Actualités · La sécurité chez Blackbear

Un partage qui reste scellé

C’est au moment du partage que la plupart des produits renoncent discrètement au chiffrement. Dès que deux personnes ont besoin du même document, la solution facile consiste à le déchiffrer côté serveur et à appeler ça une fonctionnalité. Nous n’avons pas choisi la solution facile.

Blackbear partage fichiers, dossiers et modifications en direct sans nous confier les clés. Voici comment cela fonctionne sous le capot.

Les autorisations sont un document signé

Chaque espace partagé est régi par un schéma de capacités : un petit document de règles qui nomme chaque membre et ce qu’il ou elle peut faire. L’appareil du propriétaire le signe. Chaque nouvelle version s’enchaîne au hash de la précédente et fait avancer un compteur d’époque.

Dès que votre appareil a vu une version d’un espace, il refuse toute version plus ancienne : la version huit ne sera jamais remplacée par la version sept. Un appareil tout neuf n’a pas d’historique auquel comparer et part de ce qu’on lui sert en premier ; à partir de ce premier regard, le cliquet tient. Le serveur distribue les règles. Il ne peut pas les écrire, et il ne peut pas les faire reculer pour un appareil qui a un historique.

Une clé, scellée pour chaque personne

Un espace partagé a une clé de contenu. Personne ne la fait circuler en clair. Elle est scellée individuellement pour la clé publique de chaque membre, et le serveur stocke ces copies scellées. Il peut toutes les détenir sans pouvoir en ouvrir une seule.

Des rôles infalsifiables

Lecteur, commentateur, éditeur, modérateur, propriétaire. Chaque attribution de rôle porte la signature de la personne qui l’a accordée. Modifier une ligne de base de données ne peut promouvoir personne.

Révoquer, c’est changer de clé

Retirer quelqu’un fait basculer l’époque : la clé de contenu est renouvelée et scellée à nouveau pour toutes les personnes qui restent. Tout ce qui est partagé à partir de ce moment reste opaque pour la personne partie.

L’honnêteté impose de dire l’autre moitié : ce que quelqu’un a déjà synchronisé lui appartenait déjà. Aucun protocole ne peut aller chercher des données dans un appareil pour les « désenvoyer ». Quiconque prétend que sa révocation le fait cherche à vous vendre quelque chose.

L’édition en direct relaie du chiffré

La collaboration en temps réel fait transiter par le serveur des mises à jour CRDT chiffrées. Il voit les empreintes des membres, les époques des clés et les tailles. Il ordonne le flux et le redistribue. Les mots qui apparaissent sous le curseur de votre coéditeur sont déchiffrés sur son appareil, pas sur le nôtre.

La paternité est signée

Vos actions sont signées avec la clé de votre profil. Pax signe avec la sienne. Ce que vous avez écrit et ce que votre assistant a écrit restent distincts sur le plan cryptographique, sans aucune configuration de votre part.

Vos proches ne paient pas

Partager n’oblige pas l’autre partie à payer. Le scellement du contenu fonctionne de la même façon pour chaque membre, gratuit ou payant. Et les invités gratuits participent pleinement aux espaces qu’un hôte payant parraine : ils échangent des messages, coéditent, rejoignent les appels, selon les mêmes règles d’accès que tout le monde. La règle sous-jacente est simple : toute connexion relayée doit inclure au moins un hôte, et quand le serveur ne peut pas le prouver, il refuse.

Ainsi s’achève la série. Votre contenu est scellé sur votre appareil avant de voyager. Nos serveurs tiennent un registre court et public de métadonnées. Et le partage prolonge le sceau au lieu de le briser.