Secure Vault

📄 Artigo técnico: SecureVault_Technical_Paper_v3.5.0.pdf · Citar no Zenodo

Criptografia de arquivos local-first para Windows, protegida por uma chave USB física em vez de uma senha.

⚠️ A v3.5.0 inclui uma correção de segurança com quebra de compatibilidade — consulte o CHANGELOG.md antes de atualizar de uma versão anterior.

---

Índice

• O que é isto
• Por que uma chave USB em vez de uma senha
• Recursos
• Instalação
• Configuração inicial
• Usando o Secure Vault
  • Criptografando um arquivo
  • Descriptografando um arquivo
  • Registrando uma chave USB
  • Visualizando dispositivos registrados
  • Backups
  • Restaurando um arquivo
  • Alertas por e-mail (Opção 7)
  • Integração com o botão direito
• Uso pela linha de comando
• Arquivos de configuração
• Compilando o instalador a partir do código-fonte
• Notas de segurança
• Solução de problemas
• Licença

---

O que é isto

O Secure Vault criptografa arquivos individuais (ou pastas) na sua máquina Windows usando AES-256-GCM. Em vez de proteger a chave de criptografia apenas com uma senha, a chave é gerada aleatoriamente e armazenada em um pen drive USB que você escolher. Para descriptografar qualquer coisa depois, esse mesmo pen drive precisa estar fisicamente conectado.

Por que uma chave USB em vez de uma senha

Senhas podem ser adivinhadas, obtidas por phishing, capturadas por keyloggers ou quebradas por força bruta. Uma chave física não pode ser roubada remotamente como uma senha. Compensações a entender antes de confiar nisto:

• Se alguém roubar seu notebook mas não o seu pen drive USB, não conseguirá descriptografar seus arquivos.
• Não há nada para digitar, memorizar ou vazar.
• Não há redefinição de senha. Se você perder o pen drive USB e não tiver um backup do arquivo de chave nele, tudo o que foi criptografado com ele será permanentemente irrecuperável. Trate esse pen drive como uma chave física de casa — saiba onde ele está o tempo todo e considere manter uma cópia de backup do próprio arquivo de chave em um segundo local seguro.

Recursos

• Criptografia AES-256-GCM com derivação de chave scrypt
• Chave mestra baseada em USB, além de chaves opcionais por dispositivo para várias máquinas
• Backups locais criptografados com rotação automática (mantém os últimos 5, expiram após 30 dias)
• Checksums de integridade de arquivo (detectam adulteração/corrupção)
• Exclusão segura multipasse do arquivo original após a criptografia
• Alertas opcionais por e-mail quando ações do vault acontecem
• Entrada opcional "Encrypt/Decrypt with Secure Vault" no menu de botão direito do Windows Explorer
• Instalador totalmente autônomo — nenhuma interação necessária além do duplo clique inicial

---

Instalação

1. Acesse a página de Releases e baixe o SecureVaultSetup-x.x.x.exe mais recente.
2. Execute-o.
   • O Windows pode exibir um aviso do SmartScreen "O Windows protegeu seu PC". Isso é esperado para um instalador novo e não assinado — clique em "Mais informações" → "Executar assim mesmo". Consulte as Notas de segurança para entender por que isso acontece.
   • O instalador requer direitos de administrador (ele pode instalar o Node.js se estiver ausente e pode registrar uma extensão de shell no botão direito).
3. Durante a configuração, será perguntado se você deseja criar um atalho na área de trabalho e se deseja adicionar a integração com o menu de botão direito — ambos opcionais, marque as caixas que desejar.
4. O instalador irá:
   • Verificar se o Node.js está presente e instalá-lo silenciosamente se estiver ausente
   • Instalar o aplicativo em Program Files\SecureVault (ou no local escolhido)
   • Instalar a única dependência necessária (nodemailer, usada apenas para o recurso opcional de e-mail)
   • Criar atalhos no Menu Iniciar / Área de Trabalho
5. Clique em Concluir — o Secure Vault é iniciado automaticamente.

Sem etapas manuais, sem linha de comando necessária para uma instalação normal.

---

Configuração inicial

A primeira coisa a fazer após a instalação é registrar um pen drive USB como sua chave mestra. Nada pode ser criptografado ou descriptografado até que isso seja feito.

1. Conecte um pen drive USB que você esteja disposto a dedicar a esse propósito.
2. Inicie o Secure Vault (atalho no Menu Iniciar ou na Área de Trabalho).
3. No menu, escolha a Opção 3 — Register USB.
4. Digite: master
5. Informe a letra da unidade, por exemplo E: (consulte a Solução de problemas se isso falhar).
6. O Secure Vault grava um arquivo .vault_master.key na raiz dessa unidade. Não exclua este arquivo e não perca este pen drive.

Opcional, mas recomendado: copie o arquivo .vault_master.key para um segundo pen drive USB armazenado em local seguro, como backup, caso o principal seja perdido ou danificado.

---

Usando o Secure Vault

Inicie o aplicativo pelo atalho no Menu Iniciar / Área de Trabalho para acessar o menu interativo:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. Criptografar um arquivo

Escolha a opção 1 e informe o caminho completo do arquivo ou pasta. Seu pen drive USB registrado precisa estar conectado. A saída é um arquivo .vault; o original é excluído com segurança (sobrescrito 3 vezes) após uma criptografia e backup bem-sucedidos.

2. Descriptografar um arquivo

Escolha a opção 2 e informe o caminho do arquivo .vault. Seu pen drive USB registrado precisa estar conectado — a descriptografia é impossível sem ele.

3. Registrar chave USB

Abordado na Configuração inicial acima. Você também pode registrar chaves adicionais por dispositivo (escolha device em vez de master) se quiser uma chave separada para uma segunda máquina, mantendo uma chave mestra geral.

4. Visualizar dispositivos registrados

Lista todas as chaves USB (mestra e de dispositivo) atualmente registradas, obtidas de config/registered-devices.json.

5. Backups

Toda vez que você criptografa um arquivo, o Secure Vault salva automaticamente uma cópia de backup criptografada localmente (com rotação — mantém as 5 mais recentes, expira automaticamente após 30 dias). A opção 5 permite listar e visualizar esses backups.

6. Restaurar

Restaura um arquivo a partir de um desses backups locais, caso você precise recuperar a versão pré-criptografia sem passar pela descriptografia.

7. Alertas por e-mail

Opcional. Envia um e-mail sempre que uma ação do vault acontece (criptografar/descriptografar), incluindo qual arquivo, qual computador e quando.

A configuração exige uma Senha de App do Gmail — não sua senha normal do Gmail. Passos: