Comment Firedown protège vos données

En bref

• Pas de compte. Pas d’e-mail, pas de mot de passe. Un code de récupération généré sur votre téléphone est la seule clé, et il ne quitte jamais le téléphone.
• Aucun intermédiaire. Les téléchargements vont directement du site à votre téléphone. Aucun de nos serveurs ne les voit.
• Votre stockage, notre chiffrement. Les sauvegardes vont dans le stockage de votre choix : un dossier sur Google Drive, Dropbox, Nextcloud, une carte SD ou le téléphone lui-même, un serveur WebDAV ou un bucket S3. Elles sont chiffrées sur votre téléphone avant d’y être écrites.
• Ce que le fournisseur peut voir. Combien de fichiers, quelle taille, et quand ils ont été écrits. Jamais les noms ni le contenu.

01 Dans toute l’application

• Navigation. Firedown repose sur le moteur GeckoView de Firefox, avec uBlock Origin intégré, si bien que les publicités et les traqueurs sont bloqués avant de se charger. Rien de votre navigation ne nous est envoyé.
• Téléchargements. Les fichiers viennent directement du site sur votre téléphone, sans aucun de nos serveurs entre les deux, donc nous n’avons rien à journaliser.
• Envoi vers un autre téléphone. Un téléchargement terminé peut partir directement vers un autre téléphone, chiffré de bout en bout via WebRTC, sans rien stocker sur un serveur. Quand les deux téléphones ne peuvent pas se joindre directement, le flux chiffré passe par notre relais, qui ne peut pas le lire.
• Dossier sécurisé. Les fichiers que vous y placez sont protégés par votre code PIN ou votre empreinte digitale, invisibles pour toutes les autres applications. Il reste sur votre téléphone et n’est jamais sauvegardé.
• Synchronisation des favoris. Gratuite et désactivée par défaut. Les favoris sont chiffrés sur votre téléphone avec votre code de récupération avant d’être envoyés.
• Mises à jour. Chaque build est signé avec la même clé et peut être vérifié par rapport à nos versions publiées sur GitHub. Une fois par jour, l’application demande si une version plus récente existe ; cette requête transmet la version de l’application et un jeton qui change chaque mois, et sert uniquement à compter les installations actives.

02 La sauvegarde vit dans le stockage de votre choix

La sauvegarde conserve une copie chiffrée des téléchargements que vous choisissez. Vous choisissez l’endroit une seule fois : un dossier, avec le sélecteur de dossiers d’Android lui-même (dans Google Drive, Dropbox ou Nextcloud, une carte SD ou le stockage du téléphone), un serveur WebDAV auquel vous vous connectez (Nextcloud, ownCloud, un NAS), ou un bucket S3 dont vous donnez les clés à Firedown (Backblaze B2, Cloudflare R2, Wasabi, MinIO). Dans un dossier, Firedown écrit les fichiers chiffrés et l’application du fournisseur les synchronise comme elle synchronise tout le reste. Vers un serveur ou un bucket, Firedown les envoie lui-même.

Aucun serveur Firedown ne se trouve sur ce chemin, et rien de ce que vous sauvegardez, ni de l’endroit, ne nous est envoyé. Dans un dossier, Firedown ne peut accéder qu’au seul dossier que vous avez choisi, à rien d’autre dans votre Drive ou sur votre carte. Sur un serveur ou dans un bucket, il peut accéder à tout ce que permettent la connexion ou les clés ; c’est pourquoi il demande une clé limitée à un seul bucket. Les identifiants restent sur votre téléphone, chiffrés, et ne sont jamais sauvegardés. Choisir un autre endroit oublie l’ancien et laisse ses fichiers là où ils sont.

Elle est conçue comme si le fournisseur pouvait lire tout ce qu’il stocke, ou le remettre à quelqu’un d’autre. Dans un cas comme dans l’autre, vos fichiers restent illisibles, car le dossier ne contient jamais rien qui puisse les déchiffrer.

03 Votre code de récupération est toute la clé

Pas de compte, pas d’e-mail, pas de mot de passe. Votre téléphone génère un code de récupération et en dérive chaque clé.

