Jak Locki chroni Twoje dane

Teksty i pliki są szyfrowane i odszyfrowywane w przeglądarce algorytmem AES-256-GCM, za pomocą Web Crypto API wbudowanego w każdą nowoczesną przeglądarkę. Każda wartość otrzymuje nowy, losowy 12-bajtowy IV, więc ten sam tekst nigdy nie daje dwa razy tego samego szyfrogramu.

Zaszyfrowany tekst zostaje tam, gdzie go umieścisz — w wiadomości na Slacku, e-mailu czy zgłoszeniu — jako ciąg zaczynający się od [LOCKI:v2:. Bez klucza nie da się go odczytać — ani aplikacji, która go przechowuje, ani nikomu innemu.

Kopie zapasowe kluczy eksportowane z rozszerzenia są szyfrowane kluczem wyprowadzonym z Twojego hasła za pomocą PBKDF2 z SHA-256 i 600 000 iteracji.

Klucze osobiste są generowane w Twojej przeglądarce i tam pozostają. Nigdy nie są wysyłane do Locki.

Klucze zespołu tworzy się w panelu administracyjnym. Na naszych serwerach są przechowywane w postaci zaszyfrowanej osobnym kluczem, więc sama kopia bazy danych niczego nie ujawnia. Są przekazywane przez TLS wyłącznie zalogowanym członkom grup, które mają do nich dostęp. Rotacja klucza zachowuje wcześniejsze wersje, więc starsze treści pozostają czytelne.

Każde szyfrowanie, odszyfrowanie i czynność administracyjna są rejestrowane z informacją o osobie, czynności, kluczu, czasie i stronie, na której do nich doszło. Sama treść nigdy nie jest rejestrowana — ani oryginalny tekst, ani szyfrogram.

Biblioteka szyfrująca Locki, @lockisecurity/crypto-core, jest publiczna na licencji MIT. Jej testy korzystają z wektorów testowych AES-GCM od NIST z publikacji SP 800-38D, a każdy może czytać, uruchamiać i ponownie wykorzystywać ten kod.

Wszystkie połączenia są szyfrowane za pomocą TLS. Każde żądanie do naszego API jest uwierzytelniane i ograniczone do Twojej organizacji, czynności administracyjne wymagają roli administratora, a liczba żądań jest limitowana. Logowanie odbywa się służbowym adresem e-mail lub kontem Google.

Zbieramy tylko to, czego usługa potrzebuje do działania. Polityka prywatności wyjaśnia, co przetwarzamy, dlaczego i jak długo oraz jak skorzystać z praw przysługujących Ci na mocy RODO.

Jeśli uważasz, że w Locki występuje problem z bezpieczeństwem, napisz na security@lockisecurity.com, podając opis i kroki pozwalające go odtworzyć. Czytamy każde zgłoszenie, informujemy Cię o postępach i — jeśli chcesz — wymieniamy Cię w podziękowaniach.

Testuj wyłącznie na własnym koncie, nie uzyskuj dostępu do danych innych osób ani ich nie zmieniaj i daj nam rozsądny czas na naprawę, zanim opublikujesz szczegóły. Ten sam kontakt znajduje się w naszym pliku security.txt.