Logo

Whitepaper su sicurezza e privacy (panoramica)

Questo whitepaper spiega il design di sicurezza e i confini di fiducia di FileBolt. Aiuta utenti e auditor a capire come il sistema protegge riservatezza e integrità, come l'accesso viene controllato e revocato e quali rischi sono esplicitamente fuori ambito. Il documento usa i termini RFC 2119 (MUST/SHOULD/MAY) e fornisce ID delle affermazioni e link alle prove a supporto di revisione e verifica.

Metadati del documento

Versione del whitepaper
v1.0
Ultimo aggiornamento
2026-01-14
Versione del protocollo crittografico
cryptoVersion=v1

Registro delle modifiche: /security-privacy-changelog

Punti chiave

  • E2EE zero-knowledge: le chiavi di decrittografia vengono generate e usate solo sul client; il server non può ottenerle.
  • Crittografia AEAD a blocchi: blocchi di dimensione fissa; un errore di autenticazione DEVE far fallire l'operazione (fail closed) e NON DEVE produrre testo in chiaro parziale.
  • Controllo degli accessi e revoca: l'accesso al testo cifrato è protetto da token di breve durata e con ambito limitato; i mittenti possono revocare l'accesso eliminando il trasferimento.
  • Superficie di download e decrittografia isolata: la pagina di download e decrittografia evita script di terze parti e usa una CSP rigorosa e intestazioni di sicurezza.
  • Prove verificabili: le pagine di stato pubbliche rimandano a report di terze parti per la verifica di base (TLS, intestazioni, ecc.).

Link alle prove

Vengono fornite prove pubbliche di terze parti per convalidare il livello di sicurezza di base (ad es. TLS e intestazioni di sicurezza). I confini zero-knowledge/E2EE sono definiti dal protocollo e dall'applicazione lato client (vedi il Capitolo 5 e gli ID delle affermazioni).

Titolarità e contatto per la sicurezza

Note sull'ambito

  • Nell'ambito: modello zero-knowledge/E2EE, crittografia e autenticazione a blocchi, controllo degli accessi basato su token, revoca e isolamento dell'audit, baseline di sicurezza web e link alle prove.
  • Fuori ambito: endpoint compromessi (estensioni dannose/malware), divulgazione intenzionale dei link, social engineering ed errori degli utenti.