Hur säkert är TEPHIA SECURE?
Hur dina filer krypteras, vad som lagras på våra servrar – och vad en angripare som tog över dem helt skulle få. Utan marknadsföringsspråk – helt transparent.
Krypterat i webbläsaren
Dina filer krypteras innan de lämnar din dator och dekrypteras först hos mottagaren.
Nyckeln når aldrig servern
Varje försändelse har ett eget slumpmässigt lösenord på 32 tecken. Vår server ser det aldrig.
Metadata för beviset
Det enda vi kan läsa är uppgifter som filnamn, adresser och tidpunkter. Leveransbeviset behöver dem.
Så fungerar krypteringen
- LösenordDin webbläsare skapar ett slumpmässigt lösenord: 32 tecken, cirka 190 bitar.
- NyckelArgon2id härleder nyckeln ur det, vilket gör varje gissning kostsam.
- KrypteraAES-256-GCM krypterar filen och upptäcker varje senare ändring.
- UppladdningFörst då lämnar filen datorn, via TLS 1.2 eller 1.3. Lösenordet stannar hos dig.
Lösenordet är inte en del av länken. Du lämnar det via en andra väg, till exempel i ett separat e-postmeddelande eller per telefon. Den som bara fångar upp länken kan inte öppna filen.
Säker filinkorg
Den som laddar upp dokument till dig krypterar dem på samma sätt i sin webbläsare. Servern känner bara till ett kontrollvärde för lösenordet, och med det går ingenting att dekryptera.
Undantag: för att du ska kunna hitta lösenordet igen mejlar vi det till dig när filinkorgen skapas. Det passerar servern en gång och lagras inte.
Outlook-tillägg
Tillägget krypterar direkt i Outlook. Lösenordet går via ditt eget e-postsystem, inte via vår server; själva filerna går inte via ditt e-postsystem.
Två sätt: TEPHIA SECURE skickar en egen länk till varje mottagare och lösenordet står i ditt meddelande; eller så står länken i ditt meddelande och lösenordet följer i ett andra. Den som har länken och lösenordet kan hämta – som vid all leverans per e-post. Med det andra sättet kan hämtningen begränsas till mottagarnas adresser; då krävs dessutom en kod som skickas till deras e-postadress.
Tekniska detaljer
- Nyckelhärledning: Argon2id med 64 MB minne, 4 genomgångar och 2 trådar, följt av HKDF-SHA256
- Kryptering: AES-256-GCM, med eget slumpmässigt salt (32 byte) och IV (12 byte) per försändelse
- Kryptering i block: filen krypteras och laddas upp i block om 8 MiB, varje block med en egen nonce (IV XOR blocknummer); blocknummer och en markering för sista blocket som ytterligare autentiserade data (AAD) hindrar att block byts ut, utelämnas eller klipps av. Därmed är filer på upp till 2 GB möjliga
- Utan WebAssembly (till exempel blockerat av en företagspolicy): PBKDF2-SHA512 med en miljon iterationer
- Flera filer eller mappar packas i en ZIP-fil i webbläsaren före krypteringen
- Transport: TLS 1.2 eller 1.3 med forward secrecy, HSTS i två år, strikt Content Security Policy
- Inloggningslösenord: scrypt med individuellt salt; en andra faktor är obligatorisk
Vad som finns på vår server
Bara krypterat, eller inte alls
- Innehållet i dina filer: bara krypterat
- Lösenord och nyckel för en försändelse: aldrig
- Lösenord för en filinkorg: bara ett kontrollvärde
- Inloggningslösenord: bara som hash
- Inloggning med Microsoft: ingenting, det stannar hos Microsoft
- Betalningsuppgifter: ingenting, de finns hos Stripe
Läsbart, för beviset
- Filnamn och storlekar, för en ZIP-fil även namnen i den
- Beteckning och meddelande
- Avsändare med namn, adress och organisation
- Mottagaradresser, om vi skickar länken eller hämtningen är begränsad
- Tidpunkter, IP-adress och ungefärlig plats vid hämtning
- Filernas kontrollsummor (SHA-256), beräknade i din webbläsare
Länkmeddelanden till dina mottagare och aviseringar som ”Din fil har hämtats” skickar vi via Microsoft 365 och Hornetsecurity (vidarebefordran, virus- och skräppostkontroll). De innehåller inga filnamn, bara den beteckning du själv väljer eller antalet filer; lösenordet till en försändelse står aldrig i våra meddelanden. Leveransbeviset som PDF, som innehåller filnamnen, bifogas bara om du aktiverar det i ditt konto.
Vad händer om någon tar över servern?
