Como a KeysArk criptografa: o design

Cada escolha de design na KeysArk segue uma regra: a chave nunca sai do seu navegador. Aqui está a cadeia, das palavras que você anota até o texto cifrado na sua nuvem.

Uma frase para guardar tudo

Seu segredo mestre é uma frase de recuperação BIP39 — 24 palavras em inglês (256 bits de entropia) para novos cofres. É um padrão, então você pode importá-la para o MetaMask ou qualquer carteira BIP39. Nada mais para baixar, nenhum arquivo de chave para cuidar.

Das palavras a uma chave

A frase é transformada em uma chave de forma determinística, inteiramente no navegador: mesma frase, mesma chave, todas as vezes, em qualquer dispositivo — sem nenhum servidor envolvido.

BIP39 phrase
  → seed   (PBKDF2-HMAC-SHA512)
  → HKDF-SHA256
  → AES-256 key

Criptografando seu conteúdo

Cada item é selado com AES-256-GCM, uma cifra autenticada: ela ao mesmo tempo oculta o conteúdo e detecta adulteração. Cada criptografia usa um IV de 96 bits novo e aleatório que nunca é reutilizado — reutilizar um nonce GCM seria catastrófico, então nunca o fazemos.

O servidor é um cano burro

Nossa API e os clientes de armazenamento são bytes entram, bytes saem: eles movem texto cifrado base64 opaco e são totalmente agnósticos ao conteúdo. O texto em claro, a frase e a chave derivada são proibidos em qualquer código de servidor, requisição, URL, cookie, log ou banco de dados.

Desbloqueando na sua máquina

Quando você armazena sua frase localmente (no aplicativo web ou no ark CLI), ela é envolvida com uma senha de desbloqueio usando Argon2id (512 MB, t=4, p=1) — uma função deliberadamente memory-hard que torna caro fazer força bruta na senha. Os parâmetros viajam junto com a credencial, de modo que podem ser aumentados com o tempo.

O compromisso que aceitamos

A verdadeira criptografia de ponta a ponta significa que nem mesmo nós podemos ajudá-lo a recuperar seus dados. Perca a frase de recuperação e ela se foi. Esse é o preço de ninguém — incluindo nós — conseguir lê-la.