Quanto è sicuro TEPHIA SECURE?
Come vengono crittografati i Suoi file, che cosa viene memorizzato sui nostri server – e che cosa otterrebbe un aggressore che se ne impadronisse completamente. Senza linguaggio di marketing, in piena trasparenza.
Crittografati nel browser
I Suoi file vengono crittografati prima di lasciare il Suo computer e decrittografati solo presso il destinatario.
La chiave non raggiunge mai il server
Ogni invio ha una propria password casuale di 32 caratteri. Il nostro server non la vede mai.
Metadati per la prova
Possiamo leggere soltanto dati come nome del file, indirizzi, data e ora: servono per generare la prova di consegna.
Come funziona la crittografia
- PasswordIl Suo browser genera una password casuale: 32 caratteri, circa 190 bit.
- ChiaveArgon2id ne deriva la chiave, rendendo costoso ogni tentativo di indovinarla.
- CrittografiaAES-256-GCM crittografa il file e rileva qualsiasi modifica successiva.
- CaricamentoSolo allora il file parte, tramite TLS 1.2 o 1.3. La password resta a Lei.
La password non fa parte del link. La trasmette per un secondo canale, per esempio in un'e-mail separata o per telefono. Chi intercetta solo il link non può aprire il file.
Casella di deposito
Chi Le carica documenti li crittografa nel proprio browser allo stesso modo. Il server conosce solo un valore di controllo della password, che non può decrittografare nulla.
Eccezione: affinché possa ritrovare la password, gliela inviamo per e-mail quando la casella di deposito viene creata. Passa una volta attraverso il server e non viene memorizzata.
Componente aggiuntivo per Outlook
Il componente aggiuntivo crittografa direttamente in Outlook. La password passa attraverso il Suo sistema di posta, non attraverso il nostro server; i file stessi non passano attraverso il Suo sistema di posta.
Due modalità: TEPHIA SECURE invia a ogni destinatario il proprio link e la password è nella Sua e-mail; oppure il link è nella Sua e-mail e la password segue in una seconda. Chi ha il link e la password può scaricare i file – come per qualsiasi consegna per e-mail. Con la seconda modalità il download può essere limitato agli indirizzi dei destinatari; serve allora anche un codice inviato alla loro casella di posta.
Dettagli tecnici
- Derivazione della chiave: Argon2id con 64 MB di memoria, 4 passaggi e 2 thread, seguito da HKDF-SHA256
- Crittografia: AES-256-GCM, con salt casuale proprio (32 byte) e IV (12 byte) per ogni invio
- Crittografia a blocchi: il file viene crittografato e caricato in blocchi da 8 MiB, ciascuno con un proprio nonce (IV XOR numero di blocco); il numero di blocco e un indicatore dell'ultimo blocco come dati autenticati aggiuntivi (AAD) impediscono che i blocchi vengano scambiati, omessi o troncati. Così sono possibili file fino a 2 GB
- Senza WebAssembly (bloccato per esempio da un criterio aziendale): PBKDF2-SHA512 con un milione di iterazioni
- Più file o cartelle vengono raccolti in un archivio ZIP nel browser prima della crittografia
- Trasporto: TLS 1.2 o 1.3 con forward secrecy, HSTS per due anni, Content Security Policy rigorosa
- Password di accesso: scrypt con salt individuale; un secondo fattore è obbligatorio
Che cosa c'è sul nostro server
Solo crittografato, o per niente
- Contenuto dei Suoi file: solo crittografato
- Password e chiave di un invio: mai
- Password di una casella di deposito: solo un valore di controllo
- Password di accesso: solo come hash
- Accesso con Microsoft: nulla, resta presso Microsoft
- Dati di pagamento: nulla, sono custoditi da Stripe
Leggibile, per la prova
- Nomi e dimensioni dei file, per un archivio ZIP anche i nomi contenuti
- Denominazione e messaggio
- Mittente con nome, indirizzo e organizzazione
- Indirizzi dei destinatari, se inviamo noi il link o se il download è limitato
- Data e ora, indirizzo IP e posizione approssimativa al momento del download
- Somme di controllo (SHA-256) dei file, calcolate nel Suo browser
Inviamo le e-mail con il link ai Suoi destinatari e notifiche come "Scaricato: …" tramite Microsoft 365 e Hornetsecurity (inoltro, controllo antivirus e antispam). Non contengono nomi di file, ma solo la denominazione che sceglie Lei stesso o il numero di file; la password di un invio non compare in nessuna delle nostre e-mail. Il PDF della prova di consegna, che contiene invece i nomi dei file, viene allegato solo se Lei lo attiva nel Suo account.
E se qualcuno prende il controllo del server?
