Teams
Zugang geteilt, Geheimnisse nicht
Üblicherweise teilt ein Team Server-Zugang über ein Passwort in einem Dokument. Das hier ist der andere Weg.
Geteilte Tresore
Ein geteilter Tresor hat seinen eigenen Schlüssel. Wenn du jemandem Zugang gibst, wird dieser Schlüssel auf dessen öffentlichen Schlüssel versiegelt — auf deiner Maschine. Der Server verwaltet also, wer was öffnen kann, ohne jemals etwas zu halten, das öffnet.
Die Freigabe ist signiert, ein kompromittierter Client kann also keine fälschen, die nach einem Admin aussieht. Wer aus einem Team entfernt wird, verliert seine Freigaben in derselben Transaktion: es gibt kein Fenster, in dem ein ehemaliger Kollege aus dem Team ist und noch einen Tresor zugeschickt bekommt. Was er schon geladen hat, bleibt mit dem Schlüssel, der es öffnet, auf seiner Maschine, und Termiyo kann den Schlüssel eines Tresors nicht ändern — ändere also, was zählt, auf den Servern selbst.
Eine Sitzung teilen
Du schickst einen Link, und ein Kollege kommt in das Terminal, in dem du schon bist. Er wartet, bis du ihn hereinlässt, und fängt nur lesend an — Tippen ist eine eigene, bewusste Freigabe, pro Person.
Der Terminal-Strom läuft über eine direkte Verbindung zwischen den beiden Maschinen. Unser Dienst stellt euch einander vor und hat danach nichts damit zu tun: er sieht nie einen Tastendruck oder eine Zeile Ausgabe. Schreibrechte zurückzunehmen nimmt sie allen sofort weg, die sie schon hatten.
Was der Dienst sehen kann
Welchem Konto ein Datensatz gehört, wie groß er ist und wann er sich zuletzt geändert hat. Nicht, was darin steht. Keinen Hostnamen, keinen Benutzernamen, kein Passwort, keinen Schlüssel.
Das ist eine Eigenschaft des Aufbaus und kein Versprechen: die Verschlüsselung passiert auf deiner Maschine, bevor irgendetwas gesendet wird, und der Schlüssel verlässt sie nicht.
Rollen
- Owner
- Alles, samt Abrechnung und dem Löschen des Teams.
- Admin
- Mitglieder einladen und entfernen, Tresore anlegen und teilen.
- Mitglied
- Die Tresore nutzen, die freigegeben wurden.
- Auditor
- Liest das Aktivitätsprotokoll des Teams, wie jedes Mitglied. Kein Tresorzugriff.
Selbst betreiben
Der Sync-Dienst ist eine kleine Node-Anwendung über SQLite. Wenn deine Daten dein Netz nicht verlassen dürfen, betreib ihn dort — die Desktop-App nimmt eine Server-Adresse, und an der Verschlüsselung ändert sich nichts, weil sie nie davon abhing, wer hostet.
- Ein Prozess, eine Datenbank, keine Queue und kein Object Store
- Dieselbe API, die der gehostete Dienst betreibt
- Deine Clients zeigen per URL darauf