Криптографическая модель: почему заглянуть невозможно
Безопасность строится не на обещаниях в политике конфиденциальности, а на математических свойствах протокола шифрования.
Гарантия, переживающая закрытие сервиса
Даже при полной компрометации базы данных или смене владельца инфраструктуры злоумышленник получает лишь набор случайных байт. Проверить это можно в открытом исходном коде.
Генерация ключей и шифрование
Ключи формируются из пароля пользователя через Argon2id и X25519. Все поля встречи 1:1 шифруются локально до отправки в сеть.
Хранение зашифрованных блоков
Сервер видит только непрозрачные зашифрованные полезные нагрузки (payload). У оператора сервера нет ключей для расшифровки.
Расшифровка доверенным ключом
Только второй участник встречи с подтвержденным ключом сессии может расшифровать и прочитать содержимое.
Ваши данные. Ваша инфраструктура. Доказуемая приватность.
Для корпоративного покупателя фраза «доверьте нам самые чувствительные разговоры ваших сотрудников» — сложная продажа со стороны любого вендора, и так и должно быть. encrypted1on1 создан так, чтобы эта фраза никогда не была частью предложения.
Самостоятельное размещение.
Вся платформа работает на инфраструктуре, которую контролирует ваша компания, — на ваших серверах, в вашем облачном аккаунте, по вашей политике резервного копирования. Данные никогда не покидают периметр вашей организации, если вы сами не выберете облачный вариант.
Открытый код (AGPLv3).
Каждая строка кода — включая криптографию — публична и доступна для аудита. Вы или независимая команда безопасности, которую вы наймёте, можете проверить заявления о приватности напрямую, а не просто поверить вендору на слово. Это принципиально иная модель доверия по сравнению с закрытым SaaS-продуктом, который просит доверять непрочитанному исходному коду и своим условиям использования.
End-to-end шифрование — буквально.
Содержимое встреч 1:1 — ответы, ощущения, обратная связь, комментарии, итоги встречи, прогресс по целям — шифруется в браузере ещё до того, как попадает на сервер, ключами, полученными из пароля каждого пользователя и никогда не передаваемыми на сервер. Сервер хранит только шифротекст. Он не может его расшифровать — ни оператор, ни ИТ-отдел, ни мы сами, ни злоумышленник, скомпрометировавший базу данных. Два осознанных и узких исключения: (1) название, описание и статус цели хранятся в открытом виде — специально для того, чтобы цели поддерживали общекорпоративное согласование и лёгкую отчётность; (2) корпоративная библиотека шаблонов (названия шаблонов, описания и формулировки вопросов, созданные администратором, а также ссылка на используемый шаблон) хранится на сервере, чтобы команды могли использовать общие форматы встреч. Ответы на любые вопросы, обратная связь, личные заметки и чекпоинты прогресса целей остаются строго приватными для двух участников, без исключений.
Это и есть решение той самой проблемы из истории создания продукта выше: закрытие вендора, поглощение компании или недобросовестный сотрудник больше не влияют на конфиденциальность уже написанного, потому что не существовало момента, когда вендор — любой вендор, включая нас, — мог бы это прочитать.
«А как же судебные запросы, расследования домогательств или требования комплаенса?»
Нет, и это осознанное решение — потому что альтернатива противоречит самой сути. Если бы компания могла читать содержимое встреч 1:1, разговоры, которые больше всего нуждаются в честности, вообще перестали бы происходить. Сценарий, о котором действительно должны беспокоиться команды комплаенса: сотруднику нужно сообщить о тревожном поведении собственного руководителя или кого-то выше по иерархии. Если бы этот человек — или кто-либо в его цепочке подчинения — мог читать встречи 1:1, стал бы такой отчёт когда-нибудь написан честно? Конфиденциальность не противоречит выявлению реальных проблем. Она — необходимое условие для того, чтобы они вообще были озвучены.
И на практике это не тупик. Каждая встреча 1:1 доступна для чтения ровно двум её участникам, причём независимо друг от друга, — никогда через единый общий корпоративный ключ. Если расследование касается одного из участников, содержимое остаётся доступным через другого — точно так же, как если бы тот же разговор состоялся на бумаге или в личном блокноте: юридическая процедура может обязать человека предоставить то, что у него есть. Просто это никогда не было тем, что платформа могла бы передать самостоятельно, — в этом и весь смысл.
Разверните в собственном контуре за 2 минуты
Один готовый контейнер, отсутствие внешних зависимостей, полный контроль над вашими корпоративными данными.
docker run -d -p 8080:8080 --name e1o1 ghcr.io/aleksejs1/encrypted1on1:latest AGPLv3 • Без ограничений по числу сотрудников • Без отправки телеметрии