Technische specificatie voor encryptie

Overzicht

CloudPaste gebruikt End-to-end-encryptie aan de clientzijde om ervoor te zorgen dat uw gegevens privé en veilig blijven. Wanneer versleuteling is ingeschakeld, worden alle tekst en afbeeldingen in uw browser versleuteld voordat ze naar onze servers worden verzonden. Dit betekent dat wij nooit toegang hebben tot uw onversleutelde gegevens of uw wachtwoord.

🛡️ Uw gegevens worden versleuteld voordat ze uw apparaat verlaten.

De server slaat alleen versleutelde gegevens op en krijgt nooit uw wachtwoord of onversleutelde inhoud te zien.

Technische specificaties

Versleutelingsalgoritme: AES-256-GCM (Advanced Encryption Standard)

Sleutelafleiding: PBKDF2 (Password-Based Key Derivation Function 2)

Hashfunctie: SHA-256

Iteraties: 100.000 (PBKDF2-iteraties)

Sleutellengte: 256 bits

Zoutlengte: 128 bits (willekeurig gegenereerd per versleuteling)

IV-lengte: 96 bits (willekeurig gegenereerd per versleuteling)

Uitvoering: Web Crypto API (native browsercryptografie)

Hoe het werkt

Versleutelingsproces

Voer wachtwoord in

U geeft een wachtwoord op.

→

Sleutelafleiding

PBKDF2 genereert een encryptiesleutel.

→

Gegevens versleutelen

AES-256-GCM versleutelt de inhoud.

→

Uploaden

Versleutelde gegevens verzonden naar server

Stapsgewijze uitleg:

Willekeurige zoutgeneratie: Voor elke versleutelingsbewerking wordt een unieke 128-bits salt gegenereerd.
Willekeurige IV-generatie: Er wordt een unieke 96-bits initialisatievector (IV) gegenereerd.
Sleutelafleiding: Uw wachtwoord wordt met behulp van PBKDF2 met 100.000 iteraties gecombineerd met de salt om een sterke 256-bits encryptiesleutel te creëren.
Versleuteling: De gegevens worden versleuteld met AES-256-GCM met de afgeleide sleutel en IV.
Gegevensverpakking: Het zout, de IV en de versleutelde gegevens worden gecombineerd en gecodeerd in Base64.
Uploaden: Alleen het versleutelde pakket wordt naar de server verzonden.

Ontsleutelingsproces

Wanneer jij of iemand met het wachtwoord een versleuteld kanaal opent:

Wachtwoord invoeren: Het juiste wachtwoord moet worden opgegeven.
Gegevens downloaden: Versleutelde gegevens worden van de server gedownload.
Extractie: Salt en IV worden uit het versleutelde pakket geëxtraheerd.
Sleutelafleiding: Hetzelfde PBKDF2-proces genereert de encryptiesleutel opnieuw op basis van het wachtwoord en de salt.
Ontcijfering: AES-256-GCM decodeert de gegevens met behulp van de afgeleide sleutel en IV.
Weergave: De gedecodeerde inhoud wordt in uw browser weergegeven.

Beveiligingsfuncties

🔒 Client-side encryptie

Alle versleuteling en ontsleuteling vindt plaats in uw browser met behulp van de Web Crypto API. Uw wachtwoord en onversleutelde gegevens verlaten uw apparaat nooit.

🎲 Unieke versleuteling per bewerking

Telkens wanneer gegevens worden versleuteld, worden er nieuwe willekeurige salt- en IV-waarden gegenereerd. Dit betekent dat dezelfde inhoud die twee keer wordt versleuteld, volledig verschillende versleutelde teksten oplevert, waardoor patroonanalyse onmogelijk is.

🔐 Sterke sleutelafleiding

PBKDF2 met 100.000 iteraties maakt brute-force wachtwoordaanvallen rekenkundig zeer kostbaar. Zelfs met een redelijk sterk wachtwoord zouden aanvallers aanzienlijke middelen nodig hebben om de encryptie te kraken.

✅ Versleuteling met authenticatie

AES-GCM biedt zowel vertrouwelijkheid als authenticiteit. Het garandeert dat versleutelde gegevens niet zijn gemanipuleerd en beschermt zo tegen modificatieaanvallen.

🌐 Industriestandaard algoritmes

We gebruiken uitsluitend gevestigde, door vakgenoten beoordeelde cryptografische algoritmen (AES-256, PBKDF2, SHA-256) die wereldwijd door beveiligingsexperts worden vertrouwd.

Wat wij opslaan

Op de server slaan we alleen het volgende op:
Versleutelde tekst (onleesbaar zonder uw wachtwoord)
Een vlag die aangeeft dat het kanaal versleuteld is.
Metadata (uploadtijdstempels, bestandsgroottes)

⚠️ Wij bewaren NOOIT:
Uw wachtwoord
Uw versleutelingssleutels
Uw niet-versleutelde gegevens

Beste praktijken

Gebruik een sterk wachtwoord: Kies een wachtwoord van minimaal 12 tekens, met een combinatie van letters, cijfers en symbolen.
Gebruik geen wachtwoorden opnieuw: Gebruik een uniek wachtwoord voor elk versleuteld kanaal.
Deel wachtwoorden veilig: Verstuur wachtwoorden via een ander kanaal dan de CloudPaste-URL (bijvoorbeeld via een versleutelde berichtenapp).
Onthoud je wachtwoord: Als u uw wachtwoord kwijtraakt, kunnen de gegevens niet meer worden hersteld, zelfs niet door ons.
Gebruik HTTPS: Gebruik CloudPaste altijd via HTTPS om man-in-the-middle-aanvallen te voorkomen.

Beperkingen en aandachtspunten

Hoewel onze versleuteling sterk is, willen we u graag op de volgende punten wijzen:

Sterke wachtwoorden zijn belangrijk: Zwakke wachtwoorden kunnen worden gekraakt door middel van brute-force-aanvallen.
Browserbeveiliging: Uw browser moet veilig zijn en vrij van malware.
Geen wachtwoordherstel mogelijk: Verloren wachtwoorden betekenen permanent verloren gegevens.
Metadata is zichtbaar: Bestandsgroottes, uploadtijden en het aantal bestanden worden niet versleuteld.
Kanaal-URL's zijn niet versleuteld: Iedereen die de URL van het kanaal heeft, kan proberen de gegevens te decoderen als hij of zij het wachtwoord heeft.

Open source en transparantie

Beveiliging door middel van ondoorzichtigheid is geen beveiliging. Onze encryptie-implementatie maakt gebruik van standaard Web Crypto API's en kan worden gecontroleerd door de broncode te bekijken in de ontwikkelaarstools van uw browser.

🔐 Technische specificatie voor encryptie