Dlaczego nie przechowujemy twoich plików — i co jednak zachowujemy

„Dokąd trafiają moje pliki?” to pytanie o StrongFolder, które słyszę najczęściej, i zasługuje ono na prostą odpowiedź, a nie na slogan. StrongFolder to udostępnianie plików bez przechowywania: z założenia nie trzymamy twoich plików. Ale stwierdzenie „niczego nie przechowujemy” byłoby nieprawdziwe, więc oto dokładnie, co zachowujemy, czego nigdy nie zachowujemy i gdzie nasze podejście ma granice.

Co StrongFolder zachowuje — a czego nigdy?

Aby utworzyć link, usługa przechowuje metadane transferu: nazwy plików i folderów, rozmiary oraz liczbę plików. Gdy ktoś otwiera twój link, widzi tę listę — nazwy i rozmiary — zanim wybierze, gdzie zapisać pliki. Dlatego usługa jej potrzebuje.

Z zawartością jest inaczej. Pliki nigdy nie są wysyłane ani przechowywane na serwerze StrongFolder. Nie ma etapu wgrywania: bajty twoich plików opuszczają twoje urządzenie dopiero wtedy, gdy połączy się odbiorca, i trafiają do tego odbiorcy.

Jak działa udostępnianie plików bez przechowywania?

Nasze serwery wykonują dwa małe zadania. Po pierwsze, pomagają dwóm przeglądarkom się odnaleźć — to tzw. sygnalizacja, która przenosi szczegóły połączenia i wspomniane metadane, a nie twoje pliki. Po drugie, serwują samą aplikację webową.

Następnie przeglądarki otwierają między sobą połączenie WebRTC. WebRTC szyfruje każdy kanał danych za pomocą DTLS, więc strumień plików jest szyfrowany podczas przesyłania przy każdym połączeniu. Strumień plików idzie tym połączeniem, z twojego urządzenia na urządzenie odbiorcy. Jeśli chcesz technicznego obrazu, poradnik Jak działa przesyłanie plików przez WebRTC przeprowadza przez to krok po kroku.

A co z relayem?

Czasem bezpośrednie połączenie jest niemożliwe — restrykcyjna firmowa zapora, niektóre sieci komórkowe. Wtedy transfer przełącza się na serwer pośredniczący TURN StrongFolder (relay).

Chcę być tu precyzyjny, bo właśnie w tym miejscu marketing często zaczyna naginać prawdę. Przy relayu twoje dane przechodzą przez nasz serwer. Przechodzą w postaci zaszyfrowanej, a relay je tylko przekazuje: nie zapisuje ich na dysku ani nie zachowuje kopii. Dlatego mówimy „pliki nigdy nie są przechowywane na serwerze”, a nie „pliki nigdy nie dotykają serwera”. To drugie zdanie byłoby fałszywe w przypadku transferów przez relay, a ty zasługujesz na to precyzyjne.

Dlaczego przechowywana kopia jest ryzykiem?

Większość usług przesyłania działa jak skrytka. Wgrywasz plik, oni trzymają go przez określony czas — zwykle kilka dni, czasem tygodnie, w zależności od usługi i planu — a każdy, kto ma link, może go w tym czasie pobrać.

Nie ma w tym nic złośliwego. Ale każdy dzień istnienia kopii to dzień, w którym może zostać ujawniona:

• Link wędruje. Link wysłany jednemu klientowi zostaje przekazany współpracownikowi, wklejony do zgłoszenia, zapisany w historii czatu. Dopóki kopia istnieje, link działa dla każdego, kto go ma.
• Wycieki zdarzają się wszystkim. Serwer, który trzyma miliony plików, jest celem. Serwer, który nie trzyma żadnego, jest znacznie mniej interesujący.
• Nie możesz zweryfikować usunięcia. Gdy usługa mówi, że plik jest usuwany po siedmiu dniach, musisz jej zaufać — łącznie z jej kopiami zapasowymi.
• Obowiązują cudze zasady. Przechowywana kopia podlega jurysdykcji, regulaminowi i żądaniom prawnym dostawcy, a nie tylko twoim.

W StrongFolder oknem ryzyka jest sam transfer. Gdy klikniesz Stop Sharing albo zamkniesz kartę, po naszej stronie nie zostaje nic do pobrania.

Jakie są uczciwe granice tego podejścia?

Nieprzechowywanie plików to realna przewaga w prywatności. Nie jest to jednak magia i wolę, żebyś znał granice, zanim na tym polegniesz:

• Brak linków chronionych hasłem. Każdy, kto ma link, może się połączyć, dopóki udostępniasz. Traktuj link jak klucz.
• Link działa tylko, dopóki udostępniasz. Link działa, dopóki nadawca udostępnia pliki. Gdy nadawca kliknie Stop Sharing lub zamknie kartę, pliki przestają być dostępne. To zaleta dla prywatności i ograniczenie dla wygody.
• Musisz pozostać online. Karta przeglądarki nadawcy musi pozostać otwarta i online, dopóki odbiorca nie skończy pobierania — pliki pochodzą z urządzenia nadawcy, a nie z serwera. Jeśli nie możesz, lepszym narzędziem jest link w chmurze — poradnik P2P vs chmura — przesyłanie plików pomoże ci wybrać.
• Nazwy to metadane. Zachowujemy nazwy plików, by zbudować link. Jeśli sama nazwa jest wrażliwa — „Q3-zwolnienia-final.xlsx” — najpierw zmień ją albo umieść plik w zaszyfrowanym archiwum.
• Szyfrowanie w trakcie przesyłania, nie twoimi kluczami. Nie twierdzimy, że oferujemy szyfrowanie end-to-end kluczami, które masz ty, i nie deklarujemy certyfikatów. W przypadku danych regulowanych sprawdź zasady swojej organizacji.

Jak bezpiecznie udostępniać wrażliwe pliki przez StrongFolder?

Prosta rutyna wystarcza w większości przypadków:

1. Wysyłaj link tylko osobom, do których jest przeznaczony, kanałem, któremu ufasz.
2. Poproś odbiorcę o potwierdzenie, gdy pobieranie się zakończy.
3. Od razu kliknij Stop Sharing (zakończ udostępnianie).
4. Przy bardzo wrażliwych plikach spakuj je do zaszyfrowanego archiwum (na przykład 7-Zip z AES-256) i podaj hasło telefonicznie lub innym komunikatorem. To działa na każdej metodzie przesyłania.

Pełną listę kontrolną, z porównaniem e-maila, dysków w chmurze, SFTP i P2P, znajdziesz w poradniku bezpieczne udostępnianie plików.

Dlaczego wybraliśmy taką konstrukcję?

Częściowo dlatego, że sam jej chciałem jako użytkownik — opisuję to we wpisie Dlaczego założyłem StrongFolder. Częściowo dlatego, że jest po prostu czystsza: usługa, która nigdy nie trzyma twoich plików, nie może ich zgubić, ujawnić ani trzymać dłużej, niż obiecała. A częściowo dlatego, że upraszcza nam życie. Nie prowadzimy magazynu cudzych danych, co jest jednym z powodów, dla których StrongFolder jest dziś darmowy, na razie bez płatnych planów.

Wszystko powyższe znajduje się też na naszej stronie Bezpieczeństwo i prywatność, aktualizowanej na bieżąco. Jeśli coś tam jest niejasne albo uważasz, że powinniśmy zachowywać jeszcze mniej, napisz do mnie na info@strongfolder.com.