Il modello di sicurezza

Rifiuta prima di declassare.

La cifratura vale le parole che ci spendi solo se il client è disposto a riattaccare. Questa pagina è la catena intera: cosa porta i pixel, cosa dimostra che la macchina lontana è quella che hai chiesto, cosa decide l’host sulla porta, e cosa succede quando qualcosa non torna.

I quattro strati Sulla porta
La catena

Quattro strati, e l’ultimo è un rifiuto.

Ognuno di questi è una cosa distinta che può fallire, e ogni fallimento chiude la sessione invece di continuarla in forma più debole. Il progetto sta tutto in questa frase.

  1. Il trasporto

    Testo cifrato sul filo

    Il flusso è sigillato con XSalsa20-Poly1305 sotto una chiave concordata per quella sessione soltanto. Un relay inoltra byte che non sa leggere e non tiene nessuna chiave che li apra.

    XSalsa20-Poly1305
  2. La prova

    Un’identità firmata

    Il server di rendezvous firma l’identità di ogni capo con una chiave Ed25519. Il client verifica quella firma con la chiave pubblica compilata dentro di sé, poi verifica che l’identità che c’è dentro sia proprio il dispositivo che hai chiamato.

    Ed25519
  3. L’accordo

    Una chiave per sessione

    Solo dopo che la prova regge i due capi stabiliscono la chiave simmetrica. Prima di quel punto non passa un pixel, un tasto o un file.

    1 chiave · 1 sessione
  4. Il rifiuto

    E nessun ramo che prosegue

    Chiave sbagliata, identità sbagliata, tipo di messaggio sbagliato, nessuna risposta: il client si ferma. Non c’è un ramo che ripiega sul testo in chiaro — che è esattamente il ramo a cui un attaccante punterebbe.

    La sessione viene rifiutata
Sulla porta

Decide l’host, ogni volta.

Tutto quello sopra riguarda il fatto che la macchina che stai chiamando sia quella giusta. Questo riguarda la persona che ci sta seduta davanti che dice di sì — e cosa esattamente sta accettando.

Un clic, non una password
Accendere la modalità host obbliga ogni connessione in entrata a un’accettazione esplicita sulla macchina a cui ci si collega, anche da chi chiama con una password valida in mano. La password ti porta al dialogo; non ti porta oltre.
Cinque interruttori, prima che venga concesso niente
Tastiera, appunti, audio, file, riavvio. Li mette l’host per quella connessione, sul momento, e stanno del tutto fuori dal lato del tavolo dove siede il visitatore.
Un conto alla rovescia, non un’offerta aperta
Una richiesta senza risposta scade. Non serve che qualcuno sia alla macchina per rifiutarla nel modo giusto.
E un secondo fattore, se lo vuoi
Un codice a tempo verificato prima dell’accettazione, e una lista dei dispositivi che ci sono passati. Delta a quella lista non può aggiungere niente: può farlo solo un accesso a due fattori riuscito dall’hardware in questione.
La finestra di connessione in arrivo di Delta sull’host: nome e ID di chi entra, un conto alla rovescia, cinque interruttori di permesso per tastiera, appunti, audio, file e riavvio, e i pulsanti Rifiuta e Accetta.
Modalità host → una connessione in arrivo
Cosa non si muove

Le cose che non escono mai.

Uno strumento di assistenza vede di un’azienda più di quasi ogni altro software. La risposta onesta a «dove finisce» di solito è «da nessuna parte», e dove è vero è vero perché non esiste il codice che lo spedirebbe.

  • Le registrazioni

    Sigillate con AES-256-GCM sotto una chiave generata per quella registrazione, e la chiave va al portachiavi del sistema operativo. Il file in chiaro viene cancellato dopo che quello sigillato è stato scritto. Non c’è nessuna strada che porti a un caricamento.

  • La rubrica

    Un file sul tuo disco, esportato e ripristinato da te. Non esiste una copia sul server, perché non esiste un server per lei.

  • Statistiche e storico

    Scritti in locale da sessioni davvero avvenute. Stanno lì perché tu possa rispondere a una domanda sul mese scorso, non perché possiamo noi.

  • Chiavi e token

    La chiave del gateway e quelle delle registrazioni vanno nel portachiavi del sistema, invece che in un file di configurazione accanto ai dati che proteggono.

Il percorso

E la strada resta in Europa.

Due macchine e qualcosa in mezzo, quando la rete non le lascia parlare direttamente. Di quel qualcosa in mezzo quasi tutti gli strumenti tacciono.

Prima diretto
Delta prova una connessione diretta fra i due peer e passa al relay solo quando la rete si rifiuta. Meno salti, ogni volta che le porte lo permettono.
Hardware nostro, in UE
Quando il relay serve è relay-eu1.altovar.net: macchine nostre, con un’immagine che costruiamo noi, in UE. In mezzo alla tua chiamata non c’è nessun altro.
Oppure il tuo
Punta Delta a un rendezvous e a un relay che gestisci tu, e parlerà con la tua infrastruttura invece che con la nostra.
La scheda Modalità Host di Delta sulla macchina a cui ci si collega: modalità host in esecuzione e registrata al rendezvous, e sotto l’ID connettibile.La scheda Modalità Host di Delta sulla macchina a cui ci si collega: modalità host in esecuzione e registrata al rendezvous, e sotto l’ID connettibile.
Modalità host — registrata, e pronta a ricevere

Il resto.

Il modello di sicurezza è una pagina. Cosa poi il client faccia della sessione che ha protetto è un’altra — e cosa ne faccia l’AI è un’altra ancora.

Percorri una sessione Come funziona il copilota Scarica per Linux