Sicherheitsmodell
Ein Sicherheitsversprechen ohne die dazugehörigen Grenzen ist Werbung. Diese Seite nennt beides.
Alle Einträge liegen in einer einzigen verschlüsselten Datei auf dem Telefon. Der Schlüssel dafür wird bei jedem Entsperren neu aus Ihren Faktoren abgeleitet und danach wieder verworfen. Er wird nirgends gespeichert, nirgends hochgeladen und existiert außerhalb dieses Vorgangs nicht.
Aus Passwort beziehungsweise Schlüsseldateien entsteht der Schlüssel über Argon2id — eine speicherharte Funktion. Der Unterschied zu älteren Verfahren ist praktisch: Wer ein Passwort raten will, braucht pro Versuch nicht nur Rechenzeit, sondern auch Arbeitsspeicher. Genau das macht die Angriffe teuer, die sonst massenhaft parallel auf Grafikkarten laufen.
Die Kostenparameter stehen in der Datei selbst. Ein bestehender Tresor wird immer mit genau den Werten wieder aufgeschlossen, mit denen er versiegelt wurde — eine spätere Erhöhung macht ältere Tresore also nicht unbrauchbar.
Der Inhalt wird mit AES-256 verschlüsselt und authentifiziert: Eine nachträglich veränderte Datei wird als Manipulation erkannt und nicht etwa als beschädigt halb geöffnet. Der Kopf der Datei ist mitgeschützt, damit niemand die Parameter darin unbemerkt austauschen kann.
Ein Tresor lässt sich an einen Ort binden. Der Schlüssel entsteht dann aus Ihren Faktoren und aus diesem Ort. Das ist kein Abgleich, den die App durchführt und den man ihr abgewöhnen könnte — abseits des Ortes existiert schlicht kein Schlüssel, den man zurückhalten müsste. Eine veränderte App-Version oder ein vorgetäuschter Standort helfen deshalb nicht weiter.
In der Datei stehen dabei keine Koordinaten: weder der Ort, noch der Radius, noch die Tatsache, dass ein Tresor überhaupt gebunden ist.
Eine Containerdatei enthält immer zwei Plätze. Nutzen Sie nur einen, ist der zweite mit einem Zufallsschlüssel gefüllt, den niemand kennt — auch wir nicht. Von außen sind beide gleich groß und gleich aufgebaut.
Der Teil, den Produktseiten üblicherweise weglassen.
Die Ortsbindung hilft gegen jemanden, der eine Sicherungskopie erbeutet hat und nicht weiß, wo er stehen müsste. Gegen jemanden, der Ihr Telefon in der Hand hält und weiß, in welcher Stadt Sie wohnen, hilft sie wenig: Der Suchraum ist dann klein. Sie ist ein zusätzlicher Faktor zu einem starken Passwort — kein Ersatz dafür.
Wer einen Tresor an einen Ort bindet, bekommt beim Anlegen einmalig einen Notfallcode angezeigt. Er ersetzt den Ort, nicht das Passwort — ein gefundener Zettel ist also nicht der Tresor. Ohne Code und ohne Zugang zum Ort ist der Tresor endgültig zu.
Verschlüsselung schützt eine Datei, kein laufendes System. Schadsoftware mit weitreichenden Rechten auf einem entsperrten Gerät sieht, was Sie sehen. Dagegen kann keine App etwas ausrichten, und wir behaupten es auch nicht.
Der Fingerabdruck ist eine Abkürzung auf diesem einen Gerät, kein kryptografischer Faktor. Passwort oder Schlüsseldateien öffnen den Tresor immer; die Biometrie tut es nur zusätzlich und nur hier.
Diese Konstruktion ist bislang nicht extern geprüft worden. Wir schreiben hier auf, wie sie funktioniert, damit Sie es beurteilen können — aber ein veröffentlichter Prüfbericht ist etwas anderes als eine Selbstauskunft, und solange es ihn nicht gibt, sagen wir das dazu.
Im normalen Betrieb spricht die App mit niemandem. Es gibt kein Konto, keinen Server und keine Synchronisierung.
Eine einzige Funktion nutzt das Internet, und nur wenn Sie sie einschalten: der optionale Zeitstempel für Fotos, die Sie in der App aufnehmen. Dabei verlässt ausschließlich ein SHA-256-Prüfwert des Bildes das Gerät, niemals das Bild selbst. Der Prüfwert lässt sich nicht in ein Foto zurückverwandeln.
Eine Notiz im Tresor lässt sich in eine Zeitkapsel verwandeln: Sie öffnet sich nicht vor dem gewählten Moment — auch nicht für Sie. Darüber entscheidet nicht die App und nicht die Uhr des Telefons, sondern eine Signatur, die es vorher schlicht nicht gibt.
Der Schlüssel der Notiz wird nach Shamir in drei Anteile geteilt, von denen zwei genügen: einen gibt das öffentliche Zufallsnetz drand frei, einen ein Schlüsselserver von beattime.live, und einen behalten Sie als Notfallcode. Jeder Anteil ist auf denselben Zeitpunkt verschlüsselt, und beide Beacons geben ihn erst dann heraus. Weil zwei von drei reichen, kostet der Ausfall einer Seite die Notiz nicht.
Versiegeln braucht kein Netz. Die Parameter der Kette sind fest eingebaut, versiegelt wird mit öffentlichen Schlüsseln. Eine Verbindung brauchen Sie erst zum Öffnen, denn dann muss die freigegebene Signatur geholt werden — von uns, von einem Spiegel, von irgendwoher: sie ist öffentliche Information und wird lokal gegen den Schlüssel in der Kapsel geprüft.
Was das nicht zusagt: Verschwinden beide Beacons dauerhaft, bleibt nur der Notfallcode. Und die Kapsel schützt den Inhalt, nicht die Tatsache, dass es sie gibt — wer Ihren geöffneten Tresor sieht, sieht, dass eine Notiz wartet und wann sie aufgeht.
Unabhängig davon lässt sich eine Notiz an einen Ort binden. Ihr Schlüssel entsteht aus dem Rasterfeld, in dem Sie beim Versiegeln standen; anderswo existiert er nicht. Gespeichert wird davon nichts — keine Koordinaten, kein Feld, kein Radius. Beides zusammen ist möglich: dann braucht die Notiz den Moment und den Ort. Auch hier gilt ein Notfallcode, den wir einmal zeigen und nirgends ablegen.