Das Sicherheitsmodell

Es lehnt ab, bevor es herabstuft.

Verschlüsselung ist die Worte nur wert, wenn der Client bereit ist aufzulegen. Diese Seite ist die ganze Kette: was die Pixel trägt, was beweist, dass die ferne Maschine die gewünschte ist, was der Host an der Tür entscheidet, und was passiert, wenn etwas davon nicht aufgeht.

Die vier Schichten An der Tür
Die Kette

Vier Schichten, und die letzte ist eine Ablehnung.

Jede davon ist etwas Eigenes, das scheitern kann, und jedes Scheitern beendet die Sitzung, statt sie schwächer fortzusetzen. Der ganze Entwurf steht in diesem Satz.

  1. Der Träger

    Chiffretext auf der Leitung

    Der Strom ist mit XSalsa20-Poly1305 versiegelt, unter einem Schlüssel, der nur für diese Sitzung vereinbart wurde. Ein Relay leitet Bytes weiter, die es nicht lesen kann, und hält keinen Schlüssel, der sie öffnet.

    XSalsa20-Poly1305
  2. Der Beweis

    Eine signierte Identität

    Der Rendezvous-Server signiert die Identität jeder Gegenstelle mit einem Ed25519-Schlüssel. Der Client prüft diese Signatur gegen den in ihm einkompilierten öffentlichen Schlüssel und prüft dann, ob die Identität darin das Gerät ist, das du gewählt hast.

    Ed25519
  3. Die Einigung

    Ein Schlüssel je Sitzung

    Erst wenn der Beweis hält, einigen sich beide Seiten auf den symmetrischen Schlüssel. Vor diesem Punkt geht kein Pixel, kein Tastendruck und keine Datei über die Leitung.

    1 Schlüssel · 1 Sitzung
  4. Die Ablehnung

    Und kein Zweig, der weitermacht

    Falscher Schlüssel, falsche Identität, falscher Nachrichtentyp, keine Antwort: der Client bricht ab. Es gibt keinen Weg, der auf Klartext zurückfällt — genau den Weg, auf den ein Angreifer zielen würde.

    Die Sitzung wird abgelehnt
An der Tür

Der Host entscheidet, jedes Mal.

Alles oben handelt davon, dass die angerufene Maschine die richtige ist. Hier geht es darum, dass die Person davor zustimmt — und worum genau es dabei geht.

Ein Klick, kein Passwort
Der eingeschaltete Host-Modus zwingt jede eingehende Verbindung zu einer ausdrücklichen Annahme auf der Maschine, zu der verbunden wird, auch bei einer anrufenden Seite mit gültigem Passwort. Das Passwort bringt dich zum Dialog; über ihn hinaus bringt es dich nicht.
Fünf Schalter, bevor etwas gewährt wird
Tastatur, Zwischenablage, Ton, Dateien, Neustart. Der Host stellt sie für diese Verbindung im Moment ein, und sie liegen vollständig außerhalb der Seite des Tisches, an der die besuchende Person sitzt.
Ein Countdown, kein offenes Angebot
Eine unbeantwortete Anfrage läuft ab. Es muss niemand an der Maschine sitzen, damit sie richtig abgelehnt wird.
Und ein zweiter Faktor, wenn du willst
Ein zeitbasierter Code, geprüft vor der Annahme, und eine Liste der Geräte, die daran vorbeigekommen sind. Delta kann dieser Liste nichts hinzufügen: das kann nur eine erfolgreiche Zwei-Faktor-Anmeldung von genau dieser Hardware.
Deltas Dialog für eingehende Verbindungen auf dem Host: Name und ID des Gastes, ein Countdown, fünf Berechtigungsschalter für Tastatur, Zwischenablage, Audio, Dateien und Neustart sowie die Knöpfe Ablehnen und Annehmen.
Host-Modus → eine eingehende Verbindung
Was liegen bleibt

Die Dinge, die nie hinausgehen.

Ein Support-Werkzeug sieht von einem Unternehmen mehr als fast jede andere Software. Die ehrliche Antwort auf «wo landet das» ist meistens «nirgends», und wo das stimmt, stimmt es, weil es den Code nicht gibt, der es verschicken würde.

  • Aufzeichnungen

    Mit AES-256-GCM versiegelt, unter einem für diese Aufzeichnung erzeugten Schlüssel, und der Schlüssel geht an den Schlüsselbund des Betriebssystems. Die Klartextdatei wird gelöscht, nachdem die versiegelte geschrieben ist. Es gibt keinen Pfad, der zu einem Upload führt.

  • Das Adressbuch

    Eine Datei auf deiner Platte, von dir exportiert und wiederhergestellt. Es gibt keine Serverkopie, weil es dafür keinen Server gibt.

  • Statistik und Verlauf

    Lokal geschrieben, aus Sitzungen, die wirklich stattgefunden haben. Sie sind da, damit du eine Frage über den letzten Monat beantworten kannst, nicht damit wir es können.

  • Schlüssel und Token

    Der Gateway-Schlüssel und die Schlüssel der Aufzeichnungen gehen in den Schlüsselbund des Systems statt in eine Konfigurationsdatei neben die Daten, die sie schützen.

Der Weg

Und der Weg bleibt in Europa.

Zwei Maschinen und etwas dazwischen, wenn das Netz sie nicht direkt sprechen lässt. Über dieses Dazwischen schweigen fast alle Werkzeuge.

Erst direkt
Delta versucht eine direkte Peer-to-Peer-Verbindung und weicht nur dann auf das Relay aus, wenn das Netz sich sperrt. Weniger Sprünge, wann immer die Ports es zulassen.
Unsere Hardware, in der EU
Wird das Relay gebraucht, ist es relay-eu1.altovar.net: unsere Maschinen mit einem Image, das wir selbst bauen, in der EU. Sonst steht niemand mitten in deinem Einsatz.
Oder dein eigenes
Richte Delta auf ein Rendezvous und ein Relay, die du selbst betreibst, und es spricht mit deiner Infrastruktur statt mit unserer.
Deltas Host-Modus-Karte auf der Maschine, zu der verbunden wird: Host-Modus aktiv und beim Rendezvous registriert, darunter die Verbindungs-ID.Deltas Host-Modus-Karte auf der Maschine, zu der verbunden wird: Host-Modus aktiv und beim Rendezvous registriert, darunter die Verbindungs-ID.
Host-Modus — registriert und bereit

Der Rest.

Das Sicherheitsmodell ist eine Seite. Was der Client danach mit der geschützten Sitzung tut, ist eine andere — und was er mit KI tut, noch eine.

Eine Sitzung durchgehen Wie der Copilot arbeitet Für Linux herunterladen