Sicurezza
Angaro è costruito in modo che sui nostri server passi il meno possibile – e che ciò che vi è salvato sia per noi illeggibile.
Crittografia end-to-end
Dalla tua password viene derivata sul tuo dispositivo una chiave con PBKDF2-SHA256 (210.000 iterazioni). Contatti, impostazioni e account e-mail con password vengono cifrati con AES-256-GCM prima di lasciare il dispositivo. Il nostro server non riceve mai la tua password, ma solo un hash di accesso derivato, che salva inoltre con scrypt.
Le tue e-mail restano a te
Le app scaricano le e-mail direttamente dal tuo provider e le salvano sul dispositivo. Il webmailer si collega al tuo server di posta per ogni azione e non salva né credenziali né contenuti; una connessione aperta resta in memoria al massimo 5 minuti.
Server nell’UE
Angaro Cloud funziona a Francoforte sul Meno, il servizio push a Norimberga, i backup si trovano in Francia. Angaro è gestito in Austria ed è soggetto al GDPR.
Safety Check
Ogni e-mail viene controllata per mittenti falsificati (SPF, DKIM, DMARC), domini imitati, link sospetti, coordinate bancarie modificate e allegati pericolosi. Per la lista dei domini di phishing noti vengono richiesti solo i primi caratteri di un hash SHA-256 – Angaro non vede i link delle tue e-mail.
Push senza accesso ai contenuti
Per le notifiche le tue credenziali vengono sigillate sul dispositivo per la chiave del servizio push (ECIES con P-256 e AES-256-GCM). Solo questo servizio può aprirle. Mittente e oggetto vengono consegnati cifrati per il tuo dispositivo.
E-mail cifrate (PGP)
Le chiavi PGP vengono create sul tuo dispositivo. La chiave privata viene sincronizzata solo con crittografia end-to-end; cifratura e decifratura avvengono esclusivamente sul tuo dispositivo.
Server protetti
HTTPS con HSTS ovunque, le e-mail vengono mostrate senza script né moduli in un riquadro isolato, le connessioni alla rete interna sono bloccate, accessi e richieste sono limitati contro troppi tentativi. Le dipendenze vengono controllate regolarmente per vulnerabilità note.
Confronto con oltre 350.000 domini di phishing noti – aggiornato ogni 6 ore.
Fonte della lista: Phishing.Database (open source, licenza MIT). Angaro la usa per il confronto e la ricarica ogni 6 ore.
Segnalare una vulnerabilità
Hai trovato una vulnerabilità? Scrivici a support@angaro.io con oggetto “Security” e una breve descrizione di come riprodurla. Rispondiamo il prima possibile e ti teniamo aggiornato fino alla correzione.
Non accedere ai dati di altri, non modificare o eliminare nulla e non sovraccaricare i nostri servizi (nessun attacco di negazione del servizio). Chi rispetta queste regole e ci segnala per primo la falla non deve temere azioni legali da parte nostra.
Leggibile dalle macchine: angaro.io/.well-known/security.txt
support@angaro.io