NAS-en.
Alt som deler mapper over SMB: En NAS, en Windows-server, en Linux-maskin med Samba. Loft endrer ingenting på den og installerer ingenting der.
Slik virker det
En gateway hjemme, en app i lomma.
Loft har to deler. En gateway står ved siden av NAS-en, og appen ligger på enheten din. Appen snakker bare med gatewayen din, og gatewayen snakker bare med NAS-en din.
Delene
Loft-gatewayen.
En liten tjeneste på en Linux-maskin hjemme. Den logger inn på NAS-en som deg, så NAS-ens egne tilganger gjelder. Det er den eneste appene dine kobler seg til.
Appene.
Loft for iPhone og iPad, Mac, Android, Windows og Linux. De legger de delte mappene i systemets egen filapp og henter filene når du åpner dem.
Paring
loft-gateway pair skriver ut en QR-kode og en lenke. Begge inneholder gatewayens navn, adresser og fingeravtrykkene til nøklene. Appen sjekker fingeravtrykkene ved hver tilkobling, så den kan ikke lures til å snakke med en annen maskin. Det er også derfor det ikke finnes noe felt for å skrive inn en serveradresse: En innskrevet adresse er akkurat slik en falsk gateway ville samlet inn passord. (Trenger du det likevel, ligger Sett opp manuelt på skjermen der du parer appen.)
Lenken ser slik ut: https://loft.incremental.no/pair#…. Alt etter # blir på enheten din. Nettlesere sender aldri den delen til nettstedet vårt.
Hver enhet pares med én gateway om gangen.
Hva som er kryptert på hver vei
| Hjemme | Borte, gjennom tunnel | Borte, direkte | |
|---|---|---|---|
| App ↔ gateway | Kryptert, låst til gatewayens nøkkel | Kryptert til tunnelleverandøren, som kan lese trafikken, deretter gjennom leverandørens tunnel til gatewayen | Kryptert, låst til gatewayens nøkkel, hele veien |
| Innlogging med passord | Ja | Nei. Logg inn hjemme først | Ja, forbindelsen er låst |
| Gateway ↔ NAS | SMB 3, kryptering påkrevd (kan lempes for en eldre NAS) | samme | samme |
Hva bør jeg velge? Tunnel er det enkle valget. Ingenting åpnes på ruteren, men du stoler på at tunnelleverandøren behandler trafikken din ordentlig. Direkte betyr å åpne en port til gatewayen. Ingen underveis kan lese noe, men gatewayen kan nås fra internett, så den begrenser antall innloggingsforsøk. Mange NAS-er sperrer ikke en konto etter feil passord, så gatewayen gjør det for dem. Du kan også la være å bruke noen av dem og bare bruke Loft hjemme.
Passordet ditt. Det sendes bare over en låst forbindelse til gatewayen din. Gatewayen lagrer det kryptert med to nøkler, én som gatewayen har og én som bare enheten din har, så en kopi av gatewayens database er ikke nok til å lese det. Hver innlogget enhet har sin egen krypterte kopi, og fjerner du enheten fra gatewayen, slettes den.
Det vi ikke kan beskytte mot, sagt rett ut. Mens gatewayen kjører og du bruker den, må den bruke passordet ditt mot NAS-en. Den som tar kontroll over gatewayen mens den kjører, kan fange opp passordene til dem som bruker den akkurat da. Det gjelder alle gatewayer som logger inn på SMB som deg. Kjør derfor gatewayen på en maskin som ikke gjør noe annet, og hold den oppdatert.
Oppdateringer. Gatewayen oppdaterer seg aldri selv. Du installerer den nye .deb-filen eller henter et nytt containerbilde, etter at du har lest endringsnotatene.
→ Funnet et sikkerhetsproblem? Sikkerhet (hello@incremental.no)