Sicherheit

Was verschlüsselt wird

Jede Datei, jeder Dateiname, jede Ordnerliste und der Name der Freigabe. Alles davon wird auf deinem Gerät verschlüsselt, mit einem Schlüssel, der dort erzeugt wird und dort bleibt. Unsere Server, der Speicher dahinter und das Netzwerk dazwischen sehen immer nur Chiffretext.

Die Primitive, damit du nicht raten musst: AES-256-GCM für Inhalte und Metadaten, X25519 mit HKDF-SHA256, um Schlüssel für ein Gerät oder ein Konto einzupacken, zufällige 256-Bit-Schlüssel pro Freigabe.

Wie ein Link seinen Schlüssel trägt

Ein Freigabe-Link sieht so aus: share.ninja/#…. Alles nach dem # ist ein Claim-Token, das Browser nie an einen Server senden; es bleibt in der Adresszeile. Der Server speichert nur einen Hash dieses Tokens, dazu den Freigabe-Schlüssel, eingepackt unter einem daraus abgeleiteten Schlüssel. Wer den Link öffnet, leitet den Pack-Schlüssel lokal ab, packt den Freigabe-Schlüssel aus und entschlüsselt. Wer den Link nicht hat, hat nichts, und das gilt auch für uns.

Freigabe beenden, und der Server weist den Link überall auf einmal ab. Der Ablauf funktioniert genauso.

Direkt-Links

Im Web und auf dem Desktop kann ein Link ein Direkt-Link sein. Dann wird nichts hochgeladen: Die Dateien bleiben auf dem Rechner des Senders und werden live über WebRTC zum Empfänger gestreamt. Die Übertragung ist doppelt verschlüsselt: durch die Transportverschlüsselung von WebRTC selbst und durch unsere eigene AES-256-GCM-Schicht, deren Schlüssel vom Freigabe-Schlüssel abgeleitet ist. Gibt es keinen direkten Netzwerkpfad, leitet ein Relay die Pakete weiter; das Relay sieht Chiffretext und sonst nichts. Schließ den Sender, und es gibt nichts mehr zum Herunterladen.

In der Nähe

Geräte finden sich auf drei Wegen: im selben lokalen Netzwerk, per Bluetooth (nur Apps) und über unseren Server, der Geräte hinter demselben Internetanschluss gruppiert. Was ein Gerät ankündigt, sind sein Name, ein öffentlicher Schlüssel und ein achtstelliger Fingerabdruck dieses Schlüssels, und nur solange es auf sichtbar steht. Der Schalter ist im Tab „In der Nähe“.

Beim Senden in der Nähe wird der Freigabe-Schlüssel für den öffentlichen Schlüssel des empfangenden Geräts eingepackt. Der Server reicht dieses versiegelte Angebot weiter, kann es aber nicht öffnen. Der Empfänger sieht Name und Fingerabdruck des Senders und nimmt an oder lehnt ab; der auf beiden Bildschirmen angezeigte Fingerabdruck lässt dich prüfen, dass niemand dazwischensitzt. Deine eigenen angemeldeten Geräte nehmen automatisch an. Die Dateien reisen dann direkt, oder über ein Relay, das nur Chiffretext sieht.

Dein Konto und deine Geräte

Die Anmeldung erzeugt auf deinem ersten Gerät einen Identitätsschlüssel. Er verlässt deine Geräte nie im Klartext: Jedes Gerät hält eine Kopie, eingepackt unter seinem eigenen Geräteschlüssel, und der Server speichert nur diese eingepackten Kopien und die öffentlichen Hälften.

Ein neues Gerät bittet um Zugang. Ein Gerät, dem du schon vertraust, zeigt die Anfrage mit Name und Fingerabdruck des Neuankömmlings, und wenn du genehmigst, packt es den Identitätsschlüssel für ihn ein. Wir können deinem Konto kein Gerät hinzufügen, und wir können deine Freigaben nicht lesen, um es für dich zu tun.

Verlierst du alle Geräte, packt die Wiederherstellungsphrase aus 24 Wörtern aus den Einstellungen den Identitätsschlüssel auf einem neuen aus. Die Wiederherstellung widerruft jedes vorherige Gerät. Hast du weder Wiederherstellungsphrase noch Gerät, sind die Freigaben weg; wir haben keine Kopie, die sie zurückbringen könnte. Das ist keine Richtlinie, das ist Arithmetik.

Was unsere Server sehen können

Ehrlichkeit zählt hier mehr als eine kürzere Liste.

• Zu jeder Freigabe: ihre Kennung, wann sie erstellt wurde und wann sie abläuft, die Gesamtgröße ihrer verschlüsselten Daten, ob sie in der Cloud liegt oder ein Direkt-Link ist, und wem sie gehört, falls der Besitzer angemeldet ist.
• Zu jedem Download: dass er stattfand, wann, und von welcher IP-Adresse. Darauf laufen Rate-Limits und der Umgang mit Missbrauch.
• Zu jedem angemeldeten Konto: E-Mail-Adresse, Anzeigename, die Namen und öffentlichen Schlüssel seiner Geräte, belegter Speicher.
• Zu jedem Gerät, angemeldet oder nicht: eine Gerätekennung, sein öffentlicher Schlüssel, der Name, den es Geräten in der Nähe ankündigt.
• Server-Logs mit IP-Adressen und Request-Pfaden.

Server-Logs werden 30 Tage aufbewahrt. Download-Einträge und das Aktivitätsprotokoll deines Kontos behalten die IP-Adresse 90 Tage, danach bleibt nur das Ereignis.

Was unsere Server nicht sehen können: keine Datei, keinen Dateinamen, keine Ordnerliste, keinen Freigabe-Namen, keinen Schlüssel.

Angemeldet kannst du diese Aufzeichnung selbst einsehen: Das Aktivitätsprotokoll in deinen Kontoeinstellungen listet jede Aktion in deinem Konto, mit Zeit, IP-Adresse und Gerät.

Speicher und Infrastruktur

Unsere Server laufen bei Hetzner in der EU. Verschlüsselte Daten liegen dort auf unseren eigenen Speicherservern und auf Wasabi S3, in mehreren Regionen. Der Speicher empfängt und liefert Chiffretext über kurzlebige signierte URLs; er hält nie einen Schlüssel.

Missbrauch

Jede Link-Seite hat die Aktion „Missbrauch melden“, die kein Konto braucht. Weil wir eine Freigabe nicht selbst öffnen können, entscheidet der Meldende, ob er den Schlüssel des Links der Meldung beifügt; nur dann können wir uns ansehen, was gemeldet wurde. Eine bestätigte Meldung deaktiviert den Link überall, und wir können das Gerät sperren, das ihn erstellt hat. Die Kontakt-E-Mail des Meldenden wird gelöscht, sobald die Meldung bearbeitet ist.

Die Website

Keine Tracking-Skripte, keine Analyse-Cookies, nichts wird an Dritte gesendet. Besuche werden aus unseren eigenen Server-Logs gezählt. Die Apps enthalten überhaupt keine Analyse.

Eine Sicherheitslücke melden

Schreib an support@share.ninja und setz „security“ in den Betreff. Wir beantworten jede Meldung.