Cara Locki melindungi data Anda

Teks dan file dienkripsi dan didekripsi di browser dengan AES-256-GCM, menggunakan Web Crypto API yang tertanam di setiap browser modern. Setiap nilai mendapatkan IV acak 12 byte yang baru, sehingga teks yang sama tidak pernah menghasilkan ciphertext yang sama dua kali.

Teks terenkripsi tetap berada di tempat Anda meletakkannya — pesan Slack, email, tiket — sebagai string yang diawali dengan [LOCKI:v2:. Tanpa kunci, teks itu tidak dapat dibaca, baik oleh aplikasi yang menyimpannya maupun oleh siapa pun.

Cadangan kunci yang diekspor dari ekstensi dienkripsi dengan kunci yang diturunkan dari kata sandi Anda, menggunakan PBKDF2 dengan SHA-256 dan 600.000 iterasi.

Kunci pribadi dibuat di browser Anda dan tetap di sana. Kunci itu tidak pernah dikirim ke Locki.

Kunci tim dibuat di dasbor admin. Di server kami, kunci tersebut disimpan dalam bentuk terenkripsi dengan kunci terpisah, sehingga salinan database saja tidak mengungkap apa pun. Kunci dikirimkan melalui TLS hanya kepada anggota grup yang memiliki akses dan sudah masuk. Rotasi kunci mempertahankan versi sebelumnya, sehingga konten lama tetap dapat dibaca.

Setiap enkripsi, dekripsi, dan tindakan administratif dicatat beserta orangnya, tindakannya, kuncinya, waktunya, dan situs tempat hal itu terjadi. Kontennya sendiri tidak pernah dicatat — baik teks asli maupun ciphertext.

Pustaka enkripsi di balik Locki, @lockisecurity/crypto-core, bersifat publik dengan lisensi MIT. Pengujiannya menggunakan vektor uji AES-GCM dari NIST SP 800-38D, dan siapa pun dapat membaca, menjalankan, atau menggunakan kembali kodenya.

Semua koneksi dienkripsi dengan TLS. Setiap permintaan ke API kami diautentikasi dan dibatasi pada organisasi Anda, tindakan admin memerlukan peran admin, dan jumlah permintaan dibatasi. Orang masuk dengan email kerja atau akun Google mereka.

Kami hanya mengumpulkan apa yang dibutuhkan layanan untuk berjalan. Kebijakan privasi menjelaskan apa yang kami proses, alasannya, berapa lama, dan cara menggunakan hak Anda berdasarkan GDPR.

Jika Anda yakin menemukan masalah keamanan di Locki, kirim email ke security@lockisecurity.com berisi deskripsi dan langkah-langkah untuk mereproduksinya. Kami membaca setiap laporan, terus mengabari Anda selama penyelidikan, dan mencantumkan nama Anda jika Anda menginginkannya.

Harap lakukan pengujian hanya pada akun Anda sendiri, jangan mengakses atau mengubah data orang lain, dan beri kami waktu yang wajar untuk memperbaiki masalah sebelum membagikan detailnya secara publik. Kontak yang sama juga tercantum dalam file security.txt kami.