Arquitetura Zero-Knowledge: como o OneckPass protege suas senhas

O que é Zero-Knowledge?

Zero-Knowledge (conhecimento zero) é uma arquitetura de segurança onde o provedor do serviço não tem acesso aos seus dados. No caso do OneckPass, isso significa que:

• Sua senha mestre nunca é transmitida para nossos servidores
• Seus dados são criptografados no seu dispositivo antes de serem enviados
• Apenas você possui a chave para descriptografar suas informações

Como funciona na prática?

1. Derivação de chave

Quando você digita sua senha mestre, ela passa pelo algoritmo Argon2id junto com seu email (usado como salt). Isso gera duas chaves de 32 bytes cada:

• Chave de Autenticação: Usada para provar sua identidade ao servidor
• Chave de Criptografia: Usada para criptografar/descriptografar seus dados

2. Criptografia AES-256-GCM

Todos os seus dados (senhas, notas, cartões) são criptografados usando AES-256-GCM, o mesmo padrão usado por governos e militares. Cada item usa um IV (vetor de inicialização) aleatório de 12 bytes.

3. O que o servidor vê?

Nossos servidores armazenam apenas:

• Seu email (para identificação)
• Hash da sua chave de autenticação (para login)
• Blobs criptografados (dados ilegíveis sem sua senha mestre)

E se o OneckPass for hackeado?

Esta é a grande vantagem do Zero-Knowledge. Mesmo em caso de invasão aos nossos servidores:

• Atacantes veriam apenas dados criptografados
• Para descriptografar, precisariam da sua senha mestre
• Sua senha mestre nunca está nos nossos servidores

E se um funcionário for mal-intencionado?

Não faz diferença. Nossos sistemas só têm acesso a dados criptografados. Sem a sua senha mestre (que não temos), os dados são completamente ilegíveis.

Por que isso importa?

Em 2022, o LastPass sofreu uma invasão onde dados de usuários foram roubados. Embora criptografados, especialistas alertam que senhas mestres fracas poderiam ser quebradas por força bruta.

Com o OneckPass, usamos Argon2id — o algoritmo vencedor da Password Hashing Competition — que é resistente a ataques de GPU e ASIC, tornando ataques de força bruta praticamente impossíveis.

Resumo

Zero-Knowledge não é apenas marketing — é uma arquitetura fundamentalmente diferente que coloca você no controle total dos seus dados. Mesmo que não confie em nós, pode confiar na matemática.