Turvallisuusmalli

Päästä päähän -salaus

Jokainen laitteesi luo X25519-avainparin paikallisesti rekisteröityessään. Yksityinen avain säilytetään alustan suojatussa tallennustilassa (kuten Applen Keychainissa) eikä se koskaan poistu laitteelta. Vain julkinen avain rekisteröidään Kopigo-palveluun.

Kun lähetät tekstiä, lähettävä laite tekee tuoreen X25519-avaintenvaihdon jokaisen kohdelaitteen julkista avainta vasten ja salaa sisällön ChaCha20-Poly1305-todennetulla salauksella. Jokainen kohdelaite saa oman, itsenäisesti salatun kirjekuorensa: salatun sisällön todennustunnisteineen, kertakäyttöluvun (nonce) ja lähettäjän kertakäyttöisen julkisen avaimen.

Nämä ovat vakiintuneita, laajasti arvioituja menetelmiä ylläpidetystä salauskirjastosta. Kopigo ei keksi omia salausalgoritmeja.

Mitä välityspalvelu tallentaa

• Tili-identiteettisi, todennettuna Firebase Authentication -palvelulla.
• Laitetiedot: julkinen avain, alusta, rekisteröinti- ja viimeksi nähty -aikaleimat, online-tila.
• Salatut siirtokuoret vain siirron ajan: ne poistetaan, kun vastaanottava laite vahvistaa purun ja tallennuksen, ja toimittamattomat kuoret vanhenevat ja poistetaan 30 minuutissa.
• Reititys- ja kuittausmetatiedot — mikä laitteistasi lähetti kohteen millekin laitteistasi sekä toimitus- ja kopiointikuittausten aikaleimat — säilytetään enintään 7 päivää, jotta laitteesi voivat synkronoida lähetetyt historiansa.
• Laitenimet ja konenimet vain laitteillasi tuotettuina salattuina kirjekuorina. Palvelu tallentaa ja palauttaa ne, mutta ei voi purkaa niitä.
• Androidin ilmoituksia varten Firebase-asennustunnisteen, salattuna levossa.

Palvelu ei koskaan vastaanota selväkielistä leikepöytätekstiä, ei tekstintunnistuksen kuvia tai tunnistettua tekstiä, eikä se koskaan tallenna leikepöytähistoriaasi.

Käsittely laitteella

• Tekstintunnistus (OCR) toimii kokonaan laitteella laitteen omalla tunnistusmoottorilla. Kuvia ei lähetetä palvelimelle; tunnistukseen käytetyt kameraotokset poistetaan jälkeenpäin; galleriakuvia ei koskaan muokata.
• QR-koodit puretaan paikallisesti. Puretut arvot vain täyttävät muokattavan tekstikentän — niitä ei koskaan avata, kopioida tai lähetetä automaattisesti.
• Leikepöytähistoria säilytetään vain laitteella. Jokainen merkintä salataan erikseen ChaCha20-Poly1305-menetelmällä satunnaisella 256-bittisellä avaimella, joka on laitteen suojatussa tallennustilassa. Kumpikin suunta (lähetetyt/vastaanotetut) säilyttää enintään 50 uusinta merkintää.

Ilmoitukset

Androidin taustailmoitukset käyttävät Firebase Cloud Messaging -palvelua. Push-viesti sisältää yleisen saapumistapahtuman ja satunnaisen toimitustunnisteen, jota tarvitaan juuri kyseisen toimituksen käsittelyyn — ei koskaan leikepöydän sisältöä, salattua sisältöä, laitenimiä, konenimiä tai tilitunnisteita. Ilmoituskäsittelijä ei koskaan nouda tai pura sisältöä taustalla.

Palvelu ja ylläpito

• Jokainen API-toiminto vaatii varmennetun Firebase ID -tunnisteen; laitteet ja siirrot on rajattu tiukasti todennettuun tiliin.
• Yritykset käsitellä toisen tilin laitteita tai siirtoja palauttavat "ei löydy" -vastauksen sen sijaan, että niiden olemassaolo vahvistettaisiin.
• Siirtojen koot, jonossa olevat siirrot, aktiiviset laitteet tiliä kohden ja pyyntömäärät on kaikki rajattu, jotta palvelu pysyy kaikkien käytettävissä.
• Sovelluslokit eivät koskaan sisällä leikepöytätekstiä, tunnistettua tekstiä, laitenimiä, tunnisteita, salattua sisältöä, kertakäyttölukuja tai yksityisiä avaimia.

Rehelliset rajoitukset

Mikään tuote ei ole "täysin turvallinen", ja haluamme sinun tietävän tarkalleen, missä Kopigon rajat kulkevat:

• Kopigo ei ole anonymiteettityökalu. Palvelu todentaa tilisi ja tietää, mitkä laitteesi vaihtoivat salattuja kirjekuoria ja milloin. Metatietoa syntyy, ja se on kuvattu yllä.
• Kopigo ei väitä olevansa "zero knowledge". Suunnittelu suojaa sisällön utelialta ylläpitäjältä tai vuotaneelta tietokannalta: tallennettu sisältö on joko salattu laiteavaimillesi tai jo poistettu.
• Suunnittelu ei suojaa aktiivisesti pahantahtoiselta välityspalvelulta. Pahantahtoinen ylläpitäjä voisi vaihtaa laitteiden julkisia avaimia rekisteröinnin yhteydessä ja siepata tulevia siirtoja. Tältä suojautuminen vaatisi erikseen todennetun laiteparituksen tai avainten läpinäkyvyysjärjestelmän, jota Kopigossa ei tällä hetkellä ole.
• Laitteesi ovat luottamuksen raja. Jokainen, joka voi avata sisäänkirjautuneen laitteen, voi lukea sen leikepöytähistorian; historian sumennusasetus on katselumukavuus, ei ylimääräinen salausraja.
• Firebase Authentication (Google) käsittelee kirjautumisen, ja Firebase Cloud Messaging käsittelee Androidin yleisen push-tapahtuman. Nämä ovat kolmannen osapuolen käsittelijöitä, ja ne on kuvattu tietosuojakäytännössä.

Tietoturvaongelmasta ilmoittaminen

Jos uskot löytäneesi haavoittuvuuden Kopigosta tai tästä sivustosta, lähetä yksityiskohdat osoitteeseen support@kajodex.com. Anna meille kohtuullinen mahdollisuus korjata ongelma ennen julkistamista. Emme tällä hetkellä ylläpidä maksullista bug bounty -ohjelmaa.