Когда я только начинал разработку OutWiker, то в список основных возможностей, которые должны быть у программы, входило шифрование заметок. Но так уж случилось, что в процессе эволюции проекта, шифрование так и не было реализовано. Со временем я пришел к выводу, что не стоит изобретать велосипед, поскольку шифрование можно переложить на специализированный софт (VeraCrypt, encfs под Linux или что-то подобное). Я все-таки не специалист по безопасности и криптографии, поэтому наивно было бы надеяться с первого раза создать надежное шифрование. На днях я дочитал книгу Фергюсона и Шнейера «Практическая криптография», которая меня еще больше убедила во мнении, что пусть лучше не будет никакого шифрования, чем шифрование, которое легко взламывается. Так по крайней мере пользователи знают, что их заметки не защищены и при необходимости нужно использовать софт, который ориентирован на криптографию. Это будет надежнее. Согласен, что это не так удобно, но между безопасностью и удобством всегда приходится идти на компромисс.

Надежное шифрование в OutWiker в данный момент сделать достаточно сложно, в первую очередь из-за того, что каждая страница создает для своего отображения HTML-файл, который должен содержать расшифрованный текст. На самом деле без этого файла можно обойтись, но только под Linux, в свое время под Windows были проблемы с тем, как отображает страницу движок Internet Explorer (дело было давно, но вроде бы это было связано с тем, что этот движок не давал указать путь до корневой папки, чтобы использовать относительные пути), но при желании как-нибудь можно будет вернуться к этому вопросу еще раз.

Создаваемый HTML-файл можно (и нужно) уничтожать во время закрытия заметки, но все-равно это не дело, что долгое время файл с секретными данными будет храниться на диске. А если процесс программы убить через диспетчер задач, то такой файл останется на диске на еще больший срок.

Тем не менее пользователи иногда просят добавить хоть какое-то шифрование. Вот, например, буквально на днях давний пользователь программы Станислав Найденый прислал письмо (копирую с его разрешения):

Добрый день. Я еще раз по поводу пароля и шифрования. Часть пользователей — параноики, а часть пользователей имеет чувствительный контент (логины-пароли-конфиги-адреса). Если бы вы реализовали возможность закрывать базу, хотя бы как в CherryTree (7z архив с паролем) то это было бы уже победой. Большинству не нужно от ЦРУ скрываться, но хотя бы элементарные нормы безопасности применить к рабочим данных хочется, точно так же как хочется и не вести всё данные в разных программах, так же как иметь возможность с базой поработать дома, а передать через dropbox\gdrive.

Параноики и так будут пользоваться veracrypt и т.д. А то и вообще вашей программой не пользоваться, вдруг она крадёт их рецепты курицы гриль) а может пользователи и будут согласны на потенциальные дырки, всё таки не все работают с данными гостайны).

На данный момент шифрования нет в списке приоритетных задач, хотя я периодически о нем задумываюсь, хотя бы в плане того, что нужно сделать, чтобы в будущем его можно было бы добавить.

Интересует ваше мнение на этот счет, а также может быть вы подскажете альтернативы VeraCrypt и encfs — не сказал бы, что они меня чем-то не устраивают, просто из интереса.

 Загрузка ...

PS. Вы можете подписаться на новости сайта через RSS, Группу Вконтакте или Канал в Telegram.