Was der Server sieht

Verlassen Sie sich nicht auf unser Wort: Prüfen Sie es. Diese Demonstration führt den echten Verschlüsselungscode von Sésame Éclair in Ihrem Browser aus und zeigt die genaue Anfrage, die an unsere Server gesendet wird.

Geben Sie ein fiktives Secret ein

Lokale Demonstration: Von dieser Seite wird tatsächlich nichts gesendet.

Was wir erhalten

ciphertext und iv: Ihr mit AES-256-GCM verschlüsseltes Secret, auf eine feste Größe aufgefüllt, um seine Länge zu verbergen.
id: eine zufällige Kennung ohne Bezug zu Ihnen.
manageTokenHash: der Fingerabdruck des Tokens Ihres Tracking-Links, nicht das Token selbst.
hasPin und, bei einem Code, pinVerifier: ein aus dem Code und dem Schlüssel abgeleiteter Wert, für uns ohne den Schlüssel nutzlos.
Die gewählte Zahl der Lesevorgänge und die Lebensdauer.

Was wir nie erhalten

Ihr Text, Ihre Dateien oder Ihre Bezeichnung im Klartext.
Der Schlüssel hinter dem # im Link. Browser senden diesen Teil der Adresse nie an Server.
Ihre PIN oder Passphrase.

Prüfen Sie es selbst

Öffnen Sie die Entwicklertools Ihres Browsers (F12), Tab „Netzwerk“.
Erstellen Sie ein Secret auf der Startseite.
Klicken Sie auf die Anfrage secrets und prüfen Sie ihren Inhalt: Er entspricht dem oben gezeigten.

Die Grenzen, ehrlich gesagt

Verschlüsselung in einer Webseite setzt voraus, dass der von unserer Website ausgelieferte Code unverändert ist. Wir verringern dieses Risiko mit einer strikten Sicherheitsrichtlinie (keine Drittanbieter-Skripte), geprüften Abhängigkeiten sowie signierten Desktop-Apps und einer signierten Erweiterung, die nie entfernten Code ausführen. Das kryptografische Format ist mit seinen Testvektoren veröffentlicht und wird extern auditiert werden.