Область шифрования

Пассворк использует двухуровневую модель защиты. Не все данные шифруются на клиенте — некоторые поля защищаются только серверным шифрованием для обеспечения функциональности (поиск, сортировка, отображение).

Обзор уровней шифрования

Уровень	Где выполняется	Когда активен	Ключ	Алгоритм
Клиентское шифрование	В браузере	При включённом CSE	Ключи пользователя, сейфа, записи	AES-256-CBC
Серверное шифрование	На сервере	Всегда	Серверный ключ	AES-256-CFB

Данные записи (Password Record)

Поле	Клиентское шифрование	Серверное шифрование	Причина
Название записи	—	✓	Поиск, отображение в списках
Логин	—	✓	Поиск, автозаполнение
Пароль	✓	✓	Критические данные
URL	—	✓	Поиск, автозаполнение, расширение браузера
Описание	—	✓	Поиск
Теги	—	✓	Фильтрация, группировка
Цвет	—	✓	Отображение

Дополнительные поля (Custom Fields)

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Имя поля	✓	✓	Может содержать чувствительную информацию
Значение поля	✓	✓	Критические данные
Тип поля	✓	✓	Метаданные поля

TOTP (двухфакторная аутентификация)

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
TOTP-секрет	✓	✓	Критические данные для 2FA

Вложения

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Имя файла	—	✓	Отображение, поиск
Содержимое файла	✓	✓	Критические данные
Ключ вложения	Да (ключом записи)	✓	Ключевой материал

Редакции записей

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Предыдущие значения паролей	✓	✓	Исторические секреты
Предыдущие доп. поля	✓	✓	Исторические секреты
Метаданные изменения	—	✓	Аудит, журналирование

Данные сейфа

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Название сейфа	—	✓	Навигация, отображение
Описание сейфа	—	✓	Информация
Ключ сейфа	Да (RSA-ключом пользователя)	✓	Ключевой материал
Права доступа	—	✓	Управление доступом
Настройки сейфа	—	✓	Конфигурация

Данные пользователя

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Логин пользователя	—	—	Идентификация
Email	—	—	Идентификация
Публичный RSA-ключ	—	—	Публичный по определению
Приватный RSA-ключ	Да (мастер-ключом)	✓	Критические данные
Хеш мастер-ключа	—	✓	Для проверки пароля
Соль PBKDF2	—	✓	Криптографические параметры
Local Storage Secret Code	—	✓	Для функции «Запомнить»

Данные внешней ссылки

Атрибут	Клиентское шифрование	Серверное шифрование	Причина
Токен ссылки	—	—	Идентификатор в URL
Копия данных записи	Да (ключом ссылки)	✓	Секретные данные
Ключ ссылки (зашифрованный)	✓	✓	Ключевой материал
Хеш ключа ссылки	—	✓	Для проверки доступа
Настройки ссылки	—	✓	TTL, одноразовость

Служебные данные

Данные	Клиентское шифрование	Серверное шифрование	Причина
ID объектов	—	—	Идентификация
Временные метки	—	—	Сортировка, аудит
Access/Refresh токены	—	—	Сессии (в памяти/cookies)
LDAP-пароли (интеграция)	—	✓	Серверная интеграция
SMTP-пароли	—	✓	Серверная интеграция

---

Ключи шифрования по типам данных

Данные	Ключ клиентского шифрования	Ключ серверного шифрования
Поле «Пароль»	Ключ записи (AES-256-CBC)	Серверный ключ (AES-256-CFB)
Дополнительные поля	Ключ записи	Серверный ключ
TOTP-секрет	Ключ записи	Серверный ключ
Содержимое файла	Ключ вложения (AES-256-CBC)	Серверный ключ
Ключ вложения	Ключ записи	Серверный ключ
Ключ записи	Ключ сейфа (AES-256-CBC)	Серверный ключ
Ключ сейфа	RSA-ключ пользователя (RSA-OAEP)	Серверный ключ
Приватный RSA-ключ	Мастер-ключ (AES-256-CBC)	Серверный ключ

---

Почему не всё шифруется на клиенте?

Функциональные причины

1. Поиск — для поиска по названию, логину, URL, описанию и тегам сервер должен иметь возможность индексировать эти поля
2. Сортировка — сортировка записей по названию требует доступа к этому полю
3. Фильтрация — фильтрация по тегам работает на стороне сервера
4. Автозаполнение — расширение браузера сопоставляет URL без расшифровки
5. Отображение списков — показ названий записей без расшифровки всей записи

Безопасность метаданных

Несмотря на то, что некоторые поля не шифруются на клиенте, они защищены:

• Серверным шифрованием (AES-256-CFB) перед записью в БД
• TLS/HTTPS при передаче между клиентом и сервером
• Контролем доступа на уровне приложения

Модель угроз

Угроза	Защита
Утечка базы данных	Серверное шифрование защищает все данные
Компрометация сервера	Клиентское шифрование защищает критические данные
Перехват трафика	TLS защищает данные в транзите
Доступ администратора	Zero Knowledge для паролей и секретов

---

Рекомендации по безопасности

При включённом CSE

При использовании клиентского шифрования критические данные (пароли, секреты, файлы) защищены принципом Zero Knowledge. Сервер не может их расшифровать.

Что остаётся видимым серверу:

• Структура сейфов и папок
• Названия записей
• Логины и URL
• Теги и описания
• Количество и имена вложений

Минимизация метаданных

Если требуется скрыть метаданные:

• Используйте общие/неинформативные названия записей
• Избегайте чувствительной информации в описаниях
• Не указывайте конкретные URL для критичных систем

Версия для LLM