Mọi thứ người đánh giá bảo mật của bạn cần

1. Tóm tắt

2. Luồng dữ liệu

1. Người dùng bắt đầu chụp bằng biểu tượng trên thanh công cụ, phím tắt hoặc menu chuột phải. Khi đó Chrome cấp quyền truy cập tạm thời vào đúng tab đó (activeTab).
2. Chrome dựng vùng nhìn thấy. Với toàn trang, tiện ích cuộn tab, ghép các phần trong bộ nhớ và trả trang về như cũ.
3. Ảnh mở trong một trang đóng gói bên trong tiện ích (chrome-extension://). Trang này không tải code, font hay analytics từ xa.
4. Người dùng làm mờ, cắt và chú thích. Lớp làm mờ được ghi vào điểm ảnh.
5. Người dùng sao chép ảnh vào bộ nhớ tạm hoặc tải ảnh PNG. Đóng tab là ảnh bị bỏ. Không có gì rời khỏi thiết bị.

Để kiểm chứng: mở chrome://extensions, bật Developer mode, kiểm tra service worker của Screshot và theo dõi tab Network trong lúc chụp. Không có yêu cầu nào rời khỏi trình duyệt.

Chia sẻ bằng link (không bắt buộc, mã hóa đầu-cuối)

1. Không bắt buộc. Người dùng nhấp Share và đăng nhập bằng Google (chrome.identity), chỉ lần đầu.
2. Lần chia sẻ đầu tiên thiết lập các khóa mã hóa của người dùng trong trình duyệt: một cặp khóa ECDH P-256 có khóa riêng được bọc bằng passkey (WebAuthn PRF) hoặc mã khôi phục.
3. Trình duyệt tạo một khóa AES-256-GCM ngẫu nhiên cho ảnh chụp này và dùng nó mã hóa ảnh đã chỉnh sửa cùng một ảnh thu nhỏ.
4. Chỉ các tệp đã mã hóa được tải lên Cloudflare R2. Khóa được lưu ở dạng bọc cho khóa công khai của chủ ảnh, không bao giờ ở dạng thô.
5. Người được mời nhận khóa được bọc cho khóa công khai của chính họ. Với chia sẻ Bất kỳ ai có link, khóa được đặt sau dấu # của link, phần mà trình duyệt không gửi tới máy chủ.
6. Trình duyệt của người xem tải tệp đã mã hóa qua một địa chỉ có chữ ký, hết hạn trong vài phút, và giải mã ngay trên máy.

Để kiểm chứng: chia sẻ một ảnh chụp và kiểm tra lượt tải lên. Nội dung là một tệp byte đã mã hóa bắt đầu bằng SCE1, không phải ảnh, và không yêu cầu nào mang theo khóa.

3. Quyền truy cập

Không có quyền host và không truy cập lịch sử, cookie hay tệp tải xuống.

4. Danh mục dữ liệu

5. Bên xử lý phụ

Chụp và chỉnh sửa không dùng bên xử lý phụ nào. Website và tính năng chia sẻ (không bắt buộc) dùng các dịch vụ sau:

6. Câu trả lời bảng câu hỏi

Sản phẩm có lưu, xử lý hoặc truyền dữ liệu khách hàng không?

Không, khi chụp và chỉnh sửa: ảnh chụp ở lại trên thiết bị của người dùng. Nếu người dùng chọn chia sẻ một ảnh chụp, Screshot lưu nó ở dạng mã hóa đầu-cuối, cùng metadata của tài khoản và việc chia sẻ liệt kê ở trên. Screshot không giải mã được ảnh.

Tiện ích tạo những kết nối mạng nào?

Không có kết nối nào khi chụp, chỉnh sửa, sao chép hay tải xuống. Nó chỉ liên hệ screshot.com khi người dùng đăng nhập hoặc chia sẻ, và mở các trang screshot.com trong tab bình thường cho hướng dẫn chào mừng sau khi cài thủ công và khảo sát không bắt buộc khi gỡ cài đặt.

Có analytics, telemetry hay script bên thứ ba không?

Không. Không có gì được tải từ máy chủ từ xa, và tiện ích không có analytics hay báo cáo lỗi.

