Що таке Parcel Rocket і навіщо менеджеру паролів уміти передавати їх далі
Менеджер паролів береже ваші секрети, поки ви поруч. Parcel Rocket ще й подбає, щоб потрібні люди отримали їх тоді, коли вас поруч не буде.
Більшість із нас зберігає більше секретів, ніж усвідомлює. Пароль від пошти, через яку відновлюються всі інші акаунти. Доступ до банку, до постачальника електроенергії, до реєстратора домену. Фраза відновлення криптогаманця. Де лежить заповіт, який код у сейфа, як працює бізнес, у якому по-справжньому розбирається лише одна людина.
Про все це водночас справедливі дві речі: сторонньому має бути дуже важко до цього дістатися, а потрібній людині має бути можливо дістатися того дня, коли це знадобиться. Майже кожен інструмент обирає щось одне і не зважає на друге. Parcel Rocket створили, щоб робити і те, і те.
Чому зберігати секрети «в надійному місці» не працює
Чесна відповідь на запитання «де ви зберігаєте паролі?» зазвичай одна з таких: у блокноті, у нотатках на телефоні, у таблиці з невинною назвою, у браузері або в голові з невеликими варіаціями для кожного сайту.
Кожен із цих варіантів підводить у знайомий спосіб.
- Блокнот за визначенням не зашифрований. Хто відкрив шухляду, той має все; а якщо він загубиться, разом із ним зникне все, що в ньому було.
- Нотатки чи таблиця зазвичай синхронізуються з хмарним акаунтом, який захищає один-єдиний пароль, і читаються відкритим текстом кожним, хто цей пароль дістане, самим провайдером і тим, кому провайдера зобов’яжуть їх видати.
- Браузер пам’ятає паролі одного браузера на одному пристрої й рідко зберігає те, що важить найбільше: фрази відновлення, PIN-коди, відповіді на секретні запитання.
- Голова не витримує більше жменьки акаунтів без повторів, а повторені паролі — це саме той спосіб, у який один злитий сайт перетворюється на десять зламаних акаунтів.
Менеджер паролів розв’язує першу проблему. Він генерує окремий довгий випадковий пароль для кожного сайту, пам’ятає їх усі й захищає одним сильним паролем, який ніколи не залишає ваш пристрій. Із цим погоджуються всі.
Проблема, яку менеджери паролів не розв’язують
Поставте інше запитання: що станеться з цим сховищем того дня, коли ви не зможете відкрити його самі?
Хвороба, нещасний випадок, довга поїздка туди, де немає зв’язку, або просто звичайний кінець життя. Люди, яким треба не дати вимкнути світло, сплатити рахунки, зв’язатися з бухгалтером, закрити акаунти чи знайти документи, залишаються за дверима саме тому, що ви вчинили відповідально й замкнули все на замок.
Деякі сервіси пропонують «екстрений доступ». На практиці це зазвичай означає одну довірену особу, доступ до всього сховища цілком або ні до чого, і період очікування, який неможливо налаштувати. Це краще, ніж нічого, але не те, чого насправді хочуть люди.
Люди хочуть чогось ближчого до такого: ці дані — дружині, той набір — партнерові по бізнесу, фраза гаманця — братові, але тільки якщо я не виходив на зв’язок місяць, і ніхто не отримує нічого, чого не мав побачити.
Що робить Parcel Rocket
У Parcel Rocket дві половини, які поділяють одну модель шифрування.
Менеджер паролів — це сховище для ваших облікових даних: логінів, карток, документів, ключів API, криптогаманців, захищених нотаток. Кожен запис шифрується у вашому браузері ключем, який виводиться з пароля сховища. Сервер зберігає шифротекст і параметри, потрібні, щоб знову вивести ключ, і більше нічого. Ми не можемо прочитати ваші записи. Ми не можемо скинути пароль вашого сховища. Це не політика компанії, а так працює математика.
Посилки — це спосіб передати щось далі. Посилка — це зашифрований набір тексту, файлів або записів зі сховища, адресований одній чи кільком людям, із кінцевим терміном. До цього терміну нічого не доставляється. Якщо ви поруч — продовжуєте термін, і посилка чекає далі. Якщо перестаєте продовжувати, одержувачів сповіщають, і вони можуть її відкрити, відповівши на запитання, відповіді на які знають лише вони.
Ці частини складаються в спосіб, який виявляється важливим:
- Тригером є термін, а не свідоцтво про смерть. Вам не треба нікому нічого доводити. Ви просто продовжуєте термін, а в момент, коли не зможете, процес запуститься.
- Нагадування спершу отримуєте ви. Перед завершенням терміну вам нагадують електронною поштою, у Telegram, WhatsApp або SMS. Одне пропущене нагадування — сигнал; місяць пропущених нагадувань — рішення.
- Кожен одержувач отримує свою посилку. Дружина й партнер по бізнесу бачать різне. Нікому не віддають сховище цілком.
- Одержувачів перевіряють знанням, а не акаунтом. Їм не треба реєструватися. Вони відповідають на запитання, які ви задали, і саме відповіді розшифровують посилку.
- Записи беруться просто зі сховища. Додати логін до банку в посилку означає вибрати його в Менеджері паролів, а не скопіювати в текстове поле.
Філософія безпеки простими словами
Ми спроєктували Parcel Rocket навколо одного правила: сервер має бути марним для зловмисника. Якби хтось завтра викрав усю нашу базу даних, він отримав би колекцію зашифрованих блоків і жодного способу їх відкрити.
Це правило має наслідки, які ви можете перевірити самі.
Шифрування й розшифрування відбуваються у вашому браузері за стандартними опублікованими алгоритмами: Argon2id — щоб перетворити пароль на ключ, AES-256-GCM — для записів, OpenPGP — для посилок. JavaScript, який це робить, віддається немініфікованим, і головна сторінка на нього посилається, бо заява про безпеку, яку не можна перевірити, — це лише заява.
Пароль вашого сховища ніколи нам не надсилається. Ваш ключ відновлення — єдиний шлях назад, якщо ви забудете цей пароль, — генерується на вашому пристрої і показується вам один раз. У нас немає копії, і саме тому ми просимо його записати.
Посилки шифруються відповідями на ваші запитання, а не паролем, що зберігається на нашому боці. Одержувач, який знає відповіді, може відкрити посилку; той, хто не знає, — не може, і ми теж не можемо.
Усе це не робить Parcel Rocket таким зручним у всьому, як звичайні нотатки. Вам доведеться пам’ятати один сильний пароль і берегти один ключ відновлення. Такий обмін, і ми вважаємо його правильним для речей, які ви сюди покладете.
Для кого це
Не обов’язково керувати компанією чи володіти криптовалютою, щоб мати що передати. Спільна поштова скринька, фотографії в хмарі, доступ до сімейного тарифу мобільного зв’язку, лист, який ви хотіли б, щоб хтось колись прочитав, — саме такі речі назавжди залишаються замкненими, бо ніхто не знав пароля.
Parcel Rocket безкоштовний для трьох посилок — цього досить, щоб зрозуміти, чи пасує він до форми вашого життя. Якщо пасує, Premium додає місце для більших файлів, більше одержувачів і довші продовження.
Річ ніколи не була в програмі. Річ у тому, щоб того дня, коли це матиме значення, потрібна людина відкрила потрібну посилку і знайшла там те, що ви для неї залишили.