安全性

我們如何保護您的密碼

加密概論

Psono 並沒有重新發明輪子。在 Psono 的核心，我們使用 Curve25519 和 Salsa20，以 NaCl（發音為「salt」）形式的「網絡和加密庫」。我們的伺服器使用 PyNaCl，而我們的前端使用 ecma-nacl。這兩者都是 NaCl 的成熟實現。為什麼不用 RSA 和 AES？RSA 和 AES 更為著名，但很容易錯誤地實現並且速度更慢（這裡有一篇有用的文章，談論使用 RSA 和 AES 的差異和「危險」）。

您的瀏覽器加密

Psono 在資料離開瀏覽器並儲存到伺服器的「秘密物件」中之前，使用 NaCl 的密鑰驗證加密所有資料（如密碼或筆記）。加密的密鑰是隨機生成的，並與秘密的一些中繼資料一起儲存在您的「資料儲存庫」中。瀏覽器應用程式使用您的密碼推導出來的密鑰加密您的「資料儲存庫」。作為這次密碼推導的演算法，我們使用的是<scrypt>。為什麼不是,<PBKDF2>？,<PBKDF2>更有名，但由於較低的資源要求（特別是記憶體），在硬體上容易“廉價”實現，對攻擊者來說更容易破解。</PBKDF2></PBKDF2></scrypt>

我們的傳輸加密

三層加密層在數據從您的瀏覽器傳送到我們的應用服務器的過程中保護您的數據。基礎層是由客戶端進行的數據本身的加密。在此之上，Psono 實施了一個中間層，我們通常稱之為 Psono 的傳輸加密層。此層就像是一個隧道（類似於 VPN 隧道）在在您的瀏覽器內運行的網站（或擴展功能）和我們的應用服務器之間。此外，作為最外層或殼層，我們使用 HTTPS（版本 TLS 1.2）。值得注意的是，我們的中層和外層都被構建和配置以支持完美前向安全性（PFS）。

靜態加密

應用伺服器在將所有私人數據（例如您的電子郵件地址）存儲到數據庫中之前，會先進行加密。這裡我們使用 Salsa20 流加密與 Poly1305 with，將對 , reducing the necessary trust level of our 的信任水平降至最低。

定期安全更新

您必須保持您的軟體更新。這是對任何電腦系統和軟體的最佳建議。這是抵抗惡意軟體、病毒和黑客的最佳保護，也是保護您的秘密的基本必要措施。Psono 已經了解這一點，並定期發布包含最新安全補丁和功能的更新。

開源原則

Psono 的核心是開放源代碼，並將保持開放源代碼。這意味著：無需許可費。沒有隨時間增加的訂閱費用。沒有隱藏的安全漏洞。可以自由選擇合作夥伴進行遷移和託管。公開審計和安全檢查。如果您願意，可以隨時自己修復錯誤。

服務可用性

您需要隨時訪問您的密碼。我們理解這一點。Psono 有三種方法來解決這個問題。首先，我們提供了所有人的伺服器和客戶端，用於內部部署託管，免費且通過 docker 非常簡單。在我們的下載頁面，您可以找到相應的Psono Server和Psono Web Client的 docker 映像。其次，我們的簡易文字檔備份功能。第三，我們在雲端執行，使用亞馬遜的AWS和Google的GCP，以將數據中心中斷、數據丟失和伺服器問題的風險降到最低。