesílání v doplňku pro Outlook doručuje Cloudflare, aby odesílání e-mailů nezáviselo na dostupnosti našeho serveru. Cloudflare přitom vidí IP adresu a identifikaci prohlížeče, nikoli obsah.
- Kontrolní součet každého souboru pro nás čitelný je. Neprozrazuje obsah, ukazuje však, zda byl přenesen již známý soubor.
- Jako u každého šifrování v prohlížeči závisí ochrana nových zásilek na tom, že je kód webové aplikace doručen nezměněný – proto chráníme samotný server se zvláštní péčí.
Našli jste zranitelnost? Nahlaste ji prosím důvěrně na adresu uvedenou v našem souboru security.txt.