كيف يجعل Lockvero خزنتك غير قابلة للقراءة — حتى بالنسبة لنا

تسلسل المفاتيح

عند إنشاء حسابك يتولّى متصفحك — لا خادمنا — كل عمليات التشفير:

1. المفتاح الرئيسي. تُقوّى كلمة المرور الرئيسية بخوارزمية Argon2id (‏64 ميغابايت من الذاكرة وثلاث مرات) مع ملح عشوائي، فيصبح كل تخمين بطيئًا ومكلفًا للمهاجم.
2. مفتاحان منفصلان. من المفتاح الرئيسي يُشتق عبر HKDF-SHA-256 مفتاح تشفير لا يغادر جهازك أبدًا، ومفتاح مصادقة يثبت هويتك. ويعيد الخادم تجزئة مفتاح المصادقة بـ Argon2id قبل حفظه.
3. مفتاح الخزنة. مفتاح عشوائي بطول 256 بت يشفّر خزنتك، ولا يُخزَّن إلا مغلّفًا — أي مشفّرًا بمفتاح التشفير — مع نسخة ثانية مغلّفة بمفتاح الاسترداد.
4. كل عنصر. تُشفَّر المشاريع وبيانات الدخول بـ AES-256-GCM برقم عشوائي جديد في كل مرة، مع بيانات مرتبطة تربط كل نص مشفّر بعنصره ومشروعه، فيُكتشف أي تبديل أو عبث.

ماذا سيجد من يسرق قاعدة البيانات؟

الطريق الوحيد إلى خزنة مسروقة هو تخمين كلمة المرور الرئيسية — دون اتصال، وبعملية Argon2id مكلفة لكل تخمين. لذلك يشترط Lockvero كلمة مرور رئيسية طويلة ويفحص قوتها قبل قبولها.

طبقات الحماية على الخادم

• أمان على مستوى الصفوف في PostgreSQL يعزل كل حساب داخل قاعدة البيانات نفسها، كخط دفاع ثانٍ خلف كود التطبيق.
• التحقق بخطوتين بمفاتيح المرور (WebAuthn) أو TOTP، مع منع إعادة استخدام الرموز.
• الحماية من التخمين: قفل الحساب وتحديد المعدّل، وإجابة واحدة لكل أنواع الفشل.
• سجل تدقيق لا يُعدَّل وتنبيهات بالبريد عند الدخول من متصفح جديد وعند أي تغيير أمني.
• نسخ احتياطية مشفّرة، فحتى نسخنا الاحتياطية لا تُقرأ دون مفتاح محفوظ خارج الإنترنت.

تطبيق الويب نفسه

مدير كلمات المرور على الويب جدير بالثقة بقدر الكود الذي يحمّله. لذلك يقدّم Lockvero تطبيقه بسياسة أمان محتوى صارمة (CSP) وTrusted Types — دون أي سكربتات مضمّنة أو خارجية — ومن نطاق مختلف عن واجهة البرمجة. أما إضافة المتصفح فتُثبَّت مرة واحدة من المتجر، فلا حاجة للثقة بتنزيل جديد في كل زيارة.

المشاركة دون أن تثق بنا

لكل حساب زوج مفاتيح P-256 يُنشأ في المتصفح. ولكل مشروع مشترك مفتاح خاص يُشفَّر لكل عضو بمفتاحه العام. ويمكنك مقارنة رمز أمان قصير مع الطرف الآخر للتأكد من أن المفتاح يخصه فعلًا. وعند إزالة عضو يتغيّر مفتاح المشروع.

ما لا نستطيع فعله

لا نستطيع رؤية كلمات مرورك، ولا إعادة تعيين كلمة المرور الرئيسية، ولا استعادة خزنتك إذا فقدت كلمة المرور الرئيسية ومفتاح الاسترداد معًا. هذه الحدود مقصودة: فكل ما نستطيع فعله لك، يستطيع فعله أيضًا مهاجم يسيطر على خوادمنا.

الإبلاغ عن ثغرة

راسلنا على security@lockvero.com. نرحّب بالإفصاح المسؤول ونردّ سريعًا.