Jak Firedown chroni twoje dane

W skrócie

• Bez konta. Bez e-maila, bez hasła. Kod odzyskiwania wygenerowany na twoim telefonie jest jedynym kluczem i nigdy nie opuszcza telefonu.
• Nic pomiędzy. Pobierane pliki trafiają prosto ze strony na twój telefon. Żaden nasz serwer ich nie widzi.
• Twoje miejsce, nasze szyfrowanie. Kopie zapasowe trafiają do wybranego przez ciebie miejsca: do folderu w Google Drive, Dropbox, Nextcloud, na karcie SD lub w samym telefonie, na serwer WebDAV albo do bucketu S3. Są szyfrowane na twoim telefonie, zanim zostaną tam zapisane.
• Co widzi dostawca. Ile jest plików, jak są duże i kiedy zostały zapisane. Nigdy nazw ani zawartości.

01 W całej aplikacji

• Przeglądanie. Firedown jest zbudowany na silniku GeckoView przeglądarki Firefox z wbudowanym uBlock Origin, więc reklamy i elementy śledzące są blokowane, zanim się załadują. Nic na temat tego, co przeglądasz, nie jest do nas wysyłane.
• Pobieranie. Pliki trafiają prosto ze strony na twój telefon, bez żadnego naszego serwera pośrodku, więc nie mamy czego rejestrować.
• Wysyłanie na inny telefon. Ukończone pobranie można przesłać bezpośrednio na inny telefon, z szyfrowaniem end-to-end przez WebRTC, bez zapisywania czegokolwiek na serwerze. Gdy dwa telefony nie mogą połączyć się ze sobą bezpośrednio, zaszyfrowany strumień przechodzi przez nasz serwer pośredniczący, który nie może go odczytać.
• Bezpieczny folder. Pliki, które tam przeniesiesz, są chronione twoim kodem PIN lub odciskiem palca i niewidoczne dla wszystkich innych aplikacji. Folder pozostaje na twoim telefonie i nigdy nie trafia do kopii zapasowej.
• Synchronizacja zakładek. Bezpłatna i domyślnie wyłączona. Zakładki są szyfrowane na twoim telefonie przy użyciu twojego kodu odzyskiwania, zanim zostaną wysłane.
• Aktualizacje. Każda kompilacja jest podpisana tym samym kluczem i można ją sprawdzić, porównując z naszymi wydaniami na GitHubie. Raz dziennie aplikacja pyta, czy istnieje nowsza wersja; to żądanie zawiera wersję aplikacji oraz token, który zmienia się co miesiąc, i służy wyłącznie do liczenia aktywnych instalacji.

02 Kopia zapasowa znajduje się w wybranym przez ciebie miejscu

Kopia zapasowa przechowuje zaszyfrowaną kopię wybranych przez ciebie pobranych plików. Miejsce wybierasz raz: folder za pomocą wbudowanego w Androida selektora folderów (w Google Drive, Dropbox lub Nextcloud, kartę SD albo pamięć telefonu), serwer WebDAV, na którym się logujesz (Nextcloud, ownCloud, NAS), albo bucket S3, do którego dajesz Firedown klucze (Backblaze B2, Cloudflare R2, Wasabi, MinIO). W folderze Firedown zapisuje zaszyfrowane pliki, a aplikacja dostawcy synchronizuje je tak samo jak wszystko inne. Na serwer lub do bucketu Firedown wysyła je sam.

Na tej drodze nie ma żadnego serwera Firedown i nic o tym, co archiwizujesz ani gdzie, nie jest do nas wysyłane. W folderze Firedown ma dostęp tylko do jednego wybranego przez ciebie folderu, do niczego innego w twoim Google Drive ani na karcie. Na serwerze lub w buckecie ma dostęp do wszystkiego, na co pozwalają dane logowania lub klucze, dlatego prosi o klucz ograniczony do jednego bucketu. Dane logowania zostają w twoim telefonie, zaszyfrowane, i nigdy nie trafiają do kopii zapasowej. Wybranie innego miejsca zapomina poprzednie i zostawia jego pliki tam, gdzie są.

Projekt zakłada, że dostawca mógłby odczytać wszystko, co przechowuje, albo przekazać to komuś innemu. W każdym z tych przypadków twoje pliki pozostają nieczytelne, bo folder nigdy nie zawiera niczego, co mogłoby je odszyfrować.

03 Twój kod odzyskiwania to cały klucz

Nie ma konta, e-maila ani hasła. Twój telefon generuje kod odzyskiwania i wyprowadza z niego każdy klucz.

