KutunaCo का सुरक्षा मॉडल

KutunaCo, iOS और Android के लिए एक ऑफ़लाइन पासवर्ड मैनेजर है, जिसके लिए किसी खाते की ज़रूरत नहीं होती। यह पेज बताता है कि KutunaCo 1.12.0 किन चीज़ों को सुरक्षित रखता है, आपका डेटा कहां रखा जाता है और यह किन खतरों से बचाता है, और साफ़-साफ़ बताता है कि यह क्या नहीं कर सकता।

संक्षेप में

• बॉक्स और सेटिंग, दोनों फ़ोन पर ही AES-256 से एन्क्रिप्ट किए जाते हैं; कुंजी iOS Keychain या Android Keystore में, सिर्फ़ उसी डिवाइस पर रखी जाती है।
• न कोई खाता है, न सर्वर, न सिंक, न विज्ञापन और न एनालिटिक्स। Android वर्शन के पास इंटरनेट की अनुमति तक नहीं है; ऐप कोई नेटवर्क रिक्वेस्ट नहीं भेज सकता।
• बैकअप AES-256-GCM से एन्क्रिप्ट किए जाते हैं, एक ऐसी कुंजी से जो Argon2id के ज़रिए आपके पासवर्ड से बनाई जाती है (नए बैकअप के लिए 64 MiB मेमोरी)।
• ऐप लॉक बायोमेट्रिक, डिवाइस पासकोड या 4–8 अंकों वाले ऐप PIN से खुलता है।

ऑफ़लाइन क्यों?

क्लाउड पासवर्ड मैनेजर लाखों वॉल्ट एक ही सर्वरों पर रखते हैं, और ये सर्वर एक बड़ा निशाना होते हैं। KutunaCo में न कोई केंद्रीय डेटाबेस है जो लीक हो सके, न कोई सर्वर जिस पर हमला हो सके, और न कोई खाता जिस पर कोई कब्ज़ा कर सके। आपका बॉक्स सिर्फ़ आपके फ़ोन पर और उन बैकअप में मौजूद होता है जो आप खुद लेते हैं।

इसका दूसरा पहलू भी उतना ही साफ़ है: डिवाइसों के बीच अपने-आप सिंक नहीं होता। दूसरे फ़ोन पर जाने के लिए आप एन्क्रिप्ट किया गया बैकअप लेते हैं और उसे नए फ़ोन पर इंपोर्ट करते हैं।

आपका डेटा कहां रहता है

• बॉक्स के आइटम और सेटिंग: ऐप के अपने फ़ोल्डर में; इन्हें रैंडम तरीके से बनाई गई 256-बिट कुंजी के साथ AES-256 से एन्क्रिप्ट किया जाता है।
• बॉक्स की कुंजी: iOS पर Keychain में, "सिर्फ़ यह डिवाइस" सुरक्षा के साथ (यह कभी iCloud पर नहीं भेजी जाती और कभी किसी दूसरे डिवाइस पर रीस्टोर नहीं होती); Android पर इसे Keystore की कुंजी से एन्क्रिप्ट (रैप) किया जाता है।
• ऐप PIN: PIN खुद कभी सेव नहीं किया जाता, सिर्फ़ उसका सॉल्ट किया गया PBKDF2-HMAC-SHA256 हैश (2,10,000 इटरेशन) रखा जाता है। पांचवीं गलत कोशिश से, 30 सेकंड से लेकर एक घंटे तक का बढ़ता हुआ इंतज़ार लागू होता है।
• ऑटोफ़िल के लिए कॉपी: सिर्फ़ वे पासवर्ड आइटम दिए जाते हैं जो ट्रैश में नहीं हैं। 2FA कुंजियां, नोट, कार्ड और API कुंजी का डेटा कभी ऑटोफ़िल स्टोरेज में नहीं लिखा जाता।
• बैकअप: सिर्फ़ वहीं सेव होते हैं जहां आप चुनते हैं; अस्थायी फ़ाइलें शेयर करने के बाद हटा दी जाती हैं।
• 2FA QR स्कैनिंग: कैमरे के फ़्रेम कभी सेव नहीं किए जाते; आपके चुने गए स्क्रीनशॉट की अस्थायी कॉपी पढ़ लिए जाने के बाद हटा दी जाती है, और Google Authenticator से ट्रांसफ़र के दौरान स्कैन किए गए कोड तब तक मेमोरी में रहते हैं जब तक आप उन्हें इंपोर्ट नहीं कर लेते।

