הצהרת אבטחה

1. למה יש כאן מסמך כזה

כלכלן מנהל את ספר החשבונות של משפחה: כמה נכנס, כמה יצא, אצל מי ועל מה. מוצר שמבקש מידע כזה חייב לומר במפורש איפה הוא נמצא ומי יכול לקרוא אותו.

המסמך מתאר מנגנונים שקיימים בפועל. אין בו הצהרת עמידה בתקן שלא נערכה לגביו ביקורת חיצונית, אין בו הסמכה, ואין בו הבטחה שמערכת כלשהי אינה ניתנת לפריצה.

2. העיקרון: הספרים אצלכם, השרת מתווך

ספר החשבונות נשמר במכשירים שלכם ומוצפן לפני שהוא עוזב אותם. המפתח יושב בכספת מנוהלת, בתחום אמון נפרד מהמסד שמחזיק את התוכן. כשחבר פעיל בתיק פותח אותו, שירות הכספת פותח את המפתח לרגע בזיכרון השרת כדי למסור אותו למכשיר שלו בערוץ מוצפן, ומוחק אותו מהזיכרון מיד. כל פתיחה נרשמת ביומן. איש מאיתנו אינו פותח את המפתח בעצמו.

מה שנמצא אצלנו בשרת הוא טקסט מוצפן, מזהים וזמנים. אנחנו לא ניגשים לתנועות, ליתרות, לשמות בתי העסק או לקטגוריות שלכם: המפתח שפותח אותם יושב בכספת נפרדת, וכל פתיחה שלו נרשמת ביומן.

אין לנו חיבור לחשבון הבנק שלכם ואין אצלנו פרטי כניסה לבנק. אתם מורידים את הקובץ מאתר הבנק, והמכשיר שלכם קורא אותו.

3. הצפנה

• ההצפנה נעשית במכשיר, לפני שדבר עוזב אותו: AES-GCM ברוחב 256 סיביות לתוכן, ו-ECDH על עקום P-256 לשיתוף מפתח עם בן או בת הזוג ועם מלווה.
• כל התעבורה אל השירות וממנו מוצפנת ב-TLS.
• מפתח התוכן של כל תיק עטוף ב-Cloud KMS ונשמר בשרת רק במצב עטוף. הוא נפתח רק לחבר פעיל בתיק, וכל פתיחה נרשמת ביומן.

4. איפה המידע יושב

• מסד הנתונים, האחסון והפונקציות: באזורי האיחוד האירופי.
• שירות הזהויות והדחיפות של Google הוא שירות גלובלי, ומתועד אצלנו כחריג.
• גם באזור האירופי, מה שמסד הנתונים והאחסון מחזיקים לגבי הספרים הוא טקסט מוצפן. המפתח שפותח אותו עטוף בשירות ניהול מפתחות נפרד, והגישה אליו מוגבלת לחשבון השירות של כלכלן ונרשמת ביומן.

5. הרשאות גישה

מסד הנתונים מוגדר בחסימה כברירת מחדל: גישה אינה קיימת אלא אם הוגדרה במפורש, לקולקציה מסוימת, למשתמש המורשה לה, ועם סכימה סגורה שנבדקת בכתיבה.

• כל קריאה לשרת נבדקת פעמיים: שהמבקש מזוהה, ושהוא מורשה למשאב המסוים.
• האכיפה מתבצעת בשרת. בדיקה בצד הלקוח אינה נחשבת הגנה.
• הגישה מהאפליקציה מאומתת מול מנגנון אימות יישום (App Check), כדי לצמצם שימוש אוטומטי לרעה.
• כללי ההרשאות עצמם נבדקים באמולטור, בחבילת בדיקות ייעודית שרצה מול שירותי Firebase מקומיים. בכל בנייה רצה בדיקת אבטחה אוטומטית של הקוד.

6. מה רואה מלווה

מלווה רואה ציונים ותמציות, לעולם לא תנועות, לא שמות בתי עסק ולא יתרות. התיק נפתח בלחיצה שלכם, מוצפן למפתח של המלווה בלבד, ולזמן קצוב. «סיום מפגש» מוחק אותו.

7. דחיפות

גוף הודעת דחיפה נלקח מקטלוג סגור של נוסחים, בלי סכומים ובלי שמות. מה שמגיע למכשיר הוא סוג האירוע בלבד, למשל שיש הצעה שמחכה לכם.

8. גיבוי ו-Google Drive

תצלומי המצב של הספרים מוצפנים במפתח המשפחה לפני שהם נשמרים.

חיבור Google Drive הוא רשות ומקליק שלכם. אם חיברתם, אותם תצלומים מוצפנים נשמרים גם בתיקייה של כלכלן ב-Drive שלכם: Google מחזיקה בתים מוצפנים, והאפליקציה ניגשת רק לקבצים שהיא עצמה יצרה.

9. תשלום

הסליקה נעשית אצל Cardcom. פרטי הכרטיס מוזנים שם, אינם עוברים דרכנו ואינם נשמרים אצלנו. אלינו חוזרים מזהה ההזמנה, הסכום ומצב התשלום.

10. יומנים

יומני המערכת נכתבים לאיתור תקלות ולאבטחה בלבד, ונושאים קודי אירוע ומונים. כל מה שנכתב ליומן עובר לפני הכתיבה מסנן שמסווה מידע אישי מזהה, סודות ואסימוני גישה.

11. הגבול של הארכיטקטורה הזו

הכספת המנוהלת יושבת בתחום אמון נפרד מהמסד שמחזיק את התוכן, ולכן דמפ של המסד לבדו מחזיר ציפר בלתי קריא. מה שנשאר תלוי בנו: מי שמשיג גישה לחשבון השירות שלנו, וצו בית משפט שמחייב אותנו לפתוח את הכספת.

משום כך הגישה לכספת מוגבלת במדיניות, וכל פתיחה וכל סירוב נרשמים ביומן.

12. דיווח על חשש לפגיעה

מי שנתקל בליקוי אבטחה מתבקש לדווח לכתובת info@calcalan.app. נשמח לפנייה אחראית, ונטפל בה בהקדם.

הפירוט המלא של כל ערוץ שיוצא מהמכשיר, ומה גלוי למי שמקבל, נמצא במסך «מה יוצא מהמכשיר».

Trium Technology (GraniTeam), https://calcalan.app