Come Locki protegge i tuoi dati

Testi e file vengono cifrati e decifrati nel browser con AES-256-GCM, tramite la Web Crypto API integrata in tutti i browser moderni. Ogni valore riceve un nuovo IV casuale di 12 byte, quindi lo stesso testo non produce mai due volte lo stesso testo cifrato.

Il testo cifrato resta dove lo metti (un messaggio Slack, un'email, un ticket) come una stringa che inizia con [LOCKI:v2:. Senza la chiave non può essere letto, né dall'app che lo archivia né da nessun altro.

I backup delle chiavi esportati dall'estensione sono cifrati con una chiave derivata dalla tua password, tramite PBKDF2 con SHA-256 e 600.000 iterazioni.

Le chiavi personali vengono generate nel tuo browser e restano lì. Non vengono mai inviate a Locki.

Le chiavi del team vengono create nella dashboard di amministrazione. Sui nostri server sono archiviate cifrate con una chiave separata, quindi una copia del database, da sola, non rivela nulla. Vengono consegnate tramite TLS solo ai membri dei gruppi autorizzati che hanno effettuato l'accesso. La rotazione di una chiave conserva le versioni precedenti, così i contenuti meno recenti restano leggibili.

Ogni cifratura, decifratura e azione amministrativa viene registrata con la persona, l'azione, la chiave, l'ora e il sito in cui è avvenuta. Il contenuto non viene mai registrato: né il testo originale né il testo cifrato.

La libreria di crittografia di Locki, @lockisecurity/crypto-core, è pubblica con licenza MIT. I suoi test usano i vettori di test AES-GCM del NIST tratti dalla SP 800-38D, e chiunque può leggere, eseguire o riutilizzare il codice.

Tutte le connessioni sono cifrate con TLS. Ogni richiesta alla nostra API è autenticata e limitata alla tua organizzazione, le azioni amministrative richiedono il ruolo di amministratore e le richieste hanno limiti di frequenza. Si accede con l'email di lavoro o con l'account Google.

Raccogliamo solo ciò che serve al funzionamento del servizio. L'informativa sulla privacy spiega cosa trattiamo, perché e per quanto tempo, e come esercitare i tuoi diritti ai sensi del GDPR.

Se pensi di aver trovato un problema di sicurezza in Locki, scrivi a security@lockisecurity.com con una descrizione e i passaggi per riprodurlo. Leggiamo ogni segnalazione, ti aggiorniamo durante l'analisi e, se lo desideri, ti citiamo nei ringraziamenti.

Esegui i test solo sul tuo account, non accedere ai dati di altre persone né modificarli, e lasciaci un tempo ragionevole per risolvere il problema prima di renderne pubblici i dettagli. Lo stesso contatto è pubblicato nel nostro file security.txt.