データを守るしくみ

同期のときに起きること

1. デバイス上で

プロファイルは、1つにつき1つのファイルです。中身は、サーバー、ログイン情報、SSH鍵、メモ、設定を収めた小さなデータベースです。データベース全体を圧縮してから、AES-256-GCMで暗号化します。ファイルを保存するたびに、新しいランダムなノンスを使います。また、ファイルはまず一時的なコピーに書き込まれるため、クラッシュしても書きかけのファイルが残ることはありません。

鍵は、プロファイルパスワードからArgon2idで作られます。設定はメモリ64 MiB、パス数3、レーン数4で、ソルトはプロファイルごとにランダムです。これらの設定はアプリに固定されているため、ファイルを書き換えても設定を弱めることはできません。

パスワードがディスクに書き込まれたり、どこかに送信されたりすることはありません。鍵を作ったあと、アプリのコアにあるパスワードのコピーは消去されます。鍵も、プロファイルをロックしたときに消去されます。ロックすると、すべての接続も閉じられ、ログインの途中のものは中止されます。パスワードを忘れると、そのプロファイルは開けません。プロファイルを開けるものはどこにも保管されていないため、リセットする方法もありません。

クイックロック解除（Quick unlock）は任意の機能で、初期状態ではオフです。WindowsではWindows HelloとTPMを、Androidでは指紋センサーとAndroid Keystoreを使います。システムが保管するのはプロファイルの鍵で、パスワードを保管することはありません。また、この鍵が同期されることもありません。Androidでは、システムによるアプリデータのクラウドバックアップをオフにしています。

Windowsで、パスワードを保存してあるサーバーをリモート デスクトップ接続で開くとき、アプリは短時間だけ存在する.rdpファイルでパスワードを渡します。ファイル内のパスワードは、Windows DPAPIによって、お使いのWindowsユーザー用に暗号化されます。このファイルは、リモート デスクトップ接続が読み込むとすぐに削除されます（遅くとも30秒後。クラッシュによって残ったファイルは、次回の起動時に削除されます）。

• 鍵導出（Argon2idの設定） lib.rs:237–254
• 新しいノンスを使うAES-256-GCM lib.rs:256–263
• プロファイルファイルの保存 lib.rs:431–486
• リモート デスクトップ接続に渡すパスワード（DPAPI） rdp.rs:178–193

2. クラウド同期（Cloud sync）

同期は、サインインするまでオフです。各プロファイルには、それぞれ専用のランダムな256ビットのデータ鍵があり、暗号化されたプロファイルの中に保存されています。アップロードの前に、すべてのアイテム（サーバー、ログイン情報、鍵、メモなど）が、この鍵で1つずつ個別に暗号化されます。暗号化にはAES-256-GCMと、新しいランダムなノンスを使います。

サーバーは、暗号化された各アイテムと一緒に、ランダムなID、アイテムの種類、タイムスタンプ、削除されたかどうかを示すフラグを受け取ります。タイムスタンプには、変更を行ったデバイスのランダムなIDが含まれます。暗号化されたアイテムのサイズから、元のアイテムのおおよその大きさがわかります。サーバーは、各プロファイルの名前も保存します。既知のホスト鍵、コマンド履歴、監視の設定、そしてこのデバイスだけのために保存される設定が同期されることはありません。

1つのアイテムについて、サーバーが保存する内容は次のとおりです。 (例)

{
  "uuid": "6f1c2e0a9b7d4c3e8a5f0d1b2c3e4f50",
  "entity_type": "servers",
  "updated_at": "001761043562118:00000:9f3a61c2d4e5b7a8",
  "deleted": false,
  "blob": "4e8a1f0c2b9d3e7a5c6f8b1d0a2e4c6b8d0f1a3c5e7b9d1f…"
}

• 同期する各アイテムの暗号化 lib.rs:1050–1056
• 各アイテムについて送信される内容 lib.rs:1086–1124

3. 新しいデバイスでプロファイルを開く

同期したプロファイルを別のデバイスで開くには、そのデバイスにプロファイルのデータ鍵が必要です。そのため、サーバーはもう1つレコードを保管します。プロファイルパスワードから同じArgon2idの設定で作った鍵で暗号化した、データ鍵です。サーバーはこれを開けません。

万一サーバーのデータが盗まれた場合に攻撃者が試みることのできる主な手段も、このレコードを使ったものです。つまり、プロファイルパスワードをオフラインで推測することです。推測するたびにArgon2idを丸ごと1回実行する必要があるため、ほかでは使っていない長いパスワードにしておけば、データは安全に守られます。

• 保管されるプロファイルの鍵のコピー lib.rs:1551–1569
• 新しいデバイスでそれを開く処理 lib.rs:1574–1594

4. アカウントパスワード

同期アカウントには、プロファイルパスワードとは別の、専用のパスワードがあります。このパスワードはサインイン時にHTTPS経由でサーバーに送られ、サーバーはそのbcryptハッシュだけを保存します。パスワードを5回間違えると、パスワードによるサインインが15分間停止します。

このサービスはCloudflareの背後に置かれており、HTTPS接続はCloudflareが代わりに処理しています。そのため、サーバーと同じように、Cloudflareもサインイン時にアカウントパスワードを見ることのできる立場にあります。ただし、アイテムについては暗号化された形でしか見えません。

プロファイルパスワードを、アカウントパスワードとして使うことは絶対に避けてください。そうすれば、サーバーやCloudflareが目にするどんな情報を使っても、プロファイルは開けません。

• サインインのリクエスト cloud.rs:105–108

5. プロファイルの共有

プロファイルを共有するために、各アカウントはX25519の鍵ペアを持っています。秘密鍵は、共有用パスフレーズから（ここでもArgon2idで）作った鍵で暗号化され、パスフレーズがデバイスの外に出ることはありません。共有プロファイルの各メンバーは、本人の公開鍵宛てに封印された、プロファイルのデータ鍵を受け取ります。

