Nyheter · Säkerhet hos Blackbear

Så förblir delning förseglad

Det är vid delning som de flesta produkter i tysthet ger upp krypteringen. Så fort två personer behöver samma dokument är det enkla draget att dekryptera det på servern och kalla det en funktion. Vi valde inte det enkla draget.

Blackbear delar filer, mappar och liveredigering utan att lämna nycklarna till oss. Så här fungerar det under ytan.

Behörigheter är ett signerat dokument

Varje delad yta styrs av ett behörighetsschema: ett litet policydokument som namnger varje medlem och vad hen får göra. Ägarens enhet signerar det. Varje ny version kedjas till hashen av den föregående och räknar upp en epokräknare.

När din enhet väl har sett en version av en yta vägrar den allt som är äldre: version åtta ersätts aldrig av version sju. En helt ny enhet har ingen historik att jämföra med och utgår från det den först får; från den första gången och framåt håller spärren. Servern distribuerar policyn. Den kan inte skriva den, och den kan inte spola tillbaka den för en enhet som har historik.

En nyckel, förseglad per person

En delad yta har en innehållsnyckel. Ingen skickar runt den öppet. Den förseglas separat till varje medlems publika nyckel, och servern lagrar de förseglade kopiorna. Den kan hålla alla och öppna ingen.

Roller som inte går att förfalska

Läsare, kommentator, redaktör, moderator, ägare. Varje tilldelad roll bär en signatur från den som tilldelade den. Att ändra en rad i databasen kan inte befordra någon.

Återkallelse roterar

När någon tas bort slår epoken om: innehållsnyckeln roteras och förseglas på nytt för alla som är kvar. Allt som delas från den stunden är mörkt för den som lämnade.

Ärligheten kräver den andra halvan också: det någon redan har synkat var redan deras. Inget protokoll kan nå in i en enhet och ta tillbaka data. Den som påstår att deras återkallelse gör det försöker sälja något.

Liveredigering är vidarebefordrad chiffertext

Samarbete i realtid strömmar krypterade CRDT-uppdateringar via servern. Den ser medlemmarnas fingeravtryck, nyckelepoker och storlekar. Den ordnar strömmen och sprider den vidare. Orden som dyker upp under din medredaktörs markör öppnas på hens enhet, inte på vår.

Författarskap signeras

Dina åtgärder signeras med din profilnyckel. Pax signerar med sin egen. Det du skrev och det din assistent skrev hålls kryptografiskt åtskilt, utan att du behöver ställa in något.

Dina människor betalar inte

Delning kräver inte att den andra parten betalar. Förseglingen av innehåll fungerar likadant för alla medlemmar, gratis eller betalande. Och gäster med gratiskonto är fullt delaktiga i ytor som en betalande värd står för: de skickar meddelanden, redigerar tillsammans och deltar i samtal, under samma åtkomstregler som alla andra. Regeln under ytan är enkel: varje vidarebefordrad anslutning måste innehålla minst en värd, och när servern inte kan bevisa det säger den nej.

Det var serien. Ditt innehåll är förseglat på din enhet innan det färdas. Våra servrar har en kort, publicerad redovisning av metadata. Och delning förlänger förseglingen i stället för att bryta den.