1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
|
+++
title = "Sicurezza"
date = 2026-11-05T00:00:00Z
description = "Cosa protegge HardenedPass, dove sta ogni segreto, cosa invia in rete e quali minacce non copre."
weight = 100
draft = false
+++
Questa pagina dice cosa fa l'app per te e, altrettanto importante, cosa non fa.
## Dove stanno i tuoi segreti
| Segreto | Dove si trova | Come è protetto |
|---|---|---|
| Voci | File nella memoria privata dell'app e sul tuo server git | OpenPGP, come `pass` su un computer |
| Chiave privata OpenPGP | Memoria privata dell'app | La sua passphrase |
| Passphrase della chiave | Da nessuna parte, a meno che attivi la memorizzazione | Se memorizzata: AES-GCM con una chiave Android Keystore |
| Password di git e del proxy | Memoria privata dell'app, se le fai ricordare | AES-GCM con una chiave Android Keystore |
| Chiave SSH creata sul telefono | Android Keystore | Il sistema, più il blocco schermo se lo richiedi |
| Chiave SSH importata | Memoria privata dell'app | La sua passphrase, se ne ha una |
Le chiavi di Android Keystore sono custodite dal sistema e non si possono copiare fuori dal
telefono, nemmeno dall'app che le usa.
## Cosa fa l'app
- **Nessuna telemetria.** Niente analytics, niente report di crash, niente Google Play
Services. L'app si collega solo al server git che hai configurato, e al proxy se ne
hai impostato uno.
- **Tiene i log sul telefono.** Non viene inviato nulla. **Esporta log** scrive un file solo
quando lo chiedi, nel posto che scegli. L'app non registra password o chiavi, ma il file
può mostrare nomi di voci, siti, app e il tuo server git: leggilo prima di condividerlo.
- **Blocca gli screenshot dei segreti.** Voci, editor, generatore, finestre della
passphrase e finestre della compilazione automatica non si possono catturare con uno
screenshot e non appaiono tra le app recenti.
- **Pulisce gli appunti.** Una password copiata viene rimossa dopo un timeout.
- **Controlla il server SSH.** La chiave host del server viene salvata alla prima
connessione e controllata in seguito. La prima connessione viene accettata senza
chiedere, quindi falla da una rete di cui ti fidi.
- **Si fida solo dei browser noti.** La compilazione automatica funziona solo nei browser
di cui l'app riconosce il certificato di firma, e ti avvisa se l'editore di un'app
cambia. Vedi [Autofill]({{< relref "/hardenedpass/using/autofill" >}}).
- **Rifiuta i file esterni.** Altre app possono aprire l'app, ma questa apre solo percorsi
che stanno davvero dentro il tuo archivio.
## Da cosa l'app non ti protegge
- **Un telefono compromesso.** Un malware che controlla un telefono sbloccato vede quello
che vedi tu. Tieni aggiornato il sistema.
- **La tua tastiera.** Un'app tastiera vede tutto quello che digiti, passphrase compresa.
Usane una di cui ti fidi, senza accesso alla rete se il sistema lo permette.
- **Altre app che leggono gli appunti** prima che scada il timeout. La compilazione
automatica evita del tutto gli appunti.
- **Una passphrase debole.** Se qualcuno ottiene il file della chiave, la passphrase è
tutto quello che resta.
- **Il server git che vede i nomi.** I nomi di voci e cartelle sono nomi di file, non sono
cifrati, quindi il server li può leggere, insieme alle date dei commit.
- **Il blocco biometrico come cifratura.** **Abilita autenticazione biometrica** è un
cancello all'avvio dell'app. Ferma chi ha in mano per un attimo il tuo telefono sbloccato,
ma non cifra nulla.
- **La perdita della chiave.** Nessuno può recuperare un archivio senza chiave privata e
passphrase.
## Memorizzare la passphrase
È comodo, ma finché la passphrase è memorizzata chiunque entri nell'app sbloccata può aprire
ogni voce. La funzione è sperimentale. Se la usi, attiva anche **Cancella automaticamente le
frasi segrete memorizzate**.
## Segnalare un problema di sicurezza
Se trovi un problema di sicurezza nell'app, non aprire una issue pubblica. Scrivi a
<danix@danix.xyz>, cifrando per la chiave OpenPGP del maintainer se puoi:
```
110E 1B11 1BA2 C3C7 CCD1 27B8 F96B 36CA CC44 17AE
```
`gpg --locate-keys danix@danix.xyz` la scarica. Controlla che il fingerprint corrisponda. I
dettagli sono nel
[SECURITY.md](https://github.com/danixland/HardenedPass/blob/master/SECURITY.md) del
repository.
|
