Sicherheit
So schützen wir Ihre Daten.
ErtiNote ist so konzipiert, dass eine gestohlene oder geleakte Tresordatei ohne Ihr Master-Passwort nutzlos ist. So funktioniert es – und hier liegen die Grenzen des Schutzes.
Status: ErtiNote befindet sich in Entwicklung. Ein unabhängiges Audit des Codes oder der Kryptografie wurde noch nicht durchgeführt.
Prinzipien
Lokal zuerst
Ihr Tresor ist eine Datei auf Ihrem Gerät, und die App stellt keine Netzwerkanfragen.
Alles verschlüsseln
Inhalte, Namen, Ordnerstruktur und Anzahl der Einträge werden verschlüsselt, nicht nur der Text Ihrer Notizen.
Keine selbstgebaute Kryptografie
Ausschließlich etablierte Open-Source-Primitive aus dem RustCrypto-Projekt.
Keine Hintertüren
Ihr Master-Passwort wird nie gespeichert. Niemand, auch wir nicht, kann es wiederherstellen.
Sicher scheitern
Beschädigte oder manipulierte Daten werden erkannt und nie stillschweigend herausgegeben.
Offen sagen, was wir nicht tun
Grenzen sind ebenso klar dokumentiert wie die Schutzmechanismen.
Kryptografie
- Verschlüsselung
- XChaCha20-Poly1305 mit einer neuen zufälligen 192-Bit-Nonce für jede Verschlüsselung
- Schlüssel aus dem Passwort
- Argon2id v1.3, standardmäßig 128 MiB Speicher, 3 Durchläufe, 4 Lanes
- Unterschlüssel
- HKDF-SHA-256
- Zufallszahlen
- Der kryptografisch sichere Zufallsgenerator des Betriebssystems
- Dateien
- 1-MiB-Blöcke, jeder einzeln verschlüsselt und authentifiziert; SHA-256-Prüfung vor dem Export
Der Datenschlüssel wird mit einem aus Ihrem Master-Passwort abgeleiteten Schlüssel umhüllt. Nach dem Entsperren werden das Passwort und die Zwischenschlüssel aus dem Speicher des App-Kerns gelöscht.
Wovor ErtiNote schützt
Eine gestohlene oder geleakte Tresordatei
Ob von einem USB-Stick, aus einem Cloud-Ordner oder aus einer Festplattensicherung: Inhalte, Namen, Ordnerstruktur und Anzahl der Einträge sind verschlüsselt, und Argon2id bremst das Erraten des Passworts aus.
Manipulation und Beschädigung
Änderungen an der Datei, ihren Abschnitten oder deren Reihenfolge werden beim Entschlüsseln erkannt.
Unterbrochene Schreibvorgänge
Atomare Schreibvorgänge mit Überprüfung hinterlassen den Tresor nach einem Stromausfall oder bei voller Festplatte nie halb geschrieben.
Schädliche Inhalte
Rohes HTML in Notizen wird nicht dargestellt, externe Bilder werden nicht geladen, und Archivpfade können den Zielordner nicht verlassen.
Rücksetzung auf ältere Versionen
ErtiNote warnt Sie, wenn ein Tresor auf demselben Computer durch eine ältere Version seiner selbst ersetzt wird.
Wo der Schutz endet
Ein kompromittiertes Gerät
Schadsoftware, die unter Ihrem Benutzerkonto läuft – ein Keylogger, ein Bildschirmrekorder, ein Speicherausleser –, kann Ihr Passwort oder Ihren geöffneten Tresor abgreifen.
Schwache Passwörter
Argon2id bremst das Erraten aus, kann aber ein kurzes oder gängiges Passwort nicht retten.
Arbeitsspeicher und Auslagerung
Das Betriebssystem kann Arbeitsspeicher auf den Datenträger schreiben. Nutzen Sie eine vollständige Festplattenverschlüsselung wie FileVault, BitLocker oder LUKS.
Zwischenablage und Exporte
Kopierter Text sowie exportierte oder extern geöffnete Dateien verlassen den Tresor und sind nicht mehr durch ihn geschützt.
Datei-Metadaten
Gesamtgröße, Änderungszeitpunkt, Name und Speicherort des Tresors sind sichtbar, und die Anzahl der Blöcke verrät ungefähre Dateigrößen.
Gelöschte Daten bis zur Kompaktierung
Gelöschte Einträge verbleiben verschlüsselt in der Datei, bis der Tresor kompaktiert wird.
Diese Website
Diese Website ist statisch. Sie setzt keine Cookies, führt keine Analyse- oder Tracking-Skripte aus und lädt keine Ressourcen von Dritten; Schriften werden von unserem eigenen Server ausgeliefert. In Ihrem Browser speichert sie nur Ihr Farbschema und, falls Sie eine wählen, Ihre Sprache.
ErtiCloud Backup (geplant)
Der geplante Backup-Dienst ist nach denselben Prinzipien konzipiert: Backups werden vor dem Hochladen auf Ihrem Gerät verschlüsselt, und der Dienst ist vollständig optional. Wir werden sein Sicherheitskonzept vor dem Start veröffentlichen.
Eine Schwachstelle melden
Wenn Sie glauben, ein Sicherheitsproblem in ErtiNote oder auf dieser Website gefunden zu haben, schreiben Sie uns bitte eine E-Mail mit den Einzelheiten und den Schritten zur Reproduktion. Geben Sie uns angemessen Zeit für eine Behebung, bevor Sie es öffentlich machen. Ein Bug-Bounty-Programm bieten wir derzeit nicht an.
Schwachstelle melden