Alles wat je beveiligingsreviewer nodig heeft

1. Samenvatting

2. Gegevensstroom

1. De gebruiker start een opname met het pictogram in de werkbalk, een sneltoets of het rechtermuisknopmenu. Chrome geeft dan tijdelijk toegang tot dat ene tabblad (activeTab).
2. Chrome rendert het zichtbare gebied. Bij een volledige pagina scrolt de extensie het tabblad, voegt de delen in het geheugen samen en herstelt de pagina.
3. De afbeelding opent in een pagina die in de extensie zit (chrome-extension://). Die laadt geen externe code, lettertypen of analytics.
4. De gebruiker vervaagt, snijdt bij en annoteert. Vervaging wordt in de pixels geschreven.
5. De gebruiker kopieert de afbeelding naar het klembord of downloadt een PNG. Bij het sluiten van het tabblad wordt hij weggegooid. Er heeft niets het apparaat verlaten.

Controleren: open chrome://extensions, zet de Ontwikkelaarsmodus aan, inspecteer de service worker van Screshot en bekijk het tabblad Network tijdens het vastleggen. Er verlaten geen verzoeken de browser.

Delen via link (optioneel, end-to-end versleuteld)

1. Optioneel. De gebruiker klikt op Share en logt in met Google (chrome.identity), alleen de eerste keer.
2. Bij de eerste keer delen worden de versleutelingssleutels van de gebruiker in de browser ingesteld: een ECDH P-256-sleutelpaar waarvan de privésleutel is verpakt met een passkey (WebAuthn PRF) of een herstelcode.
3. De browser maakt een willekeurige AES-256-GCM-sleutel voor deze screenshot en versleutelt daarmee de bewerkte afbeelding en een miniatuur.
4. Alleen de versleutelde bestanden worden geüpload naar Cloudflare R2. De sleutel wordt verpakt voor de publieke sleutel van de eigenaar opgeslagen, nooit in onverpakte vorm.
5. Uitgenodigde personen krijgen de sleutel verpakt voor hun eigen publieke sleutel. Bij delen met Iedereen met de link staat de sleutel na de # van de link, een deel dat browsers niet naar servers sturen.
6. De browsers van kijkers halen het versleutelde bestand op via een ondertekend adres dat binnen enkele minuten verloopt, en ontsleutelen het lokaal.

Controleren: deel een screenshot en inspecteer de upload. De body is een bestand met versleutelde bytes dat begint met SCE1, geen afbeelding, en geen enkel verzoek bevat de sleutel.

3. Toestemmingen

Geen hosttoestemmingen en geen toegang tot geschiedenis, cookies of downloads.

4. Data-inventaris

5. Subverwerkers

Vastleggen en bewerken gebruiken geen subverwerkers. De website en het optionele delen gebruiken deze diensten:

6. Antwoorden op vragenlijsten

Slaat het product klantdata op, verwerkt het die of verstuurt het die?

Niet bij vastleggen en bewerken: screenshots blijven op het apparaat van de gebruiker. Als een gebruiker kiest een screenshot te delen, bewaart Screshot hem end-to-end versleuteld, samen met de hierboven genoemde account- en deelmetadata. Screshot kan de afbeelding niet ontsleutelen.

Welke netwerkverbindingen maakt de extensie?

Geen tijdens vastleggen, bewerken, kopiëren of downloaden. Hij maakt alleen contact met screshot.com als de gebruiker inlogt of deelt, en opent screshot.com-pagina’s in gewone tabbladen voor de welkomstgids na een handmatige installatie en voor de optionele enquête bij verwijderen.

Bevat het analytics, telemetrie of scripts van derden?

Nee. Er wordt niets geladen van externe servers, en er zitten geen analytics of crashrapportage in de extensie.

Welke browsertoestemmingen vraagt het?

activeTab, scripting, contextMenus, storage en identity. Geen ervan veroorzaakt een waarschuwing bij installatie, en er zijn geen hosttoestemmingen. Zie de tabel hierboven.

Kan het andere tabbladen, de browsegeschiedenis of cookies lezen?

Nee. activeTab geeft alleen toegang tot het tabblad dat de gebruiker kiest vast te leggen, en alleen op dat moment.

Wordt data versleuteld tijdens verzending en in opslag?

Ja. Alles wordt via HTTPS aangeboden, en gedeelde screenshots worden in de browser end-to-end versleuteld vóór het uploaden (AES-256-GCM), dus ze zijn in opslag versleuteld met sleutels die Screshot niet heeft. Details in het beveiligingsoverzicht.

Kunnen medewerkers van Screshot gedeelde screenshots bekijken?

Nee. Medewerkers kunnen metadata zien zoals titels en uitgenodigde e-mailadressen, maar geen afbeeldingen. De enige uitzondering is een melding van misbruik waarbij de melder ervoor kiest de sleutel mee te sturen, zodat moderators die ene screenshot kunnen beoordelen.

Wat gebeurt er als een gebruiker zijn passkey kwijtraakt?

Hij ontgrendelt met zijn herstelcode en kan daarna een nieuwe passkey toevoegen. Zijn beide kwijt, dan kunnen zijn gedeelde screenshots door niemand worden ontsleuteld, ook niet door Screshot.

Ondersteunt het SSO, SCIM of op rollen gebaseerde toegang?

Momenteel niet. Vastleggen vereist geen account. Delen gebruikt inloggen met Google, en elke eigenaar beheert de toegang per screenshot: alleen ik, uitgenodigde personen of iedereen met de link.

Hoe wordt data verwijderd?

Gebruikers verwijderen zelf screenshots. De prullenbak wordt na 30 dagen gewist, of direct met Definitief verwijderen, uit zowel de database als de opslag. Een account verwijderen in Instellingen wist alles direct.

Hoe wordt het uitgerold en verwijderd?

Geforceerd installeren met de Google Admin console, Microsoft Intune, Group Policy of een macOS-profiel, en verwijderen via hetzelfde beleid. Zie de uitrolgids.

Hoe worden updates geleverd en gecontroleerd?

Via de Chrome Web Store, die elke versie controleert. Als een nieuwe versie een toestemming vraagt die een waarschuwing toont, schakelt Chrome hem uit tot de gebruiker of beheerder hem goedkeurt.

Kunnen beheerders bepalen welke versie draait?

Met Chrome-beleid kan de extensie op ID worden toegestaan, geblokkeerd of geforceerd geïnstalleerd. Een specifieke versie vastzetten wordt niet ondersteund door de Chrome Web Store.

Is het product onafhankelijk getest met een penetratietest?

Nog niet. Zodra er een is afgerond, delen we de resultaten onder NDA met klanten.

Hoe gaan jullie om met kwetsbaarheden?

Meld ze aan contact@screshot.com. We bevestigen meldingen en vragen om redelijke tijd om het op te lossen vóór openbaarmaking.

Hoe brengen jullie ons op de hoogte van beveiligingsincidenten of belangrijke wijzigingen?

We publiceren wijzigingen in toestemmingen of in de omgang met data op de beveiligingspagina en in het privacybeleid voordat we de versie uitbrengen die ze doorvoert.

7. Geplande wijzigingen

We plannen een Chrome-beleid waarmee beheerders delen voor de hele organisatie uitgeschakeld kunnen houden, en een onafhankelijke penetratietest. Wijzigingen in de gegevensstroom, opgeslagen data of subverwerkers worden eerst hier gepubliceerd.