¿Cómo se cifran mis notas?
- Al crear la caja fuerte, Protect text genera una clave de datos aleatoria de 256 bits.
- Cada nota (título, texto, color, si está fijada) se cifra con esa clave mediante AES-256-GCM, con un nonce aleatorio nuevo cada vez que se guarda. GCM también detecta si los datos guardados se han alterado.
- La clave de datos solo se guarda envuelta: una vez con una clave derivada de tu contraseña (PBKDF2-SHA-256, 600.000 iteraciones, sal aleatoria) y otra con una clave derivada de tu clave de recuperación (unos 125 bits de aleatoriedad, 200.000 iteraciones).
- Todo esto lo hace Web Crypto, integrado en el navegador. Protect text no incluye código criptográfico propio.
Al cambiar la contraseña se vuelve a envolver la clave de datos; no hace falta volver a cifrar las notas.
¿Dónde está la clave mientras trabajo?
Cuando desbloqueas la caja fuerte, la clave de datos se guarda en el almacenamiento de sesión de la extensión en Chrome, que vive en memoria y nunca se escribe en el disco. Se elimina cuando la caja fuerte se bloquea (tras el tiempo que elijas, cuando el ordenador se bloquea o entra en suspensión, o con el botón del candado) y cuando se cierra el navegador.
¿Puede la extensión enviar mis notas a algún sitio?
No. La política de seguridad de contenido prohíbe cualquier conexión de red (connect-src 'none'),
y la extensión no pide acceso a ningún sitio web. No hay servidor de Cresotech, ni analítica, ni
cuenta. Es Chrome quien actualiza la extensión desde la Chrome Web Store, como hace con todas las
extensiones.
¿Qué permisos pide y para qué?
| Permiso | Para qué lo necesita Protect text |
|---|---|
storage | guardar tus notas cifradas y tus ajustes en tu ordenador |
unlimitedStorage | permitir que un bloc grande supere la cuota de almacenamiento predeterminada de Chrome |
sidePanel | abrir el bloc de notas en el panel lateral de Chrome |
contextMenus | añadir Añadir a Protect Text y Guardar esta página en Protect Text al menú contextual |
alarms | bloquear la caja fuerte tras el tiempo que elijas |
idle | bloquear la caja fuerte cuando el ordenador se bloquea o entra en suspensión |
Al instalarla, Chrome no muestra ningún aviso sobre la lectura de tus datos en sitios web, porque Protect text no pide ese acceso.
Lo que Protect text no puede proteger
El cifrado protege las notas guardadas. Sé sincero contigo mismo sobre lo demás:
- Una caja fuerte abierta. Hasta que se bloquea, cualquiera que esté delante de tu ordenador puede leerla. En un ordenador compartido, usa un bloqueo automático corto y pulsa el botón del candado al irte.
- Malware. Un keylogger o un programa malicioso en tu ordenador puede ver lo que escribes y lo que hay en pantalla. Ningún bloc de notas protege contra eso; mantén el sistema actualizado.
- Contraseñas débiles. Si alguien copia los datos cifrados, una contraseña corta o común se puede adivinar sin conexión. Usa una frase de contraseña larga; el generador integrado te ayuda.
- Copias sin cifrar. Una nota que descargas como .txt, imprimes o copias a otro sitio ya no está cifrada. El portapapeles se vacía 30 segundos después de copiar texto oculto, pero las demás copias dependen de ti.
- El texto oculto difumina el texto en pantalla. Es un filtro de privacidad, no un cifrado extra.
- Perder los dos secretos. Sin la contraseña y la clave de recuperación, las notas se pierden para siempre. Nadie, tampoco Cresotech, tiene una puerta trasera.
¿Es seguro el archivo de copia de seguridad?
Sí: contiene las notas cifradas más la clave envuelta, igual que en tu ordenador. Sin tu contraseña o tu clave de recuperación es ilegible. Aun así, guárdalo en un lugar privado, y ten en cuenta que una copia antigua se abre con la contraseña que era válida cuando la hiciste.
¿Cómo lo borro todo?
Elimina las notas y vacía la papelera, o quita Protect text de Chrome: su almacenamiento se borra con ella. Los archivos de copia de seguridad que hayas guardado tú no se tocan; bórralos como cualquier otro archivo.
Más detalles: política de privacidad de Protect text.