『大瀑布』文档中心

# 安全就是一切。

image 『大瀑布』 中的每个设计决策都从数据的安全性和隐私性开始。 『大瀑布』 为您提供了传输文件的数据通道，并且 『大瀑布』 永远不会保存或读取您的文件内容。

# 最小中心化原则

『大瀑布』 服务器的作用只是提供端到端的通信握手。与个人文件安全相关的所有信息都不会保存在 『大瀑布』的服务器 上，而只会保存在您的本地设备中。

# 您的文件是端到端加密的。

『大瀑布』 共享/传输的文件是端到端加密的，只有您持有密钥才能解密它们。 我们无法查看您的 『大瀑布』 文件，因此无法使用、共享或出售它们。

# 本地访问日志

您的文件的访问历史记录将仅保存在本地 PC 上，以便您可以清楚地知道您的文件被访问的人/时间/方式。访问日志不会存储在 『大瀑布』 服务器上，以最大限度地保护您的隐私。

# 本地访问控制

共享文件的所有信息仅存储在您的设备中，所有权限验证都在您的PC上进行：

  • 磁盘路径
  • 网址
  • 密码
  • 匿名访问
  • 权限（启用、上传、下载、过期天数、剪切/复制/粘贴/删除、创建文件夹、重命名）

# 我们使用最先进的安全特性。

您的『大瀑布』文件是端到端加密的，以确保它们在传输过程中的安全。我们的安全性始于 TLS/SSL/AES 128 位加密，我们使用多种技术来确保只有您才能访问您的信息。我们一直在努力确保我们的代码坚如磐石。

# 安全设计

『大瀑布』使用最先进的安全性和端到端加密来保护您的文件。您的文件始终是端到端加密的，因此除了您和预期的收件人之外，任何人都无法共享或查看它们。

# 密钥管理

用于端到端加密的密钥永远不会与我们的服务器共享。当您向他们发送“共享链接”时，它会直接发送给您的预期收件人。密钥将添加到永远不会发送到服务器的 URI 片段中。 当代理（如 Web 浏览器）从 Web 服务器请求 Web 资源时，代理会将 URI 发送到服务器，但不会发送片段。

# Web 加密 API

我们通过 Web Crypto API 使用浏览器内置的加密原语，在将文件发送给收件人之前对浏览器中的文件进行加密。

# 文件传输

  • 通过点对点 WebRTC 连接直接发送给收件人
  • 如果点对点连接失效，『大瀑布』提供SSL加密数据通道确保数据传输的可用性
  • 完全点对点传输是首选，因为它可以提高速度和隐私性。服务器副本有助于确保文件即使在发件人关闭浏览器后仍可用。所有文件发送之前都经过端到端加密。

# 静态加密

除了『大瀑布』的端到端加密外，您的文件还受到我们服务器上的额外加密层的保护。

# 传输层安全性 （TLS）

TLS（以前称为 SSL）是行业标准的加密协议，用于加密您的浏览器和我们的服务器之间的通信。它确保『大瀑布』网页代码不被攻击者修改，并在客户端端到端加密之上提供额外的保护层，以确保数据上传和下载的私密性。

我们支持对新式设备使用 TLS 1.3，对所有其他设备支持 TLS 1.2。不使用已弃用的 TLS 和 SSL 版本。

# 供应链安全

为了保护『大瀑布』用户，我们审核了我们使用的每个开源包，以检测和阻止数十个包问题。

# 证书透明度日志

我们会监控 Certificate Transparency 日志中是否存在证书错误颁发。

# DNS 证书颁发机构授权 （CAA） 策略

证书颁发机构授权 （CAA） 策略允许 DNS 域名持有者指定有权为该域颁发证书的证书颁发机构 （CA）。

通过发布 CAA 记录，我们降低了意外或恶意证书错误颁发的风险。

# 域名系统安全扩展 （DNSSEC）

DNSSEC 是 DNS 的一组扩展，它为 DNS 客户端（解析器）提供 DNS 数据的加密身份验证、经过身份验证的拒绝存在和数据完整性。

我们部署 DNSSEC 来保护 『大瀑布』的 DNS 记录。

# 数据报传输层安全性 （DTLS）

DTLS 是用于加密浏览器之间的 WebRTC 点对点通信的标准加密协议。它在我们自己的加密之上提供了额外的保护层，以保持『大瀑布』上的点对点传输的私密性。

# 网络安全

『大瀑布』配置了最先进的安全选项，以尽可能地锁定站点。

以下是我们部署的一些安全功能。

# 严格传输安全 Strict-Transport-Security

『大瀑布』使用此标头来确保您的浏览器始终使用TLS协议与我们的服务器进行通信。

此外，我们还将『大瀑布』包含在所有主要浏览器的HTTP严格传输安全（HSTS）预加载列表中。对于域名，整个 TLD 会自动包含在 HSTS 预加载列表中。

# 跨源资源策略 Cross-Origin-Resource-Policy

『大瀑布』使用此标头来防止其他来源访问『大瀑布』.app上的数据。这是对侧信道硬件漏洞（如 Meltdown 和 Spectre）的缓解措施。

# 跨域嵌入策略 Cross-Origin-Embedder-Policy

『大瀑布』使用此标头来启用跨域隔离。跨域隔离确保支持的浏览器始终在单独的渲染器进程中加载『大瀑布』，从而防止 Meltdown 和 Spectre 等侧信道硬件漏洞。

# 权限策略 Permissions-Policy

『大瀑布』 使用此标头来禁用一些我们不需要的 Web 浏览器功能，例如摄像头和麦克风访问。

# 内容安全策略 Content-Security-Policy

『大瀑布』使用内容安全策略来防止网站被诱骗访问可能用于跨站点篡改攻击的资源（如脚本、网页等）。

如果您在『大瀑布』中发现安全漏洞，请使用我们的负责任披露流程进行报告。