Wie Firedown deine Daten schützt

Auf einen Blick

• Kein Konto. Keine E-Mail, kein Passwort. Ein auf deinem Telefon erzeugter Wiederherstellungscode ist der einzige Schlüssel, und er verlässt das Telefon nie.
• Nichts dazwischen. Downloads gehen direkt von der Website auf dein Telefon. Kein Server von uns sieht sie.
• Dein Speicher, unsere Verschlüsselung. Backups landen in einem Speicher deiner Wahl: in einem Ordner auf Google Drive, Dropbox, Nextcloud, einer SD-Karte oder dem Telefon selbst, auf einem WebDAV-Server oder in einem S3-Bucket. Sie werden auf deinem Telefon verschlüsselt, bevor sie dort geschrieben werden.
• Was der Anbieter sehen kann. Wie viele Dateien, wie groß und wann sie geschrieben wurden. Niemals Namen oder Inhalte.

01 In der ganzen App

• Surfen. Firedown basiert auf der GeckoView-Engine von Firefox mit integriertem uBlock Origin, sodass Werbung und Tracker blockiert werden, bevor sie laden. Nichts darüber, was du aufrufst, wird an uns gesendet.
• Downloads. Dateien kommen direkt von der Website auf dein Telefon, ohne einen Server von uns dazwischen, daher gibt es für uns nichts zu protokollieren.
• An ein anderes Telefon senden. Ein fertiger Download kann direkt an ein anderes Telefon gehen, Ende-zu-Ende-verschlüsselt über WebRTC, ohne dass etwas auf einem Server gespeichert wird. Wenn die beiden Telefone einander nicht direkt erreichen, läuft der verschlüsselte Datenstrom über unseren Relay-Server, der ihn nicht lesen kann.
• Sicherer Ordner. Dateien, die du dorthin verschiebst, liegen hinter deiner PIN oder deinem Fingerabdruck, unsichtbar für jede andere App. Er bleibt auf deinem Telefon und wird nie gesichert.
• Lesezeichen-Synchronisierung. Kostenlos und standardmäßig aus. Lesezeichen werden auf deinem Telefon mit deinem Wiederherstellungscode verschlüsselt, bevor sie hochgeladen werden.
• Updates. Jeder Build ist mit demselben Schlüssel signiert und lässt sich mit unseren Releases auf GitHub abgleichen. Einmal am Tag fragt die App, ob es eine neuere Version gibt; diese Anfrage enthält die App-Version und ein Token, das sich jeden Monat ändert, und dient nur dazu, aktive Installationen zu zählen.

02 Das Backup liegt in einem Speicher deiner Wahl

Das Backup bewahrt eine verschlüsselte Kopie der Downloads auf, die du auswählst. Du wählst einmal, wohin: einen Ordner über die Ordnerauswahl von Android selbst (in Google Drive, Dropbox oder Nextcloud, eine SD-Karte oder den Speicher des Telefons), einen WebDAV-Server, bei dem du dich anmeldest (Nextcloud, ownCloud, ein NAS), oder einen S3-Bucket, für den du Firedown die Schlüssel gibst (Backblaze B2, Cloudflare R2, Wasabi, MinIO). In einen Ordner schreibt Firedown die verschlüsselten Dateien, und die App des Anbieters synchronisiert sie so, wie sie alles andere synchronisiert. Auf einen Server oder in einen Bucket lädt Firedown sie selbst hoch.

Auf diesem Weg gibt es keinen Firedown-Server, und nichts darüber, was du sicherst oder wohin, wird an uns gesendet. In einem Ordner kann Firedown nur auf den einen Ordner zugreifen, den du gewählt hast, auf nichts sonst in deinem Drive oder auf deiner Karte. Auf einem Server oder in einem Bucket kann es auf alles zugreifen, was die Anmeldung oder die Schlüssel erlauben, deshalb bittet es um einen Schlüssel, der auf einen Bucket beschränkt ist. Die Anmeldedaten bleiben verschlüsselt auf deinem Telefon und werden nie gesichert. Wählst du einen anderen Ort, wird der alte vergessen und seine Dateien bleiben, wo sie sind.

Es ist so ausgelegt, als könnte der Anbieter alles lesen, was er speichert, oder es an jemand anderen weitergeben. In jedem Fall bleiben deine Dateien unlesbar, weil der Ordner nie etwas enthält, das sie entschlüsseln kann.

03 Dein Wiederherstellungscode ist der ganze Schlüssel

Es gibt kein Konto, keine E-Mail, kein Passwort. Dein Telefon erzeugt einen Wiederherstellungscode und leitet jeden Schlüssel daraus ab.

