Безопасность и доверие

Куки, хранилища сайтов, сохранённые входы и собственные базы браузера лежат в каталоге профиля на вашей машине. Само по себе оттуда никуда ничего не уходит.

Этот каталог вы можете открыть сами: ~/Library/Application Support/@armanos/desktop на macOS, %APPDATA%\@armanos\desktop на Windows, ~/.config/@armanos/desktop на Linux.

На Windows пароли в собственных файлах программы закрывает сама система ключом вашей учётной записи Windows. На macOS они закрыты ключом, который лежит внутри самой программы, а на Linux записаны как набраны, поэтому на обеих системах это не защищает от того, кто может читать вашу папку пользователя. На экране программа об этом не говорит.

Ключ, который едет внутри программы, достанет любой, кто её скачал, и замок на macOS держится именно на таком ключе.

Пока вы в аккаунте, настройки профилей отражаются на сервере, чтобы вторая машина и напарники видели один список: имя, группа, сценарий использования, шаблон и поколение отпечатка, прокси, теги и заметка.

Важнее то, чего в этом списке нет. Куки не уезжают, не уезжают ни пара логин и пароль профиля, ни его ключ одноразовых кодов, ни один байт баз браузера.

Сам отпечаток не хранится нигде: он выводится в момент запуска.

• Ваша почта и отпечаток пароля

  Самого пароля нет нигде. Его смена сразу выводит из аккаунта все другие устройства и отзывает ключи API.

• Ваши машины

  Имя, система, когда была на связи. Отвязка помнится, поэтому машина не зарегистрируется заново.

• История вашего пространства

  Новая машина записывает адрес, с которого она пришла.

• Одна строка обмена на профиль и машину

  Когда сессия последний раз уезжала или приезжала. Ни имён файлов, ни содержимого.

• Тариф, состояние и дата продления

  Данные карты в нашу базу не попадают.

• Передача профиля в другой аккаунт

  Заявка и случайный ключ к файлу передачи, закрытый нашим ключом, пока получатель не разложит файл, и не дольше 7 дней после приёма. Сам файл с сессией вы пересылаете получателю сами, мимо сервера.

Куки остаются на машине, поэтому пересесть за второй компьютер означало бы заново войти в тридцать аккаунтов. На экране «Движок», в блоке «Сессия на двух компьютерах, через папку», вы показываете программе папку, которую и так что-то синхронизирует, и туда ложится по зашифрованному файлу на профиль.

Архив зашифрован AES-256-GCM, а ключ вытягивается из вашего пароля через scrypt с N=32768, r=8, p=1. Сам пароль в папку не попадает.

1. 1

   Профиль закрывается

   Программа ждёт четыре секунды и проверяет, что он всё ещё закрыт: Chromium дописывает базы не сразу.

2. 2

   Архив пишется рядом

   Дальше он переименовывается на место, поэтому половина файла не ляжет на работавшую сессию.

3. 3

   Рядом ложится метка с размером и временем

   Архив, который ещё качается, считается неготовым.

4. 4

   Вторая машина забирает архив перед запуском

   Тот же номер профиля, тот же отпечаток и приехавшие с ним куки.

5. 5

   Менялось и там, и здесь? Не трогается ничего.

   Значит, работали на двух машинах сразу, и программа даёт выбрать.

Двое из команды могут потянуться к одному профилю в один и тот же миг, и сайт увидит один аккаунт живым сразу с двух машин. Это ровно то поведение, за которое аккаунты блокируют.

Поэтому замок держит сервер: машины друг друга не видят. Держится он по времени, поэтому машина, выключенная из розетки, отпускает свой профиль сама.

Пароль хранится отпечатком bcrypt с ценой 10 и никогда открытым текстом. Десять промахов закрывают аккаунт на 15 минут, и тот же счёт распространяется на второй шаг.

Арифметика второго шага написана здесь, а не взята библиотекой: чужая библиотека по дороге к вашему паролю однажды обновится сама.

Пароль закрывает действия в ARMANOS. Профиль на диске он не шифрует.

Перед запуском закрытого профиля, правкой, выгрузкой, отправкой в папку синхронизации, удалением, копированием и открытием доступа его спрашивают программа, кабинет и локальный API. Наш сервер хранит отпечаток scrypt, а не пароль, и пропуск, который он выдаёт на верный пароль, подписан своим ключом и живёт 15 минут.

Владелец и администраторы пространства могут его сбросить, и сброс остаётся в журнале. Три неверных ввода подряд закрывают профиль на час для того, кто их ввёл, а не для всей команды.

Командную строку чужого процесса читает любая программа под тем же человеком, а жилой трафик покупают гигабайтами. Поэтому пароль туда не попадает.

Вместо этого на 127.0.0.1 работает небольшой мост: с браузером он говорит без пароля, с вашим прокси с паролем. Замерено на отгруженной сборке 153.0.7978.0: адрес прокси с логином внутри делает ноль запросов, а тот же прокси за мостом делает 13.

Мост принимает подключения только с петли и спрашивает разовый пропуск у собственного расширения профиля.

Правило прокси покрывает все схемы, а WebRTC закрывается при запуске, если у профиля не выбран режим «Настоящий»; снова открыть его может расширение с правом privacy. Тест утечки на этом сайте показывает адреса, которые отдаёт этот браузер; уходит ли WebRTC мимо прокси, мерит программа: «Сеть > Запустить диагностику».

Программой можно управлять из сценариев через локальный API по HTTP. Он выключен, пока вы не включите его на экране «Для программистов» переключателем «Включить локальный API», слушает только 127.0.0.1, и каждый вызов, кроме состояния, несёт токен доступа с того же экрана.

Одной петли мало: страница, которую вы открыли, дотягивается до 127.0.0.1 из вашего же браузера, а под подменённым именем читает ответы как своя. Поэтому запрос с заголовками, бывающими только у браузера, или с чужим адресом узла программа отклоняет.

Замерено на этом движке: открытие отладочного порта ставит navigator.webdriver в истину, а ключ запуска возвращает его в ложь.

В программе нет сбора статистики, и на сайте его нет тоже. Ни диспетчера тегов, ни записи сеансов, ни отправки отчётов о падениях, ни одного чужого сценария.

Отчёт о проблеме собирается на месте и никуда не уходит, пока вы не нажмёте отправку. Всё, похожее на тайну, вырезается по имени поля, а само имя остаётся, чтобы вы видели, что оно было.

• Проверка страны выхода

  Публичная служба адресов по HTTPS и через прокси этого же профиля.

• Лента движка

  Проверка обновлений по HTTPS, установка только при совпавшей контрольной сумме.

• Наш сервер

  Настройки профилей, тариф, команда и поддержка, и только пока вы в аккаунте.

• Поддержка, когда вы нажали отправку

  Вместе с вашим сообщением уезжает вычищенный отчёт.

Бесплатные инструменты этого сайта считают внутри вашего браузера и не делают запросов. Сам сайт отдаётся с закрытыми дверями, и заголовки ниже уходят с каждым ответом.

Удаление профиля сперва останавливает его браузер. Работающий Chromium продолжает писать в каталог, у которого больше нет хозяина, а на Windows живой процесс держит свои файлы открытыми.

Дальше уходит всё, что было привязано к профилю: каталог браузера, его расширения, его расписания, его счётчики и записи о запусках в файле уведомлений.

Кнопка «Удалить навсегда» в корзине убирает и зашифрованный архив из вашей папки, поэтому вторая машина профиль обратно не принесёт.