Orb — Инструмент для создания туннелей к папкам с нулевым доверием

Orb — это безопасная утилита, ориентированная на работу в терминале, которая позволяет обмениваться локальной папкой через интернет, используя сквозное шифрование. Никаких аккаунтов, облачного хранилища или перенаправления портов не требуется.

Демо

Общий доступ к папке

Общий доступ к папке одной командой — сквозное шифрование

Просмотр общих файлов

Интерактивный TUI-браузер для безопасного доступа к файлам

Возможности

• Архитектура с нулевым доверием: Релейный сервер никогда не видит незашифрованные данные
• Надёжная криптография: Argon2id для вывода ключей, Noise Protocol для рукопожатия, ChaCha20-Poly1305 для шифрования передачи
• Кроссплатформенность: Работает на Linux, macOS и Windows
• Безопасность за NAT: Все соединения исходящие, работает за файрволами
• Файловый браузер TUI: Интерактивный терминальный интерфейс для просмотра и скачивания файлов
• Отсутствие долгосрочных секретов: Сессии истекают автоматически
• Безопасность по дизайну: Санитизация путей, защита от симлинков, защита от повторного воспроизведения

Быстрый старт

Установка

# Загрузите бинарный файл для вашей платформы
curl -L https://github.com/Zayan-Mohamed/orb/releases/latest/download/orb-$(uname -s)-$(uname -m) -o orb
chmod +x orb
sudo mv orb /usr/local/bin/

Или соберите из исходников.

Открыть общий доступ к папке

orb share ./myfolder

Вывод:

Session ID: abc123def456
Passcode: secure-random-passcode
Relay: ws://localhost:8080

Передайте эти учётные данные получателю безопасным способом.
Ожидание подключения...

Подключиться к общей папке

orb connect 7F9Q2A

Запрашивает код доступа, затем открывает интерактивный файловый браузер.

Команды

orb share <path>

Открыть общий доступ к локальной директории через зашифрованный туннель.

Опции:

• --relay <url>: URL релейного сервера (по умолчанию: http://localhost:8080)
• --readonly: Общая папка только для чтения

Пример:

orb share ./documents --readonly

orb connect <session-id>

Подключиться к общей сессии.

Опции:

• --relay <url>: URL релейного сервера
• --passcode <code>: Код доступа к сессии (запрашивается, если не указан)
• --tui: Использовать TUI-браузер (по умолчанию: true)
• --mount <path>: Точка монтирования для FUSE (только Linux/macOS)

Пример:

orb connect 7F9Q2A --passcode 493-771 --tui

orb relay

Запустить релейный сервер.

Опции:

• --listen <addr>: Адрес для прослушивания (по умолчанию: :8080)

Пример:

orb relay --listen 0.0.0.0:8080

Функции безопасности

Криптография

• Вывод ключа: Argon2id с 64MB памяти, 3 итерации
• Рукопожатие: Noise Protocol Framework с обменом ключами X25519
• Передача: Аутентифицированное шифрование ChaCha20-Poly1305
• Генерация случайных чисел: Криптографически безопасные случайные числа

Защита от

• Перебора кода доступа (память-ёмкая функция Argon2id)
• Атак повторного воспроизведения (уникальные nonce для каждого пакета)
• Человека посередине (взаимная аутентификация Noice Protocol)
• Path traversal (санитизация и проверка путей)
• Атак через симлинки (разрешение симлинков и проверка границ)
• Угона сессии (ограничение скорости и блокировка сессии)
• Компрометации реле (сквозное шифрование, реле не видит данные)

Безопасность файловой системы

• Все пути санитизированы и проверены
• Симлинки, указывающие за пределы общей директории, блокируются
• Удалённое выполнение файлов отсутствует
• Настраиваемый режим только для чтения
• Автоматическое истечение сессии

Архитектура

Orb состоит из трёх компонентов:

1. CLI: Интерфейс пользователя для открытия доступа и подключения
2. Релейный сервер: «Слепая» пересылка байтов зашифрованных данных
3. Зашифрованный туннель: Канал связи со сквозным шифрованием

┌─────────┐                  ┌───────────┐                  ┌─────────┐
│ Sharer  │◄────encrypted────►│   Relay   │◄────encrypted────►│Receiver │
│  (CLI)  │                  │  Server   │                  │  (CLI)  │
└─────────┘                  └───────────┘                  └─────────┘
     │                              │                              │
     │                              │                              │
     └──────────────────────────────┴──────────────────────────────┘
              Всё шифрование происходит на концах
              Релей никогда не видит незашифрованные данные

Сборка из исходников

Предварительные требования

• Go 1.22 или новее
• Make (опционально, но рекомендуется)

Сборка

# Клонируйте репозиторий
git clone https://github.com/Zayan-Mohamed/orb.git
cd orb

# Установите зависимости
go mod download

# Сборка для текущей платформы
make build-local

# Или сборка для всех платформ
./build.sh

Кроссплатформенная сборка

# Сборка для всех платформ
./build.sh

# Бинарные файлы будут в build/
ls build/
# orb-linux-amd64
# orb-linux-arm64
# orb-darwin-amd64
# orb-darwin-arm64
# orb-windows-amd64.exe

Разработка

Запуск тестов

make test

Покрытие кода

go test -cover ./...

Запуск релейного сервера локально

make relay

Запуск отправителя

make share

Запуск получателя

SESSION=<session-id> make connect

Конфигурация

Orb использует разумные значения по умолчанию и не требует конфигурационных файлов. Все настройки передаются через флаги командной строки.

Документация

Для получения полной документации посетите Документацию Orb:

• Начало работы

  • Руководство по установке
  • Первые шаги
  • Примеры использования

• Руководства пользователя

  • Общий доступ к файлам
  • Подключение
  • TUI-браузер
  • Устранение неполадок

• Безопасность

  • Детали криптографии
  • Лучшие практики
  • Модель угроз

• Развёртывание

  • Релейный сервер
  • Продуктивное использование
  • Docker

• Разработка

  • Сборка из исходников
  • Внесение вклада
  • Справочник API

Сборка сайта документации

# Установите MkDocs
pip install -r requirements.txt

# Локальный запуск
mkdocs serve

# Сборка статического сайта
mkdocs build

Замечания по платформам

Linux

• Режим TUI работает «из коробки»
• Установка: используйте готовые бинарные файлы или собирайте из исходников

macOS

• Режим TUI работает «из коробки»
• Установка: используйте готовые бинарные файлы или собирайте из исходников

Windows

• Режим TUI работает «из коробки»
• Установка: используйте готовые бинарные файлы или собирайте из исходников

Ограничения

• Максимальный размер файла: ограничен доступной памятью (10MB на операцию чтения)
• Сессии истекают через 24 часа
• Максимум 5 неудачных попыток ввода кода доступа, после чего сессия блокируется
• Только чтение (загрузка/изменение файлов недоступны)

Раскрытие уязвимостей

Если вы обнаружили уязвимость безопасности, напишите на [email protected]. Не создавайте публичные issue для уязвимостей безопасности.

Лицензия

Лицензия MIT — см. файл LICENSE

Вклад в развитие

Вклад приветствуется! Пожалуйста, прочитайте Руководство по внесению вклада для получения инструкций.

Благодарности

• Noise Protocol Framework
• ChaCha20-Poly1305 (RFC 8439)
• Argon2id (RFC 9106)
• Bubble Tea TUI framework
• Go crypto libraries