Чому ми не зберігаємо ваші файли — і що ми таки зберігаємо

«Куди потрапляють мої файли?» — запитання, яке я чую про StrongFolder найчастіше, і воно заслуговує на пряму відповідь, а не на гасло. StrongFolder — обмін файлами без зберігання: ми навмисно не зберігаємо ваших файлів. Але «ми нічого не зберігаємо» було б неправдою, тож ось точно, що ми зберігаємо, чого ніколи не зберігаємо і де наш підхід має межі.

Що StrongFolder зберігає — а чого ніколи не зберігає?

Щоб створити посилання, сервіс зберігає метадані передачі: назви файлів і папок, їхні розміри та кількість файлів. Коли хтось відкриває ваше посилання, він бачить цей список — назви й розміри, — перш ніж обрати, куди зберегти. Ось навіщо він потрібен сервісу.

З вмістом усе інакше. Файли ніколи не завантажуються на сервер StrongFolder і не зберігаються на ньому. Етапу вивантаження немає: байти ваших файлів залишають ваш пристрій лише тоді, коли під'єднується одержувач, і йдуть саме йому.

Як працює обмін файлами без зберігання?

Наші сервери виконують дві невеликі роботи. По-перше, допомагають двом браузерам знайти один одного — це називається сигналізацією, і вона передає параметри з'єднання та згадані вище метадані, а не ваші файли. По-друге, вони віддають сам вебзастосунок.

Потім браузери відкривають між собою з'єднання WebRTC. WebRTC шифрує кожен канал даних за протоколом DTLS, тому потік файлів зашифрований під час передачі на будь-якому з'єднанні. Потік файлів іде цим з'єднанням, із вашого пристрою на пристрій одержувача. Якщо хочете технічну картину, стаття Як працює передача файлів через WebRTC пояснює все крок за кроком.

А як щодо ретранслятора?

Іноді пряме з'єднання неможливе — суворий корпоративний брандмауер, деякі мобільні мережі. У таких випадках передача переходить на TURN-ретранслятор StrongFolder.

Тут я хочу бути точним, бо саме тут маркетинг часто стає розмитим. З ретранслятором ваші дані таки проходять через наш сервер. Вони проходять зашифрованими, а ретранслятор лише пересилає їх: не записує на диск і не зберігає копії. Тому ми кажемо «файли ніколи не зберігаються на сервері», а не «файли ніколи не торкаються сервера». Друге речення було б хибним для передач через ретранслятор, а ви заслуговуєте на точне.

Чому збережена копія — це ризик?

Більшість сервісів передачі працюють як камера схову. Ви вивантажуєте файл, вони тримають його визначений строк — зазвичай дні, іноді тижні, залежно від сервісу й тарифу, — і будь-хто з посиланням може завантажити його протягом цього часу.

Нічого зловмисного в цьому немає. Але кожен день існування копії — це день, коли вона може витекти:

• Посилання мандрує. Посилання, надіслане одному клієнтові, пересилають колезі, вставляють у тікет, зберігають в історії чату. Поки копія існує, посилання працює для будь-кого, хто його має.
• Витоки трапляються з усіма. Сервер, що тримає мільйони файлів, — мішень. Сервер, що не тримає жодного, значно менш цікавий.
• Ви не можете перевірити видалення. Коли сервіс каже, що файл видаляється через сім днів, вам доводиться йому вірити — зокрема щодо резервних копій.
• Діють чужі правила. Збережена копія підпадає під юрисдикцію, умови й юридичні запити провайдера, а не лише ваші.

Зі StrongFolder вікно — це сама передача. Коли ви натискаєте Stop Sharing («Припинити доступ») або закриваєте вкладку, на нашому боці не залишається нічого, що можна завантажити.

Які чесні межі цього підходу?

Незберігання файлів — реальна перевага для приватності. Це не магія, і я волію, щоб ви знали межі, перш ніж на це покладатися:

• Немає посилань із паролем. Будь-хто з посиланням може під'єднатися, поки ви ділитеся. Ставтеся до посилання як до ключа.
• Посилання працює лише, поки ви ділитеся. Посилання працює, доки відправник ділиться файлами. Коли відправник натискає Stop Sharing або закриває вкладку, файли стають недоступні. Для приватності це перевага, для зручності — обмеження.
• Ви маєте залишатися в мережі. Вкладка браузера відправника має залишатися відкритою й онлайн, доки одержувач не завершить завантаження: файли йдуть із пристрою відправника, а не із сервера. Якщо не можете, кращий інструмент — хмарне посилання; обрати допоможе стаття P2P чи хмара для передачі файлів.
• Назви — це метадані. Ми зберігаємо назви файлів, щоб побудувати посилання. Якщо сама назва чутлива — «Q3-layoffs-final.xlsx», — перейменуйте файл або спершу покладіть його в зашифрований архів.
• Шифрування під час передачі, а не з вашими власними ключами. Ми не стверджуємо, що маємо наскрізне шифрування з ключами, які тримаєте ви, і не заявляємо сертифікацій. Для регульованих даних перевірте правила вашої організації.

Як безпечно ділитися чутливими файлами через StrongFolder?

Проста процедура покриває більшість випадків:

1. Надсилайте посилання лише тим, кому воно призначене, через канал, якому довіряєте.
2. Попросіть одержувача підтвердити, що завантаження завершено.
3. Одразу натисніть Stop Sharing («Припинити доступ»).
4. Для дуже чутливих файлів запакуйте їх у зашифрований архів (наприклад, 7-Zip з AES-256) і передайте пароль телефоном чи іншим месенджером. Це працює поверх будь-якого способу передачі.

Повний чекліст із порівнянням пошти, хмарних дисків, SFTP і P2P — у нашому посібнику з безпечного обміну файлами.

Чому ми обрали таку архітектуру?

Почасти тому, що я сам хотів цього як користувач, — про це я пишу в статті Чому я створив StrongFolder. Почасти тому, що це просто чистіше: сервіс, який ніколи не тримає ваших файлів, не може їх загубити, допустити їх витік чи зберігати довше, ніж обіцяв. І почасти тому, що це спрощує все для нас. Ми не утримуємо склад чужих даних — це одна з причин, чому StrongFolder сьогодні безкоштовний і наразі не має платних тарифів.

Усе написане вище є також на нашій сторінці Безпека та приватність, яку ми підтримуємо в актуальному стані. Якщо там щось незрозуміло або ви вважаєте, що нам варто зберігати ще менше, напишіть мені на info@strongfolder.com.