Partiamo dal caso peggiore: un aggressore ha il pieno controllo del server, del database e dell'archivio dei file.
Che cosa otterrebbe
- File crittografati attualmente presenti sul server – illeggibili senza la password
- Metadati: chi ha inviato che cosa a chi, quando, nomi di file e indirizzi. Un nome come "Divorzio_Rossi.pdf" rivela qualcosa.
Che cosa non otterrebbe
- Contenuti di invii e caselle di deposito passati: le password non sono mai state sul server, e 190 bit non possono essere forzati per tentativi
- File eliminati: non si trovano nemmeno in alcun backup
- Password Microsoft e dati di pagamento
Come ci proteggiamo
- Conservazione breve: i file vengono eliminati dopo il download. Ciò che non c'è più non può essere rubato.
- Codice da un'unica fonte: l'applicazione web carica il proprio codice solo dal nostro server, e una Content Security Policy rigorosa impedisce l'inserimento di codice estraneo.
- Accesso blindato: manutenzione solo con una chiave e solo da reti fisse; le organizzazioni sono inoltre separate nel database.
- Notifica in caso di emergenza: se rileviamo un'intrusione, informiamo le organizzazioni interessate senza ingiustificato ritardo (art. 33 GDPR).
Quanto tempo servirebbe per forzare un file intercettato?
Anche con un miliardo di schede grafiche, a un aggressore servirebbero in media circa 4 × 1037 anni.
Supponiamo che qualcuno intercetti un file crittografato – durante il trasferimento o dal server. Senza la password, non gli resta che provare una password dopo l'altra. In media gli servirebbe questo tempo:
Per confronto: l'universo ha circa 1,4 × 1010 anni. Anche un miliardo di schede grafiche impiegherebbe circa 1027 volte tanto.
Perché ci vuole così tanto
- Password casuali lunghe: ogni invio riceve una propria password di 32 caratteri, generata nel Suo browser. Sono circa 2,3 × 1057 possibilità (190 bit).
- Ogni tentativo è costoso: prima di poter essere verificata, una password deve passare per Argon2id, con 64 MB di memoria e quattro passaggi. Questo rallenta di proposito le schede grafiche e l'hardware specializzato.
- La chiave stessa (AES-256), con 2256 possibilità, sarebbe ancora più difficile da indovinare della password.
E i computer quantistici?
Allo stato attuale delle conoscenze, un computer quantistico può al massimo dimezzare il numero di bit quando prova tutte le possibilità. Da 190 bit si passerebbe in teoria a 95, e ogni tentativo dovrebbe comunque passare per Argon2id. Anche questo è ben al di là di qualsiasi potenza di calcolo prevedibile.
Le cifre sono stimate con larghezza a favore dell'aggressore e arrotondate a una cifra significativa. Il calcolo si basa sulla media, cioè sulla metà di tutte le possibilità.
Gli attacchi realistici quindi non mirano alla crittografia, ma alla password: chi ottiene insieme link e password non deve forzare nulla. Per questo i due seguono sempre strade separate – veda Che cosa può fare Lei stesso.
Dove vengono conservati i dati e per quanto tempo
Che cosa può fare Lei stesso
- Invii la password e il link separatamente, mai nello stesso messaggio.
- Acceda con Microsoft e disattivi l'accesso con password, oppure usi una chiave di sicurezza o una passkey.
- Scelga nomi di file neutri se il nome stesso è riservato.
- Limiti il download agli indirizzi dei destinatari: in tal caso link e password da soli non bastano.
Limiti che dichiariamo apertamente
- Metadati come nomi di file, indirizzi, data e ora sono per noi leggibili: servono per generare la prova.
- La password di una casella di deposito passa una volta attraverso il nostro server, Microsoft 365 e Hornetsecurity quando la casella di deposito viene creata.
- Microsoft e Hornetsecurity vedono che cosa contengono le nostre e-mail: mittente, denominazione, il Suo messaggio, il link, data e ora – nessun nome di file e mai la password di un invio.
- Il controllo all'invio del componente aggiuntivo per Outlook è distribuito da Cloudflare, affinché l'invio delle e-mail non dipenda dalla raggiungibilità del nostro server. Cloudflare vede l'indirizzo IP e l'identificativo del browser, non i contenuti.
- La somma di controllo di ogni file è leggibile per noi. Non rivela alcun contenuto, ma mostra se è stato trasmesso un file già noto.
- Come per qualsiasi crittografia nel browser, la protezione dei nuovi invii dipende dal fatto che il codice dell'applicazione web venga consegnato senza modifiche – per questo proteggiamo il server stesso con particolare cura.
Ha trovato una vulnerabilità? La segnali in modo riservato all'indirizzo indicato nel nostro security.txt.