KutunaCo güvenlik modeli

KutunaCo, iOS ve Android için çevrimdışı çalışan, hesap gerektirmeyen bir şifre yöneticisidir. Bu sayfa KutunaCo 1.12.0 sürümünün verilerinizi neyle, nerede ve neye karşı koruduğunu anlatır; neyi yapamadığını da açıkça yazar.

Kısaca

• Kutunuz ve ayarlarınız telefonda AES-256 ile şifreli durur; anahtar iOS Keychain'de ya da Android Keystore'da, yalnızca o cihazda tutulur.
• Hesap, sunucu, senkronizasyon, reklam ve analitik yoktur. Android sürümünün internet izni bile yoktur; uygulama ağ isteği yapamaz.
• Yedekler, parolanızdan Argon2id ile (yeni yedeklerde 64 MiB bellek) türetilen anahtarla AES-256-GCM kullanılarak şifrelenir.
• Uygulama kilidi biyometri, cihaz kodu veya 4–8 haneli uygulama PIN'i ile açılır.

Neden çevrimdışı?

Bulut şifre yöneticilerinde milyonlarca kasa aynı sunucularda toplanır; o sunucular tek ve büyük bir hedeftir. KutunaCo'da sızdırılabilecek merkezi bir veritabanı, saldırılacak bir sunucu ya da ele geçirilecek bir hesap yoktur. Kutunuz yalnızca telefonunuzda ve sizin aldığınız yedeklerde bulunur.

Bunun bedeli de açıktır: cihazlar arasında otomatik senkronizasyon yoktur. Başka bir telefona geçerken şifreli bir yedek alıp yeni telefonda içe aktarırsınız.

Veriler nerede ve nasıl saklanır?

• Kutudaki öğeler ve ayarlar: uygulamanın kendi klasöründe, rastgele üretilmiş 256 bitlik anahtarla AES-256 ile şifreli.
• Kutu anahtarı: iOS'ta Keychain'de "yalnızca bu cihaz" korumasıyla (iCloud'a gitmez, başka cihaza geri yüklenmez); Android'de Keystore ile sarılmış olarak.
• Uygulama PIN'i: PIN'in kendisi saklanmaz; yalnızca tuzlanmış PBKDF2-HMAC-SHA256 özeti (210.000 yineleme) tutulur. Beşinci hatalı denemeden itibaren 30 saniyeden bir saate kadar artan bekleme uygulanır.
• Otomatik doldurma kopyası: yalnızca çöp kutusunda olmayan şifre kayıtları aktarılır. 2FA sırları, notlar, kart ve API anahtarı bilgileri otomatik doldurma deposuna hiç yazılmaz.
• Yedekler: yalnızca sizin seçtiğiniz yere kaydedilir; geçici dosyalar paylaşımdan sonra silinir.
• 2FA QR tarama: kamera görüntüleri hiç saklanmaz; seçtiğiniz ekran görüntüsünün geçici kopyası okunduktan sonra silinir, Google Authenticator aktarımından taranan kodlar siz içe aktarana kadar yalnızca bellekte durur.

Kilit ve kimlik doğrulama

• Kilit, biyometri (Face ID, parmak izi), cihaz kodu veya uygulama PIN'i ile açılır. Android'de yalnızca güçlü (Sınıf 3) biyometri ya da cihaz kodu kabul edilir.
• Yalnızca PIN kilidi varken Biyometrik Kilidi açmak önce PIN'i sorar.
• Otomatik kilit süreleri: hemen, 30 saniye, 1 dakika, 5 dakika, 15 dakika veya asla. Süre, cihaz saati geri alınarak atlatılamayacak şekilde ölçülür.
• Dışa aktarma, tüm verileri silme, kilidi kapatma ve PIN değiştirme gibi hassas işlemler yeniden doğrulama ister.
• PIN'inizi unutursanız cihazın ekran kilidiyle ya da biyometriyle doğrulayıp yeni bir PIN belirlersiniz. Bu, Cihaz Kilidiyle PIN Sıfırlamaya İzin Ver açıkken (varsayılan) çalışır. Cihaz kodunuzu bilen birinin yeni PIN belirleyememesi için bu ayarı kapatabilirsiniz; o zaman unutulan PIN'in tek çaresi, ekran kilidi olmayan bir cihazda olduğu gibi, tüm verileri silip yedekten geri yüklemektir.

Otomatik doldurma

• Android: bir kayıt yalnızca bağlı olduğu uygulamanın paket adı ve imza sertifikası eşleştiğinde ya da imzası doğrulanmış bilinen bir tarayıcıda alan adı eşleştiğinde önerilir. Her doldurmada kimlik doğrulaması istenir; yalnızca PIN kilidinde uygulama PIN'i de sorulur. Yalnızca doldurulan parola çözülür. Cihazda güvenli ekran kilidi yoksa otomatik doldurma çalışmaz.
• iOS: cihaz sahibi doğrulaması (Face ID, Touch ID ya da cihaz kodu) olmadan hiçbir kayıt listelenmez. Sisteme yalnızca alan adı ve kullanıcı adı bildirilir; parolalar asla.
• 2FA bağlantıları: bir web sitesinin ya da başka bir uygulamanın açtığı otpauth:// bağlantısı uyarıyla gösterilir ve yalnızca siz onaylarsanız kaydedilir; mevcut bir 2FA anahtarının yerine asla yazılmaz.

