Locki verilerinizi nasıl korur

Metinler ve dosyalar, tüm modern tarayıcılarda yerleşik olan Web Crypto API kullanılarak tarayıcıda AES-256-GCM ile şifrelenir ve şifreleri çözülür. Her değer yeni ve rastgele 12 baytlık bir IV alır; böylece aynı metin hiçbir zaman iki kez aynı şifreli metni üretmez.

Şifreli metin, onu koyduğunuz yerde — bir Slack mesajında, e-postada, destek kaydında — [LOCKI:v2: ile başlayan bir dize olarak kalır. Anahtar olmadan ne onu saklayan uygulama ne de başka biri onu okuyabilir.

Uzantıdan dışa aktarılan anahtar yedekleri, parolanızdan PBKDF2 (SHA-256, 600.000 yineleme) ile türetilen bir anahtarla şifrelenir.

Kişisel anahtarlar tarayıcınızda oluşturulur ve orada kalır. Locki'ye asla gönderilmez.

Takım anahtarları yönetici panelinde oluşturulur. Sunucularımızda ayrı bir anahtarla şifrelenmiş olarak saklanır; bu nedenle veritabanının bir kopyası tek başına hiçbir şey açığa çıkarmaz. TLS üzerinden yalnızca erişim yetkisi olan gruplardaki, oturum açmış üyelere iletilir. Bir anahtarı döndürmek önceki sürümleri korur; böylece eski içerik okunabilir kalır.

Her şifreleme, şifre çözme ve yönetim işlemi; kişi, işlem, anahtar, zaman ve gerçekleştiği site bilgisiyle kaydedilir. İçeriğin kendisi asla kaydedilmez — ne orijinal metin ne de şifreli metin.

Locki'nin arkasındaki şifreleme kütüphanesi @lockisecurity/crypto-core, MIT lisansıyla herkese açıktır. Testleri SP 800-38D'deki NIST AES-GCM test vektörleriyle çalışır ve herkes kodu okuyabilir, çalıştırabilir veya yeniden kullanabilir.

Tüm bağlantılar TLS ile şifrelenir. API'mize yapılan her istek kimlik doğrulamasından geçer ve kuruluşunuzla sınırlıdır; yönetici işlemleri yönetici rolü gerektirir ve isteklere hız sınırı uygulanır. Kullanıcılar iş e-postaları veya Google hesaplarıyla oturum açar.

Yalnızca hizmetin çalışması için gerekenleri topluyoruz. Gizlilik politikası neyi, neden ve ne kadar süreyle işlediğimizi ve GDPR kapsamındaki haklarınızı nasıl kullanabileceğinizi açıklar.

Locki'de bir güvenlik sorunu bulduğunuzu düşünüyorsanız, açıklamasını ve yeniden üretme adımlarını security@lockisecurity.com adresine gönderin. Her bildirimi okuyoruz, inceleme süresince sizi bilgilendiriyoruz ve isterseniz adınızı teşekkür listemize ekliyoruz.

Lütfen yalnızca kendi hesabınız üzerinde test yapın, başkalarının verilerine erişmeyin veya bunları değiştirmeyin ve ayrıntıları kamuya açıklamadan önce sorunu düzeltmemiz için bize makul bir süre tanıyın. Aynı iletişim adresi security.txt dosyamızda da yayımlanmıştır.