Kod sende kalır, ekran iki uç arasında.

Kod sunucuya gitmez

Tek kullanımlık kod, iki ucun SPAKE2 ile ortak bir anahtar kurmasında kullanılır. Kod hiçbir zaman ağa gönderilmez. Kodu “özetleyip” gönderen bir yöntemde sunucu bütün kodları çevrimdışı deneyebilirdi; SPAKE2’de sunucu ya da araya giren biri her bağlantıda yalnızca bir tahmin hakkı bulur.

Kod 8 karakterdir (yaklaşık 40 bit) ve her oturumdan sonra değişir. 3 başarısız denemeden sonra yeni kod üretilir; bir saatte 10 başarısız denemeden sonra paylaşım, sen yeniden başlatana kadar bağlantı kabul etmez.

Oturumun şifrelenmesi

Ortak anahtardan HKDF-SHA256 ile her yön için ayrı bir anahtar türetilir. Ekran, klavye ve fare kayıtları ChaCha20-Poly1305 ile şifrelenir; her kayıt sayaçlı, tekrar kullanılmayan bir nonce taşır. İki uç önce anahtarı doğrular: yanlış kod burada, hiçbir içerik akmadan reddedilir.

Aradaki sunucu bağlantıyı kurduktan sonra baytları bakmadan kopyalar. Okuyamaz, değiştirdiği bir kayıt doğrulamadan geçmez.

Karar paylaşanın

Kodla gelen her oturum için varsayılan olarak paylaşan kişiye sorulur. “Yalnızca izlensin” seçilirse girdi olayları bilgisayarda uygulanmaz; bağlanan kişi kontrol isteyebilir, karar yine paylaşanındır. Paylaşımı durdurmak oturumu hemen bitirir.

Kalıcı parola

Paylaşan bilgisayar parolayı değil, rastgele tuzla Argon2id (19 MiB, 2 geçiş) ile türetilmiş anahtarı anahtar zincirinde saklar. Bağlanan taraf aynı anahtarı tuzla türetir ve SPAKE2’ye verir; parola da ağa çıkmaz. Anahtar zincirinden çalınmış bir kayıtla tahmin yapmak Argon2id yüzünden yavaştır.

Bir saatte 10 yanlış parola, parolayla erişimi sen yeniden açana kadar kapatır. Parolayla açılan oturumlar onay sorulmadan başlar; bu yüzden güçlü ve başka yerde kullanmadığın bir parola seç.

Bağlanan tarafta “Parolayı hatırla” işaretlenirse parola o bilgisayar için anahtar zincirinde yazıldığı gibi tutulur (anahtarı karşı tarafın tuzuyla türetmek için gerekir). İşaretlemezsen saklanmaz.

ID’ler ele geçirilemez

Her bilgisayar ilk açılışta bir Ed25519 anahtar çifti oluşturur ve sunucuya bunu kanıtlayarak kaydolur. ID bu anahtara bağlıdır; anahtar olmadan kimse senin ID’nle paylaşım açamaz. Anahtar yalnızca sahibinin okuyabildiği bir dosyada durur.

Hesap hiçbir kapıyı açmaz

us2usmail.com hesabıyla giriş yalnızca “Bilgisayarlarım” listesini doldurur. Hesap uçtan uca anahtar kurulumunda yer almaz; aynı hesaptaki bir bilgisayara bağlanmak için de kod ve onay ya da kalıcı parola gerekir. Sunucu, hesap servisinin imzası olmadan kimsenin listesine cihaz ekleyemez.

Sınırlar

Güvenliği abartmak da bir risk. Bugün bilinen sınırlar:

• Henüz bağımsız bir güvenlik denetiminden geçmedi.
• Sunucu hangi giriş yönteminin (kod ya da parola) seçildiğini görür; bağlantıyı kesebilir ya da geciktirebilir. İçeriği okuyamaz.
• Kod ya da parola dışında cihaz doğrulaması (güvenilen cihazlar) henüz yok.
• Windows kurulum dosyası henüz kod imzalı değil; indirdiğin dosyanın SHA-256 özetini bu sitedekiyle karşılaştır.
• Uçtan uca şifreleme, karşı taraftaki bilgisayarın güvenli olduğu anlamına gelmez. Ekranında ne görünüyorsa bağlanan kişi de onu görür.

Kodunu kime verdiğine dikkat et

Uzak masaüstü dolandırıcılığının en yaygın biçimi, banka, operatör ya da “teknik destek” gibi görünüp kod istemektir. Seni arayan ya da yazan birine kodunu verme. Kodu yalnızca kendin aradığın, tanıdığın birine ver ve oturum boyunca ekranını izle.

Bir açık bulursan

support@us2us.app adresine yaz. Yeniden üretme adımlarını ve uygulama sürümünü eklemen yeterli; parola, kod ya da başkasının verisini gönderme. Kaynak kodu GitHub’da açık.