Vi utgår från det värsta fallet: en angripare har full kontroll över servern, databasen och fillagringen.
Vad angriparen skulle få
- Krypterade filer som just nu finns på servern – oläsbara utan lösenordet
- Metadata: vem som skickade vad till vem och när, filnamn och adresser. Ett namn som ”Skilsmassa_Berg.pdf” avslöjar en del.
Vad angriparen inte skulle få
- Innehållet i tidigare försändelser och filinkorgar: lösenorden har aldrig funnits på servern, och 190 bitar går inte att knäcka med råstyrka
- Raderade filer: de finns inte heller i någon säkerhetskopia
- Microsoft-lösenord och betalningsuppgifter
Så skyddar vi oss
- Kort lagring: filer raderas efter hämtningen. Det som inte längre finns kan inte stjälas.
- Kod från en enda källa: webbappen laddar sin kod bara från vår egen server, och en strikt Content Security Policy förhindrar injicerad kod.
- Begränsad åtkomst: underhåll bara med nyckel och bara från fasta nätverk; organisationerna är dessutom åtskilda i databasen.
- Underrättelse i nödfall: om vi upptäcker ett intrång informerar vi de berörda organisationerna utan onödigt dröjsmål (art. 33 GDPR).
Hur lång tid skulle det ta att knäcka en uppfångad fil?
Även med en miljard grafikkort skulle en angripare i genomsnitt behöva runt 4 × 1037 år.
Anta att någon fångar upp en krypterad fil – under överföringen eller från servern. Utan lösenordet återstår bara att prova sig igenom lösenord. Så här lång tid skulle det ta i genomsnitt:
Som jämförelse: universum är cirka 1,4 × 1010 år gammalt. Även en miljard grafikkort skulle behöva ungefär 1027 gånger så lång tid.
Varför det tar så lång tid
- Långa slumpmässiga lösenord: varje försändelse får ett eget lösenord på 32 tecken, skapat i din webbläsare. Det ger cirka 2,3 × 1057 möjligheter (190 bitar).
- Varje försök är kostsamt: innan ett lösenord kan kontrolleras måste det gå igenom Argon2id, med 64 MB minne och fyra genomgångar. Det bromsar medvetet grafikkort och specialhårdvara.
- Själva nyckeln (AES-256) skulle med 2256 möjligheter vara ännu svårare att gissa än lösenordet.
Och kvantdatorer?
Enligt dagens kunskap kan en kvantdator som mest halvera antalet bitar när lösenord provas. Av 190 bitar skulle det rent beräkningsmässigt bli 95, och varje försök måste fortfarande gå igenom Argon2id. Även det ligger långt bortom all förutsebar beräkningskraft.
Siffrorna är generöst uppskattade till angriparens fördel och avrundade till en värdesiffra. Beräkningen avser genomsnittet, alltså hälften av alla möjligheter.
Realistiska angrepp riktar sig därför inte mot krypteringen utan mot lösenordet: den som får tag på både länken och lösenordet behöver inte knäcka något. Därför går de alltid olika vägar – se Vad du kan göra själv.
Var data förvaras och hur länge
Vad du kan göra själv
- Skicka lösenordet och länken separat, aldrig i samma meddelande.
- Logga in med Microsoft och stäng av inloggning med lösenord, eller använd en säkerhetsnyckel eller passkey.
- Välj neutrala filnamn om själva namnet är konfidentiellt.
- Begränsa hämtningen till mottagarnas adresser: då räcker inte länk och lösenord ensamma.
Begränsningar vi redovisar öppet
- Metadata som filnamn, adresser och tidpunkter är läsbara för oss; beviset behöver dem.
- Lösenordet till en filinkorg passerar en gång vår server, Microsoft 365 och Hornetsecurity när filinkorgen skapas.
- Microsoft och Hornetsecurity ser vad våra meddelanden innehåller: avsändare, beteckning, ditt meddelande, länken och tidpunkter – inga filnamn och aldrig lösenordet till en försändelse.
- Kontrollen vid sändning i Outlook-tillägget levereras av Cloudflare, så att e-postutskick inte beror på att vår server är nåbar. Cloudflare ser IP-adressen och webbläsarens identifiering, inget innehåll.
- Kontrollsumman för varje fil är läsbar för oss. Den avslöjar inget innehåll, men visar om en redan känd fil har överförts.
- Som vid all kryptering i webbläsaren beror skyddet av nya försändelser på att webbappens kod levereras oförändrad – därför skyddar vi själva servern med särskild omsorg.
Har du hittat en sårbarhet? Rapportera den konfidentiellt till adressen i vår security.txt.