News · Sicherheit bei Blackbear

Was wir nicht lesen können

Blackbear ist local-first. Jede Funktion läuft auf deinem Gerät, und standardmäßig liegen deine Daten nur dort, ganz ohne Server dazwischen.

Wenn du die Cloud-Synchronisierung einschaltest, transportieren unsere Server deine Daten zwischen deinen Geräten und deinen Menschen. Diese Serie erklärt, was das für deine Privatsphäre bedeutet. Teil 1 geht um Verschlüsselung: was dein Gerät verlässt und warum wir es nicht lesen können. Teil 2 ist eine ehrliche Aufstellung der Metadaten, die unsere Server tatsächlich speichern. Teil 3 geht um Teilen und Zusammenarbeit.

Alles Folgende beschreibt ausgelieferten Code, keine Absichten. Wo wir einen Algorithmus oder eine Zahl nennen, ist es die, die heute in der Produktion läuft.

Verschlüsselt wird auf deinem Gerät

Jede Änderung, die du synchronisierst, wird verschlüsselt, bevor sie das Netz berührt. Notizen, Dokumente, Aufgaben, Termine, Tagebucheinträge, Tabellen, Canvas, Audio, Versionsverlauf. Alles wird mit XChaCha20-Poly1305 versiegelt, einem authentifizierten Verschlüsselungsverfahren, mit einem Schlüssel, der dein Gerät nie ungeschützt verlässt. Unsere Server empfangen Geheimtext und speichern Geheimtext.

Bilder und Audiodateien werden genauso behandelt: auf deinem Gerät verschlüsselt, als undurchsichtige Blöcke hochgeladen.

Der Code, der all das erledigt, ist eine einzige Rust-Implementierung auf Basis des RustCrypto-Ökosystems, kompiliert zu WebAssembly. Die App und die Blackbear-CLI teilen ihn Byte für Byte, und wir testen ihn gegen sprachübergreifende Testdaten, damit keine zweite Implementierung unbemerkt abweichen kann.

Was das schützt und was nicht

Verschlüsselung ist ein bestimmtes Werkzeug, kein Kraftfeld. Vor den Details also die Grenzen.

Die Schlüsselhierarchie

Deine Passphrase verlässt nie dein Gerät. Alles wächst aus ihr:

• Deine Passphrase durchläuft Argon2id, eine speicherintensive Schlüsselableitungsfunktion, eingestellt auf 64 MiB Speicher, drei Durchläufe und vier Spuren. Heraus kommt dein Kontoschlüssel.
• Dein Kontoschlüssel verpackt deinen Tresorschlüssel: einen zufälligen 256-Bit-Schlüssel, der auf deinem Gerät erzeugt wird. Der Tresorschlüssel ist es, der deine Daten tatsächlich verschlüsselt.
• Unsere Server speichern den verpackten Tresorschlüssel, das Salt und die Parameter. Der verpackte Schlüssel ist selbst Geheimtext. Ohne deine Passphrase ist er Rauschen.

Warum der Umweg? So kannst du deine Passphrase ändern, ohne dein ganzes Leben neu zu verschlüsseln, und Wiederherstellung ist möglich, ohne die Haustür zu schwächen.

Ein Hinweis, der schwarz auf weiß gehört: Argon2id macht Raten teuer; aus einer schwachen Passphrase kann es keine starke machen. Der verpackte Tresorschlüssel ist genau so stark wie die Passphrase, die ihn verpackt. Wähle eine lange.

Wiederherstellung sind zwölf Wörter

Wenn du die Synchronisierung einrichtest, gibt dir Blackbear eine Wiederherstellungsphrase: zwölf Wörter (BIP39), die 128 Bit Entropie kodieren. Aus ihnen wird ein unabhängiger Schlüssel abgeleitet, der deinen Tresorschlüssel ein zweites Mal verpackt.

