Perché la chiave resta nel link
Il segno # in un link Sésame Éclair separa ciò che il nostro server riceve da ciò che non vede mai. Ecco come.
Un link Sésame Éclair si presenta così:
https://eclair.kayzen-lyon.com/s/Q2xhaXJlTGFQb2ludGU#v1.n.k7X…
Tutto ciò che precede il segno # serve a trovare il segreto. Tutto ciò che segue è la chiave necessaria per leggerlo. Questa separazione non è una nostra convenzione: fa parte del funzionamento stesso del Web.
Ciò che il browser non invia mai
La parte di un indirizzo che segue # si chiama frammento. Lo standard degli indirizzi Web (RFC 3986) lo mantiene nel browser: non viene mai inviato al server nella richiesta. Quando il Suo destinatario apre il link, il nostro server riceve l'identificativo del segreto, ma non la chiave.
Il browser del destinatario legge la chiave nel frammento, scarica il blocco cifrato e lo decifra in locale.
Ciò che riceviamo quando crea un segreto
Quando crea un segreto, il Suo browser:
- estrae a caso una chiave di 256 bit;
- cifra il contenuto con AES-256-GCM, dopo averlo portato a una dimensione standard per non rivelarne la lunghezza;
- ci invia soltanto il risultato cifrato, la scadenza scelta e il numero di letture consentite;
- inserisce la chiave nel frammento del link che Le mostra.
Conserviamo quindi un blocco illeggibile. Anche con un accesso completo al nostro database, il contenuto non può essere recuperato senza il link.
E il PIN?
Il PIN aggiunge una seconda chiave, derivata dal codice con Argon2id, una funzione volutamente lenta che rende costosi i tentativi. Il server riceve soltanto un verificatore da cui non è possibile risalire al codice. Dopo cinque tentativi errati, il segreto viene distrutto.
I limiti, in tutta onestà
- Il link è il segreto. Chiunque lo ottenga prima del Suo destinatario può leggerlo. Il destinatario però se ne accorgerà: vedrà che il link è già stato usato, e la conferma di lettura La informerà. Per le credenziali sensibili, aggiunga un PIN e lo invii tramite un altro canale.
- Il frammento resta nella cronologia del browser del destinatario. Il segreto non vi si trova, e il link non funziona più dopo la lettura.
- La cifratura avviene nella pagina che serviamo noi. La politica di sicurezza del sito vieta qualsiasi script di terze parti, e il formato è documentato pubblicamente, con i relativi vettori di test.
Può vedere esattamente ciò che riceve il nostro server nella pagina «Cosa vede il server».