Kod nigdy nie jest nigdzie wysyłany ani zapisywany w folderze. Aby odczytać kopię zapasową na innym telefonie, wpisz tam ten sam kod i wybierz ten sam folder, serwer lub bucket. Nie mamy kopii i nie możemy jej wytworzyć.

04 Co się dzieje przy kopii zapasowej pliku

1. Generowany jest świeży klucz tylko dla tego pliku. Żaden pojedynczy klucz nie otwiera całej kopii.
2. Plik jest szyfrowany na twoim telefonie algorytmem AES-256-GCM, w kawałkach. Każdy kawałek jest związany ze swoją pozycją w tym pliku, więc kawałków nie da się zamienić, przestawić ani przenieść między plikami.
3. Klucz pliku jest zamykany kluczem wyprowadzonym z twojego kodu odzyskiwania. Trafia do małego pliku towarzyszącego i jest szyfrowany razem z nazwą, typem, datami i podglądem.
4. Oba pliki są zapisywane pod losowymi nazwami w twoim folderze, na serwerze lub w buckecie.

Przywracanie wykonuje te same kroki w odwrotnej kolejności, na twoim telefonie. Żaden klucz nie istnieje nigdzie indziej.

05 Co dostawca widzi, a czego nie

Kto przechowuje twoją kopię zapasową, widzi pliki, a nie to, czym są. Szyfrowanie ukrywa, czym jest plik, a nie to, że istnieje.

Te dwa pliki to wszystko, co folder zawiera dla pliku o rozmiarze 18.9 MB powyżej: losowa nazwa, bez typu. Rozmiary i czasy to prawdziwe sygnały, a szyfrowanie ich nie usuwa.

06 Synchronizacja zakładek i nasz serwer

Synchronizacja zakładek to jedyna funkcja, która przechowuje dane na naszym serwerze. Twoje zakładki są szyfrowane na twoim telefonie w jeden blok kluczem wyprowadzonym z twojego kodu odzyskiwania. Serwer przechowuje ten blok i go oddaje; nie może go otworzyć.

Każde żądanie jest podpisywane kluczem wyprowadzonym z tego samego kodu, więc tylko twoje telefony mogą zastąpić twoje zakładki. Serwer widzi numer konta wyprowadzony z kodu, rozmiar bloku, moment jego zmiany i adres IP, z którego pochodzi każde żądanie.

07 Przed czym to nie chroni

• Przejęty telefon. Szyfrowanie odbywa się na twoim urządzeniu, więc na przejętym urządzeniu pliki są jawne. Nic w folderze tego nie naprawi.
• Zgubiony kod odzyskiwania. Nieodzyskiwalny, dla nikogo.
• Metadane. Rozmiary, liczba i czasy twoich kopii zapasowych są widoczne dla tego, kto przechowuje twoją kopię zapasową, i nie dałoby się ich ukryć bez znacznie droższego projektu.
• Powiązanie. Jeśli używasz synchronizacji zakładek, nazwa folderu kopii zapasowej to ten sam numer konta, który zna nasz serwer zakładek. Ktoś, kto ma jedno i drugie, mógłby stwierdzić, że należą do jednej osoby, i nadal nie odczytałby żadnego z nich.
• Utrata folderu, serwera lub bucketu. Dostawca dba o dostępność twojej kopii zapasowej, nie o jej tajność. Jeśli usunie pliki lub zamknie twoje konto albo jeśli folder był na telefonie lub karcie, które zostały zgubione, kopia zapasowa przepada razem z nimi.
• Pliki, których nigdy nie zapisano. Kopia zapasowa obejmuje tylko to, z czego utworzysz kopię. Bezpieczny folder zostaje na twoim telefonie i nigdy nie jest w niej uwzględniany.

08 Sprawdź to sam

Szyfrowanie i wyprowadzanie kluczy działają w aplikacji, nie na serwerze. Każde twierdzenie z tej strony można zweryfikować wyłącznie na podstawie kodu źródłowego aplikacji.

Audyty. Firedown nie przeszedł niezależnego audytu bezpieczeństwa. Kod przechodzi wewnętrzne przeglądy, w tym wspomagane przez AI, a każde twierdzenie na tej stronie odpowiada plikowi w publicznym kodzie źródłowym powyżej.

Problemy bezpieczeństwa zgłaszaj prywatnie na adres [email protected]. Szczegóły znajdziesz w pliku SECURITY.md w repozytorium aplikacji.