Создатели I.UA запустили сервис безопасного обмена секретной информацией encrypt.one с 256-битным AES-шифрованием

Основатели портала I.UA Максим Хомутин, Денис Мисько и Виталий Хранивский сообщили о запуске нового сервиса для безопасного обмена секретной информацией encrypt.one. Пока сервис доступен только в виде веб-версии. С его помощью пользователи могут пересылать друзьям, родственникам и коллегам пароли от сервисов, данные кредитных карт, небольшие файлы до 5 МБ и другую личную информацию, не боясь, что она попадет к третьей стороне.

По словам разработчиков, Encrypt.one решает проблему безопасной передачи финансовой информации, в частности паролей и данных для доступа к банковским счетам. Кроме того, его можно использовать и как средство передачи паролей между своими устройствами, например, с компьютера на телефон.

Цитата:

«Передача паролей через мессенджеры, флешки или сервисы хранения файлов — Google Drive или Dropbox — небезопасна. Мессенджер или аккаунт одного из звеньев передачи информации могут взломать и приватные данные попадут к злоумышленникам. Кроме того, существующие сервисы передачи паролей вроде OneTimeSecret из-за отсутствия шифрования на стороне пользователя подвержены рискам взлома и не предоставляют возможности передавать файлы. Поэтому мы и придумали encrypt.one», – рассказывает предысторию Encrypt.one Денис Мисько.

Особенность сервиса Encrypt.one состоит в том, что все данные шифруются ключом на стороне браузера и только после этого передаются на сервер. В результате, на сервер передается зашифрованная информация которую не смогут расшифровать ни сотрудники сервиса, ни хакеры, которые теоретически могут получить доступ к базе данных, так как у них нет ключа для расшифровки. В данном случае используется шифрование по алгоритму AES с длиной ключа 256 бит, который небезызвестное АНБ относит к уровню «Совершенно Секретно». Считается, что для взлома AES-256 методом подбора современному компьютеру понадобится несколько миллиардов лет. Этот стандарт используется в банковских системах и пока не было зафиксировано ни одного случая успешного взлома системы, использующей шифрование AES-256.

Для шифрования используется либо введенный пароль, либо случайно сгенерированный ключ который помещается в хеш-часть ссылки и не передается на сервер. Браузер получателя ссылки расшифровывает информацию непосредственно на компьютере пользователя при помощи введенного пароля или ключей из хеш части ссылки. После первого просмотра информация удаляется с сервера.

Encrypt.one – это открытый проект, так что любой желающий, имеющий соответствующие знания и навыки в области криптографии и информационной безопасности, может проверить его на наличие потенциальных уязвимостей. Исходный код encrypt.one традиционно доступен на Github.
Источник: ITC

На хрюна? Есть же биткоиновские сервера??

всё оно так красиво начинается, в виде "супер-мега-защищённое", "ни кто не прочитает", "шлите через наш сервис самое-самое", а через год-два выясняется что все, кому надо (и не только) очень даже хорошо всё читают

вполне удобно.
Но.
100% гарантии быть не может.

e2d писал(а):

а через год-два выясняется что все, кому надо (и не только) очень даже хорошо всё читают

md40vip писал(а):

100% гарантии быть не может.

Исходный код encrypt.one традиционно доступен на Github.
Убедится может любой желающий.

vaselisk96 писал(а):

Исходный код encrypt.one традиционно доступен на Github.
Убедится может любой желающий.

А выполняющийся на сервисе доступен только разработчику и провайдеру ;-)

Идентичен он тому, что в Github? Это большой вопрос... ))
Здесь ответом только может быть "мамой клянусь", "честное пионерское" и "вот те крест" )))

vaselisk96 писал(а):

Исходный код encrypt.one традиционно доступен на Github.
Убедится может любой желающий.

Вот если бы это было отдельное приложение, которое я проверил, скомпилировал и потом постоянно пользую для обмена по нормальным образом организованному протоколу, то да, я бы и впрямь считал это довольно хорошей гарантией безопасности, потому как шансы, что за вами пристально следили изначально, с самого первого выхода в сеть, мягко говоря крайне малы. Однако, в данном случае, ваш браузер при каждом посещении грузит новый код с сайта (и не факт что всегда одинаковый и соответствующий выложенному ни гитхабе), ваша безопасность по сути находится на совести хозяев сервиса и потенциально (хотя на практике я о таком и не слышал) уязвима к подмене скриптов или даже целого сайта с целью слива ваших ключей на стороне провайдера или того, через кого вы имеете доступ в сеть. То есть это окно потенциальной уязвимости к перехвату теперь имеется при каждом соединении. Проще говоря, Web-сервисы сами по себе безопасными не могут быть в принципе - не для того создавался интернет. Если же их все таки хочется использовать, то для того чтобы из защитить, нужны внешние по отношению к ним средства (например SSL на сервере и изначальная поддержка HTTPS в самом вашем браузере). Все остальное - лишь профанация, независимо от того, что за ПО они там крутят у себя на сервере.

И если речь идёт о браузерах Мозилла, Хром, Гуглы-Шмуглы ... то какое нафек шифрование, если они сливают ДО него, или ПОСЛЕ.

Я представляю, как секретной информацией обменивается Порошенко с этими же бывшими ex.ua.

Cirill писал(а):

хотя на практике я о таком и не слышал

Сами себе противоречите.

Добавлено спустя 2 минуты 13 секунд:

Trimerrr писал(а):

И если речь идёт о браузерах Мозилла, Хром... то какое нафек шифрование, если они сливают ДО него, или ПОСЛЕ.

Не существует ни одного задокументированного факта подтверждающего ваше высказывание.

шифрования нет)! пока не доказано обратное!

ganul писал(а):

шифрования нет)! пока не доказано обратное!

Спасибо, что уделили время на прочтение данной новости.

Че документировать-то? КАК МИНИМУМ! Открой cmd, да пощелкай netstat, да открой пустую Мозиллу... да снова пощелкай... ;-)

да вспомни, что в исходящем запросе уже от тебя стат-инфа в бигдату пошла - IP, время запуска, тип браузера,...

Trimerrr писал(а):

Че документировать-то? КАК МИНИМУМ! Открой cmd, да пощелкай netstat, да открой пустую Мозиллу... да снова пощелкай... ;-)

да вспомни, что в исходящем запросе уже от тебя стат-инфа в бигдату пошла - IP, время запуска, тип браузера,...

И правильно, я бы точно так же сделал! А как иначе разработчику узнать пользуются его детищем или нет? Как?

vaselisk96 писал(а):

А как иначе разработчику узнать пользуются его детищем или нет? Как?

Никак. Траффик-то мой идёт, а не разработчика. А потом смотришь ё-маё... откуда с пустого места гигабайты траффика? Компьютер мой. Вроде бы я и не просил программу об этом...