Безпека

Станом на 19.10.2026, версія 0.1.2

Ми описуємо лише те, що справді працює у випущеній версії. Те, що ще в роботі, позначено прямо.

З'єднання

• Шифрування між комп'ютерами. Зображення, клавіатура, миша, буфер обміну й чат передаються безпосередньо між комп'ютерами зашифрованим каналом WebRTC (DTLS-SRTP). Наш сервер з'єднань і ретранслятор TURN передають лише зашифровані дані й не бачать екрана чи того, що ви вводите.
• Нічого до прийняття. Комп'ютер не надсилає зображення й не приймає керування, доки хтось біля нього не прийме з'єднання або той, хто підключається, не введе пароль доступу без нагляду.
• Захист від підбору пароля. Після 3 неправильних паролів з одного пристрою комп'ютер блокує наступні спроби на 5 хвилин.

Обліковий запис

• Пароль ніколи не потрапляє на сервер. Застосунок обчислює з нього ключ (Argon2id) на вашому пристрої; сервер зберігає лише хеш цього ключа.
• Збережені паролі до комп'ютерів в адресній книзі шифруються на вашому пристрої (XChaCha20-Poly1305). Ключа до них ми не маємо. Назви, теги й нотатки в адресній книзі так не шифруються.
• Двофакторний вхід (2FA, TOTP) з можливістю запам'ятати пристрій на 30 днів; список довірених пристроїв можна будь-коли очистити.
• Обмеження входу: 10 неправильних паролів за 15 хвилин для одного облікового запису та 20 спроб за хвилину з однієї IP-адреси.

Програмне забезпечення та інфраструктура

• Підписані оновлення. Застосунок встановлює лише оновлення з правильним цифровим підписом. Кожен файл для завантаження має контрольну суму SHA-256.
• Сервери в ЄС. Сервер з'єднань і ретранслятор TURN працюють у Гельсінкі (Фінляндія, Hetzner).
• Перегляд у браузері завантажує код з нашого сервера, тому потребує більшої довіри до сервера, ніж застосунок на комп'ютері.

Стан

Більше

• Повідомлення про вразливості і security.txt
• Політика конфіденційності Zdalna
• Стан сервісів