Cách Firedown bảo vệ dữ liệu của bạn

Tóm tắt

• Không tài khoản. Không email, không mật khẩu. Một mã khôi phục được tạo trên điện thoại của bạn là chìa khóa duy nhất, và nó không bao giờ rời khỏi điện thoại.
• Không có gì ở giữa. Các tệp tải xuống đi thẳng từ trang web đến điện thoại của bạn. Không máy chủ nào của chúng tôi nhìn thấy chúng.
• Nơi lưu trữ của bạn, mã hóa của chúng tôi. Bản sao lưu được đưa vào nơi lưu trữ bạn chọn: một thư mục trên Google Drive, Dropbox, Nextcloud, thẻ SD hoặc chính điện thoại, một máy chủ WebDAV, hoặc một bucket S3. Chúng được mã hóa trên điện thoại của bạn trước khi được ghi vào đó.
• Những gì nhà cung cấp có thể thấy. Có bao nhiêu tệp, lớn cỡ nào và được ghi khi nào. Không bao giờ thấy tên hay nội dung.

01 Trong toàn bộ ứng dụng

• Duyệt web. Firedown được xây dựng trên công cụ GeckoView của Firefox, tích hợp sẵn uBlock Origin, nên quảng cáo và trình theo dõi bị chặn trước khi tải. Không có gì về những gì bạn duyệt được gửi cho chúng tôi.
• Tải xuống. Tệp đi thẳng từ trang web đến điện thoại của bạn, không có máy chủ nào của chúng tôi ở giữa, nên chúng tôi không có gì để ghi nhật ký.
• Gửi sang điện thoại khác. Một lượt tải đã hoàn tất có thể được gửi thẳng sang điện thoại khác, mã hóa đầu cuối qua WebRTC, không lưu gì trên máy chủ. Khi hai điện thoại không thể kết nối trực tiếp với nhau, luồng dữ liệu đã mã hóa đi qua máy chủ chuyển tiếp của chúng tôi, nơi không thể đọc được nó.
• Thư mục an toàn. Các tệp bạn chuyển vào đó được bảo vệ bằng mã PIN hoặc vân tay của bạn, vô hình với mọi ứng dụng khác. Thư mục này ở lại trên điện thoại của bạn và không bao giờ được sao lưu.
• Đồng bộ dấu trang. Miễn phí và mặc định tắt. Dấu trang được mã hóa trên điện thoại của bạn bằng mã khôi phục của bạn trước khi được tải lên.
• Cập nhật. Mọi bản dựng đều được ký bằng cùng một khóa và có thể đối chiếu với các bản phát hành của chúng tôi trên GitHub. Mỗi ngày một lần, ứng dụng hỏi xem có phiên bản mới hơn không; yêu cầu đó gồm phiên bản ứng dụng và một mã thông báo thay đổi mỗi tháng, và chỉ được dùng để đếm số lượt cài đặt đang hoạt động.

02 Bản sao lưu nằm ở nơi lưu trữ bạn chọn

Tính năng Sao lưu giữ một bản sao đã mã hóa của các tệp tải xuống bạn chọn. Bạn chọn nơi lưu một lần: một thư mục qua trình chọn thư mục có sẵn của Android (trong Google Drive, Dropbox hoặc Nextcloud, một thẻ SD, hoặc bộ nhớ của điện thoại), một máy chủ WebDAV bạn đăng nhập (Nextcloud, ownCloud, một NAS), hoặc một bucket S3 mà bạn giao khóa cho Firedown (Backblaze B2, Cloudflare R2, Wasabi, MinIO). Với thư mục, Firedown ghi các tệp đã mã hóa vào đó và ứng dụng của nhà cung cấp đồng bộ chúng như đồng bộ mọi thứ khác. Với máy chủ hoặc bucket, Firedown tự tải chúng lên.

Không có máy chủ Firedown nào trên đường đi đó, và không có gì về những gì bạn sao lưu, hay sao lưu ở đâu, được gửi cho chúng tôi. Với thư mục, Firedown chỉ có thể truy cập đúng một thư mục bạn đã chọn, không gì khác trong Google Drive hay trên thẻ của bạn. Với máy chủ hoặc bucket, Firedown có thể truy cập mọi thứ mà thông tin đăng nhập hoặc khóa cho phép; vì vậy nó yêu cầu một khóa chỉ giới hạn trong một bucket. Thông tin đăng nhập ở lại trên điện thoại của bạn, được mã hóa, và không bao giờ được sao lưu. Chọn một nơi khác sẽ quên nơi cũ và để nguyên các tệp của nó tại chỗ.

Hệ thống được thiết kế như thể nhà cung cấp có thể đọc mọi thứ họ lưu trữ, hoặc giao nó cho người khác. Trong mọi trường hợp, tệp của bạn vẫn không thể đọc được, vì thư mục không bao giờ chứa thứ gì có thể giải mã chúng.

03 Mã khôi phục là toàn bộ chìa khóa

Không có tài khoản, không email, không mật khẩu. Điện thoại của bạn tạo một mã khôi phục và dẫn xuất mọi khóa từ nó.

