Verin senin. Zedlin'i öyle kalsın diye yaptık.

Cihazında şifreleme

Her alanın kendi kasası var. Sunucular, anahtarlar, snippet'ler, girişler ve geri kalanı, depoya yazılmadan ya da bir yere gönderilmeden önce cihazında ChaCha20-Poly1305 ile şifrelenir.

Zedlin Sync neyi görür, neyi göremez

Zedlin Sync şifreli öğeleri saklar ve cihazların arasında taşır. Hesabının e-posta adresini, giriş yöntemlerini, kaç alan ve öğen olduğunu, ne büyüklükte olduklarını ve ne zaman değiştiklerini görür. İçlerinde ne olduğunu göremez: sunucu adreslerini, anahtarlarını, şifrelerini, hatta alanlarının adlarını bile.

Onay cihazların

Zedlin'de bilgisayar sır yazabilir ama okuyamaz. Birine ihtiyaç duyduğunda onay cihazına sorar: hangi bilgisayarın hangi kaydı istediğini görür ve onaylarsın. iPhone'da bu, anahtarları Secure Enclave'de duran Face ID'dir. YubiKey PIN ve dokunuş ister; Windows Hello'yu da ekleyebilirsin. Onay cihazı ekleyip çıkarmayı yalnızca iPhone ya da YubiKey yapabilir; liste imzalıdır, sunucu içine anahtar sokamaz.

Bilgisayarlar QR kodu iPhone'unla okutularak eklenir. Çalınacak kendi parolaları yoktur: makineden kopyalanamayan, TPM'de duran bir anahtar tutarlar.

Kasa ve sunucu sırları

Bakmadan onaylamayı öğrenme diye, tek onay kasanı o bilgisayarda sen kilitleyene kadar, en çok 12 saat açar. Zedlin uygulaması ve Chrome eklentimiz için girişleri kapsar. Kısa sürede çok kayıt açmak bunu iptal eder ve yeniden sorar. Sunucu şifreleri, SSH anahtarları ve bilgisayarındaki diğer programlar her zaman ayrıca sorar.

Cihazlarını kaybedersen

Kalan herhangi bir onay cihazı işi devralabilir. Hiç kalmadıysa ana parolan hesabı yeni bir iPhone'da kurtarır. Zedlin Sync kurtarma verisini önce 24 saat bekletir ve cihazlarına haber verir; başkasıysa durdurabilirsin. Ana parola Argon2id ile güçlendirilir. Bütün cihazlarını ve ana parolanı kaybedersen verin ne senin ne bizim tarafımızdan açılabilir. Arka kapı yok.

Sunucularınla konuşurken

Günlük araçlar düz SSH kullanır ve hiçbir şey kurmaz. Host key'ler ilk bağlantıda hatırlanır; biri değişirse Zedlin durur ve sana sorar. Bazı isteğe bağlı ekip modülleri, yalnızca sen açtığında host'a bir şey koyar: bağlantı kayıtları senin kurduğun küçük bir toplayıcı kullanır, dosya yedekleri restic programını kopyalar, iç ağlar WireGuard kurar.

Ekip sunucuları

Ekip modunda Zedlin sunucusu senin kontrol ettiğin altyapıda çalışır ve sunucu kimlik bilgilerini tutar; bunlar üyelerin cihazlarına inmez. Hassas istekler üyenin onay cihazının imzaladığı bir onay ister; sunucu onayı kimin, hangi cihazdan, ne için istediğine göre kendisi denetler. Her istek o cihaza bağlı bir anahtarla imzalanır; çalınan token ya da onay başka makinede işe yaramaz. Erişim takım ve modül bazında verilir, değişiklikler etkinlik kaydına yazılır, oturumlar kaydedilebilir. Sahip ve yöneticiler, kimlik bilgilerini kendileri yazarak Doğrudan Bağlantı kullanabilir.

Korumanın bittiği yer

Varsaymana bırakmaktansa söylemeyi tercih ederiz. Kilidi açık bir bilgisayardaki zararlı yazılım, onayın süresince onayladığın şeyi kullanabilir; kişisel alanda oturum boyunca kasa kayıtlarını okuyabilir. Açtığın bir şifre açıkken kopyalanabilir. Bir sunucuya SSH erişimi olan herkes, Zedlin ona ne gösterirse göstersin, o hesabın yapabildiği her şeyi yapabilir.

Güvenlik açığı bildirmek

Bir güvenlik sorunu bulursan konu satırına “Güvenlik” yazarak support@zedlin.dev adresine yaz. Herkesle paylaşmadan önce düzeltmemiz için bize fırsat ver.