Wie Locki Ihre Daten schützt

Texte und Dateien werden im Browser mit AES-256-GCM ver- und entschlüsselt, über die Web Crypto API, die in jeden modernen Browser integriert ist. Jeder Wert erhält einen frischen, zufälligen 12-Byte-IV, sodass derselbe Text nie zweimal denselben Chiffretext ergibt.

Verschlüsselter Text bleibt dort, wo Sie ihn ablegen — in einer Slack-Nachricht, einer E-Mail, einem Ticket — als Zeichenfolge, die mit [LOCKI:v2: beginnt. Ohne den Schlüssel kann ihn niemand lesen, weder die App, die ihn speichert, noch sonst jemand.

Schlüssel-Backups, die aus der Erweiterung exportiert werden, sind mit einem aus Ihrem Passwort abgeleiteten Schlüssel verschlüsselt — mit PBKDF2, SHA-256 und 600.000 Iterationen.

Persönliche Schlüssel werden in Ihrem Browser erzeugt und dort aufbewahrt. Sie werden nie an Locki gesendet.

Team-Schlüssel werden im Admin-Dashboard erstellt. Auf unseren Servern sind sie mit einem separaten Schlüssel verschlüsselt gespeichert, sodass eine Kopie der Datenbank allein nichts verrät. Sie werden über TLS nur an angemeldete Mitglieder der Gruppen ausgeliefert, die Zugriff haben. Beim Rotieren eines Schlüssels bleiben frühere Versionen erhalten, sodass ältere Inhalte lesbar bleiben.

Jede Ver- und Entschlüsselung und jede administrative Aktion wird mit Person, Aktion, Schlüssel, Zeitpunkt und der Website protokolliert, auf der sie stattfand. Der Inhalt selbst wird nie protokolliert — weder der Originaltext noch der Chiffretext.

Die Verschlüsselungsbibliothek hinter Locki, @lockisecurity/crypto-core, ist unter der MIT-Lizenz öffentlich. Ihre Tests laufen gegen die AES-GCM-Testvektoren des NIST aus SP 800-38D, und jeder kann den Code lesen, ausführen oder wiederverwenden.

Alle Verbindungen sind mit TLS verschlüsselt. Jede Anfrage an unsere API ist authentifiziert und auf Ihre Organisation beschränkt, Admin-Aktionen erfordern die Admin-Rolle, und Anfragen unterliegen einer Ratenbegrenzung. Die Anmeldung erfolgt mit der geschäftlichen E-Mail-Adresse oder dem Google-Konto.

Wir erheben nur, was für den Betrieb des Dienstes nötig ist. Die Datenschutzerklärung erläutert, was wir verarbeiten, warum und wie lange, und wie Sie Ihre Rechte nach der DSGVO wahrnehmen.

Wenn Sie glauben, eine Sicherheitslücke in Locki gefunden zu haben, schreiben Sie an security@lockisecurity.com — mit einer Beschreibung und den Schritten zur Reproduktion. Wir lesen jede Meldung, halten Sie während der Untersuchung auf dem Laufenden und nennen Sie auf Wunsch namentlich.

Bitte testen Sie nur mit Ihrem eigenen Konto, greifen Sie nicht auf Daten anderer zu und ändern Sie sie nicht, und geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie Details veröffentlichen. Derselbe Kontakt ist in unserer security.txt-Datei hinterlegt.