Como funciona
Segurança e detalhes técnicos
Visão geral
O CrypClip é uma ferramenta de criptografia de conhecimento zero que roda inteiramente no seu navegador. Quando você criptografa uma mensagem, as operações criptográficas acontecem localmente no seu dispositivo. Sua mensagem em texto puro e sua senha nunca saem do seu computador.
O processo de criptografia
Você digita sua mensagem
Digite ou cole sua mensagem na área de texto. Essa mensagem permanece na memória do seu navegador.
Você escolhe uma senha
Digite uma senha forte (mínimo de 8 caracteres). Essa senha é usada para derivar a chave de criptografia.
O OpenPGP.js criptografa localmente
A biblioteca OpenPGP.js cria uma mensagem criptografada usando o padrão PGP com AES-256.
Você compartilha o resultado criptografado
Copie a mensagem criptografada ou use o link de compartilhamento. Só quem tiver a senha consegue descriptografá-la.
Detalhes técnicos
Algoritmo de criptografia
AES-256 (Advanced Encryption Standard com chave de 256 bits). É o mesmo padrão usado por governos e instituições financeiras no mundo todo.
Derivação de chave
Sua senha é processada com S2K iterado e com sal (String-to-Key) usando SHA-256, conforme especificado no padrão OpenPGP (RFC 4880). Isso torna ataques de força bruta computacionalmente caros.
Formato da mensagem
As mensagens criptografadas usam o formato padrão PGP ASCII Armor, compatível com outras ferramentas PGP como GPG, Kleopatra e diversos clientes de e-mail.
Biblioteca
OpenPGP.js v6 - Uma implementação JavaScript de código aberto e auditada do padrão OpenPGP. O código-fonte está disponível publicamente para revisão.
Por que o CrypClip é seguro
Processamento 100% no lado do cliente
Toda a criptografia e descriptografia acontece no seu navegador, em JavaScript. Seus dados sem criptografia nunca chegam aos nossos servidores, porque não há servidores processando seus dados.
Sem armazenamento de dados
O CrypClip não usa bancos de dados, cookies nem armazenamento local para guardar suas mensagens. A única coisa que ele lembra é o idioma escolhido. Quando você fecha a página, sua mensagem some da memória.
Sem análise nem rastreamento
Não usamos Google Analytics, Facebook Pixel nem qualquer outro script de rastreamento. Sua privacidade é absoluta.
Os links de compartilhamento usam o fragmento da URL
Quando você gera um link de compartilhamento, os dados criptografados ficam depois do símbolo #. Seu navegador nunca envia essa parte ao CrypClip, então nunca a recebemos. Observe que, se você colar ou enviar o link em algum lugar - um aplicativo de mensagens, um provedor de e-mail, os botões de compartilhamento - esse serviço recebe, sim, os dados criptografados, mas não a sua senha.
Biblioteca de código aberto
O OpenPGP.js é de código aberto e foi auditado por pesquisadores de segurança. Você pode inspecionar o código no GitHub.
Content Security Policy
O CrypClip usa cabeçalhos CSP rigorosos para impedir ataques de cross-site scripting (XSS) e a execução de código não autorizado.
Verifique você mesmo
Não acredite só na nossa palavra. Veja como verificar que o CrypClip funciona como descrito:
1. Observe o tráfego de rede
Abra as Ferramentas do desenvolvedor do seu navegador (F12), vá até a aba Rede e criptografe uma mensagem. As únicas requisições que você verá são simples downloads dos próprios arquivos de script do CrypClip a partir de www.crypclip.com: a biblioteca de criptografia e o gerador de códigos QR são carregados no primeiro uso. Nada é enviado que contenha sua mensagem ou sua senha.
2. Trabalhe offline
Carregue a página, dê a ela um instante para terminar e depois desconecte-se da internet. Criptografar e descriptografar continuam funcionando porque tudo roda localmente.
3. Inspecione o código-fonte
Veja o código-fonte da página (Ctrl+U) ou examine o JavaScript nas Ferramentas do desenvolvedor. O código não é ofuscado e você pode ver exatamente o que ele faz.
4. Teste com outras ferramentas PGP
Criptografe uma mensagem com o CrypClip e depois descriptografe-a com o GPG na linha de comando ou outra ferramenta PGP. O resultado será idêntico, provando que usamos criptografia padrão.
Boas práticas de segurança
Use senhas fortes
Escolha senhas com pelo menos 12 caracteres, misturando maiúsculas, minúsculas, números e símbolos.
Compartilhe senhas com segurança
Nunca envie a senha pelo mesmo canal da mensagem criptografada. Use outro meio (por exemplo, uma ligação telefônica ou um aplicativo de mensagens diferente).
Cuidado com phishing
Verifique sempre se você está em www.crypclip.com. Salve o site nos favoritos para evitar ataques de typosquatting.
Use dispositivos pessoais
Evite computadores públicos ou dispositivos compartilhados para comunicações sensíveis. O histórico e a memória do seu navegador poderiam ser acessados.
Perguntas frequentes
Vocês conseguem descriptografar minha mensagem se eu esquecer a senha?
Não. Não temos acesso à sua senha nem à sua mensagem original. Se você esquecer a senha, os dados criptografados não podem ser recuperados. Isso é proposital: é o que torna a criptografia segura.
Isso é tão seguro quanto usar o GPG no meu computador?
O CrypClip usa o mesmo padrão OpenPGP e a mesma criptografia AES-256 que o GPG. A principal diferença é que ferramentas no navegador têm uma superfície de ataque um pouco maior (por exemplo, extensões maliciosas). Para a maioria dos usuários, o CrypClip oferece excelente segurança. Para ameaças de nível estatal, um software de desktop dedicado pode ser preferível.
Por que eu deveria confiar no CrypClip?
Você não precisa confiar em nós, essa é justamente a ideia. A biblioteca de criptografia é de código aberto e auditada. Você pode verificar nossas afirmações observando o tráfego de rede, trabalhando offline e testando com outras ferramentas PGP. Projetamos o sistema de modo que, mesmo se quiséssemos, não conseguiríamos acessar seus dados.
O que acontece com minha mensagem depois que fecho o navegador?
Ela some. O CrypClip não salva nada no disco nem em servidor algum. A mensagem só existe na memória do seu navegador enquanto a página está aberta.
Agências governamentais conseguem descriptografar minhas mensagens?
A criptografia AES-256 é considerada inquebrável com a tecnologia atual. Agências governamentais não conseguem quebrar a criptografia matematicamente. Elas poderiam, porém, comprometer seu dispositivo, sua senha ou o dispositivo do destinatário. A criptografia protege os dados em trânsito, não contra pontos finais comprometidos.