Firefox 同步,端到端加密

信息安全 加密 火狐
2021-08-28 18:48:22

我想将我的浏览数据与多个设备同步,但我确信我不想与第 3 方(无论他们声称什么)共享我的数据。我过去读到过,通过 Firefox Sync 保存的数据是以防止 Mozilla 解密的方式加密的。我已经阅读了几篇关于 Firefox Sync 的 [1] 文章 [2],但我仍然对阻止 Mozilla 解密数据的原因感到困惑。

当我在 firefox.com 上创建帐户时,我输入了密码(两次)。此密码可能已发送到 Mozilla 的服务器。当然,最好的做法是先在 JavaScript 中对其进行哈希处理,但我还没有检查过。该页面可以做任何事情,所以作为外行我假设是最坏的。

现在我使用相同的密码在浏览器中登录 Firefox Sync。因此,同步的唯一秘密是与 Mozilla 共享的。如果本地 PC 上有额外的秘密,那么丢失 PC 将意味着我无法解密我的数据,因此密码必须是唯一的秘密。

那么究竟是什么阻止了 Mozilla 对我的私人数据进行数据挖掘呢?

[1] https://blog.mozilla.org/services/2014/04/30/firefox-syncs-new-security-model/

[2] https://medium.com/mozilla-tech/how-firefox-sync-keeps-your-secrets-if-tls-fails-14420d45885c

1个回答

FxA的加密/身份验证有一个非常好的解释查看它,它表明身份验证密钥和私有数据包装密钥都是从密码中独立派生的,其方式是不可能从身份验证密钥派生包装密钥。因此,存储在他们服务器上的任何内容都不会允许他们检索kB,这是用于存储“B 类”敏感数据(包括所有同步数据)的密钥。