Pano ve ekran

• Kopyalanan şifreler hassas olarak işaretlenir: Android 13 ve üzerinde önizlemede ve klavye pano geçmişinde görünmez, iOS'ta Evrensel Pano ile diğer cihazlarınıza gitmez.
• Pano, seçtiğiniz sürenin (30, 60 ya da 90 saniye; ya da asla) sonunda ve uygulama kilitlendiğinde temizlenir. Kopyalanan 2FA kodları da hassas olarak işaretlenir.
• Android'de ekran görüntüsü ve ekran kaydı engellenir. iOS'ta uygulama arka plandayken ve ekran kaydı sırasında içerik gizlenir.
• Hassas alanlarda klavyenin öğrenmesi ve otomatik düzeltme kapalıdır.

Yedekler

• Anahtar, yedek parolanızdan Argon2id ile türetilir (64 MiB bellek, 3 yineleme, 4 iş parçacığı: RFC 9106'nın önerdiği ayar); her dosya kendi parametrelerini taşır, bu yüzden 1.8.0'dan önce 19 MiB / 2 yinelemeyle alınmış yedekler açılmaya devam eder; içerik AES-256-GCM ile şifrelenir ve dosya başlığı da doğrulanır, kurcalanmış bir dosya açılmaz.
• Yedek parolası en az 10 karakter olmalıdır. "Password123!" ya da "Galatasaray1905!" gibi tahmin edilebilir parolalar reddedilir; KutunaCo ürün adı da kabul edilmez.
• Parolayı unutursanız yedeği kimse açamaz; biz de açamayız.
• Şifresiz dışa aktarma yalnızca açıkça onaylarsanız yapılır ve dosyayı açan herkes kayıtlarınızı okuyabilir.

Bilinen sınırlamalar

• Uygulama kilidi bir arayüz kilididir. Kutu anahtarı biyometriye bağlı değildir; cihazın ilk kilit açılışından sonra erişilebilir anahtarla şifrelidir.
• Biyometrik kilit cihaz kodunu da kabul eder; cihaz kodunuzu bilen biri kutunuzu açabilir.
• Kutunuz, iCloud ya da Google cihaz yedeğiyle yeni telefona taşınmaz. Telefon değiştirmeden veya sıfırlamadan önce şifreli bir KutunaCo yedeği alın.
• Parola sızıntı kontrolü (Have I Been Pwned gibi) yoktur; uygulama internete bağlanmadığı için dış bir listeye soramaz. Şifre sağlığı raporu tamamen cihazda hesaplanır.
• Passkey desteği yoktur.
• iOS otomatik doldurma uzantısı uygulama PIN'ini sormaz; yalnızca cihaz sahibi doğrulaması ister. Bu yüzden yalnızca PIN kilidinde PIN sıfırlama kapalıysa iOS otomatik doldurmaya hiçbir parola verilmez ve orada otomatik doldurma kullanılamaz.
• Doğrulamadan önce otomatik doldurma önerileri kaydın başlığını ve kullanıcı adını gösterir (iOS QuickType; Android'deki kilitli öneriler). Android'de Ayarlar › Güvenlik › Önerilerde Kullanıcı Adlarını Gizle kullanıcı adını gizler.
• Android'deki QR kod okuyucu Google Play hizmetleriyle gelir ve seçtiğiniz ekran görüntülerini de okur; Google Play hizmetleri yoksa kurulum anahtarını yazın ya da yapıştırın. Google Play hizmetleri okuyucunun her kullanımı hakkında Google'a anonim teşhis bilgisi gönderebilir (olayın türü, ne kadar sürdüğü, bir hata kodu ve telefon modeli, uygulama sürümü gibi cihaz ve uygulama bilgileri); görüntü, QR kodunun içeriği ve kutunuzdaki kayıtlar bunun parçası değildir.
• Yeni bir sürüm çıktığını size gösterebilmek için Android uygulaması her açılışta, uygulamaya döndüğünüzde ise en fazla saatte bir, telefonunuzdaki Play Store uygulamasına güncelleme olup olmadığını sorar (Google Play In-App Updates). Play Store yanıt verebilmek için Google'a telefon modeli ve uygulama sürümü gibi cihaz ve uygulama bilgileri gönderebilir; kutunuzdaki kayıtlar bunun parçası değildir ve uygulamanın kendisi yine hiçbir ağ isteği yapmaz. iPhone'da uygulama hiçbir şey denetlemez: Ayarlar › Hakkında, KutunaCo'nun App Store sayfasını açar.
• Root veya jailbreak yapılmış ya da kötü amaçlı yazılım bulunan bir cihazda hiçbir uygulama tam koruma sağlayamaz.

Güvenlik açığı bildirimi

Bir güvenlik açığı bulduysanız lütfen support@kutuna.co adresine yazın. Etkilenen sürümü, platformu ve sorunu yeniden üretme adımlarını ekleyin; kutunuzdan gerçek veri veya parola göndermeyin. İletişim bilgileri security.txt dosyasında da yer alır.