Novidades · Segurança no Blackbear

Como o compartilhamento continua lacrado

É no compartilhamento que a maioria dos produtos desiste da criptografia sem avisar. No momento em que duas pessoas precisam do mesmo documento, o caminho fácil é descriptografá-lo no servidor e chamar isso de recurso. Nós não fomos pelo caminho fácil.

O Blackbear compartilha arquivos, pastas e edições em tempo real sem nos entregar as chaves. Veja como isso funciona por baixo.

As permissões são um documento assinado

Cada espaço compartilhado é regido por um esquema de permissões: um pequeno documento de política que nomeia cada membro e o que ele pode fazer. O dispositivo do dono o assina. Cada nova versão se encadeia ao hash da anterior e avança um contador de época.

Depois que o seu dispositivo vê uma versão de um espaço, ele recusa qualquer coisa mais antiga: a versão oito nunca será substituída pela versão sete. Um dispositivo novinho não tem histórico para comparar e começa com o que receber primeiro; a partir desse primeiro contato, a trava se mantém. O servidor distribui a política. Ele não pode escrevê-la, e não pode voltá-la para trás em nenhum dispositivo que tenha histórico.

Uma chave, lacrada para cada pessoa

Um espaço compartilhado tem uma chave de conteúdo. Ninguém a manda por aí às claras. Ela é lacrada individualmente para a chave pública de cada membro, e o servidor guarda essas cópias lacradas. Ele pode ter todas elas e não conseguir abrir nenhuma.

Papéis que não dá para falsificar

Leitor, comentarista, editor, moderador, dono. Cada papel concedido traz uma assinatura de quem o concedeu. Editar uma linha do banco de dados não promove ninguém.

Revogar troca a chave

Remover alguém vira a época: a chave de conteúdo é trocada e lacrada de novo para todos que ficam. Tudo o que for compartilhado a partir desse momento fica fora do alcance de quem saiu.

A honestidade exige a outra metade: o que alguém já sincronizou já era dele. Nenhum protocolo consegue entrar num dispositivo e desfazer o envio de dados. Quem diz que a sua revogação faz isso está tentando vender alguma coisa.

A edição ao vivo é texto cifrado retransmitido

A colaboração em tempo real transmite atualizações CRDT criptografadas pelo servidor. Ele vê as impressões digitais dos membros, as épocas das chaves e os tamanhos. Ele ordena o fluxo e o distribui. As palavras que aparecem sob o cursor de quem edita com você são abertas no dispositivo dessa pessoa, não no nosso.

A autoria é assinada

Suas ações são assinadas com a chave do seu perfil. O Pax assina com a dele. O que você escreveu e o que o seu assistente escreveu continuam criptograficamente distintos, sem nenhuma configuração da sua parte.

Sua gente não paga

Compartilhar não exige que o outro lado pague. O lacre do conteúdo funciona igual para todos os membros, gratuitos ou pagantes. E os convidados gratuitos participam plenamente dos espaços que um anfitrião pagante patrocina: trocam mensagens, editam juntos, entram em chamadas, sob as mesmas regras de acesso de todo mundo. A regra por baixo é simples: toda conexão retransmitida precisa incluir pelo menos um anfitrião, e quando o servidor não consegue comprovar isso, ele recusa.

Assim termina a série. Seu conteúdo é lacrado no seu dispositivo antes de viajar. Nossos servidores guardam um inventário curto e público de metadados. E o compartilhamento estende o lacre em vez de rompê-lo.