Come Firedown protegge i tuoi dati

In breve

• Nessun account. Nessuna email, nessuna password. Un codice di recupero generato sul tuo telefono è l’unica chiave, e non lascia mai il telefono.
• Niente in mezzo. I download vanno direttamente dal sito al tuo telefono. Nessun nostro server li vede.
• Il tuo spazio, la nostra cifratura. I backup vanno nello spazio di archiviazione che scegli tu: una cartella su Google Drive, Dropbox, Nextcloud, una scheda SD o il telefono stesso, un server WebDAV o un bucket S3. Vengono cifrati sul tuo telefono prima di essere scritti lì.
• Cosa può vedere il provider. Quanti file, quanto sono grandi e quando sono stati scritti. Mai i nomi né i contenuti.

01 In tutta l’app

• Navigazione. Firedown è costruito sul motore GeckoView di Firefox, con uBlock Origin integrato, quindi pubblicità e tracker vengono bloccati prima di caricarsi. Nulla di ciò che visiti ci viene inviato.
• Download. I file arrivano direttamente dal sito al tuo telefono, senza alcun nostro server in mezzo, quindi non c’è nulla che possiamo registrare.
• Invio a un altro telefono. Un download completato può andare direttamente a un altro telefono, cifrato end-to-end tramite WebRTC, senza che nulla venga archiviato su un server. Quando i due telefoni non riescono a raggiungersi direttamente, il flusso cifrato passa dal nostro server di inoltro, che non può leggerlo.
• Cartella di sicurezza. I file che ci sposti sono protetti dal tuo PIN o dalla tua impronta digitale, invisibili a tutte le altre app. Resta sul tuo telefono e non viene mai inclusa nei backup.
• Sincronizzazione dei segnalibri. Gratuita e disattivata per impostazione predefinita. I segnalibri vengono cifrati sul tuo telefono con il tuo codice di recupero prima di essere caricati.
• Aggiornamenti. Ogni build è firmato con la stessa chiave e può essere verificato confrontandolo con le nostre release su GitHub. Una volta al giorno l’app chiede se esiste una versione più recente; la richiesta contiene la versione dell’app e un token che cambia ogni mese, e serve solo a contare le installazioni attive.

02 Il backup sta nello spazio di archiviazione che scegli tu

Il backup conserva una copia cifrata dei download che scegli. Scegli dove una sola volta: una cartella tramite il selettore di cartelle di Android stesso (in Google Drive, Dropbox o Nextcloud, una scheda SD o la memoria del telefono), un server WebDAV a cui accedi (Nextcloud, ownCloud, un NAS) o un bucket S3 di cui dai le chiavi a Firedown (Backblaze B2, Cloudflare R2, Wasabi, MinIO). In una cartella, Firedown scrive i file cifrati e l’app del provider li sincronizza come sincronizza qualsiasi altra cosa. Su un server o in un bucket, Firedown li carica da solo.

In questo percorso non c’è alcun server di Firedown, e nulla di ciò che salvi, né di dove, ci viene inviato. In una cartella, Firedown può accedere solo alla cartella che hai scelto, a nient’altro nel tuo Drive o sulla tua scheda. Su un server o in un bucket, può accedere a tutto ciò che l’accesso o le chiavi consentono; per questo chiede una chiave limitata a un solo bucket. Le credenziali restano sul tuo telefono, cifrate, e non finiscono mai in un backup. Scegliere un altro posto dimentica quello vecchio e lascia i suoi file dove sono.

È progettato come se il provider potesse leggere tutto ciò che archivia, o consegnarlo a qualcun altro. In entrambi i casi i tuoi file restano illeggibili, perché la cartella non contiene mai nulla che possa decifrarli.

03 Il tuo codice di recupero è l’intera chiave

Non c’è account, né email, né password. Il tuo telefono genera un codice di recupero e ne deriva ogni chiave.

Il codice non viene mai inviato da nessuna parte e non viene mai scritto nella cartella. Per leggere il tuo backup su un altro telefono, inserisci lì lo stesso codice e scegli la stessa cartella, lo stesso server o lo stesso bucket. Non ne abbiamo copia e non possiamo produrne una.

04 Cosa succede quando fai il backup di un file

1. Viene generata una chiave nuova solo per quel file. Nessuna chiave singola apre l’intero backup.
2. Il file viene cifrato sul tuo telefono con AES-256-GCM, a pezzi. Ogni pezzo è legato alla sua posizione in quel file: i pezzi non possono essere scambiati, riordinati o spostati tra file.
3. La chiave del file viene bloccata con una derivata dal tuo codice di recupero. Finisce in un piccolo file di accompagnamento, cifrata insieme a nome, tipo, date e anteprima.
4. Entrambi i file vengono scritti con nomi casuali nella tua cartella, sul tuo server o nel tuo bucket.

Il ripristino esegue gli stessi passaggi al contrario, sul tuo telefono. Nessuna chiave esiste altrove.

05 Cosa può vedere il provider e cosa no

Chi detiene il tuo backup vede dei file, non cosa sono. La cifratura nasconde che cosa è un file, non il fatto che esista.

Quei due file sono tutto ciò che la cartella contiene per il file da 18.9 MB qui sopra: un nome casuale, nessun tipo. Dimensioni e orari sono segnali reali, e la cifratura non li rimuove.

06 La sincronizzazione dei segnalibri e il nostro server

La sincronizzazione dei segnalibri è l’unica funzione che archivia dati su un nostro server. I tuoi segnalibri vengono cifrati sul tuo telefono in un unico blocco, con una chiave derivata dal tuo codice di recupero. Il server archivia quel blocco e lo restituisce; non può aprirlo.

Ogni richiesta è firmata con una chiave derivata dallo stesso codice, quindi solo i tuoi telefoni possono sostituire i tuoi segnalibri. Il server vede un numero di account derivato dal codice, la dimensione del blocco, quando cambia e l’indirizzo IP da cui arriva ogni richiesta.

07 Da cosa questo non protegge

• Un telefono compromesso. La cifratura avviene sul tuo dispositivo, quindi un dispositivo compromesso ha i file in chiaro. Nulla nella cartella può rimediare.
• Un codice di recupero perso. Irrecuperabile, per chiunque.
• I metadati. Dimensioni, numero e orari dei tuoi backup sono visibili a chi detiene il tuo backup, e non potrebbero essere nascosti senza un progetto molto più costoso.
• Il collegamento. Se usi la sincronizzazione dei segnalibri, il nome della cartella di backup è lo stesso numero di account che conosce il nostro server dei segnalibri. Chi avesse entrambi potrebbe capire che appartengono a una sola persona, e comunque non potrebbe leggere né l’uno né l’altro.
• La perdita della cartella, del server o del bucket. Il provider mantiene il tuo backup disponibile, non segreto. Se elimina i file o chiude il tuo account, o se la cartella era su un telefono o una scheda andati persi, il backup se ne va con essa.
• I file di cui non hai mai fatto il backup. Il backup copre solo ciò di cui fai il backup. La Cartella di sicurezza resta sul tuo telefono e non viene mai inclusa.

08 Verifica tu stesso

Cifratura e derivazione delle chiavi girano nell’app, non su un server. Ogni affermazione di questa pagina può essere verificata dal solo codice sorgente dell’app.

Audit. Firedown non è stato sottoposto a un audit di sicurezza indipendente. Il codice viene revisionato internamente, anche con una revisione assistita dall’IA, e ogni affermazione di questa pagina corrisponde a un file del codice sorgente pubblico indicato sopra.

Segnala i problemi di sicurezza in privato a [email protected]. Il file SECURITY.md nel repository dell’app contiene i dettagli.