Cifrado en general
Psono no reinventó la rueda. En el núcleo de Psono, estamos utilizando Curve25519 y Salsa20 en forma de NaCl (pronunciado “salt”) la “biblioteca de Redes y Criptografía”. Nuestro servidor utiliza PyNaCl y nuestro frontend ecma-nacl. Ambos son implementaciones bien establecidas de NaCl. ¿Por qué no RSA y AES? RSA y AES son mucho más famosos, pero son fáciles de implementar incorrectamente y mucho más lentos (aquí hay un útil artículo que habla sobre las diferencias y los “peligros” de usar RSA y AES).
Tu Cifrado del Navegador
Psono cifra todos los datos (como contraseñas o notas) con la autenticación de clave secreta de NaCl antes de salir de tu navegador y ser almacenados en el servidor en un “objeto secreto”. La clave para el cifrado se genera aleatoriamente y se almacena junto con algunos metadatos de tu secreto en tu “datastore”. La aplicación del navegador cifra tu “datastore” con una derivación de tu contraseña. Como algoritmo para esta derivación de contraseña estamos utilizando scrypt. ¿Por qué no PBKDF2? PBKDF2 es mucho más famoso pero debido a la menor demanda de recursos (especialmente de memoria) es “baratamente” implementable en hardware y más fácil de romper para un atacante.
Nuestra Cifrado de Transporte
Tres capas de cifrado protegen sus datos desde su navegador hasta nuestro servidor de aplicaciones. La capa base es el cifrado de los datos en sí mismo realizado por el cliente. Además de eso, Psono ha implementado una capa intermedia, que generalmente nos referimos como la capa de cifrado de transporte de Psono. Esta capa es como un túnel (similar a un túnel VPN) entre el sitio web (o extensión) que se ejecuta dentro de su navegador y nuestro servidor de aplicaciones. Además, como capa externa o capa de envoltura, estamos utilizando HTTPS (en la versión TLS 1.2). Cabe destacar también que tanto nuestra capa intermedia como externa están construidas y configuradas para soportar perfect forward security (PFS).
El Cifrado en Reposo
El servidor de aplicaciones cifra todos los datos privados (p. ej., tu dirección de correo electrónico) antes de almacenarlos en la base de datos. Estamos utilizando aquí el cifrado de flujo Salsa20 junto con un Poly1305 with, reduciendo al mínimo el nivel de confianza necesario de nuestro , reducing the necessary trust level of our.
Actualizaciones regulares de seguridad
Tienes que mantener tu software actualizado. Ese es el mejor consejo para cualquier sistema y software informático. Es la mejor protección contra malware, virus y hackers y una necesidad fundamental para proteger tus secretos. Psono ha entendido esto y lanza actualizaciones regulares con los parches de seguridad y características más recientes.
Principio de Código Abierto
El núcleo de Psono es de código abierto y seguirá siendo de código abierto. Esto significa: Sin tarifa de licencia. Sin costos de suscripción que aumenten con el tiempo. Sin fallos de seguridad ocultos. Flexibilidad para mover y alojar en cualquier lugar con el socio de su elección. Audibilidad pública y comprobaciones de seguridad. Puedes corregir un error tú mismo si lo deseas en cualquier momento.
Disponibilidad del servicio
Necesitas acceso a tus contraseñas en todo momento. Entendemos eso. Psono tiene tres enfoques para solucionar este problema. Primero, ofrecemos a todos nuestro servidor y clientes para hosting en las instalaciones, de forma gratuita y con docker tan fácil como es posible. En nuestra página de descargas, puedes encontrar las correspondientes imágenes de docker para el Psono Server y el Psono Web Client. Segundo, nuestra función de copia de seguridad de archivo de texto fácil. Tercero, estamos funcionando en la nube en AWS de Amazon y GCP de Google, minimizando los riesgos de interrupciones en los centros de datos, pérdida de datos y problemas del servidor.
Copias de seguridad diarias de sus datos
Hacemos una copia de seguridad de todos los datos del Servicio Psono.pw automáticamente cada noche para garantizar la máxima protección posible contra la posible pérdida de datos. El acceso a esas copias de seguridad se concede solo a una cantidad muy limitada de personas.
Seguridad del código a través de Auditorías de Código
Realizamos auditorías de código en cualquier nuevo código que se añada. El código requiere aprobación manual antes de ser puesto en producción. Los chequeos automáticos aseguran la calidad del código.
Minimización de problemas Pruebas automatizadas
Probamos todo el código automáticamente en múltiples etapas y debe pasar varias comprobaciones de calidad antes de que se considere listo para implementar. Puede encontrar el estado actual de las pruebas siempre como una insignia aquí para Psono Client y el Psono Server.
Escaneos de vulnerabilidades automatizados
Contamos con múltiples escáneres de seguridad y vulnerabilidad. Esto nos permite detectar nuevas amenazas y responder rápidamente. Los escaneos automatizados se ejecutan cada noche y generan notificaciones correspondientes. Además, esos escaneos se ejecutan automáticamente en nuestro pipeline de construcción, bloqueando versiones vulnerables. Chequeos adicionales ofrecidos por terceros (por ejemplo, github.com) generan alertas para cada nuevo CVE.
Diseño de Red Multizona
Nuestra red sigue las mejores prácticas y utiliza todo el poder de las restricciones de seguridad de nuestros proveedores de la nube. La red en sí está dividida en múltiples capas y firewalls intermedios para restringir el acceso y prevenir/demorar posibles intrusiones.
Protección Avanzada contra DDoS
Los ataques DDoS (Denial-of-Service) son una gran amenaza para los servicios en línea actuales. Es por eso que Psono ha tomado medidas para protegerse y usa Cloudflare para mitigar el riesgo de interrupciones debido a ataques DDoS.