Het beveiligingsmodel

Het weigert voordat het terugvalt.

Versleuteling is de woorden alleen waard als de client bereid is op te hangen. Deze pagina is de hele keten: wat de pixels draagt, wat bewijst dat de verre machine de gevraagde is, wat de host aan de deur beslist, en wat er gebeurt als iets daarvan niet klopt.

De vier lagen Aan de deur
De keten

Vier lagen, en de laatste is een weigering.

Elk daarvan is iets aparts dat kan mislukken, en elke mislukking beëindigt de sessie in plaats van haar zwakker voort te zetten. Het hele ontwerp past in die zin.

  1. De drager

    Versleuteld op de lijn

    De stroom is verzegeld met XSalsa20-Poly1305 onder een sleutel die alleen voor die sessie is afgesproken. Een relay stuurt bytes door die het niet kan lezen en houdt geen sleutel die ze opent.

    XSalsa20-Poly1305
  2. Het bewijs

    Een ondertekende identiteit

    De rendezvous-server ondertekent de identiteit van elke kant met een Ed25519-sleutel. De client controleert die handtekening tegen de publieke sleutel die erin is meegecompileerd, en controleert dan of de identiteit erin het apparaat is dat je hebt gebeld.

    Ed25519
  3. De afspraak

    Een sleutel per sessie

    Pas als het bewijs standhoudt spreken beide kanten de symmetrische sleutel af. Vóór dat punt gaat er geen pixel, geen toetsaanslag en geen bestand overheen.

    1 sleutel · 1 sessie
  4. De weigering

    En geen tak die doorgaat

    Verkeerde sleutel, verkeerde identiteit, verkeerd berichttype, geen antwoord: de client breekt af. Er is geen pad dat terugvalt op leesbare tekst — precies het pad waar een aanvaller op zou mikken.

    De sessie wordt geweigerd
Aan de deur

De host beslist, elke keer.

Alles hierboven gaat erover dat de gebelde machine de juiste is. Dit gaat erover dat de persoon ervoor ja zegt — en waar die precies mee instemt.

Een klik, geen wachtwoord
De hostmodus aanzetten dwingt elke inkomende verbinding tot een uitdrukkelijke acceptatie op de machine waarnaar verbonden wordt, ook van een beller die al een geldig wachtwoord heeft. Het wachtwoord brengt je bij het venster; er voorbij brengt het je niet.
Vijf schakelaars, voordat er iets wordt toegestaan
Toetsenbord, klembord, geluid, bestanden, herstart. De host zet ze voor die verbinding, op dat moment, en ze liggen volledig buiten de kant van de tafel waar de bezoeker zit.
Een aftelling, geen open aanbod
Een onbeantwoord verzoek verloopt. Er hoeft niemand aan de machine te zitten om het correct te weigeren.
En een tweede factor, als je die wilt
Een tijdgebonden code die vóór de acceptatie wordt gecontroleerd, en een lijst van apparaten die erlangs zijn gekomen. Delta kan aan die lijst niets toevoegen: alleen een geslaagde aanmelding met twee factoren vanaf die hardware kan dat.
Delta’s dialoog voor een inkomende verbinding op de host: naam en ID van de bezoeker, een aftelling, vijf toestemmingsschakelaars voor toetsenbord, klembord, audio, bestanden en herstart, en de knoppen Weigeren en Accepteren.
Hostmodus → een inkomende verbinding
Wat blijft liggen

De dingen die er nooit uit gaan.

Een supportgereedschap ziet van een bedrijf meer dan bijna alle andere software. Het eerlijke antwoord op «waar gaat dat heen» is meestal «nergens», en waar dat klopt, klopt het omdat de code die het zou versturen niet bestaat.

  • Opnamen

    Verzegeld met AES-256-GCM onder een sleutel die voor die opname is gemaakt, en de sleutel gaat naar de sleutelbos van het besturingssysteem. Het leesbare bestand wordt verwijderd nadat het verzegelde is geschreven. Er is geen pad dat naar een upload leidt.

  • Het adresboek

    Een bestand op jouw schijf, door jou geëxporteerd en hersteld. Er bestaat geen kopie op een server, want er bestaat geen server voor.

  • Statistieken en geschiedenis

    Lokaal geschreven uit sessies die echt hebben plaatsgevonden. Ze staan er zodat jij een vraag over vorige maand kunt beantwoorden, niet zodat wij dat kunnen.

  • Sleutels en tokens

    De gatewaysleutel en die van de opnamen gaan naar de sleutelbos van het systeem in plaats van naar een configuratiebestand naast de gegevens die ze beschermen.

De route

En de route blijft in Europa.

Twee machines en iets ertussen, wanneer het netwerk ze niet rechtstreeks laat praten. Over dat ertussen zwijgen bijna alle gereedschappen.

Eerst direct
Delta probeert eerst een directe verbinding tussen de peers en valt alleen terug op de relay als het netwerk weigert. Minder sprongen wanneer de poorten het toelaten.
Onze hardware, in de EU
Als de relay nodig is, is dat relay-eu1.altovar.net: onze machines met een image dat wij bouwen, in de EU. Verder staat er niemand midden in je oproep.
Of die van jou
Richt Delta op een rendezvous en relay die je zelf draait, en het praat met jouw infrastructuur in plaats van de onze.
Delta’s Hostmodus-kaart op de machine waarmee verbonden wordt: hostmodus actief en geregistreerd bij het rendezvous, met daaronder het verbindings-ID.Delta’s Hostmodus-kaart op de machine waarmee verbonden wordt: hostmodus actief en geregistreerd bij het rendezvous, met daaronder het verbindings-ID.
Hostmodus — geregistreerd en klaar

De rest.

Het beveiligingsmodel is één pagina. Wat de client daarna doet met de sessie die hij heeft beschermd is een andere — en wat hij met AI doet nog een.

Een sessie doorlopen Hoe de copiloot werkt Downloaden voor Linux