Model bezpieczeństwa

Odmawia, zanim zejdzie niżej.

Szyfrowanie warte jest słów tylko wtedy, gdy klient jest gotów się rozłączyć. Ta strona to cały łańcuch: co niesie piksele, co dowodzi, że odległa maszyna jest tą, o którą prosiłeś, co gospodarz rozstrzyga w drzwiach i co się dzieje, gdy któryś element się nie zgadza.

Cztery warstwy W drzwiach
Łańcuch

Cztery warstwy, a ostatnia to odmowa.

Każda z nich to osobna rzecz, która może zawieść, i każda porażka kończy sesję zamiast prowadzić ją dalej w słabszej postaci. Cały projekt mieści się w tym zdaniu.

  1. Nośnik

    Szyfrogram na łączu

    Strumień jest zapieczętowany XSalsa20-Poly1305 kluczem uzgodnionym wyłącznie dla tej sesji. Przekaźnik przekazuje bajty, których nie umie odczytać, i nie trzyma klucza, który by je otworzył.

    XSalsa20-Poly1305
  2. Dowód

    Podpisana tożsamość

    Serwer rendezvous podpisuje tożsamość każdej strony kluczem Ed25519. Klient sprawdza ten podpis kluczem publicznym wkompilowanym w siebie, a potem sprawdza, czy tożsamość w środku to urządzenie, które wybrałeś.

    Ed25519
  3. Uzgodnienie

    Klucz na sesję

    Dopiero gdy dowód się broni, obie strony ustalają klucz symetryczny. Przed tym punktem nie przechodzi ani piksel, ani naciśnięcie klawisza, ani plik.

    1 klucz · 1 sesja
  4. Odmowa

    I żadnej gałęzi, która brnie dalej

    Zły klucz, zła tożsamość, zły typ wiadomości, brak odpowiedzi: klient przerywa. Nie ma ścieżki schodzącej do jawnego tekstu — a to dokładnie ta ścieżka, w którą celowałby napastnik.

    Sesja zostaje odrzucona
W drzwiach

Rozstrzyga gospodarz, za każdym razem.

Wszystko powyżej dotyczy tego, że maszyna, do której dzwonisz, jest właściwa. To dotyczy tego, że osoba przy niej mówi tak — i tego, na co dokładnie się zgadza.

Kliknięcie, nie hasło
Włączenie trybu gospodarza wymusza wyraźną akceptację każdego połączenia przychodzącego na maszynie, do której się łączy — także od dzwoniącego z ważnym hasłem w ręku. Hasło doprowadza cię do okna; dalej nie prowadzi.
Pięć przełączników, zanim cokolwiek zostanie przyznane
Klawiatura, schowek, dźwięk, pliki, restart. Gospodarz ustawia je dla tego połączenia, w tej chwili, i leżą całkowicie poza stroną stołu, przy której siedzi odwiedzający.
Odliczanie, nie otwarta oferta
Prośba bez odpowiedzi wygasa. Nikt nie musi siedzieć przy maszynie, żeby odrzucić ją poprawnie.
I drugi składnik, jeśli go chcesz
Kod czasowy sprawdzany przed akceptacją oraz lista urządzeń, które przez niego przeszły. Delta nie może nic do tej listy dopisać: może to tylko udane logowanie dwuskładnikowe z tego właśnie sprzętu.
Okno przychodzącego połączenia Delty na hoście: nazwa i ID gościa, odliczanie, pięć przełączników uprawnień dla klawiatury, schowka, dźwięku, plików i restartu oraz przyciski Odrzuć i Akceptuj.
Tryb hosta → połączenie przychodzące
Co zostaje na miejscu

Rzeczy, które nigdy stąd nie wychodzą.

Narzędzie wsparcia widzi z firmy więcej niż prawie każde inne oprogramowanie. Uczciwa odpowiedź na «gdzie to trafia» brzmi zwykle «nigdzie», a tam gdzie to prawda, jest prawdą, bo nie istnieje kod, który by to wysłał.

  • Nagrania

    Zapieczętowane AES-256-GCM kluczem wygenerowanym dla tego nagrania, a klucz trafia do pęku kluczy systemu. Plik jawny jest usuwany po zapisaniu zapieczętowanego. Nie ma ścieżki prowadzącej do wysyłki.

  • Książka adresowa

    Plik na twoim dysku, eksportowany i odtwarzany przez ciebie. Nie istnieje kopia na serwerze, bo nie istnieje dla niej serwer.

  • Statystyki i historia

    Zapisywane lokalnie z sesji, które naprawdę się odbyły. Są po to, żebyś ty mógł odpowiedzieć na pytanie o zeszły miesiąc, a nie po to, żebyśmy mogli my.

  • Klucze i tokeny

    Klucz bramy i klucze nagrań idą do pęku kluczy systemu, a nie do pliku konfiguracyjnego leżącego obok danych, które chronią.

Trasa

A trasa zostaje w Europie.

Dwie maszyny i coś pośrodku, gdy sieć nie pozwala im rozmawiać wprost. O tym pośrodku prawie wszystkie narzędzia milczą.

Najpierw wprost
Delta próbuje połączenia bezpośredniego między węzłami i schodzi na relay dopiero wtedy, gdy sieć odmówi. Mniej przeskoków, ilekroć porty na to pozwalają.
Nasz sprzęt, w UE
Gdy relay jest potrzebny, to relay-eu1.altovar.net: nasze maszyny z obrazem, który sami budujemy, w UE. Nikt inny nie stoi w środku twojego zgłoszenia.
Albo twój własny
Wskaż Delcie rendezvous i relay, które prowadzisz sam, a będzie rozmawiać z twoją infrastrukturą zamiast z naszą.
Karta trybu hosta w Delcie na maszynie, do której się łączymy: tryb hosta działa i jest zarejestrowany w rendezvous, a poniżej identyfikator połączenia.Karta trybu hosta w Delcie na maszynie, do której się łączymy: tryb hosta działa i jest zarejestrowany w rendezvous, a poniżej identyfikator połączenia.
Tryb hosta — zarejestrowany i gotowy

Reszta.

Model bezpieczeństwa to jedna strona. To, co klient robi dalej z chronioną sesją, to druga — a to, co robi z AI, jeszcze inna.

Przejdź sesję Jak działa kopilot Pobierz dla Linuksa