Zabezpečení
Angaro je postavené tak, aby přes naše servery procházelo co nejméně – a co je tam uložené, bylo pro nás nečitelné.
Koncové šifrování
Z tvého hesla se ve tvém zařízení pomocí PBKDF2-SHA256 (210 000 iterací) odvodí klíč. Kontakty, nastavení a poštovní účty včetně hesel se šifrují AES-256-GCM dřív, než opustí zařízení. Náš server nikdy nedostane tvé heslo, jen z něj odvozený přihlašovací otisk, který navíc ukládá pomocí scrypt.
Tvé e-maily zůstávají u tebe
Aplikace stahují e-maily přímo od tvého poskytovatele a ukládají je do zařízení. Webmail se pro každou akci připojí k tvému poštovnímu serveru a neukládá přihlašovací údaje ani obsah; otevřené spojení zůstává v paměti nejvýše 5 minut.
Servery v EU
Angaro Cloud běží ve Frankfurtu nad Mohanem, push služba v Norimberku, zálohy jsou ve Francii. Angaro je provozováno v Rakousku a podléhá GDPR.
Safety Check
Každý e-mail se kontroluje na podvržené odesílatele (SPF, DKIM, DMARC), napodobené domény, podezřelé odkazy, změněné bankovní údaje a nebezpečné přílohy. Pro seznam známých phishingových domén se dotazuje jen na první znaky otisku SHA-256 – Angaro nevidí odkazy z tvých e-mailů.
Push bez nahlížení
Pro oznámení se tvé přihlašovací údaje ve tvém zařízení zapečetí klíčem push služby (ECIES s P-256 a AES-256-GCM). Otevřít je může jen tato služba. Odesílatel a předmět se doručují zašifrované pro tvé zařízení.
Šifrované e-maily (PGP)
Klíče PGP vznikají ve tvém zařízení. Soukromý klíč se synchronizuje jen s koncovým šifrováním; šifrování a dešifrování probíhá výhradně ve tvém zařízení.
Zabezpečené servery
Všude HTTPS s HSTS, e-maily se zobrazují bez skriptů a formulářů v izolovaném rámu, připojení do interní sítě jsou blokována, přihlášení a dotazy jsou omezeny proti opakovaným pokusům. Závislosti se pravidelně kontrolují na známé zranitelnosti.
Nahlásit zranitelnost
Našel jsi zranitelnost? Napiš nám na support@angaro.io s předmětem „Security“ a krátkým popisem, jak ji zopakovat. Odpovíme co nejdřív a budeme tě informovat až do opravy.
Nepřistupuj prosím k cizím datům, nic neměň ani nemaž a nezatěžuj naše služby (žádné útoky odepřením služby). Kdo dodrží tato pravidla a nahlásí nám chybu jako první, nemusí se obávat právních kroků z naší strany.
Strojově čitelné: angaro.io/.well-known/security.txt
support@angaro.io