セキュリティ

2026 年 10 月 19 日現在、バージョン 0.1.2

リリース済みのバージョンで実際に動作するものだけを記載しています。開発中のものはその旨を明記しています。

接続

• コンピュータ間の暗号化。画面、キーボード、マウス、クリップボード、チャットは、暗号化された WebRTC チャネル（DTLS-SRTP）を通じてコンピュータ間で直接やり取りされます。私たちの接続サーバと TURN リレーは暗号化されたデータを中継するだけで、画面や入力内容を見ることはできません。
• 承認前は何も送信しません。コンピュータの前にいる人が接続を承認するか、接続する側が無人アクセス用パスワードを入力するまで、コンピュータは映像を送信せず、入力も受け付けません。
• パスワード推測からの保護。1 台のデバイスからパスワードを 3 回間違えると、コンピュータはそれ以降の試行を 5 分間ブロックします。

アカウント

• パスワードがサーバに届くことはありません。アプリがあなたのデバイス上でパスワードからキーを生成し（Argon2id）、サーバはそのキーのハッシュだけを保存します。
• アドレス帳に保存したコンピュータのパスワードは、あなたのデバイス上で暗号化されます（XChaCha20-Poly1305）。私たちはそのキーを持っていません。アドレス帳の名前、タグ、メモは、この方法では暗号化されません。
• 2 段階認証（2FA、TOTP）に対応しています。デバイスを 30 日間記憶することもできます。信頼できるデバイスのリストはいつでも消去できます。
• サインインの制限：アカウントあたり 15 分間に 10 回のパスワード誤り、IP アドレスあたり 1 分間に 20 回の試行まで。

ソフトウェアとインフラストラクチャ

• 署名付きアップデート。アプリは有効なデジタル署名のあるアップデートだけをインストールします。すべてのダウンロードに SHA-256 チェックサムがあります。
• EU 内のサーバ。接続サーバと TURN リレーはヘルシンキ（フィンランド、Hetzner）で稼働しています。
• ブラウザ版ビューアは私たちのサーバからコードを読み込むため、デスクトップアプリよりもサーバへの信頼に依存しています。

状況

詳細

• 脆弱性の報告と security.txt
• Zdalna のプライバシーポリシー
• サービスの状態