Central de Segurança

O servidor não consegue abrir o seu cofre

Esta página diz como o Auto2FA funciona por dentro, o que ele promete, o que não promete, e como conferir cada coisa sem precisar confiar em nós. Versão atual: 0.19.0.

Arquitetura

São três peças. A extensão gera os códigos e preenche na página. O cofre (auth.doublesix.com.br) abre o mesmo conteúdo em outra máquina. O servidor guarda blocos cifrados — e é opcional: sem ele, tudo fica só no seu navegador.

Esta página de apresentação é outro endereço. O cofre só aceita ser embutido por ela, e o navegador isola os dois: nada daqui — nem um anúncio — lê o que acontece lá.

Criptografia

Cofre pessoal	AES-256-GCM. Chave derivada da senha mestra por PBKDF2-SHA256 com 600.000 iterações. A senha nunca sai do navegador.
Cofre de equipe	Chave sorteada de 256 bits, que viaja no convite.
Acesso por pessoa	Cada conta tem a própria chave (AES-256-GCM); cada pessoa, a sua. A chave da conta é embrulhada (AES-KW) só para quem pode usá-la. Tirar o acesso troca a chave da conta.
Primitivas	Só as do navegador (WebCrypto). Nenhuma criptografia escrita à mão.

O que o servidor vê — e o que não vê

Vê	Blocos cifrados, um número de versão, a data da última gravação, o hash da credencial de cada cofre, a licença (se houver) e o endereço IP de quem chama.
Não vê	Suas contas, seus segredos de 2FA, sua senha mestra, os nomes das pessoas de uma equipe, quem pode usar cada conta.
Não existe	Conta de usuário, login no servidor, lista de funcionários, recuperação de senha.

Como conferir sem confiar em nós

Auditoria automática. A cada mudança, um programa confere no próprio código as promessas desta página: nenhuma chamada de rede fora de um único arquivo, nenhum código montado em tempo de execução, nenhum dado de conta entrando na tela como HTML, permissões declaradas e justificadas. Um segundo programa planta defeitos e exige que a auditoria pegue todos.

Pacote reproduzível. O pacote da extensão sai igual byte a byte em qualquer máquina. As somas da versão atual:

815626b1eaac09362fa52ee18b65b9ad38ee5d468bf692a4548f20d2606aa171  auto2fa-chrome-0.19.0.zip
b357452987e38c491b6eb48bd55b75b0c66d99e1bc6aa343a9368eff4c99cda3  auto2fa-firefox-0.19.0.zip

Código do servidor. Os arquivos que guardam os cofres, as licenças e contam os números públicos estão em /codigo/, com o SHA-256 de cada um.

Limitações conhecidas

Ainda não houve revisão externa da criptografia. Conferência automática não é revisão independente. Mantenha seu autenticador atual em paralelo até confiar neste.
Tirar o acesso de alguém não apaga o que essa pessoa já viu. Para conta sensível, gere outro 2FA no próprio serviço.
O convite é uma chave. Quem tem o texto do convite abre o que ele abre. A soma no fim dele pega colagem incompleta, não falsificação.
No acesso por pessoa, um membro vê quantos acessos existem e quantas contas cada um tem — não os nomes, nem as contas alheias.
A extensão é provada a cada versão num Firefox e num Chromium reais (criar o cofre, gerar o código e conferi-lo pelo padrão RFC 6238, entrar numa equipe com acesso por pessoa). O Chrome oficial não permite carregar extensão por automação; o Chromium é o mesmo motor.

Relatar uma vulnerabilidade

Escreva para ai.suporte@doublesix.com.br com o assunto “Segurança Auto2FA”: o que você achou, como reproduzir e o impacto que você imagina.

Confirmamos o recebimento em até 5 dias úteis e mantemos você a par do conserto.
Em escopo: a extensão, o cofre em auth.doublesix.com.br, o servidor (/api) e esta página.
Fora de escopo: ataques de negação de serviço, engenharia social, e contas ou dados de outras pessoas — use sempre um cofre seu.
Pesquisa de boa-fé, dentro destas regras, não será alvo de medida da DoubleSix. Pedimos só que não divulgue antes do conserto.

Arquivo padrão: /.well-known/security.txt.

Veja também os termos de uso e a política de privacidade.