Hvor sikker er TEPHIA SECURE?
Hvordan dine filer krypteres, hvad der gemmes på vores servere – og hvad en angriber, der overtog dem fuldstændigt, ville få. Uden markedsføringssnak – til gengæld helt åbent.
Krypteret i browseren
Dine filer krypteres, før de forlader din computer, og dekrypteres først hos modtageren.
Nøglen når aldrig serveren
Hver forsendelse har sin egen tilfældige adgangskode på 32 tegn. Vores server ser den aldrig.
Metadata til beviset
Det eneste, vi kan læse, er oplysninger som filnavn, adresser og tidspunkter. Leveringsbeviset har brug for dem.
Sådan fungerer krypteringen
- AdgangskodeDin browser opretter en tilfældig adgangskode: 32 tegn, ca. 190 bit.
- NøgleArgon2id udleder nøglen af den, hvilket gør hvert gæt dyrt.
- KrypteringAES-256-GCM krypterer filen og opdager enhver senere ændring.
- UploadFørst derefter forlader filen din computer, via TLS 1.2 eller 1.3. Adgangskoden bliver hos dig.
Adgangskoden er ikke en del af linket. Du giver den videre ad en anden vej, f.eks. i en separat e-mail eller via telefon. Den, der kun opsnapper linket, kan ikke åbne filen.
Uploadboks
Den, der uploader dokumenter til dig, krypterer dem på samme måde i sin browser. Serveren kender kun en kontrolværdi af adgangskoden, som ikke kan dekryptere noget.
Undtagelse: for at du kan finde adgangskoden igen, sender vi den til dig via e-mail, når uploadboksen oprettes. Den passerer serveren én gang og gemmes ikke.
Outlook-tilføjelsesprogram
Tilføjelsesprogrammet krypterer direkte i Outlook. Adgangskoden går gennem dit eget mailsystem, ikke gennem vores server; selve filerne går ikke gennem dit mailsystem.
To veje: TEPHIA SECURE sender hver modtager sit eget link, og adgangskoden står i din e-mail; eller linket står i din e-mail, og adgangskoden følger i en anden. Den, der har linket og adgangskoden, kan hente – som ved enhver levering via e-mail. Ved den anden vej kan afhentningen begrænses til modtagernes adresser; så kræves der desuden en kode, der sendes til deres postkasse.
Tekniske detaljer
- Nøgleudledning: Argon2id med 64 MB hukommelse, 4 gennemløb og 2 tråde, efterfulgt af HKDF-SHA256
- Kryptering: AES-256-GCM med eget tilfældigt salt (32 byte) og IV (12 byte) pr. forsendelse
- Kryptering i blokke: Filen krypteres og uploades i blokke på 8 MiB, hver blok med sin egen nonce (IV XOR bloknummer); bloknummer og et mærke for sidste blok som ekstra autentificerede data (AAD) forhindrer, at blokke byttes om, udelades eller skæres af. Det gør filer på op til 2 GB mulige
- Uden WebAssembly (f.eks. blokeret af en virksomhedspolitik): PBKDF2-SHA512 med én million iterationer
- Flere filer eller mapper pakkes i browseren i en ZIP før krypteringen
- Transport: TLS 1.2 eller 1.3 med forward secrecy, HSTS i to år, streng Content Security Policy
- Loginadgangskoder: scrypt med individuelt salt; en anden faktor er obligatorisk
Hvad der ligger på vores server
Kun krypteret eller slet ikke
- Indholdet af dine filer: kun krypteret
- Adgangskode og nøgle til en forsendelse: aldrig
- Adgangskode til en uploadboks: kun en kontrolværdi
- Loginadgangskoder: kun som hash
- Login med Microsoft: intet, det bliver hos Microsoft
- Betalingsoplysninger: intet, de ligger hos Stripe
Læsbart, til beviset
- Filnavne og størrelser, ved en ZIP også navnene i den
- Betegnelse og besked
- Afsender med navn, adresse og organisation
- Modtageradresser, hvis vi sender linket, eller afhentningen er begrænset
- Tidspunkter, IP-adresse og omtrentlig placering ved afhentning
- Filernes kontrolsummer (SHA-256), beregnet i din browser
Link-e-mails til dine modtagere og meddelelser som "Din fil er hentet" sender vi via Microsoft 365 og Hornetsecurity (videresendelse, virus- og spamkontrol). De indeholder ingen filnavne, kun den betegnelse, du selv vælger, eller antallet af filer; adgangskoden til en forsendelse står aldrig i vores e-mails. Leveringsbeviset som PDF, som indeholder filnavnene, vedhæftes kun, hvis du slår det til på din konto.
Hvad nu, hvis nogen overtager serveren?