लॉक और पहचान की पुष्टि

• लॉक बायोमेट्रिक (Face ID, फ़िंगरप्रिंट), डिवाइस पासकोड या ऐप PIN से खुलता है। Android पर यह सिर्फ़ मज़बूत (Class 3) बायोमेट्रिक या डिवाइस पासकोड स्वीकार करता है।
• अगर लॉक सिर्फ़ PIN वाला है, तो बायोमेट्रिक अनलॉक चालू करने पर पहले PIN मांगा जाता है।
• ऑटो-लॉक के विकल्प: तुरंत, 30 सेकंड, 1 मिनट, 5 मिनट, 15 मिनट या कभी नहीं। टाइमर इस तरह मापा जाता है कि डिवाइस की घड़ी पीछे करने से इसे बायपास नहीं किया जा सकता।
• एक्सपोर्ट करना, सारा डेटा हटाना, लॉक बंद करना और PIN बदलना जैसे संवेदनशील कामों के लिए आपको फिर से अपनी पहचान की पुष्टि करनी होती है।
• अगर आप अपना PIN भूल जाते हैं, तो डिवाइस के स्क्रीन लॉक या बायोमेट्रिक से अपनी पहचान की पुष्टि करें और नया PIN सेट करें। यह तब तक काम करता है जब तक डिवाइस लॉक से PIN रीसेट करने दें चालू है (डिफ़ॉल्ट सेटिंग)। अगर आप नहीं चाहते कि आपका डिवाइस पासकोड जानने वाला कोई व्यक्ति नया PIN सेट कर सके, तो इसे बंद करें; तब PIN भूलने का मतलब होगा सारा डेटा हटाना और बैकअप रीस्टोर करना, जैसा बिना स्क्रीन लॉक वाले डिवाइस पर होता है।

ऑटोफ़िल

• Android: कोई आइटम सिर्फ़ तब सुझाया जाता है जब अनुरोध करने वाले ऐप का पैकेज नाम और साइनिंग सर्टिफ़िकेट लिंक किए गए ऐप से मेल खाते हों, या जब किसी जाने-माने ब्राउज़र में, जिसके सिग्नेचर की पुष्टि हो चुकी हो, डोमेन मेल खाता हो। हर बार ऑटोफ़िल करने पर आपसे पहचान की पुष्टि मांगी जाती है, और अगर लॉक सिर्फ़ PIN वाला है, तो ऐप PIN भी मांगा जाता है। सिर्फ़ वही पासवर्ड डिक्रिप्ट किया जाता है जिसे भरा जा रहा है। सुरक्षित स्क्रीन लॉक के बिना ऑटोफ़िल काम नहीं करता।
• iOS: डिवाइस के मालिक की पहचान की पुष्टि (Face ID, Touch ID या पासकोड) के बिना कुछ भी नहीं दिखाया जाता। सिस्टम को सिर्फ़ डोमेन और यूज़रनेम बताया जाता है, पासवर्ड कभी नहीं।
• 2FA लिंक: किसी वेबसाइट या दूसरे ऐप से खोला गया otpauth:// लिंक एक चेतावनी के साथ दिखाया जाता है और आपकी पुष्टि के बाद ही सेव होता है; पहले से मौजूद 2FA कुंजी कभी बदली नहीं जाती।

क्लिपबोर्ड और स्क्रीन

• कॉपी किए गए पासवर्ड संवेदनशील के रूप में चिह्नित किए जाते हैं: Android 13 और उसके बाद के वर्शन पर वे प्रीव्यू या कीबोर्ड की क्लिपबोर्ड हिस्ट्री में नहीं दिखते, और iOS पर वे यूनिवर्सल क्लिपबोर्ड के ज़रिए आपके दूसरे डिवाइसों तक नहीं पहुंचते।
• क्लिपबोर्ड आपके चुने गए समय (30, 60 या 90 सेकंड, या कभी नहीं) के बाद और ऐप लॉक होने पर साफ़ कर दिया जाता है। कॉपी किए गए 2FA कोड भी संवेदनशील के रूप में चिह्नित किए जाते हैं।
• Android पर स्क्रीनशॉट और स्क्रीन रिकॉर्डिंग ब्लॉक हैं। iOS पर, ऐप के बैकग्राउंड में रहने के दौरान और स्क्रीन रिकॉर्डिंग के समय कॉन्टेंट छिपा दिया जाता है।
• संवेदनशील फ़ील्ड में कीबोर्ड आपके टाइप किए शब्द नहीं सीखता और ऑटोकरेक्ट बंद रहता है।

बैकअप

• कुंजी आपके बैकअप पासवर्ड से Argon2id के ज़रिए बनाई जाती है (64 MiB मेमोरी, 3 इटरेशन, 4 लेन: RFC 9106 की सुझाई गई सेटिंग); हर फ़ाइल में उसके अपने पैरामीटर दर्ज होते हैं, इसलिए 1.8.0 से पहले 19 MiB / 2 इटरेशन के साथ बने बैकअप भी खुलते रहते हैं; कॉन्टेंट AES-256-GCM से एन्क्रिप्ट किया जाता है और हेडर की प्रामाणिकता भी जांची जाती है, इसलिए छेड़छाड़ की गई फ़ाइल नहीं खुलेगी।
• बैकअप पासवर्ड कम से कम 10 वर्णों का होना चाहिए। "Password123!" जैसे आसानी से अंदाज़ा लगाए जा सकने वाले पासवर्ड स्वीकार नहीं किए जाते, और प्रोडक्ट का नाम KutunaCo भी नहीं।
• अगर आप पासवर्ड भूल जाते हैं, तो कोई भी बैकअप नहीं खोल सकता, हम भी नहीं।
• बिना एन्क्रिप्शन वाला एक्सपोर्ट सिर्फ़ तभी होता है जब आप साफ़ तौर पर उसकी पुष्टि करते हैं, और उस फ़ाइल को खोलने वाला कोई भी व्यक्ति आपके आइटम पढ़ सकता है।