Mã không bao giờ được gửi đi đâu và không bao giờ được ghi vào thư mục. Để đọc bản sao lưu trên một điện thoại khác, hãy nhập cùng mã đó ở đó và chọn cùng thư mục, máy chủ hoặc bucket. Chúng tôi không giữ bản sao và không thể tạo ra một bản.

04 Điều gì xảy ra khi bạn sao lưu một tệp

1. Một khóa mới được tạo riêng cho tệp đó. Không khóa đơn lẻ nào mở được toàn bộ bản sao lưu.
2. Tệp được mã hóa trên điện thoại của bạn bằng AES-256-GCM, theo từng mảnh. Mỗi mảnh gắn với vị trí của nó trong tệp đó, nên các mảnh không thể bị hoán đổi, xáo trộn hay chuyển giữa các tệp.
3. Khóa của tệp được khóa lại bằng một khóa dẫn xuất từ mã khôi phục của bạn. Nó được đưa vào một tệp đi kèm nhỏ, được mã hóa cùng với tên, loại, ngày và ảnh xem trước.
4. Cả hai tệp được ghi dưới tên ngẫu nhiên vào thư mục, máy chủ hoặc bucket của bạn.

Khôi phục chạy các bước tương tự theo chiều ngược lại, trên điện thoại của bạn. Không khóa nào tồn tại ở nơi nào khác.

05 Nhà cung cấp thấy gì và không thấy gì

Ai giữ bản sao lưu của bạn thì thấy các tệp, chứ không thấy chúng là gì. Mã hóa che giấu một tệp là gì, chứ không che giấu việc nó tồn tại.

Hai tệp đó là toàn bộ những gì thư mục chứa cho tệp 18.9 MB ở trên: tên ngẫu nhiên, không có loại. Kích thước và thời điểm là tín hiệu thật, và mã hóa không xóa được chúng.

06 Đồng bộ dấu trang và máy chủ của chúng tôi

Đồng bộ dấu trang là tính năng duy nhất lưu dữ liệu trên máy chủ của chúng tôi. Dấu trang của bạn được mã hóa trên điện thoại thành một khối duy nhất bằng một khóa dẫn xuất từ mã khôi phục của bạn. Máy chủ lưu khối đó và trả lại nó; máy chủ không thể mở nó.

Mọi yêu cầu đều được ký bằng một khóa dẫn xuất từ cùng mã đó, nên chỉ các điện thoại của bạn mới có thể thay thế dấu trang của bạn. Máy chủ thấy một số tài khoản dẫn xuất từ mã, kích thước của khối, thời điểm khối thay đổi, và địa chỉ IP mà mỗi yêu cầu xuất phát từ đó.

07 Những gì điều này không bảo vệ được

• Điện thoại bị xâm nhập. Mã hóa diễn ra trên thiết bị của bạn, nên trên thiết bị bị xâm nhập, tệp ở dạng đọc được. Không gì trong thư mục sửa được điều đó.
• Mã khôi phục bị mất. Không thể khôi phục, với bất kỳ ai.
• Siêu dữ liệu. Kích thước, số lượng và thời điểm các bản sao lưu của bạn hiển thị với bất kỳ ai giữ bản sao lưu của bạn, và không thể che giấu nếu không có một thiết kế đắt đỏ hơn hẳn.
• Liên kết. Nếu bạn dùng đồng bộ dấu trang, tên thư mục sao lưu chính là số tài khoản mà máy chủ dấu trang của chúng tôi biết. Ai nắm cả hai có thể biết chúng thuộc về cùng một người, nhưng vẫn không đọc được cái nào.
• Mất thư mục, máy chủ hoặc bucket. Nhà cung cấp giữ cho bản sao lưu của bạn luôn sẵn có, chứ không giữ bí mật cho nó. Nếu họ xóa các tệp hoặc đóng tài khoản của bạn, hoặc thư mục nằm trên một điện thoại hay thẻ nhớ bị mất, bản sao lưu cũng mất theo.
• Những tệp bạn chưa từng sao lưu. Sao lưu chỉ bao gồm những gì bạn sao lưu. Thư mục an toàn ở lại trên điện thoại của bạn và không bao giờ được đưa vào.

08 Tự mình kiểm chứng

Mã hóa và dẫn xuất khóa chạy trong ứng dụng, không phải trên máy chủ. Mọi tuyên bố ở đây đều có thể kiểm chứng chỉ từ mã nguồn của ứng dụng.

Kiểm toán. Firedown chưa từng được kiểm toán bảo mật độc lập. Mã được rà soát nội bộ, bao gồm cả rà soát có hỗ trợ của AI, và mọi tuyên bố trên trang này đều gắn với một tệp trong mã nguồn công khai ở trên.

Hãy báo cáo vấn đề bảo mật một cách riêng tư tới [email protected]. Tệp SECURITY.md trong kho ứng dụng có thông tin chi tiết.