安全

我们如何保护您的密码

加密概述

Psono 没有重新发明轮子。在 Psono 的核心，我们使用 Curve25519 和 Salsa20 形式的 NaCl（发音为“盐”）“网络与密码库”。我们的服务器使用 PyNaCl，前端使用 ecma-nacl。这两个都是 NaCl 的成熟实现。为什么不使用 RSA 和 AES？RSA 和 AES 更著名，但容易被错误实现，而且速度更慢（这里有一篇有用的文章，讨论了 RSA 和 AES 的区别和使用“危险性”）。

您的浏览器加密

Psono 在您的浏览器离开并存储在服务器上的“秘密对象”中之前使用 NaCl 的秘密密钥认证加密所有数据（如密码或笔记）。加密密钥是随机生成的，并与您的秘密的一些元数据一起存储在您的“数据存储”中。浏览器应用程序使用您的密码派生的加密您的“数据存储”。作为这个密码派生的算法，我们使用<scrypt>。为什么不用,<PBKDF2>? ,<PBKDF2> 更出名，但由于资源需求较低（尤其是内存），在硬件上“廉价”可实现，并且对攻击者来说更容易破解。</PBKDF2></PBKDF2></scrypt>

我们的传输加密

您的数据在从浏览器到我们的应用服务器的过程中受到三层加密保护。基础层是客户端对数据本身进行的加密。在此之上，Psono 实施了中间层，我们通常称之为 Psono 的传输加密层。此层就像是在浏览器内运行的网站（或扩展）和我们的应用服务器之间的一个隧道（类似于 VPN 隧道）。此外，作为外层或外壳层，我们使用 HTTPS（TLS 1.2 版本）。值得注意的是，我们的中间层和外层都是为支持完美前向保密 (PFS) 而构建和配置的。

静态加密

应用程序服务器在将所有私人数据（例如您的电子邮件地址）存储到数据库之前都会对其进行加密。我们在这里使用Salsa20流密码以及Poly1305 with，将我们, reducing the necessary trust level of our所需的信任级别降至最低。

定期安全更新

你必须保持你的软件是最新的。这是任何计算机系统和软件的最佳建议。这是抵御恶意软件、病毒和黑客的最佳保护措施，也是保护你秘密的基本必要条件。Psono 了解这一点，并定期发布包含最新安全补丁和功能的更新。

开源原则

Psono 的核心是开源的，并将保持开源。这意味着：没有许可费用。没有随时间增加的订阅费用。没有隐藏的安全漏洞。可以灵活地与您选择的合作伙伴一起移动和托管到任何地方。公开审计和安全检查。如果您愿意，随时可以自行修复漏洞。

服务可用性

您随时需要访问您的密码。我们理解这一点。Psono 有三种方法解决这个问题。首先，我们为所有人提供 Psono SaaS、Enterprise Edition 和 Community Edition 的服务器和客户端，供本地托管使用，免费且使用 docker 非常简单。在我们的下载页面上，您可以找到相应的Psono Server 和Psono Web Client 的 docker 镜像。其次，我们提供简单的文本文件备份功能。第三，我们在亚马逊的AWS 和谷歌的GCP 云端运行，最大限度地减少数据中心故障、数据丢失和服务器问题的风险。