Secure Vault

📄 Documento tecnico: SecureVault_Technical_Paper_v3.5.0.pdf · Cita su Zenodo

Crittografia dei file locale-first per Windows, protetta da una chiave USB fisica invece che da una password.

⚠️ La v3.5.0 include una correzione di sicurezza che rompe la compatibilità — consulta CHANGELOG.md prima di aggiornare da una versione precedente.

---

Indice

• Cos'è questo
• Perché una chiave USB invece di una password
• Funzionalità
• Installazione
• Configurazione iniziale
• Utilizzo di Secure Vault
  • Crittografare un file
  • Decrittografare un file
  • Registrare una chiave USB
  • Visualizzare i dispositivi registrati
  • Backup
  • Ripristinare un file
  • Avvisi email (Opzione 7)
  • Integrazione con il tasto destro
• Utilizzo da riga di comando
• File di configurazione
• Compilare l'installer dai sorgenti
• Note sulla sicurezza
• Risoluzione dei problemi
• Licenza

---

Cos'è questo

Secure Vault crittografa singoli file (o cartelle) sulla tua macchina Windows usando AES-256-GCM. Invece di proteggere la chiave di crittografia con una semplice password, la chiave viene generata casualmente e memorizzata su una chiavetta USB che scegli tu. Per decrittografare qualsiasi cosa in seguito, quella stessa chiavetta USB deve essere fisicamente collegata.

Perché una chiave USB invece di una password

Le password possono essere indovinate, phishing, intercettate con keylogger o forzate con la forza bruta. Una chiave fisica non può essere rubata da remoto come una password. Compromessi da comprendere prima di affidarti a questo sistema:

• Se qualcuno ruba il tuo laptop ma non la tua chiavetta USB, non può decrittografare i tuoi file.
• Non c'è nulla da digitare, ricordare o che possa trapelare.
• Non esiste il ripristino della password. Se perdi la chiavetta USB e non hai un backup del file della chiave su di essa, tutto ciò che è stato crittografato con essa è irrecuperabile in modo permanente. Tratta quella chiavetta come una chiave fisica di casa — sappia sempre dove si trova, e considera di conservare una copia di backup del file della chiave stesso in un secondo luogo sicuro.

Funzionalità

• Crittografia AES-256-GCM con derivazione della chiave tramite scrypt
• Chiave master basata su USB, più chiavi opzionali per dispositivo per più macchine
• Backup locali crittografati con rotazione automatica (mantiene gli ultimi 5, scadono dopo 30 giorni)
• Checksum di integrità dei file (rileva manomissioni/corruzioni)
• Cancellazione sicura multi-pass del file originale dopo la crittografia
• Avvisi email opzionali quando avvengono azioni sul vault
• Voce opzionale "Encrypt/Decrypt with Secure Vault" nel menu del tasto destro di Windows Explorer
• Installer completamente automatico — nessuna interazione richiesta oltre al doppio clic iniziale

---

Installazione

1. Vai alla pagina delle Release e scarica l'ultimo SecureVaultSetup-x.x.x.exe.
2. Eseguilo.
   • Windows potrebbe mostrare un avviso SmartScreen "Windows ha protetto il tuo PC". Questo è previsto per un installer nuovo e non firmato — clicca "Ulteriori informazioni" → "Esegui comunque". Vedi Note sulla sicurezza per il motivo.
   • L'installer richiede privilegi di amministratore (potrebbe installare Node.js se mancante e può registrare un'estensione shell per il tasto destro).
3. Durante la configurazione ti verrà chiesto se creare un collegamento sul desktop e se aggiungere l'integrazione con il menu del tasto destro — entrambe opzionali, seleziona le caselle che desideri.
4. L'installer:
   • Verificherà la presenza di Node.js e lo installerà silenziosamente se mancante
   • Installerà l'app in Program Files\SecureVault (o nella posizione scelta)
   • Installerà l'unica dipendenza richiesta (nodemailer, usata solo per la funzione email opzionale)
   • Creerà i collegamenti nel Menu Start / Desktop
5. Clicca Fine — Secure Vault si avvia automaticamente.

Nessun passaggio manuale, nessuna riga di comando necessaria per un'installazione normale.

---

Configurazione iniziale

La primissima cosa da fare dopo l'installazione è registrare una chiavetta USB come chiave master. Nulla può essere crittografato o decrittografato finché questo non è fatto.

1. Collega una chiavetta USB che sei disposto a dedicare a questo scopo.
2. Avvia Secure Vault (collegamento nel Menu Start o sul Desktop).
3. Dal menu, scegli Opzione 3 — Register USB.
4. Digita: master
5. Inserisci la lettera di unità, ad es. E: (vedi Risoluzione dei problemi se fallisce).
6. Secure Vault scrive un file .vault_master.key nella radice di quella chiavetta. Non eliminare questo file e non perdere questa chiavetta.

Opzionale ma consigliato: copia quel file .vault_master.key su una seconda chiavetta USB conservata in modo sicuro come backup, nel caso quella principale venga persa o danneggiata.

---

Utilizzo di Secure Vault

Avvia l'app tramite il collegamento nel Menu Start / Desktop per ottenere il menu interattivo:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. Crittografare un file

Scegli l'opzione 1, poi inserisci il percorso completo del file o della cartella. La chiavetta USB registrata deve essere collegata. L'output è un file .vault; l'originale viene cancellato in modo sicuro (sovrascritto 3 volte) dopo una crittografia e un backup riusciti.

2. Decrittografare un file

Scegli l'opzione 2, inserisci il percorso del file .vault. La chiavetta USB registrata deve essere collegata — la decrittografia è impossibile senza di essa.

3. Registrare una chiave USB

Trattato in Configurazione iniziale sopra. Puoi anche registrare chiavi aggiuntive per dispositivo (scegli device invece di master) se desideri una chiave separata per una seconda macchina mantenendo una chiave master complessiva.

4. Visualizzare i dispositivi registrati

Elenca ogni chiave USB (master e dispositivo) attualmente registrata, prelevata da config/registered-devices.json.

5. Backup

Ogni volta che crittografi un file, Secure Vault salva automaticamente una copia di backup crittografata localmente (con rotazione — mantiene le 5 più recenti, scadenza automatica dopo 30 giorni). L'opzione 5 ti permette di elencarli e visualizzarli.

6. Ripristino

Ripristina un file da uno di quei backup locali, nel caso in cui ti serva la versione pre-crittografia senza passare dalla decrittografia.

7. Avvisi email

Opzionale. Ti invia un'email ogni volta che avviene un'azione sul vault (crittografia/decrittografia), inclusi quale file, quale computer e quando.