Criptografia em geral
A Psono não reinventou a roda. No núcleo do Psono, estamos usando Curve25519 e Salsa20 na forma de NaCl (pronunciado “sal”), a “Biblioteca de Redes e Criptografia”. Nosso servidor usa PyNaCl e nosso frontend ecma-nacl. Ambas são implementações bem estabelecidas de NaCl. Por que não RSA e AES? RSA e AES são muito mais famosas, mas são fáceis de implementar incorretamente e muito mais lentas (aqui está um artigo útil que fala sobre as diferenças e os “perigos” do uso de RSA e AES).
A Criptografia do Seu Navegador
Psono criptografa todos os dados (como senhas ou notas) com a autenticação de chave secreta do NaCl antes de sair do seu navegador e serem armazenados no servidor em um “objeto secreto”. A chave para a criptografia é gerada aleatoriamente e armazenada junto com alguns metadados do seu segredo no seu “datastore”. O aplicativo do navegador criptografa seu “datastore” com uma derivação da sua senha. Como algoritmo para esta derivação de senha estamos usando scrypt. Por que não PBKDF2? PBKDF2 é muito mais famoso, mas devido à menor demanda de recursos (especialmente memória) "baratamente" implementável em hardware e mais fácil de quebrar para um atacante.
Nossa Criptografia de Transporte
Três camadas de criptografia protegem seus dados no caminho do navegador até o nosso servidor de aplicação. A camada base é a criptografia dos próprios dados feita pelo cliente. Além disso, a Psono implementou uma camada intermediária, que geralmente chamamos de camada de criptografia de transporte da Psono. Esta camada é como um túnel (semelhante a um túnel VPN) entre o site (ou extensão) executando dentro do seu navegador e o nosso servidor de aplicação. Além disso, como camada externa ou camada de concha, estamos usando HTTPS (na versão TLS 1.2). Vale ressaltar também que tanto nossa camada intermediária quanto a camada externa são construídas e configuradas para suportar perfect forward security (PFS).
A Criptografia em Repouso
O servidor de aplicação criptografa todos os dados privados (por exemplo, seu endereço de e-mail), antes de armazená-los no banco de dados. Estamos usando aqui o Salsa20 cipher stream juntamente com um Poly1305 with, reduzindo ao mínimo o nível de confiança necessário de nosso , reducing the necessary trust level of our.
Atualizações Regulares de Segurança
Você precisa manter seu software atualizado. Esse é o melhor conselho para qualquer sistema e software de computador. É a melhor proteção contra malware, vírus e hackers e uma necessidade fundamental para proteger seus segredos. A Psono compreendeu isso e lança atualizações regulares com os patches de segurança e recursos mais recentes.
Princípio de Código Aberto
O núcleo do Psono é de código aberto e continuará sendo de código aberto. Isso significa: Sem taxa de licença. Sem custos de assinatura aumentados ao longo do tempo. Sem falhas de segurança ocultas. Flexibilidade para mover e hospedar em qualquer lugar com o parceiro de sua escolha. Auditabilidade pública e verificações de segurança. Você pode corrigir um bug você mesmo se quiser a qualquer momento.
Disponibilidade do Serviço
Você precisa de acesso às suas senhas a todo momento. Entendemos isso. A Psono possui três abordagens para resolver esse problema. Primeiro, oferecemos a todos o nosso servidor e clientes para hospedagem no local, gratuitamente e com docker tão fácil quanto possível. Em nossa página de download, você pode encontrar as imagens correspondentes do docker para o Psono Server e Psono Web Client. Segundo, nossa função de backup fácil em arquivo de texto. Terceiro, estamos operando na nuvem na AWS da Amazon e na GCP do Google, minimizando os riscos de interrupções no datacenter, perda de dados e problemas no servidor.
Backups diários dos seus dados
Fazemos backup de todos os dados do Psono.pw Service automaticamente todas as noites para garantir a máxima proteção possível contra a perda de dados. O acesso a esses backups é concedido apenas a um número muito limitado de pessoas.
Segurança do código através de Auditorias de Código
Realizamos auditorias de código em qualquer novo código adicionado. O código requer aprovação manual antes de ser colocado em produção. Verificações automáticas garantem a qualidade do código.
Minimização de Problemas Testes Automatizados
Testamos todo o código automaticamente em múltiplas etapas e ele deve passar por várias verificações de qualidade antes de ser considerado para entrar em produção. Você pode encontrar o status atual dos testes sempre como um emblema aqui para Psono Client e o Psono Server.
Scans Automatizados de Vulnerabilidades
Temos vários scanners de segurança e vulnerabilidade em funcionamento. Isso nos permite detectar novas ameaças e responder rapidamente. Scans automatizados são executados todas as noites e acionam notificações correspondentes. Além disso, esses scans são executados automaticamente em nossa pipeline de construção, bloqueando lançamentos vulneráveis. Verificações adicionais oferecidas por terceiros (por exemplo, github.com) lançam alertas para cada novo CVE.
Design de Rede Multizona
Nossa rede está seguindo as melhores práticas e utiliza todo o poder das restrições de segurança de nossos provedores de nuvem. A própria rede é dividida em várias camadas e firewalls entre elas para restringir o acesso e prevenir/atrasar possíveis intrusões.
Proteção Avançada contra DDoS
Os ataques DDoS (Negação de Serviço) são uma grande ameaça para os serviços online atuais. É por isso que a Psono tomou medidas para se proteger e usa Cloudflare para mitigar o risco de interrupções devido a ataques DDoS.