Bezpieczeństwo
Angaro zbudowano tak, aby przez nasze serwery przechodziło jak najmniej – a to, co się tam znajduje, było dla nas nieczytelne.
Szyfrowanie end-to-end
Z twojego hasła na twoim urządzeniu wyprowadzany jest klucz za pomocą PBKDF2-SHA256 (210 000 iteracji). Kontakty, ustawienia i konta pocztowe wraz z hasłami są szyfrowane AES-256-GCM, zanim opuszczą urządzenie. Nasz serwer nigdy nie otrzymuje twojego hasła, tylko wyprowadzony z niego skrót logowania, który dodatkowo zapisuje za pomocą scrypt.
Twoje maile zostają u ciebie
Aplikacje pobierają maile bezpośrednio od twojego dostawcy i zapisują je na urządzeniu. Webmail łączy się z twoim serwerem poczty przy każdej czynności i nie zapisuje danych logowania ani treści; otwarte połączenie pozostaje w pamięci najwyżej 5 minut.
Serwery w UE
Angaro Cloud działa we Frankfurcie nad Menem, usługa push w Norymberdze, kopie zapasowe znajdują się we Francji. Angaro jest prowadzone w Austrii i podlega RODO.
Safety Check
Każdy mail jest sprawdzany pod kątem fałszywych nadawców (SPF, DKIM, DMARC), podrobionych domen, podejrzanych linków, zmienionych danych bankowych i niebezpiecznych załączników. Dla listy znanych domen phishingowych wysyłane są tylko pierwsze znaki skrótu SHA-256 – Angaro nie widzi linków z twoich maili.
Push bez wglądu
Na potrzeby powiadomień twoje dane logowania są pieczętowane na urządzeniu kluczem usługi push (ECIES z P-256 i AES-256-GCM). Tylko ta usługa może je otworzyć. Nadawca i temat są dostarczane zaszyfrowane dla twojego urządzenia.
Szyfrowane maile (PGP)
Klucze PGP powstają na twoim urządzeniu. Klucz prywatny jest synchronizowany tylko z szyfrowaniem end-to-end; szyfrowanie i odszyfrowywanie odbywa się wyłącznie na twoim urządzeniu.
Zabezpieczone serwery
Wszędzie HTTPS z HSTS, maile wyświetlane bez skryptów i formularzy w odizolowanej ramce, połączenia do sieci wewnętrznej zablokowane, logowania i zapytania ograniczone przed zbyt wieloma próbami. Zależności są regularnie sprawdzane pod kątem znanych luk.
Porównanie z ponad 350 000 znanymi domenami phishingowymi – aktualizowane co 6 godzin.
Źródło listy blokad: Phishing.Database (open source, licencja MIT). Angaro porównuje z nią i pobiera ją ponownie co 6 godzin.
Czy ta wiadomość jest prawdziwa?
Zgłoś lukę bezpieczeństwa
Znalazłeś lukę? Napisz do nas na support@angaro.io z tematem „Security” i krótkim opisem, jak ją odtworzyć. Odpowiemy jak najszybciej i będziemy informować cię aż do jej usunięcia.
Nie uzyskuj dostępu do cudzych danych, niczego nie zmieniaj ani nie usuwaj i nie obciążaj naszych usług (żadnych ataków typu DoS). Kto przestrzega tych zasad i zgłosi nam lukę jako pierwszy, nie musi obawiać się kroków prawnych z naszej strony.
Do odczytu maszynowego: angaro.io/.well-known/security.txt
support@angaro.io