Все, что нужно вашему специалисту по безопасности

1. Сводка

2. Поток данных

1. Пользователь начинает снимок значком на панели инструментов, сочетанием клавиш или через меню по правому клику. Тогда Chrome дает временный доступ к этой одной вкладке (activeTab).
2. Chrome отрисовывает видимую область. Для всей страницы расширение прокручивает вкладку, сшивает части в памяти и восстанавливает страницу.
3. Изображение открывается на странице, встроенной в расширение (chrome-extension://). Она не загружает удаленный код, шрифты или аналитику.
4. Пользователь размывает, обрезает и добавляет пометки. Размытие записывается в пиксели.
5. Пользователь копирует изображение в буфер обмена или скачивает PNG. Закрытие вкладки удаляет его. Ничто не покинуло устройство.

Как проверить: откройте chrome://extensions, включите режим разработчика, проверьте service worker Screshot и следите за вкладкой Network во время снимка. Ни один запрос не покидает браузер.

Обмен по ссылке (необязательно, со сквозным шифрованием)

1. Необязательно. Пользователь нажимает Share и входит через Google (chrome.identity), только в первый раз.
2. При первом обмене в браузере настраиваются ключи шифрования пользователя: пара ключей ECDH P-256, закрытый ключ которой обернут ключом доступа (WebAuthn PRF) или кодом восстановления.
3. Браузер создает случайный ключ AES-256-GCM для этого снимка экрана и шифрует им отредактированное изображение и миниатюру.
4. В Cloudflare R2 загружаются только зашифрованные файлы. Ключ хранится обернутым для открытого ключа владельца, никогда в открытом виде.
5. Приглашенные получают ключ, обернутый для их собственного открытого ключа. Для обмена в режиме «Все, у кого есть ссылка» ключ помещается после # в ссылке, а эту часть браузеры не отправляют на серверы.
6. Браузеры зрителей получают зашифрованный файл по подписанному адресу, срок действия которого истекает в течение нескольких минут, и расшифровывают его локально.

Как проверить: поделитесь снимком экрана и изучите загрузку. Тело запроса — файл зашифрованных байтов, начинающийся с SCE1, а не изображение, и ни один запрос не передает ключ.

3. Разрешения

Нет разрешений на доступ к сайтам и нет доступа к истории, cookie или загрузкам.

4. Перечень данных

5. Субподрядчики-обработчики

Снимок и редактирование не используют субподрядчиков-обработчиков. Сайт и необязательный обмен используют следующие сервисы:

6. Ответы на опросник

Хранит, обрабатывает или передает ли продукт данные клиентов?

Не при снимке и редактировании: снимки экрана остаются на устройстве пользователя. Если пользователь решает поделиться снимком экрана, Screshot хранит его со сквозным шифрованием вместе с метаданными аккаунта и обмена, перечисленными выше. Screshot не может расшифровать изображение.

Какие сетевые подключения устанавливает расширение?

Никаких во время снимка, редактирования, копирования или скачивания. Оно обращается к screshot.com, только когда пользователь входит или делится, и открывает страницы screshot.com в обычных вкладках: руководство приветствия после ручной установки и необязательный опрос при удалении.

Есть ли в нем аналитика, телеметрия или сторонние скрипты?

Нет. Ничего не загружается с удаленных серверов, и в расширении нет аналитики или отчетов о сбоях.

Какие разрешения браузера оно запрашивает?

activeTab scripting contextMenus storage identity. Ни одно не вызывает предупреждения при установке, и нет разрешений на доступ к сайтам. Смотрите таблицу выше.

Может ли оно читать другие вкладки, историю просмотров или cookie?

Нет. activeTab дает доступ только к вкладке, которую пользователь решил снять, и только в этот момент.

Шифруются ли данные при передаче и хранении?

Да. Все передается по HTTPS, а общие снимки экрана шифруются сквозным шифрованием в браузере до загрузки (AES-256-GCM), поэтому при хранении они зашифрованы ключами, которых у Screshot нет. Подробнее — в обзоре безопасности.

Могут ли сотрудники Screshot просматривать общие снимки экрана?

Нет. Сотрудники могут видеть метаданные, такие как названия и адреса приглашенных, но не изображения. Единственное исключение — жалоба о нарушении, автор которой решил приложить ключ, чтобы модераторы могли проверить этот один снимок экрана.

Что будет, если пользователь потеряет ключ доступа?

Он разблокирует кодом восстановления и затем может добавить новый ключ доступа. Если потеряно и то и другое, его общие снимки экрана никто не сможет расшифровать, включая Screshot.

Поддерживаются ли SSO, SCIM или ролевое управление доступом?

Сейчас нет. Для снимков аккаунт не нужен. Обмен использует вход через Google, и каждый владелец управляет доступом к каждому снимку экрана: только я, приглашенные или все, у кого есть ссылка.

Как удаляются данные?

Пользователи сами удаляют снимки экрана. Корзина стирается через 30 дней или сразу с помощью «Удалить навсегда», и из базы данных, и из хранилища. Удаление аккаунта в Настройках сразу стирает все.

Как оно развертывается и удаляется?

Принудительная установка через Google Admin console, Microsoft Intune, групповую политику или профиль macOS, а удаление — из той же политики. Смотрите руководство по развертыванию.

Как доставляются и проверяются обновления?

Через Chrome Web Store, который проверяет каждую версию. Если новая версия запрашивает разрешение, вызывающее предупреждение, Chrome отключает ее, пока пользователь или администратор не одобрит.

Могут ли администраторы контролировать, какая версия работает?

Политика Chrome может разрешить, заблокировать или принудительно установить расширение по ID. Закрепление определенной версии в Chrome Web Store не поддерживается.

Проходил ли продукт независимое тестирование на проникновение?

Пока нет. Когда оно будет проведено, мы предоставим результаты клиентам по NDA.

Как вы работаете с уязвимостями?

Сообщайте о них на contact@screshot.com. Мы подтверждаем получение сообщений и просим разумное время на исправление до публичного раскрытия.

Как вы будете уведомлять нас об инцидентах безопасности или существенных изменениях?

Мы публикуем изменения разрешений или обработки данных на странице безопасности и в политике конфиденциальности до выпуска версии, которая их вносит.

7. Запланированные изменения

Мы планируем политику Chrome, позволяющую администраторам держать обмен выключенным для всей организации, и независимое тестирование на проникновение. Изменения потока данных, хранимых данных или субподрядчиков-обработчиков сначала будут опубликованы здесь.