Безпека
Angaro побудовано так, щоб через наші сервери проходило якомога менше, а те, що там зберігається, було для нас нечитабельним.
Наскрізне шифрування
З твого пароля на твоєму пристрої за допомогою PBKDF2-SHA256 (210 000 ітерацій) виводиться ключ. Контакти, налаштування та поштові облікові записи разом із паролями шифруються AES-256-GCM, перш ніж залишити пристрій. Наш сервер ніколи не отримує твій пароль, лише виведений із нього хеш входу, який він додатково зберігає за допомогою scrypt.
Твої листи залишаються в тебе
Застосунки отримують листи безпосередньо від твого провайдера та зберігають їх на пристрої. Вебпошта підключається до твого поштового сервера для кожної дії і не зберігає ні облікових даних, ні вмісту; відкрите з’єднання зберігається в пам’яті щонайбільше 5 хвилин.
Сервери в ЄС
Angaro Cloud працює у Франкфурті-на-Майні, push-сервіс – у Нюрнберзі, резервні копії зберігаються у Франції. Angaro керується з Австрії та підпадає під дію GDPR.
Safety Check
Кожен лист перевіряється на підроблених відправників (SPF, DKIM, DMARC), домени-імітації, підозрілі посилання, змінені банківські реквізити та небезпечні вкладення. Для списку відомих фішингових доменів запитуються лише перші символи хешу SHA-256 – Angaro не бачить посилань із твоїх листів.
Push без доступу до вмісту
Для сповіщень твої облікові дані запечатуються на пристрої ключем push-сервісу (ECIES з P-256 і AES-256-GCM). Відкрити їх може лише цей сервіс. Відправник і тема доставляються зашифрованими для твого пристрою.
Зашифровані листи (PGP)
Ключі PGP створюються на твоєму пристрої. Приватний ключ синхронізується лише з наскрізним шифруванням; шифрування та розшифрування відбуваються виключно на твоєму пристрої.
Захищені сервери
Скрізь HTTPS із HSTS, листи показуються без скриптів і форм в ізольованій рамці, з’єднання з внутрішньою мережею заблоковані, входи та запити обмежені проти надто багатьох спроб. Залежності регулярно перевіряються на відомі вразливості.
Порівняння з понад 350 000 відомими фішинговими доменами – оновлення кожні 6 годин.
Джерело списку блокування: Phishing.Database (відкритий код, ліцензія MIT). Angaro порівнює з ним і оновлює його кожні 6 годин.
Повідомити про вразливість
Знайшов вразливість? Напиши нам на support@angaro.io з темою «Security» і коротким описом, як її відтворити. Ми відповімо якомога швидше й інформуватимемо тебе до її усунення.
Будь ласка, не отримуй доступ до чужих даних, нічого не змінюй і не видаляй та не навантажуй наші сервіси (жодних DoS-атак). Хто дотримується цих правил і першим повідомить нам про вразливість, може не боятися юридичних кроків із нашого боку.
Для машинного читання: angaro.io/.well-known/security.txt
support@angaro.io