Como o Firedown protege os seus dados

Num relance

• Sem conta. Sem email, sem palavra-passe. Um código de recuperação gerado no seu telemóvel é a única chave, e nunca sai do telemóvel.
• Nada pelo meio. Os downloads vão diretamente do site para o seu telemóvel. Nenhum servidor nosso os vê.
• O seu armazenamento, a nossa cifra. Os backups vão para o armazenamento à sua escolha: uma pasta no Google Drive, Dropbox, Nextcloud, num cartão SD ou no próprio telemóvel, um servidor WebDAV ou um bucket S3. São cifrados no seu telemóvel antes de serem escritos lá.
• O que o fornecedor pode ver. Quantos ficheiros, de que tamanho e quando foram escritos. Nunca os nomes nem o conteúdo.

01 Em toda a app

• Navegação. O Firedown é construído sobre o motor GeckoView do Firefox, com o uBlock Origin integrado, por isso os anúncios e os rastreadores são bloqueados antes de carregarem. Nada sobre o que navega nos é enviado.
• Downloads. Os ficheiros vêm diretamente do site para o seu telemóvel, sem nenhum servidor nosso pelo meio, por isso não há nada que possamos registar.
• Enviar para outro telemóvel. Um download concluído pode ir diretamente para outro telemóvel, cifrado de ponta a ponta através de WebRTC, sem nada guardado num servidor. Quando os dois telemóveis não conseguem ligar-se diretamente, o fluxo cifrado passa pelo nosso servidor de retransmissão, que não o consegue ler.
• Pasta segura. Os ficheiros que move para lá ficam protegidos pelo seu PIN ou pela sua impressão digital, invisíveis para qualquer outra app. Fica no seu telemóvel e nunca é salvaguardada.
• Sincronização de marcadores. Gratuita e desativada por predefinição. Os marcadores são cifrados no seu telemóvel com o seu código de recuperação antes de serem enviados.
• Atualizações. Cada build é assinado com a mesma chave e pode ser conferido com as versões que publicamos no GitHub. Uma vez por dia, a app pergunta se existe uma versão mais recente; esse pedido inclui a versão da app e um token que muda todos os meses, e é usado apenas para contar as instalações ativas.

02 O backup fica no armazenamento à sua escolha

O backup guarda uma cópia cifrada dos downloads que escolher. Escolhe o local uma única vez: uma pasta, através do próprio seletor de pastas do Android (no Google Drive, Dropbox ou Nextcloud, um cartão SD ou o armazenamento do telemóvel), um servidor WebDAV em que inicia sessão (Nextcloud, ownCloud, um NAS) ou um bucket S3 cujas chaves entrega ao Firedown (Backblaze B2, Cloudflare R2, Wasabi, MinIO). Numa pasta, o Firedown escreve os ficheiros cifrados e a app do fornecedor sincroniza-os tal como sincroniza qualquer outra coisa. Para um servidor ou um bucket, é o próprio Firedown que os envia.

Não há nenhum servidor do Firedown nesse caminho, e nada sobre o que guarda, nem onde, nos é enviado. Numa pasta, o Firedown só consegue aceder à pasta que escolheu, a mais nada no seu Drive ou no seu cartão. Num servidor ou num bucket, consegue aceder a tudo o que a sessão ou as chaves permitem; por isso pede uma chave limitada a um único bucket. As credenciais ficam no seu telemóvel, cifradas, e nunca entram num backup. Escolher outro local esquece o anterior e deixa os ficheiros dele onde estão.

Foi concebido como se o fornecedor pudesse ler tudo o que guarda, ou entregá-lo a outra pessoa. Em qualquer dos casos os seus ficheiros continuam ilegíveis, porque a pasta nunca contém nada que os possa decifrar.

03 O seu código de recuperação é a chave inteira

Não há conta, nem email, nem palavra-passe. O seu telemóvel gera um código de recuperação e deriva dele todas as chaves.

O código nunca é enviado para lado nenhum e nunca é escrito na pasta. Para ler o seu backup noutro telemóvel, introduza lá o mesmo código e escolha a mesma pasta, servidor ou bucket. Não guardamos cópia e não podemos produzir uma.

04 O que acontece ao fazer backup de um ficheiro

1. É gerada uma chave nova só para esse ficheiro. Nenhuma chave única abre o backup inteiro.
2. O ficheiro é cifrado no seu telemóvel com AES-256-GCM, em pedaços. Cada pedaço fica ligado à sua posição nesse ficheiro: não podem ser trocados, reordenados nem movidos entre ficheiros.
3. A chave do ficheiro é trancada com uma derivada do seu código de recuperação. Vai para um pequeno ficheiro complementar, cifrada juntamente com o nome, o tipo, as datas e a pré-visualização.
4. Os dois ficheiros são escritos com nomes aleatórios na sua pasta, servidor ou bucket.

O restauro segue os mesmos passos ao contrário, no seu telemóvel. Nenhuma chave existe em mais lado nenhum.

05 O que o fornecedor pode e não pode ver

Quem detém o seu backup vê ficheiros, não o que eles são. A cifra esconde o que um ficheiro é, não que ele existe.

Esses dois ficheiros são tudo o que a pasta contém para o ficheiro de 18.9 MB acima: um nome aleatório, sem tipo. Tamanhos e horários são sinais reais, e a cifra não os remove.

06 A sincronização de marcadores e o nosso servidor

A sincronização de marcadores é a única funcionalidade que guarda dados num servidor nosso. Os seus marcadores são cifrados no seu telemóvel num único bloco, com uma chave derivada do seu código de recuperação. O servidor guarda esse bloco e devolve-o; não o consegue abrir.

Cada pedido é assinado com uma chave derivada do mesmo código, por isso só os seus telemóveis podem substituir os seus marcadores. O servidor vê um número de conta derivado do código, o tamanho do bloco, quando muda e o endereço IP de onde vem cada pedido.

07 Contra o que isto não protege

• Um telemóvel comprometido. A cifra acontece no seu dispositivo, por isso um dispositivo comprometido tem os ficheiros em claro. Nada na pasta resolve isso.
• Um código de recuperação perdido. Irrecuperável, por quem quer que seja.
• Metadados. Os tamanhos, o número e os horários dos seus backups são visíveis para quem detém o seu backup, e não poderiam ser escondidos sem um desenho muito mais caro.
• Associação. Se usa a sincronização de marcadores, o nome da pasta de backup é o mesmo número de conta que o nosso servidor de marcadores conhece. Alguém que tivesse ambos poderia perceber que pertencem à mesma pessoa, e mesmo assim não conseguiria ler nenhum deles.
• Perder a pasta, o servidor ou o bucket. O fornecedor mantém o seu backup disponível, não secreto. Se apagar os ficheiros ou encerrar a sua conta, ou se a pasta estava num telemóvel ou cartão que se perde, o backup vai com ela.
• Ficheiros de que nunca fez backup. O backup cobre apenas aquilo de que faz backup. A Pasta segura fica no seu telemóvel e nunca é incluída.

08 Verifique você mesmo

A cifra e a derivação de chaves correm na app, não num servidor. Toda afirmação desta página pode ser verificada só com o código-fonte da app.

Auditorias. O Firedown não teve nenhuma auditoria de segurança independente. O código é revisto internamente, incluindo revisão assistida por IA, e cada afirmação desta página corresponde a um ficheiro do código-fonte público acima.

Comunique problemas de segurança em privado para [email protected]. O ficheiro SECURITY.md do repositório da app tem os detalhes.