ज्ञात सीमाएं

• ऐप लॉक एक UI लॉक है। बॉक्स की कुंजी बायोमेट्रिक से बंधी नहीं है; बॉक्स ऐसी कुंजी से एन्क्रिप्ट किया जाता है जो डिवाइस के पहली बार अनलॉक होने के बाद उपलब्ध रहती है।
• बायोमेट्रिक अनलॉक डिवाइस पासकोड भी स्वीकार करता है; जिसे आपका पासकोड पता है, वह बॉक्स खोल सकता है।
• iCloud या Google के डिवाइस बैकअप से बॉक्स नए फ़ोन पर नहीं जाता। फ़ोन बदलने या रीसेट करने से पहले KutunaCo का एन्क्रिप्ट किया गया बैकअप लें।
• डेटा ब्रीच की कोई जांच (जैसे Have I Been Pwned) नहीं होती; ऐप कभी ऑनलाइन नहीं जाता, इसलिए वह किसी बाहरी सूची में खोज नहीं कर सकता। पासवर्ड की सेहत की रिपोर्ट पूरी तरह डिवाइस पर ही तैयार की जाती है।
• पासकी सपोर्ट नहीं की जातीं।
• iOS ऑटोफ़िल एक्सटेंशन ऐप PIN नहीं मांगता; वह सिर्फ़ डिवाइस के मालिक की पहचान की पुष्टि मांगता है। इसीलिए, जब लॉक सिर्फ़ PIN वाला हो और PIN रीसेट बंद हो, तो iOS ऑटोफ़िल को कोई पासवर्ड नहीं दिया जाता और वहां ऑटोफ़िल उपलब्ध नहीं होता।
• पहचान की पुष्टि करने से पहले, ऑटोफ़िल सुझावों में आइटम का टाइटल और यूज़रनेम दिखता है (iOS QuickType; Android पर लॉक रहने पर दिखने वाले सुझाव)। Android पर सेटिंग › सुरक्षा › सुझावों में यूज़रनेम छिपाएं से यूज़रनेम छिपाया जा सकता है।
• Android पर QR कोड रीडर Google Play सेवाओं के साथ आता है, और आपके चुने गए स्क्रीनशॉट भी यही रीडर पढ़ता है; Google Play सेवाओं के बिना, सेटअप कुंजी टाइप या पेस्ट करें। Google Play सेवाएं रीडर के हर इस्तेमाल के बारे में Google को गुमनाम डायग्नोस्टिक जानकारी भेज सकती हैं (इवेंट का प्रकार, उसमें कितना समय लगा, एक एरर कोड, और डिवाइस व ऐप से जुड़ी जानकारी, जैसे फ़ोन का मॉडल और ऐप का वर्शन); इमेज, QR कोड का कॉन्टेंट और आपके बॉक्स के आइटम कभी इसका हिस्सा नहीं होते।
• नया वर्शन आने पर आपको बताने के लिए Android ऐप हर बार शुरू होने पर, और ऐप पर लौटने पर ज़्यादा से ज़्यादा घंटे में एक बार, आपके फ़ोन के Play Store ऐप से पूछता है कि कोई अपडेट है या नहीं (Google Play In-App Updates)। जवाब देने के लिए Play Store, फ़ोन मॉडल और ऐप वर्शन जैसी डिवाइस और ऐप की जानकारी Google को भेज सकता है; आपके बॉक्स के आइटम कभी इसका हिस्सा नहीं होते, और ऐप खुद अब भी कोई नेटवर्क रिक्वेस्ट नहीं भेजता। iPhone पर ऐप कुछ भी नहीं जांचता: सेटिंग › जानकारी से App Store में KutunaCo का पेज खुलता है।
• कोई भी ऐप रूट किए गए, जेलब्रेक किए गए या मैलवेयर से संक्रमित डिवाइस पर डेटा को पूरी तरह सुरक्षित नहीं रख सकता।

सुरक्षा खामी की रिपोर्ट करना

अगर आपको कोई सुरक्षा समस्या मिलती है, तो कृपया support@kutuna.co पर लिखें। प्रभावित वर्शन, प्लैटफ़ॉर्म और समस्या को दोहराने के चरण बताएं; असली बॉक्स डेटा या पासवर्ड कभी न भेजें। संपर्क की जानकारी security.txt में भी दी गई है।