Hoofdwachtwoord

Het hoofdwachtwoord is het enige dat uw kluis opent. Het wordt nooit opgeslagen of verzonden. Alles wat eruit voortkomt, wordt op uw apparaat berekend.

Wat ermee gebeurt

De tekst wordt genormaliseerd (Unicode NFKC) zodat hetzelfde wachtwoord, ingevoerd op twee toetsenborden, dezelfde sleutel oplevert.
Argon2id zet het om in een hoofdsleutel: 64 MiB geheugen, 3 doorgangen, 4 threads. Deze berekening duurt bewust even, om brute kracht duur te maken.
Twee subsleutels worden eruit getrokken via HKDF: de authenticatiesleutel, die in Cloud-modus als accountwachtwoord naar de server wordt gestuurd, en de omhulsleutel, die de kluissleutel verzegelt en het apparaat nooit verlaat.

Geen van deze subsleutels laat toe het wachtwoord of de andere subsleutel terug te vinden.

Een goed wachtwoord kiezen

De applicatie vereist minstens 60 bits entropie en toont een meter tijdens het invoeren. Enkele richtlijnen:

Vier of vijf woorden zonder verband, gescheiden door spaties: eenvoudig te onthouden, zeer robuust.
Een wachtwoord van 14 gemengde tekens, als het echt willekeurig is.
Vermijd datums, voornamen, toetsenbordreeksen en elk wachtwoord dat al elders is gebruikt.

De ingebouwde generator biedt een modus "uitspreekbaar" die aan de entropie-eis voldoet.

Het wijzigen

Instellingen, Beveiliging, Hoofdwachtwoord wijzigen. De applicatie leidt de sleutels opnieuw af, verzegelt de kluissleutel opnieuw en vervangt in Cloud-modus de authenticatiesleutel op de server. De items worden niet opnieuw versleuteld: de kluissleutel verandert niet, alleen haar omhulsel verandert.

Het vergeten

Zonder hoofdwachtwoord blijft er één weg over: de noodkit. Zonder beide is de kluis verloren. Wij kunnen hem niet opnieuw instellen, omdat wij geen enkele sleutel bezitten.

Mislukte ontgrendelingen

Na meerdere mislukkingen geldt een oplopende wachttijd: 30 seconden, daarna 1 minuut, daarna 5 minuten. Er wordt nooit een stille verwijdering in gang gezet.

Een vraag die hier niet wordt beantwoord? support@rempar.org