Vi går ud fra det værste tilfælde: en angriber har fuld kontrol over serveren, databasen og fillageret.
Hvad angriberen ville få
- Krypterede filer, der aktuelt ligger på serveren – ulæselige uden adgangskoden
- Metadata: hvem der sendte hvad til hvem, hvornår, filnavne og adresser. Et navn som "Skilsmisse_Jensen.pdf" afslører allerede noget.
Hvad angriberen ikke ville få
- Indholdet af tidligere forsendelser og uploadbokse: adgangskoderne har aldrig været på serveren, og 190 bit kan ikke knækkes med rå kraft
- Slettede filer: de findes heller ikke i nogen sikkerhedskopi
- Microsoft-adgangskoder og betalingsoplysninger
Sådan beskytter vi os mod det
- Kort opbevaring: filer slettes efter afhentning. Det, der ikke længere findes, kan ikke stjæles.
- Kode fra én kilde: webappen indlæser kun sin kode fra vores egen server, og en streng Content Security Policy forhindrer indsprøjtet kode.
- Afskærmet adgang: vedligeholdelse kun med nøgle og kun fra faste netværk; organisationer er desuden adskilt i databasen.
- Underretning i nødstilfælde: hvis vi opdager et indbrud, underretter vi de berørte organisationer uden unødig forsinkelse (art. 33 GDPR).
Hvor lang tid ville det tage at knække en opsnappet fil?
Selv med en milliard grafikkort ville en angriber i gennemsnit bruge omkring 4 × 1037 år.
Antag, at nogen opsnapper en krypteret fil – undervejs eller fra serveren. Uden adgangskoden er den eneste mulighed at prøve adgangskoder igennem. Så lang tid ville det tage i gennemsnit:
Til sammenligning: universet er ca. 1,4 × 1010 år gammelt. Selv en milliard grafikkort ville bruge omkring 1027 gange så lang tid.
Hvorfor det tager så lang tid
- Lange tilfældige adgangskoder: hver forsendelse får sin egen adgangskode på 32 tegn, oprettet i din browser. Det giver ca. 2,3 × 1057 muligheder (190 bit).
- Hvert forsøg er dyrt: før en adgangskode kan kontrolleres, skal den gennem Argon2id med 64 MB hukommelse og fire gennemløb. Det bremser bevidst grafikkort og specialhardware.
- Selve nøglen (AES-256) ville med 2256 muligheder være endnu sværere at gætte end adgangskoden.
Og kvantecomputere?
Efter nuværende viden kan en kvantecomputer højst halvere antallet af bit, når adgangskoder prøves igennem. 190 bit ville rent beregningsmæssigt blive til 95, og hvert forsøg skulle stadig gennem Argon2id. Også det ligger langt uden for enhver forudsigelig regnekraft.
Tallene er skønnet rundhåndet til angriberens fordel og afrundet til ét betydende ciffer. Der er regnet med gennemsnittet, altså halvdelen af alle muligheder.
Realistiske angreb er derfor ikke rettet mod krypteringen, men mod adgangskoden: den, der får fat i både link og adgangskode, behøver ikke at knække noget. Derfor går de altid ad hver sin vej – se Hvad du selv kan gøre.
Hvor og hvor længe dataene opbevares
Hvad du selv kan gøre
- Send adgangskode og link hver for sig, aldrig i samme meddelelse.
- Log ind med Microsoft, og slå login med adgangskode fra, eller brug en sikkerhedsnøgle eller adgangsnøgle.
- Vælg neutrale filnavne, hvis selve navnet er fortroligt.
- Begræns afhentningen til modtagernes adresser: så er link og adgangskode alene ikke nok.
Begrænsninger, vi er åbne om
- Metadata som filnavne, adresser og tidspunkter kan vi læse; beviset har brug for dem.
- Adgangskoden til en uploadboks passerer én gang vores server, Microsoft 365 og Hornetsecurity, når uploadboksen oprettes.
- Microsoft og Hornetsecurity ser, hvad vores e-mails indeholder: afsender, betegnelse, din besked, linket og tidspunkter – ingen filnavne og aldrig adgangskoden til en forsendelse.
- Kontrollen ved afsendelse i Outlook-tilføjelsesprogrammet leveres af Cloudflare, så afsendelse af e-mails ikke afhænger af, om vores server kan nås. Cloudflare ser IP-adressen og browserens identifikation, ikke indholdet.
- Kontrolsummen for hver fil kan vi læse. Den afslører intet indhold, men viser, om en allerede kendt fil er blevet overført.
- Som ved al kryptering i browseren afhænger beskyttelsen af nye forsendelser af, at webappens kode leveres uændret – derfor beskytter vi selve serveren særlig omhyggeligt.
Har du fundet en sårbarhed? Anmeld den fortroligt til adressen i vores security.txt.