Der Code wird nirgendwohin gesendet und nie in den Ordner geschrieben. Um dein Backup auf einem anderen Telefon zu lesen, gib dort denselben Code ein und wähle denselben Ordner, Server oder Bucket. Wir besitzen keine Kopie und können keine erzeugen.

04 Was beim Sichern einer Datei passiert

1. Ein frischer Schlüssel wird nur für diese Datei erzeugt. Kein einzelner Schlüssel öffnet das ganze Backup.
2. Die Datei wird in Stücken mit AES-256-GCM auf deinem Telefon verschlüsselt. Jedes Stück ist an seine Position in dieser Datei gebunden; Stücke lassen sich nicht vertauschen, umordnen oder zwischen Dateien verschieben.
3. Der Schlüssel der Datei wird mit einem aus deinem Wiederherstellungscode abgeleiteten verschlossen. Er kommt in eine kleine Begleitdatei, verschlüsselt zusammen mit Name, Typ, Datumsangaben und Vorschau.
4. Beide Dateien werden unter zufälligen Namen geschrieben, in deinen Ordner, auf deinen Server oder in deinen Bucket.

Die Wiederherstellung durchläuft dieselben Schritte rückwärts, auf deinem Telefon. Nirgendwo sonst existiert ein Schlüssel.

05 Was der Anbieter sehen kann und was nicht

Wer dein Backup hat, sieht Dateien, nicht was sie sind. Verschlüsselung verbirgt, was eine Datei ist, nicht dass sie existiert.

Diese beiden Dateien sind alles, was im Ordner für die 18.9 MB große Datei oben liegt: ein zufälliger Name, kein Typ. Größen und Zeitpunkte sind echte Signale, und Verschlüsselung beseitigt sie nicht.

06 Lesezeichen-Synchronisierung und unser Server

Die Lesezeichen-Synchronisierung ist die einzige Funktion, die Daten auf einem Server von uns speichert. Deine Lesezeichen werden auf deinem Telefon zu einem einzigen Block verschlüsselt, mit einem Schlüssel, der aus deinem Wiederherstellungscode abgeleitet ist. Der Server speichert diesen Block und gibt ihn zurück; öffnen kann er ihn nicht.

Jede Anfrage ist mit einem aus demselben Code abgeleiteten Schlüssel signiert, sodass nur deine Telefone deine Lesezeichen ersetzen können. Der Server sieht eine aus dem Code abgeleitete Kontonummer, die Größe des Blocks, wann er sich ändert, und die IP-Adresse, von der jede Anfrage kommt.

07 Wogegen das nicht schützt

• Ein kompromittiertes Telefon. Verschlüsselt wird auf deinem Gerät, also hat ein kompromittiertes Gerät die Dateien im Klartext. Nichts im Ordner kann das beheben.
• Ein verlorener Wiederherstellungscode. Unwiederbringlich, für jeden.
• Metadaten. Größe, Anzahl und Zeitpunkte deiner Backups sind für jeden sichtbar, der dein Backup hat, und ließen sich ohne ein weit teureres Design nicht verbergen.
• Verknüpfung. Wenn du die Lesezeichen-Synchronisierung nutzt, ist der Name des Backup-Ordners dieselbe Kontonummer, die unser Lesezeichen-Server kennt. Wer beides hat, könnte erkennen, dass beides zu einer Person gehört, und könnte trotzdem keins von beiden lesen.
• Verlust des Ordners, Servers oder Buckets. Der Anbieter hält dein Backup verfügbar, nicht geheim. Löscht er die Dateien oder schließt er dein Konto, oder lag der Ordner auf einem Telefon oder einer Karte, die verloren geht, ist das Backup mit weg.
• Dateien, die du nie gesichert hast. Das Backup umfasst nur, was du sicherst. Der Sichere Ordner bleibt auf deinem Telefon und ist nie dabei.

08 Prüf es selbst

Verschlüsselung und Schlüsselableitung laufen in der App, nicht auf einem Server. Jede Aussage hier lässt sich allein am Quellcode der App prüfen.

Audits. Firedown wurde keinem unabhängigen Sicherheitsaudit unterzogen. Der Code wird intern geprüft, auch mit KI-gestützter Prüfung, und jede Aussage auf dieser Seite lässt sich einer Datei im öffentlichen Quellcode oben zuordnen.

Melde Sicherheitsprobleme vertraulich an [email protected]. Die Datei SECURITY.md im App-Repository enthält die Details.