Сейф, який не вміє читати навіть власник сервера

Сейф — це місце для паролів, ключів доступу й банківських карток. Усі сервіси кажуть, що зберігають їх «надійно», але важливо інше: хто може їх прочитати. У Diox відповідь коротка: лише ви. Навіть адміністратор сервера, який має доступ до бази даних, бачить тільки зашифровані дані.

Де відбувається шифрування

Дані сейфа шифруються у вашому браузері ще до відправки на сервер. Сервер ніколи не отримує ні майстер-пароль, ні ключ. Це називають наскрізним шифруванням: дані читаються лише на вашому пристрої.

Від пароля до ключа

Ваш майстер-пароль не використовується як ключ напряму: він надто короткий і передбачуваний. Спершу його пропускають через повільну функцію виведення ключа.

• Argon2id з пам’яттю 64 МіБ і трьома проходами. Вона навмисно «важка»: перебір паролів на відеокартах стає дорогим.
• Якщо браузер не може запустити Argon2, використовується PBKDF2-SHA256 із 600 000 ітерацій.

Отриманий ключ шифрує записи алгоритмом AES-256-GCM. Він не лише приховує вміст, а й перевіряє, що зашифровані дані не підмінили: зіпсований запис просто не розшифрується.

Що зберігає сервер

Зашифровані записи й параметри для виведення ключа (сіль, налаштування Argon2). Цього недостатньо, щоб прочитати дані: потрібен майстер-пароль, а він лишається у вас.

Чесні обмеження

• Втрата пароля — це втрата даних. Ми не можемо його скинути, бо не маємо ключа. Тому під час налаштування сейфа створюються коди відновлення: збережіть їх окремо, наприклад надрукуйте.
• Шифрування не лікує заражений комп’ютер. Якщо на пристрої шкідлива програма чи розширення, що читає вміст сторінок, воно побачить розшифровані дані так само, як ви.
• Слабкий майстер-пароль — слабкий сейф. Довга фраза з кількох слів краща за «мудрий» короткий пароль із символами.

Що зробити зараз

1. Придумайте майстер-пароль із чотирьох-п’яти випадкових слів і не використовуйте його ніде більше.
2. Роздрукуйте або запишіть коди відновлення й сховайте окремо від комп’ютера.
3. Увімкніть двофакторний вхід у налаштуваннях безпеки: це захищає акаунт, а майстер-пароль захищає сейф.

Принцип простий: сервіс, який може відновити ваш забутий майстер-пароль, може й прочитати ваші дані. Ми обрали, щоб не міг ніхто.