Знакомство с SafePass
Зачем мы делаем ещё один менеджер паролей, что уже работает и что осталось до первого релиза.
SafePass: менеджер паролей, в котором сервер синхронизации не может прочитать ваши данные. Каждая запись шифруется на устройстве до отправки, а для входа в аккаунт используется протокол OPAQUE, поэтому мастер-пароль не покидает устройство.
Что уже работает
- Linux-приложение на Flutter: создание, поиск и правка зашифрованных записей, генератор паролей, смена мастер-пароля и восстановление по фразе из 24 слов. Локальная база на SQLCipher, её ключ хранится в защищённом хранилище ОС.
- Расширение для Chrome и Firefox: собственное зашифрованное хранилище, синхронизация, заполнение формы только на сайте с точно совпадающим адресом и сохранение логина со страницы после подтверждения.
- Сервер синхронизации на ASP.NET Core и PostgreSQL: вход по OPAQUE, хранение зашифрованных ревизий, восстановление пароля аккаунта с подписью фразой восстановления.
- Синхронизация без потерь: изменения, сделанные без сети, ждут в очереди, а параллельные правки сохраняются обе, пока вы не выберете нужную.
Что осталось до релиза
Сборки для Windows, macOS, Android и iOS уже собираются, но ещё проверяются на реальных устройствах. Впереди подпись релизов, проверка сборок на реальных устройствах и, главное, внешний аудит безопасности.
Пока аудит не пройден, SafePass стоит использовать только с тестовыми данными. Мы напишем здесь, когда это изменится.
Как устроена защита
Если хотите разобраться в деталях, начните со страницы «Безопасность», а затем загляните в модель угроз и описание форматов шифрования.