Tiện ích xin những quyền trình duyệt nào?

activeTab, scripting, contextMenus, storage, identity. Không quyền nào gây cảnh báo khi cài, và không có quyền host. Xem bảng ở trên.

Nó có đọc được các tab khác, lịch sử duyệt web hay cookie không?

Không. activeTab chỉ cho truy cập tab người dùng chọn chụp, và chỉ vào lúc đó.

Dữ liệu có được mã hóa khi truyền và khi lưu không?

Có. Mọi thứ được phục vụ qua HTTPS, và ảnh chụp được chia sẻ được mã hóa đầu-cuối trong trình duyệt trước khi tải lên (AES-256-GCM), nên chúng được mã hóa khi lưu bằng khóa mà Screshot không giữ. Chi tiết trong tổng quan bảo mật.

Nhân viên Screshot có xem được ảnh chụp đã chia sẻ không?

Không. Nhân viên thấy được metadata như tiêu đề và email được mời, nhưng không thấy ảnh. Ngoại lệ duy nhất là một báo cáo lạm dụng mà người báo cáo chọn gửi kèm khóa, để người kiểm duyệt xem xét đúng ảnh chụp đó.

Điều gì xảy ra nếu người dùng mất passkey?

Họ mở khóa bằng mã khôi phục và sau đó có thể thêm passkey mới. Nếu mất cả hai, không ai giải mã được các ảnh chụp họ đã chia sẻ, kể cả Screshot.

Có hỗ trợ SSO, SCIM hay phân quyền theo vai trò không?

Hiện chưa. Chụp không cần tài khoản. Chia sẻ dùng đăng nhập Google, và mỗi chủ ảnh kiểm soát quyền xem theo từng ảnh chụp: chỉ mình tôi, người được mời, hoặc bất kỳ ai có link.

Dữ liệu được xóa thế nào?

Người dùng tự xóa ảnh chụp. Thùng rác được xóa sau 30 ngày, hoặc ngay lập tức với Xóa vĩnh viễn, khỏi cả database và bộ lưu trữ. Xóa tài khoản trong Cài đặt sẽ xóa mọi thứ ngay lập tức.

Triển khai và gỡ bỏ thế nào?

Cài bắt buộc bằng Google Admin console, Microsoft Intune, Group Policy hoặc profile macOS, và gỡ bằng chính sách đó. Xem hướng dẫn triển khai.

Bản cập nhật được phân phối và duyệt thế nào?

Qua Chrome Web Store, nơi duyệt từng phiên bản. Nếu một phiên bản mới xin quyền có hiện cảnh báo, Chrome tắt nó cho đến khi người dùng hoặc quản trị viên chấp thuận.

Quản trị viên có kiểm soát được phiên bản đang chạy không?

Chính sách Chrome có thể cho phép, chặn hoặc cài bắt buộc tiện ích theo ID. Chrome Web Store không hỗ trợ cố định một phiên bản cụ thể.

Sản phẩm đã được kiểm thử xâm nhập độc lập chưa?

Chưa. Chúng tôi sẽ chia sẻ kết quả với khách hàng theo thỏa thuận bảo mật (NDA) khi hoàn tất.

Các bạn xử lý lỗ hổng thế nào?

Báo cáo tới contact@screshot.com. Chúng tôi xác nhận báo cáo và xin thời gian hợp lý để sửa trước khi công bố rộng rãi.

Các bạn sẽ thông báo cho chúng tôi về sự cố bảo mật hay thay đổi quan trọng thế nào?

Chúng tôi công bố thay đổi về quyền truy cập hoặc cách xử lý dữ liệu trên trang bảo mật và chính sách quyền riêng tư trước khi phát hành phiên bản có thay đổi đó.

7. Thay đổi dự kiến

Chúng tôi dự kiến có một chính sách Chrome cho phép quản trị viên tắt tính năng chia sẻ cho cả tổ chức, và một đợt kiểm thử xâm nhập độc lập. Các thay đổi về luồng dữ liệu, dữ liệu được lưu hoặc bên xử lý phụ sẽ được công bố ở đây trước.