Locks checked, bolts tightened

We hebben 2Secret nagelopen op zwakke plekken. We keken naar de versleuteling, de synchronisatieserver, de apps op elk platform, de browserextensie, deze website en de manier waarop we releases bouwen en ondertekenen.

De versleuteling zelf hield stand. Je kluis wordt nog steeds op je eigen apparaat versleuteld met je hoofdwachtwoord en je geheime sleutel, en de server ziet alleen versleutelde gegevens. De openbaar bekende kwetsbaarheden in de onderdelen die 2Secret gebruikt, bleken in 2Secret niet te misbruiken. We vonden wel een aantal dingen die beter konden, vooral rond wat een gehackte server of een kwaadaardige website zou kunnen proberen. 2Secret 1.9.2 lost ze op.

Op je apparaten

• iPhone en iPad: je geheime sleutel gaat niet meer mee in iCloud- en computerback-ups. Een back-up bevat hem dus nooit naast je versleutelde kluis.

• Automatisch invullen en de browserextensie: op websites waar iedereen een eigen subdomein krijgt, zoals github.io, wordt een inlog alleen op zijn eigen site voorgesteld, nooit op die van iemand anders.

• Alleen beveiligde verbindingen: de apps maken alleen via https:// verbinding met een synchronisatieserver. Gewoon http:// werkt alleen met een server op hetzelfde apparaat.

• Kluissleutels gaan nooit terug: als iemand uit een gedeelde kluis wordt verwijderd, krijgt de kluis een nieuwe sleutel. Je apparaten onthouden nu de sleutels die zijn vervangen en weigeren die. Zo kan een server een verwijderd lid geen toegang meer geven tot nieuwe items.

• Klembord: gekopieerde wachtwoorden blijven buiten de klembordgeschiedenis en het cloudklembord van Windows, en buiten klembordprogramma’s op Linux en macOS.

• Website-pictogrammen: die worden alleen opgehaald bij openbare websites. Dat geldt ook als een adres een IP-adres is dat in verkorte vorm is geschreven.

Op de server

• De server controleert de versleutelde gegevens die hij opslaat, zodat één account het synchroniseren voor anderen niet kan verstoren.

• Het aantal inlogpogingen en wachtwoordcontroles per adres is beperkt.

• Onzichtbare tekens worden uit namen verwijderd, zodat het ene account niet op een ander kan lijken.

Releases

• Bij elke release zit nu een ondertekend bestand met controlegetallen (SHA256SUMS.sig). Het is ondertekend met dezelfde sleutel als onze app-updates. Je controleert er downloads mee die zichzelf niet bijwerken, zoals de .deb- en .rpm-pakketten, de browserextensie en het opdrachtregelprogramma. Zo controleer je een download (Engelstalig).

• De programma’s die onze releases bouwen, krijgen minder rechten. Ondertekeningssleutels zijn alleen beschikbaar voor de stap die ze nodig heeft.

• Onderdelen zijn bijgewerkt, waaronder rustls en SQLite 3.53.2 in de server.

Zo werk je bij

• Desktop-apps: staan updates aan (Instellingen → Updates), dan installeert 2Secret versie 1.9.2 vanzelf. Anders download je hem via de downloadpaginaThis file is outside this session’s folders, so it can’t be opened here..

• sync.2secret.app: je hoeft niets te doen, de server werkt zichzelf bij.

• Je eigen server: werk bij naar 1.9.2. Met de voorbeeld-uitnodigingscodes uit de documentatie (change-me…) kan niemand zich meer aanmelden, dus kies je eigen codes. Gebruik je het installatiescript voor Proxmox, dan wordt het adres van de bezoeker alleen nog uit CF-Connecting-IP gelezen als je een Cloudflare Tunnel gebruikt. Zit er een andere proxy (een tussenserver) voor, stel dan --ip-header in.