Como a Locki protege seus dados

Textos e arquivos são criptografados e descriptografados no navegador com AES-256-GCM, usando a Web Crypto API integrada a todos os navegadores modernos. Cada valor recebe um IV aleatório novo de 12 bytes, então o mesmo texto nunca gera o mesmo texto criptografado duas vezes.

O texto criptografado fica onde você o colocou — uma mensagem no Slack, um e-mail, um ticket — como uma sequência que começa com [LOCKI:v2:. Sem a chave, ele não pode ser lido, nem pelo app que o armazena nem por qualquer outra pessoa.

Os backups de chaves exportados da extensão são criptografados com uma chave derivada da sua senha, usando PBKDF2 com SHA-256 e 600.000 iterações.

As chaves pessoais são geradas no seu navegador e ficam lá. Elas nunca são enviadas à Locki.

As chaves da equipe são criadas no painel de administração. Em nossos servidores, elas ficam armazenadas criptografadas com uma chave separada, então uma cópia do banco de dados, sozinha, não revela nada. Elas são entregues via TLS apenas aos membros conectados dos grupos que têm acesso. A rotação de uma chave mantém as versões anteriores, então o conteúdo mais antigo continua legível.

Cada criptografia, descriptografia e ação administrativa fica registrada com a pessoa, a ação, a chave, o horário e o site onde aconteceu. O conteúdo em si nunca é registrado — nem o texto original nem o texto criptografado.

A biblioteca de criptografia por trás da Locki, @lockisecurity/crypto-core, é pública sob a licença MIT. Seus testes usam os vetores de teste AES-GCM do NIST da SP 800-38D, e qualquer pessoa pode ler, executar ou reutilizar o código.

Todas as conexões são criptografadas com TLS. Cada requisição à nossa API é autenticada e limitada à sua organização, ações administrativas exigem o papel de administrador e as requisições têm limite de taxa. As pessoas fazem login com o e-mail corporativo ou a conta Google.

Coletamos apenas o que o serviço precisa para funcionar. A política de privacidade explica o que processamos, por quê e por quanto tempo, e como exercer seus direitos de acordo com o GDPR.

Se você acredita ter encontrado um problema de segurança na Locki, envie um e-mail para security@lockisecurity.com com uma descrição e os passos para reproduzi-lo. Lemos todos os relatos, mantemos você informado durante a investigação e damos o crédito, se você quiser.

Teste apenas na sua própria conta, não acesse nem altere dados de outras pessoas e nos dê um prazo razoável para corrigir o problema antes de divulgar detalhes publicamente. O mesmo contato está publicado no nosso arquivo security.txt.