Säkerhet – Topicos

Två skyddsnivåer

Grundskydd, alla organisationer

All trafik går krypterad (TLS).
Databas, serverkod och filer ligger i EU.
Behörighetsregler i databasen: bara medlemmar i en organisation, grupp eller chatt kan läsa dess innehåll.
Bilagor nås bara via signerade länkar som slutar gälla efter en timme.
Notisernas innehåll krypteras till din enhet innan det passerar Apples och Googles push-tjänster.
Inloggning med telefonnummer och SMS-kod. Inga annonsnätverk, ingen beteendespårning.
Tas en medlem bort försvinner åtkomsten direkt.

Organisationsnyckeln, slås på per organisation

Superadmin slår på end-to-end-kryptering under Inställningar → Kryptering. Från den stunden krypteras nytt innehåll på medlemmarnas enheter, med nycklar som skapas där och aldrig lämnar organisationen i läsbar form. Ingår i alla planer, även Free.

Var innehållet lagras

Vad	Tjänst	Plats
Meddelanden, dokument, uppgifter, kalender, medlemskap	Google Cloud Firestore	EU, multiregion `eur3` (Belgien och Nederländerna)
Serverkod	Google Cloud Functions	EU, `europe-west1` (Belgien)
Bilagor: bilder, video, ljud, filer	Cloudflare R2	EU-jurisdiktion. Åtkomst bara via signerade länkar med en timmes giltighet
Profilbilder och länkförhandsvisningar	Google Cloud Storage	EU, `europe-west1` (Belgien)

Samtal förmedlas i realtid av LiveKit och spelas aldrig in. Med Organisationsnyckeln påslagen är ljudet krypterat mellan deltagarna, så servern bara vidarebefordrar chiffer. Fullständig förteckning över underleverantörer finns i integritetspolicyn.

Organisationsnyckeln: så fungerar end-to-end-krypteringen

Superadmin slår på krypteringen. En återställningsfras med 24 ord visas en enda gång. Den är organisationens huvudnyckel och ska förvaras säkert, utanför telefonen.
Varje enhet får en egen nyckel. Den skapas på enheten och lagras i telefonens skyddade nyckellager. Organisationens nyckel förseglas till varje godkänd enhet, så att bara den kan öppna.
Nya enheter måste godkännas. En ny mobil, dator eller webbläsare visar en kod. En administratör, eller en av personens redan godkända enheter, jämför koden och godkänner. Tills dess ser enheten bara låsta rader.
Nyckeln roteras när någon lämnar. Återkallas en enhet, eller tas en medlem bort, får de kvarvarande enheterna en ny nyckel. Den som lämnat kan inte läsa något nytt.

Det här krypteras

Meddelanden: text, svar, omröstningar, platsdelning och avsändarnamn i chatten
Bilagor: bilder, video, röstmeddelanden och filer, med en egen nyckel per fil
Dokument och textdokument, inklusive bilder i dem
Uppgifter med anteckningar och bilagor
Kalenderhändelser
Notiser, både i appen och som push
Namn på grupper, ämnen och mappar
Samtal: ljud och handuppräckning krypteras mellan deltagarna

Det här krypteras inte, med flit

Organisationens namn samt medlemmarnas profilnamn och telefonnummer. Kunden är känd via avtal och faktura, och identiteten behövs för inloggning.
Tidrapporten: stämplingar och frånvaro. Det är löneunderlag som ska kunna granskas.
Innehåll från före aktiveringen ligger kvar som det var.
Metadata: vem som är medlem var, vem som skrivit när och hur mycket, samt push-token.

Återställningsfrasen

Frasen behövs bara om organisationen inte har någon godkänd enhet kvar. I vardagen används den aldrig. Topicos har inte frasen, ber aldrig om den och kan inte återställa innehåll utan den. Förloras frasen och alla godkända enheter är innehållet borta för gott. Frasen kan bytas från en godkänd superadmin-enhet, men bara med den gamla frasen i hand. Se därför till att organisationen alltid har minst två godkända administratörsenheter.

Av och på

Krypteringen kan slås av igen. Nytt innehåll skrivs då okrypterat, medan det som redan krypterats förblir krypterat och bara kan läsas av godkända enheter. Ingenting raderas.

Vad Topicos ser

Krypterat innehåll och metadata. Får vi en begäran från en myndighet kan vi bara lämna ut det vi har: chiffer vi inte kan öppna, och uppgifter om vem som är medlem var och när något skickats.

Vad krypteringen inte skyddar mot

En upplåst enhet. Den som håller i en godkänd, upplåst telefon läser det telefonen läser. Skydda enheterna med skärmlås, och med mobilhantering (MDM) där det används.
Metadata. Vem som talar med vem, när och hur ofta syns för Topicos även när innehållet är krypterat.
Appen själv. Krypteringen utförs av appens kod. Koden är inte öppen och ingen extern granskning är gjord ännu. Ni litar alltså på Topicos som utvecklare, på samma sätt som med varje annan app ni installerar.
Webbläsaren. På app.topicos.app ligger nycklarna i webbläsarens lagring, skyddade av datorns inloggning och webbläsarens egna skydd.

Följder i vardagen

Sökning sker på enheten, aldrig på servern.
Länkförhandsvisningar visas inte, eftersom servern inte kan se länken.
Krypterade bilagor kan bara vidarebefordras till chattar som också är krypterade.
Krypterade samtal fungerar i mobilappen, ännu inte i webbläsaren.

Teknik i korthet

Innehåll: AES-256-GCM med bunden tilläggsdata, så att ett chiffer inte kan flyttas till ett annat meddelande eller fält.
Nycklar: Organisationens nyckel förseglas till varje enhets X25519-nyckel med HKDF-SHA256. Varje rotation ger en ny nyckelepok. Enhetsnycklar lagras i iOS Keychain respektive Android Keystore.
Återställningsfras: 24 ord enligt BIP39. Ur frasen härleds ett nyckelpar som varje epoknyckel förseglas till.
Bilagor: Slumpad 256-bitars nyckel per fil, krypterad i block innan uppladdning. Servern och lagringen ser bara binära objekt.
Samtal: LiveKits ramkryptering med en samtalsnyckel härledd ur epoknyckeln. Servern vidarebefordrar krypterade ljudramar.
Notiser: Innehållet krypteras med en nyckel som bara enheten har och öppnas lokalt, på iOS i en notistillägg som körs innan notisen visas.

För kommuner, regioner och myndigheter

Upphandlar ni för offentlig sektor? Vi tar fram underlag för personuppgiftsbiträdesavtal, underbiträdesförteckning och säkerhetsbilaga, och svarar på era frågor om informationsklassning. Hör av er till kontakt@topicos.app.