Le code n’est jamais envoyé nulle part et n’est jamais écrit dans le dossier. Pour lire votre sauvegarde sur un autre téléphone, saisissez-y le même code et choisissez le même dossier, serveur ou bucket. Nous n’en détenons aucune copie et ne pouvons pas en produire.

04 Ce qui se passe lors d’une sauvegarde

1. Une clé neuve est générée pour ce seul fichier. Aucune clé unique n’ouvre toute la sauvegarde.
2. Le fichier est chiffré sur votre téléphone avec AES-256-GCM, en morceaux. Chaque morceau est lié à sa position dans ce fichier : impossible de les échanger, réordonner ou déplacer entre fichiers.
3. La clé du fichier est verrouillée par une clé dérivée de votre code de récupération. Elle est placée dans un petit fichier compagnon, chiffrée avec le nom, le type, les dates et l’aperçu.
4. Les deux fichiers sont écrits sous des noms aléatoires dans votre dossier, sur votre serveur ou dans votre bucket.

La restauration suit les mêmes étapes en sens inverse, sur votre téléphone. Aucune clé n’existe nulle part ailleurs.

05 Ce que le fournisseur peut voir, ou non

Celui qui détient votre sauvegarde voit des fichiers, pas ce qu’ils sont. Le chiffrement cache ce qu’est un fichier, pas le fait qu’il existe.

Ces deux fichiers sont tout ce que le dossier contient pour le fichier de 18.9 MB ci-dessus : un nom aléatoire, pas de type. Les tailles et les horaires sont de vrais signaux, et le chiffrement ne les supprime pas.

06 La synchronisation des favoris et notre serveur

La synchronisation des favoris est la seule fonction qui stocke des données sur l’un de nos serveurs. Vos favoris sont chiffrés sur votre téléphone en un seul bloc, avec une clé dérivée de votre code de récupération. Le serveur stocke ce bloc et le restitue ; il ne peut pas l’ouvrir.

Chaque requête est signée avec une clé dérivée du même code, donc seuls vos téléphones peuvent remplacer vos favoris. Le serveur voit un numéro de compte dérivé du code, la taille du bloc, le moment où il change, et l’adresse IP d’où vient chaque requête.

07 Ce contre quoi cela ne protège pas

• Un téléphone compromis. Le chiffrement a lieu sur votre appareil, donc un appareil compromis a les fichiers en clair. Rien dans le dossier n’y remédie.
• Un code de récupération perdu. Irrécupérable, pour quiconque.
• Les métadonnées. Les tailles, le nombre et les horaires de vos sauvegardes sont visibles par quiconque détient votre sauvegarde, et ne pourraient pas être cachés sans une conception bien plus coûteuse.
• Le recoupement. Si vous utilisez la synchronisation des favoris, le nom du dossier de sauvegarde est le même numéro de compte que celui que connaît notre serveur de favoris. Quelqu’un qui détiendrait les deux pourrait savoir qu’ils appartiennent à une même personne, sans pouvoir lire ni l’un ni l’autre pour autant.
• La perte du dossier, du serveur ou du bucket. Le fournisseur garde votre sauvegarde disponible, pas secrète. S’il supprime les fichiers ou ferme votre compte, ou si le dossier se trouvait sur un téléphone ou une carte qui se perd, la sauvegarde disparaît avec lui.
• Les fichiers jamais sauvegardés. La sauvegarde ne couvre que ce que vous sauvegardez. Le Dossier sécurisé reste sur votre téléphone et n’est jamais inclus.

08 Vérifiez par vous-même

Le chiffrement et la dérivation de clés s’exécutent dans l’application, pas sur un serveur. Chaque affirmation de cette page peut être vérifiée à partir du seul code source de l’application.

Audits. Firedown n’a fait l’objet d’aucun audit de sécurité indépendant. Le code est relu en interne, y compris avec une relecture assistée par IA, et chaque affirmation de cette page correspond à un fichier du code source public ci-dessus.

Signalez les problèmes de sécurité en privé à [email protected]. Le fichier SECURITY.md du dépôt de l’application donne les détails.