Beveiliging
Angaro is zo gebouwd dat zo weinig mogelijk via onze servers loopt – en wat daar staat, voor ons onleesbaar is.
End-to-end-versleuteling
Uit je wachtwoord wordt op je apparaat met PBKDF2-SHA256 (210.000 iteraties) een sleutel afgeleid. Contacten, instellingen en mailaccounts inclusief wachtwoorden worden met AES-256-GCM versleuteld voordat ze je apparaat verlaten. Onze server krijgt nooit je wachtwoord, alleen een daarvan afgeleide inloghash, die hij bovendien met scrypt opslaat.
Je mails blijven bij jou
De apps halen mails rechtstreeks op bij je provider en slaan ze op je apparaat op. De webmail maakt voor elke actie verbinding met je mailserver en slaat geen inloggegevens of inhoud op; een open verbinding blijft maximaal 5 minuten in het geheugen.
Servers in de EU
Angaro Cloud draait in Frankfurt am Main, de pushdienst in Neurenberg, back-ups staan in Frankrijk. Angaro wordt in Oostenrijk geëxploiteerd en valt onder de AVG.
Safety Check
Elke mail wordt gecontroleerd op vervalste afzenders (SPF, DKIM, DMARC), nagemaakte domeinen, verdachte links, gewijzigde bankgegevens en gevaarlijke bijlagen. Voor de blokkeerlijst van bekende phishingdomeinen worden alleen de eerste tekens van een SHA-256-hash opgevraagd – Angaro ziet geen links uit je mails.
Push zonder inzage
Voor meldingen worden je inloggegevens op je apparaat verzegeld voor de sleutel van de pushdienst (ECIES met P-256 en AES-256-GCM). Alleen die dienst kan ze openen. Afzender en onderwerp worden versleuteld voor je apparaat afgeleverd.
Versleutelde mails (PGP)
PGP-sleutels worden op je apparaat aangemaakt. De privésleutel wordt alleen end-to-end versleuteld gesynchroniseerd; versleutelen en ontsleutelen gebeurt uitsluitend op je apparaat.
Geharde servers
Overal HTTPS met HSTS, mails worden zonder scripts en formulieren in een afgeschermd kader getoond, verbindingen met het interne netwerk zijn geblokkeerd, aanmeldingen en opvragingen zijn begrensd tegen te veel pogingen. Afhankelijkheden worden regelmatig gecontroleerd op bekende kwetsbaarheden.
Kwetsbaarheid melden
Een kwetsbaarheid gevonden? Mail ons op support@angaro.io met het onderwerp ‘Security’ en een korte beschrijving van hoe je die kunt reproduceren. We antwoorden zo snel mogelijk en houden je op de hoogte tot het is opgelost.
Open geen gegevens van anderen, wijzig of verwijder niets en belast onze diensten niet (geen overbelastingsaanvallen). Wie zich hieraan houdt en ons het lek als eerste meldt, hoeft geen juridische stappen van ons te vrezen.
Machineleesbaar: angaro.io/.well-known/security.txt
support@angaro.io