De NAS.
Alles wat mappen deelt via SMB: een NAS, een Windows-server, een Linux-machine met Samba. Loft verandert er niets aan en installeert er niets op.
Hoe het werkt
Een gateway thuis, een app op zak.
Loft bestaat uit twee delen. Een gateway draait naast je NAS, en de app draait op je apparaat. De app praat alleen met je gateway, en de gateway praat alleen met je NAS.
De onderdelen
De Loft-gateway.
Een kleine dienst op een Linux-machine thuis. Hij logt als jou in op de NAS, zodat de eigen rechten van de NAS gelden. Het is het enige waarmee je apps verbinding maken.
De apps.
Loft voor iPhone en iPad, Mac, Android, Windows en Linux. Ze zetten de gedeelde mappen in de eigen bestandsapp van het systeem en halen bestanden op als je ze opent.
Koppelen
loft-gateway pair toont een QR-code en een link. Beide bevatten de naam van de gateway, zijn adressen en de vingerafdrukken van zijn sleutels. Je app controleert die vingerafdrukken bij elke verbinding, zodat hij niet kan worden misleid om met een andere machine te praten. Daarom is er ook geen vakje om “het serveradres te typen”. Juist via een getypt adres zou een nep-gateway wachtwoorden verzamelen. (Heb je het toch nodig, dan vind je Handmatig instellen op het koppelscherm van de app.)
De link ziet eruit als https://loft.incremental.no/pair#…. Alles na de # blijft op je apparaat. Browsers sturen dat deel nooit naar onze website.
Elk apparaat is aan één gateway tegelijk gekoppeld.
Wat er op elke route versleuteld is
| Thuis | Onderweg, via een tunnel | Onderweg, direct | |
|---|---|---|---|
| App ↔ gateway | Versleuteld, gebonden aan de sleutel van je gateway | Versleuteld tot aan de tunnelaanbieder, die het verkeer kan lezen, en dan via de tunnel van de aanbieder naar je gateway | Versleuteld, gebonden aan de sleutel van je gateway, end-to-end |
| Inloggen met je wachtwoord | Ja | Nee. Log eerst thuis in | Ja, de verbinding is aan de sleutel gebonden |
| Gateway ↔ NAS | SMB 3, versleuteling verplicht (kan worden versoepeld voor een oudere NAS) | hetzelfde | hetzelfde |
Wat moet ik kiezen? Een tunnel is de makkelijke optie. Er wordt niets opengezet op je router, maar je vertrouwt je verkeer toe aan de tunnelaanbieder. Direct betekent dat je een poort doorstuurt naar de gateway. Niemand onderweg kan iets lezen, maar de gateway is bereikbaar vanaf internet, dus beperkt hij het aantal inlogpogingen. Veel NAS-apparaten blokkeren een account niet na verkeerde wachtwoorden, dus doet de gateway dat voor ze. Je kunt ook geen van beide gebruiken en Loft alleen thuis bereiken.
Je wachtwoord. Dat wordt alleen verstuurd via een verbinding die aan de sleutel van je gateway gebonden is. De gateway bewaart het versleuteld met twee sleutels, één die de gateway heeft en één die alleen je apparaat heeft, dus een kopie van de database van de gateway is niet genoeg om het te lezen. Elk ingelogd apparaat heeft een eigen versleutelde kopie, en als je het apparaat van de gateway verwijdert, wordt die gewist.
Waar we je niet tegen kunnen beschermen, zonder omwegen. Zolang de gateway draait en je hem gebruikt, moet hij je wachtwoord gebruiken om met de NAS te praten. Wie de controle over de draaiende gateway overneemt, kan de wachtwoorden onderscheppen van de mensen die hem op dat moment gebruiken. Dat geldt voor elke gateway die als jou inlogt op SMB. Draai de gateway dus op een machine die verder niets doet, en houd hem up-to-date.
Updates. De gateway werkt zichzelf nooit bij. Je installeert de nieuwe .deb of haalt een nieuw container-image op, nadat je de releaseopmerkingen hebt gelezen.
→ Een beveiligingsprobleem gevonden? Beveiliging (hello@incremental.no)