誰かを招待するとき、アプリは、そのメールアドレスに対してサーバーが返す公開鍵を使います。あとでメンバーの鍵が変わった場合は、アプリがそれを知らせ、相手と照合できるフィンガープリントを表示します。サーバーは、共有プロファイルの名前と、誰がメンバーかを知っていますが、その中身は知りません。

• メンバー宛てに鍵を封印する処理 identity.rs:91–114
• メンバーの招待 lib.rs:2661–2719

6. サーバーに悪意があったら

よいセキュリティとは、サーバーが本来するはずのことだけを前提にするものではありません。サーバーを完全に掌握した人に何ができて、何ができないのかを以下に示します。

7. アプリのすべての接続先

接続先は、自分のサーバーと、そのために設定したプロキシや踏み台ホストです。同期サーバーには、サインインしているときだけ接続します。そしてGitHubには、新しいバージョンを確認するために接続します。プロファイル一覧が開いたときと、「Check for updates」を押したときに、アプリはGitHubで公開されているリリース一覧を問い合わせます。このリクエストに含まれるのは、アプリの名前とバージョンだけです。

アプリには、アナリティクス、クラッシュレポート、広告のコードはありません。同期については、アプリは内蔵の認証局リストだけを信頼し、リダイレクトにも従いません。そのため、知らないうちに別のサーバーへ向けられることはありません。

• 更新の確認 about.rs:75–139

8. リモートデスクトップにデバイスから渡るもの

クリップボード。RDPやVNCのタブに貼り付けたテキストは、そのサーバーに送られます。貼り付けるまでは、サーバーには何も渡されません。Share the clipboardがオンのとき（初期設定でオンで、サーバーごとに切り替えられます）、リモートデスクトップでコピーしたテキストが、このデバイスのクリップボードに入ります。渡るのはテキストだけでファイルは渡らず、VNCで送れるのはプレーンなASCIIテキストだけです。

ファイルは、コンピューター上の内蔵RDPクライアントだけで、しかもそのサーバーにフォルダーかドライブを指定した場合に限って渡ります。読み取り専用にすることもできます。サーバーからは\\tsclientの下にあるドライブとして見え、コンピューターのそれ以外の部分は見えません。サーバーが要求するパスはすべてチェックされます。..は使えず、途中にあるリンクもたどらないため、指定した範囲の外には一切アクセスできません。

これらの設定はこのデバイスに保存され、同期されることはありません。そのため、プロファイルを共有している相手が、これらをオンにすることはできません。

• 共有フォルダーのパスをその内側にとどめる処理 rdp_share.rs:121–147
• VNCのクリップボードで送れる内容 vnc_client.rs:180–188

自分で確かめる

ここに書いたことを、私たちの言葉だけで信じる必要はありません。簡単なものから上級者向けのものまで、確かめる方法を紹介します。

1. コードを読む

   アプリはオープンソースです。このページのリンクは、ここで説明しているバージョン（c9dec31）の、実際に処理を行っているコードの行を直接指しています。

2. 接続を観察する

   ファイアウォールやネットワークモニターを使ってください。見えるのは、自分のサーバー、同期サーバー（サインインしている間だけ）、そしてプロファイル一覧が開いたときのapi.github.comです。ほかには何もありません。

3. サーバーが保存している内容を見る

   上級者向け：アプリのデータフォルダー（cloud_token.json）からサインイントークンを取り出し、X-Auth-Tokenヘッダーに入れて、APIに自分のデータを要求します。使うのは、GET /api/sync/profiles、またはレコードのリストを空にしたPOST /api/syncです。返ってくるのは、ID、種類、日時、フラグ、暗号化されたテキストだけです。終わったら、アプリでサインアウトしてそのセッションを終了してください。

4. 通信内容を読む

   上級者向け：リクエストを本物のサーバーへ中継する小さなプロキシを自分のコンピューターで動かし、アプリの同期サーバーをhttp://127.0.0.1とプロキシのポートに設定します。アプリが平文のHTTPを許可するのは、自分のコンピューターに対してだけです。アプリが何を送っているか、そしてアイテムが暗号化されていることがわかります。（システムにプロキシの証明書を追加しても使えません。アプリは独自の認証局リストを使うためです。）

5. 自分のデータを復号する

   上級者向け：パスワードがあれば、下の表の設定を使って、Argon2idとAES-GCMに対応した任意のツールで自分のデータを開けます。パスワードがなければ、誰にも開けません。

6. ダウンロードしたファイルを確かめる

   チェックサムをリリースのSHA256SUMS（バージョン0.4以降）と照合するか、Androidアプリの証明書をapksignerで確認するか、ソースからアプリをビルドしてください。

自分のツールで使うための設定

このページが約束しないこと

• Submarineは、第三者によるセキュリティ監査を受けていません。これまでのレビューは、作者自身が行ったものです。
• 弱いパスワードや使い回したパスワードが、いちばんの弱点です。プロファイルパスワードには長くてほかで使っていないものを、アカウントパスワードにはそれとは別のものを使ってください。
• Telnetと通常のVNCは、仕様上暗号化されません。アプリはそれらに目印を付けて表示し、SSHサーバーを経由して使うこともできます。通常のVNCでは、貼り付けたクリップボードのテキストや、サーバーでコピーされたテキストも、暗号化されずにネットワークを流れます。
• 内蔵のRDPクライアントは試験的な機能で（リリース版ではなく、IronRDPの特定のコミットからビルドしています）、サーバーごとに選ぶまではオフです。
• このページは、c9dec31時点のアプリについて説明しています。コードが変われば、このページもそれに合わせて変わります。