Sicurezza

Cosa viene cifrato

Ogni file, ogni nome di file, ogni elenco di cartella e il nome della condivisione. Tutto viene cifrato sul tuo dispositivo con una chiave che viene creata lì e lì resta. I nostri server, lo storage dietro di essi e la rete in mezzo gestiscono sempre e solo testo cifrato.

Le primitive, così non devi indovinare: AES-256-GCM per contenuti e metadati, X25519 con HKDF-SHA256 per incapsulare le chiavi per un dispositivo o un account, chiavi casuali a 256 bit per ogni condivisione.

Come un link porta la sua chiave

Un link di condivisione ha questa forma: share.ninja/#…. Tutto ciò che segue il # è un token che i browser non inviano mai a un server; resta nella barra degli indirizzi. Il server conserva solo un hash di quel token, più la chiave della condivisione incapsulata sotto una chiave derivata da esso. Chi apre il link deriva la chiave di incapsulamento localmente, estrae la chiave della condivisione e decifra. Chi non ha il link non ha nulla, e questo include noi.

Interrompi la condivisione, e il server rifiuta il link ovunque in un colpo. La scadenza funziona allo stesso modo.

Link diretti

Sul web e sul desktop un link può essere diretto. Allora nulla viene caricato: i file restano sul computer del mittente e vengono trasmessi al destinatario in diretta, via WebRTC. Il trasferimento è cifrato due volte: dalla cifratura di trasporto di WebRTC stesso e dal nostro livello AES-256-GCM, la cui chiave deriva dalla chiave della condivisione. Se non esiste un percorso di rete diretto, un relay inoltra i pacchetti; il relay vede testo cifrato e nient'altro. Chiudi il mittente, e non resta nulla da scaricare.

Nelle vicinanze

I dispositivi si trovano in tre modi: sulla stessa rete locale, via Bluetooth (solo app), e tramite il nostro server, che raggruppa i dispositivi dietro la stessa connessione internet. Ciò che un dispositivo annuncia è il suo nome, una chiave pubblica e un'impronta di otto caratteri di quella chiave, e solo finché è impostato su visibile. L'interruttore è nella scheda Nelle vicinanze.

Inviare nelle vicinanze incapsula la chiave della condivisione per la chiave pubblica del dispositivo ricevente. Il server passa quell'offerta sigillata ma non può aprirla. Chi riceve vede il nome e l'impronta del mittente e accetta o rifiuta; l'impronta mostrata su entrambi gli schermi ti permette di verificare che nessuno sia in mezzo. I tuoi dispositivi con accesso effettuato accettano automaticamente. I file viaggiano poi direttamente, o tramite un relay che vede solo testo cifrato.

Il tuo account e i tuoi dispositivi

L'accesso crea una chiave di identità sul tuo primo dispositivo. Non lascia mai i tuoi dispositivi in chiaro: ogni dispositivo ne conserva una copia incapsulata sotto la propria chiave di dispositivo, e il server conserva solo quelle copie incapsulate e le metà pubbliche.

Un nuovo dispositivo chiede di entrare. Un dispositivo di cui ti fidi già mostra la richiesta con il nome e l'impronta del nuovo arrivato, e se approvi, incapsula la chiave di identità per lui. Non possiamo aggiungere un dispositivo al tuo account, e non possiamo leggere le tue condivisioni per farlo al posto tuo.

Se perdi tutti i dispositivi, la frase di recupero di 24 parole dalle Impostazioni estrae la chiave di identità su uno nuovo. Il recupero revoca ogni dispositivo precedente. Se non hai né frase di recupero né dispositivo, le condivisioni sono perse; non abbiamo alcuna copia che possa riportarle indietro. Non è una politica, è aritmetica.

Cosa possono vedere i nostri server

Qui l'onestà conta più di un elenco più corto.

• Per ogni condivisione: il suo identificatore, quando è stata creata e quando scade, la dimensione totale dei suoi dati cifrati, se vive nel cloud o è un link diretto, e a chi appartiene se il proprietario ha effettuato l'accesso.
• Per ogni download: che è avvenuto, quando, e da quale indirizzo IP. Su questo si basano i limiti di frequenza e la gestione degli abusi.
• Per ogni account con accesso effettuato: indirizzo email, nome visualizzato, i nomi e le chiavi pubbliche dei suoi dispositivi, spazio usato.
• Per ogni dispositivo, con o senza accesso: un identificatore di dispositivo, la sua chiave pubblica, il nome che annuncia ai dispositivi vicini.
• Log del server con indirizzi IP e percorsi delle richieste.

I log del server vengono conservati per 30 giorni. I record dei download e il registro attività del tuo account conservano l'indirizzo IP per 90 giorni, poi resta solo l'evento.

Cosa i nostri server non possono vedere: nessun file, nessun nome di file, nessun elenco di cartella, nessun nome di condivisione, nessuna chiave.

Con l'accesso effettuato puoi vedere questo registro tu stesso: il registro attività nelle impostazioni del tuo account elenca ogni azione sul tuo account, con ora, indirizzo IP e dispositivo.

Storage e infrastruttura

I nostri server girano presso Hetzner nell'UE. I dati cifrati vivono lì sui nostri server di storage e su Wasabi S3, in più regioni. Lo storage riceve e restituisce testo cifrato tramite URL firmati a breve durata; non ha mai una chiave.

Abusi

La pagina di ogni link ha un'azione Segnala abuso che non richiede un account. Poiché non possiamo aprire una condivisione da soli, chi segnala decide se includere la chiave del link nella segnalazione; solo allora possiamo guardare cosa è stato segnalato. Una segnalazione confermata disattiva il link ovunque, e possiamo bloccare il dispositivo che l'ha creato. L'email di contatto di chi segnala viene eliminata una volta gestita la segnalazione.

Il sito

Nessuno script di tracciamento, nessun cookie di analisi, nulla inviato a terzi. Le visite vengono contate dai nostri log del server. Le app non contengono alcuna analisi.

Segnalare una vulnerabilità

Scrivi a support@share.ninja e metti “security” nell'oggetto. Rispondiamo a ogni segnalazione.