Lockiがデータを守る仕組み

テキストとファイルは、すべての最新ブラウザに組み込まれているWeb Crypto APIを使い、ブラウザ内でAES-256-GCMにより暗号化・復号化されます。値ごとに新しい12バイトのランダムなIVが使われるため、同じテキストから同じ暗号文が生成されることはありません。

暗号化されたテキストは、Slackのメッセージ、メール、チケットなど置いた場所に、[LOCKI:v2:で始まる文字列として残ります。キーがなければ、保存しているアプリを含め誰も読むことはできません。

拡張機能からエクスポートしたキーのバックアップは、パスワードからPBKDF2（SHA-256、600,000回の反復）で導出したキーで暗号化されます。

個人用キーはブラウザ内で生成され、そこに保管されます。Lockiに送信されることはありません。

チームキーは管理ダッシュボードで作成されます。当社のサーバーには別のキーで暗号化して保存されるため、データベースのコピーだけでは何もわかりません。キーはTLS経由で、アクセス権を持つグループのログイン済みメンバーにのみ配信されます。キーをローテーションしても以前のバージョンは保持されるため、古いコンテンツも引き続き読めます。

暗号化、復号化、管理操作はすべて、実行したユーザー、操作、キー、日時、実行されたサイトとともに記録されます。コンテンツそのものは、元のテキストも暗号文も記録されません。

Lockiを支える暗号ライブラリ@lockisecurity/crypto-coreは、MITライセンスで公開されています。テストはSP 800-38DのNIST AES-GCMテストベクトルで実行されており、誰でもコードを読み、実行し、再利用できます。

すべての通信はTLSで暗号化されます。APIへのすべてのリクエストは認証され、組織の範囲内に制限されます。管理操作には管理者ロールが必要で、リクエストにはレート制限が適用されます。ユーザーは仕事用のメールアドレスかGoogleアカウントでログインします。

当社は、サービスの運営に必要な情報だけを収集します。プライバシーポリシーでは、何を、なぜ、どのくらいの期間処理するか、そしてGDPRに基づく権利の行使方法を説明しています。

Lockiのセキュリティ上の問題を発見したと思われる場合は、内容と再現手順を添えてsecurity@lockisecurity.comまでメールでご連絡ください。すべての報告に目を通し、調査中は状況をお知らせします。ご希望があれば、謝辞としてお名前を掲載します。

テストはご自身のアカウントでのみ行い、他人のデータへのアクセスや変更は行わないでください。また、詳細を公開する前に、問題を修正するための合理的な期間をお与えください。同じ連絡先はsecurity.txtファイルにも掲載しています。