Passphrase verloren? Mit den zwölf Wörtern kommst du wieder hinein. Beides verloren? Dann sind deine synchronisierten Daten weg. Wir können sie nicht zurücksetzen, und kein Support-Ticket kann uns dazu bringen, denn auf unserer Seite gibt es nichts zurückzusetzen. Das ist keine Lücke in unserem Support. Das ist das Design, das hält.

Ein Gerät hinzufügen

Auf einem neuen Gerät gibst du deine Passphrase ein. Daraus wird lokal dein Kontoschlüssel abgeleitet, der den Tresorschlüssel aus der verpackten Kopie auf unserem Server auspackt. Der Server sieht weder die Passphrase noch das Ergebnis.

Ein bereits entsperrtes Gerät kann den Schlüssel auch direkt übergeben. Es versiegelt den Tresorschlüssel für den öffentlichen X25519-Schlüssel des neuen Geräts und legt ihn in einem Übergabefach ab, das sich nach fünf Minuten selbst zerstört, ob benutzt oder nicht. Eine ehrliche Grenze dabei: Dein bisheriges Gerät erfährt den öffentlichen Schlüssel des neuen Geräts über dein angemeldetes Konto, dieser unterstützte Weg vertraut also darauf, dass unser Server den richtigen Schlüssel für das gewählte Gerät weiterreicht. Der Weg über die Passphrase braucht dieses Vertrauen nicht.

Weil genau dieses Vokabular das ist, was sich ein Phisher leihen würde, eine Regel schwarz auf weiß: Wir werden dich nie nach deiner Passphrase oder deinen Wiederherstellungswörtern fragen, und wir werden dich nie bitten, eine Geräteübergabe zu bestätigen. Solche Abfragen gehören ausschließlich in eine App, die du selbst geöffnet hast. Wer sonst fragt, greift an.

Nachrichten

Nachrichten nutzen eigene Schlüssel, getrennt von der Synchronisierung. Jedes Konto hat eine X25519-Identität für Nachrichten, und jede Nachricht leitet über HKDF-SHA256 aus einem frischen Salt pro Nachricht einen eigenen Schlüssel ab. Nachrichten reisen als versiegelte Umschläge. Der Server leitet sie weiter; öffnen kann er sie nicht. Teil 2 zeigt, was die Außenseite des Umschlags verrät.

Ein Hinweis zum Design, klar gesagt: Eigene Schlüssel pro Nachricht sind nicht das Ratchet-Verfahren mit wechselnden Schlüsseln, das manche Messenger nutzen. Wenn der langfristige Nachrichtenschlüssel eines Geräts je kompromittiert würde, wären die für ihn versiegelten Nachrichten in Gefahr. Schlüssel pro Nachricht begrenzen den Schaden; Forward Secrecy sind sie nicht, und wir möchten lieber, dass du den Unterschied kennst.

Verlauf ohne Inhaltsfingerabdrücke

Der Versionsverlauf wird als verschlüsselte Momentaufnahmen synchronisiert, adressiert über IDs, die nur innerhalb deines Tresors gelten. Speichern du und eine fremde Person eine identische Datei, sieht der Server zwei unzusammenhängende IDs: Gleiche Inhalte lassen sich nicht kontoübergreifend abgleichen. Größe und Zeitpunkt bleiben sichtbar, wie bei aller Synchronisierung. Das sind Metadaten, und die gehören Teil 2.

Beweisen, ohne preiszugeben

Unwiderrufliche Kontoaktionen verlangen einen Tresornachweis: eine Signatur mit einem Ed25519-Schlüssel, der aus deinem Tresorschlüssel abgeleitet ist. Du beweist, dass du den Tresor hast, ohne dass der Tresor je reist. Und wenn Schlüssel ihre Arbeit im Speicher getan haben, werden sie mit Nullen überschrieben.

Nichts davon ist exotisch. XChaCha20-Poly1305, Argon2id, X25519, Ed25519, HKDF-SHA256: gängige, unspektakuläre, gründlich geprüfte Bausteine. Das Interessante ist die Disziplin, sie überall anzuwenden, und laut zu sagen, was sie nicht abdecken. Um diese Disziplin geht es im Rest dieser Serie.