Secure Vault

📄 Технический документ: SecureVault_Technical_Paper_v3.5.0.pdf · Цитировать на Zenodo

Локальное шифрование файлов для Windows, защищённое физическим USB-ключом вместо пароля.

⚠️ v3.5.0 содержит критическое исправление безопасности — см. CHANGELOG.md перед обновлением с более ранней версии.

Что это такое

Secure Vault шифрует отдельные файлы (или папки) на вашем компьютере с Windows с помощью AES-256-GCM. Вместо защиты ключа шифрования только паролем, ключ генерируется случайным образом и хранится на USB-флешке, которую вы выбираете. Чтобы позже что-либо расшифровать, эту же USB-флешку необходимо физически подключить.

Почему USB-ключ вместо пароля

Пароли можно подобрать, выманить фишингом, перехватить кейлоггером или взломать перебором. Физический ключ нельзя украсть удалённо так, как пароль. Компромиссы, которые нужно понимать, прежде чем полагаться на это:

Если кто-то украдёт ваш ноутбук, но не вашу USB-флешку, он не сможет расшифровать ваши файлы.
Нечего вводить, запоминать или утечь.
Сброса пароля нет. Если вы потеряете USB-флешку и у вас нет резервной копии файла ключа на ней, всё, что было зашифровано с её помощью, будет безвозвратно утеряно. Относитесь к этой флешке как к физическому ключу от дома — всегда знайте, где она находится, и рассмотрите возможность хранения резервной копии самого файла ключа в надёжном втором месте.

Возможности

Шифрование AES-256-GCM с выводом ключа через scrypt
Мастер-ключ на USB-носителе, плюс опциональные ключи для каждого устройства при использовании нескольких машин
Зашифрованные локальные резервные копии с автоматической ротацией (хранятся последние 5, истекают через 30 дней)
Контрольные суммы целостности файлов (обнаружение подмены/повреждения)
Многопроходное безопасное удаление исходного файла после шифрования
Опциональные email-уведомления при выполнении действий в хранилище
Опциональный пункт «Зашифровать/Расшифровать с помощью Secure Vault» в контекстном меню проводника Windows
Полностью автоматический установщик — никаких действий, кроме первоначального двойного щелчка, не требуется

Установка

Перейдите на страницу релизов и скачайте последнюю версию SecureVaultSetup-x.x.x.exe.
Запустите её.
- Windows может показать предупреждение SmartScreen «Windows защитила ваш компьютер». Это ожидаемо для нового неподписанного установщика — нажмите «Подробнее» → «Выполнить в любом случае». См. Замечания по безопасности, почему это происходит.
- Установщику требуются права администратора (он может установить Node.js, если он отсутствует, и может зарегистрировать расширение контекстного меню).
Во время установки вас спросят, создавать ли ярлык на рабочем столе и добавлять ли интеграцию с контекстным меню — оба пункта опциональны, отметьте нужные.
Установщик выполнит:
- Проверку наличия Node.js и его тихую установку при отсутствии
- Установку приложения в Program Files\SecureVault (или выбранное вами место)
- Установку единственной необходимой зависимости (nodemailer, используется только для опциональной функции email)
- Создание ярлыков в меню «Пуск» / на рабочем столе
Нажмите «Готово» — Secure Vault запустится автоматически.

Никаких ручных действий, командная строка для обычной установки не требуется.

Первоначальная настройка

Самое первое, что нужно сделать после установки — зарегистрировать USB-флешку в качестве мастер-ключа. Пока это не сделано, ничего нельзя зашифровать или расшифровать.

Подключите USB-флешку, которую вы готовы выделить для этой цели.
Запустите Secure Vault (ярлык в меню «Пуск» или на рабочем столе).
В меню выберите Пункт 3 — Register USB.
Введите: master
Введите букву диска, например E: (см. Устранение неполадок, если это не сработает).
Secure Vault запишет файл .vault_master.key в корень этой флешки. Не удаляйте этот файл и не теряйте эту флешку.

Опционально, но рекомендуется: скопируйте файл .vault_master.key на вторую USB-флешку, хранимую в надёжном месте, в качестве резервной копии на случай, если основная когда-либо будет потеряна или повреждена.

Использование Secure Vault

Запустите приложение через ярлык в меню «Пуск» / на рабочем столе, чтобы получить интерактивное меню:

========================================
  SECURE VAULT
========================================
  1. Encrypt a file
  2. Decrypt a file
  3. Register USB
  4. View devices
  5. View backups
  6. Restore file
  7. Configure email
  8. Install right-click menu
  9. Exit

1. Шифрование файла

Выберите пункт 1, затем введите полный путь к файлу или папке. Ваша зарегистрированная USB-флешка должна быть подключена. Результатом является файл .vault; исходный файл безопасно удаляется (перезаписывается 3 раза) после успешного шифрования и создания резервной копии.

2. Расшифровка файла

Выберите пункт 2, введите путь к файлу .vault. Ваша зарегистрированная USB-флешка должна быть подключена — без неё расшифровка невозможна.

3. Регистрация USB-ключа

Описано в разделе Первоначальная настройка выше. Вы также можете зарегистрировать дополнительные ключи для каждого устройства (выберите device вместо master), если хотите отдельный ключ для второй машины, сохраняя при этом один общий мастер-ключ.

4. Просмотр зарегистрированных устройств

Выводит список всех USB-ключей (мастер и устройство), зарегистрированных в данный момент, из файла config/registered-devices.json.

5. Резервные копии

Каждый раз при шифровании файла Secure Vault автоматически сохраняет зашифрованную резервную копию локально (с ротацией — хранятся 5 последних, автоматически истекают через 30 дней). Пункт 5 позволяет просмотреть их список и содержимое.

6. Восстановление

Восстанавливает файл из одной из этих локальных резервных копий, если вам нужна версия до шифрования без прохождения процедуры расшифровки.

7. Email-уведомления

Опционально. Отправляет вам email всякий раз при выполнении действия в хранилище (шифрование/расшифровка), включая информацию о том, какой файл, какой компьютер и когда.

Для настройки требуется пароль приложения Gmail — не ваш обычный пароль Gmail. Шаги:

secure-vault-for-commercial

Популярное