Threat Model

Безопасность через честность

Что ChromVoid защищает, а что — нет. И почему мы открыто говорим об ограничениях.

Что защищает ChromVoid

ChromVoid предназначен для хранения паролей, OTP, заметок и других секретов с threat model, где возможны физический доступ, принуждение, сетевые атаки и оффлайн-анализ.

ChromVoid не обещает «невзламываемость» и не заменяет базовую гигиену безопасности.

Границы доверия

ChromVoid построен как zero-trust система. Ни один компонент не «доверяется по умолчанию». Доступ выдаётся через capability grants. Вся связь шифруется end-to-end: Noise поверх USB/WebRTC DataChannel/WSS via Relay.

Криптография

Стандартные криптографические примитивы без проприетарных алгоритмов. Всё задокументировано и проверяемо.

Архитектура хранилища

ChromVoid использует chunk-based storage. Данные хранятся как зашифрованные чанки (~16KB). Каждый чанк шифруется отдельно. Запись на диск атомарная (write-temp-rename) + fsync.

Offline-hardening

Когда у атакующего есть копия ваших файлов, ChromVoid применяет подход «разделить данные и ключевой материал». Данные хранилища (чанки) лежат в ФС. Дополнительный секрет (storage pepper) хранится отдельно (например, в OS keystore) и участвует в деривации ключей.

Суть: «просто скопировать папку» недостаточно для запуска оффлайн-подбора.
Важно: это не заменяет сильную passphrase. Argon2id + pepper = задержка и усложнение оффлайн-атаки, но не абсолютная гарантия.

Plausible Deniability

ChromVoid поддерживает модель decoy-vault + скрытые vault'ы: нет очевидного сигнала «неверный пароль», минимум метаданных о количестве vault'ов, скрытые границы данных на уровне хранения (flat chunk подход).

Акторы угроз

ChromVoid защищает от широкого спектра противников — от случайных воров до спецслужб. Разные уровни угроз требуют разных режимов работы.

Сценарии атак

Конкретные сценарии помогают понять, как защита ChromVoid работает на практике. Каждый сценарий описывает атакующего, цель, вектор атаки и результат защиты.

Что мы НЕ защищаем

Честное раскрытие ограничений — часть нашего подхода к безопасности. Это принятые риски.

  • Компрометация хоста во время разблокировки: если ОС заражена и читает экран/клавиатуру/память при открытом vault, риск высок у любого менеджера паролей.
  • Слабые пароли: KDF замедляет подбор, но не делает пароль сильным.
  • Социальная инженерия и ошибки пользователя: перенос секретов в заметки/скриншоты/чат.
  • Физический доступ к разблокированному хост-устройству: software-only защита не предотвращает прямой осмотр или извлечение данных из памяти.
  • Компрометация supply chain хост-ОС, firmware или аппаратной части устройства вне scope этой threat model.

Рекомендации

Практические рекомендации для усиления защиты с ChromVoid.

  • Критично Используйте сильную passphrase (4-5 слов или ≥12 символов)
  • Важно Держите decoy-vault правдоподобным и «объяснимым»
  • Важно Предпочитайте localhost или прямое кабельное подключение, когда это возможно
  • Критично Включите auto-lock и блокировку при sleep
  • Критично Храните master_password на бумаге в безопасном месте
  • Важно Делайте регулярные зашифрованные бэкапы
  • Рекомендация Обновляйте приложение до последней версии

Проверяемость

Архитектура ChromVoid открыта и задокументирована. Вы можете проверить заявления о безопасности самостоятельно.

  • Архитектурные схемы ядра, транспорта и границ доверия
  • Публичный репозиторий и спецификации протоколов
  • Спецификация API (OpenAPI)

Responsible Disclosure

Если вы нашли уязвимость, пожалуйста, сообщите о ней ответственно.

  • Не публикуйте PoC публично до исправления
  • Напишите на security@chromvoid.com или через GitHub Security Advisories
  • Мы подтвердим получение и дадим статус
security@chromvoid.com