Como funciona o Cloud Backup

O que é o Cloud Backup

O Cloud Backup guarda uma cópia criptografada dos arquivos que você baixou. Você começa a partir de um download concluído no app e restaura depois, no mesmo celular ou em qualquer aparelho que tenha o seu código de recuperação. Nada é enviado até você pedir, você paga apenas pelo armazenamento que usa e os arquivos do cofre privado nunca entram.

01 Assumimos que o servidor está comprometido

Assuma que foi invadido, apreendido, intimado judicialmente ou mal configurado por nós. Os seus ficheiros permanecem ilegíveis nos quatro casos, porque o servidor nunca detém nada que os possa decifrar.

02 O seu código de recuperação é a chave inteira

Não há conta, nem email, nem palavra-passe. O seu telemóvel gera um código de recuperação e deriva dele todas as chaves, localmente.

O código nunca é transmitido: nem no backup, nem no restauro, nem ao emparelhar um navegador. Não guardamos cópia e não podemos produzir uma.

03 O que acontece ao fazer backup de um ficheiro

1. É gerada uma chave nova só para esse ficheiro. Nenhuma chave única abre o backup inteiro.
2. O ficheiro é cifrado no seu telemóvel, em pedaços. Cada pedaço fica ligado à sua posição nesse ficheiro: não podem ser trocados, reordenados nem movidos entre ficheiros.
3. Os pedaços sobem diretamente para o fornecedor de armazenamento. Nenhum servidor nosso vê alguma vez algo legível.
4. Essa chave é trancada com uma derivada do seu código de recuperação e guardada junto ao ficheiro, inútil sem o código.
5. O índice (nomes, tipos, datas, miniaturas) é cifrado como um único bloco. Guardamo-lo e devolvemo-lo; não o podemos abrir.

O restauro inverte isto no seu dispositivo. Nenhuma chave existe em lado nenhum exceto no seu telemóvel.

04 O que podemos e não podemos ver

A cifra esconde o conteúdo, não a sua existência.

Este é o registo completo: sem nome, sem tipo. Tamanhos e horários são sinais reais, e a cifra não os remove.

05 Pagar sem ser identificado

Pagar por armazenamento normalmente cria um registo que liga uma pessoa a uma conta. Aqui não.

O crédito é emitido como um token anónimo através de uma assinatura cega: o sistema de pagamento assina-o sem ver o que assina. Um pagamento pode ser verificado como genuíno mas não pode ser ligado à conta que o gasta. Não conseguiríamos produzir essa ligação se nos pedissem, porque nunca é criada.

Os dados do cartão vão para a página do próprio fornecedor de pagamentos e nunca nos chegam. O Lightning não envolve processador de cartões.

06 Abrir o seu backup num navegador

Leia um código com a app para abrir o seu backup num computador. O que viaja são as próprias chaves de armazenamento, cifradas para essa sessão de navegador, não um token de sessão, que nada poderia decifrar.

O seu código de recuperação nunca viaja. Um navegador emparelhado acede aos seus ficheiros salvaguardados e a nada mais; não consegue rederivar o código, e as chaves são apagadas quando termina sessão ou fecha o separador.

Ambos os ecrãs mostram os mesmos seis dígitos antes de as chaves serem entregues. Se diferirem, escolha Não coincidem.

07 Contra o que isto não protege

• Um telemóvel comprometido. A cifra acontece no seu dispositivo: num dispositivo comprometido os ficheiros estão em claro. Nada do lado do servidor resolve isso.
• Um código de recuperação perdido. Irrecuperável, por quem quer que seja.
• Metadados. A coluna esquerda acima não está escondida e não pode estar sem um desenho fundamentalmente mais caro.
• Ficheiros de que nunca fez backup. Isto cobre apenas o backup na nuvem. A Pasta segura fica no seu dispositivo e está excluída dele.

08 Verifique você mesmo

A cifra, a derivação de chaves e o protocolo de emparelhamento correm nas apps, não no servidor. Toda afirmação desta página pode ser verificada só com o cliente.

Comunique problemas de segurança em privado: veja o ficheiro SECURITY.md no repositório da app, ou escreva para [email protected].