Проверка приватности

1. Тест сетевого трафика

Установите монитор сети, например mitmproxy (бесплатно, open source), Wireshark (бесплатно, open source) или Charles Proxy. Откройте Travel Document Vault, отсканируйте документ, просмотрите хранилище и установите напоминание. Вы не должны видеть, чтобы ваши документы, сканы, даты истечения или содержимое хранилища отправлялись в Travel Document Vault. Сетевой трафик должен ограничиваться конкретными функциями: опциональной отправкой сбоев Sentry, проверками покупки через App Store или Google Play, опциональным облачным резервным копированием в вашу собственную учётную запись iCloud или Google Drive, и ручной проверкой исправлений ошибок, описанной ниже.

В настройках есть кнопка Check for Updates. Это ручная проверка, никогда не автоматическая - она выполняется только тогда, когда вы сами нажимаете на неё, никогда в фоновом режиме и никогда сама по себе. Проверка обращается к updates.traveldocumentvault.com - нашему собственному серверу обновлений, управляемому нами на Google Cloud, который предоставляет криптографически подписанные файлы обновлений из контейнера хранилища. Мы не ведём запись проверки: журналы запросов отключены с нашей стороны, поэтому IP-адреса не сохраняются. Каждое обновление подписано ключом, который есть только у нас, и приложение отклоняет всё, подпись которого не совпадает с встроенным в него сертификатом. То же нажатие также проверяет, доступна ли более новая версия приложения в App Store или Google Play. Она существует, чтобы некоторые исправления ошибок могли доходить до вас быстрее, чем при ожидании совершенно нового релиза в App Store или Google Play, что полезно для срочных исправлений, в зависимости от характера исправления. Действует то же правило, что и для всего остального на этой странице: ни одного сетевого запроса без вашего действия.

2. Отчёт о приватности приложений iOS

На iPhone перейдите в Параметры > Приватность и безопасность > Отчёт о приватности приложений. Эта встроенная функция Apple показывает, какие приложения обращались к сетевым доменам. Travel Document Vault не отправляет нам ваши документы, сканы, даты истечения или содержимое хранилища. Если вы включили облачную резервную копию Pro, вы увидите подключения к доменам iCloud Apple - это ваша собственная резервная копия синхронизируется с вашей собственной учётной записью iCloud.

3. Android - как проверить вашу конфиденциальность

У Android нет единого встроенного отчёта о конфиденциальности, как у iPhone. Есть два простых способа проверить это самостоятельно: посмотрите собственный раздел Data Safety этого приложения на его странице в Google Play (там чётко указано, что собирается, чем делятся, что ваши данные шифруются при передаче и что их нельзя удалить) - либо используйте монитор сети, как описано в шаге 1 выше.

Если вы включили облачную резервную копию, вы можете заметить некоторую активность в сторону серверов Google (веб-адреса, оканчивающиеся на googleapis.com). Это ожидаемо и безопасно: отправляется только ваш заблокированный, зашифрованный файл резервной копии и проверка входа, напрямую в вашу собственную учётную запись Google Drive - ту же самую, которую вы уже используете для фото или Gmail. Мы никогда её не видим, не получаем и нигде не храним её копию. Только у вас есть ключ восстановления, который может её разблокировать.

4. Этикетки приватности App Store и Play Store

Apple и Google требуют, чтобы разработчики объявляли, какие данные собирает их приложение. Проверьте список Travel Document Vault в App Store или Google Play. Наше объявление: данные не собираются.

Мы оцениваем приложение по открытому стандарту

Мы проверяем Travel Document Vault на соответствие OWASP Mobile Application Security Verification Standard (MASVS), отраслевому чек-листу того, как мобильное приложение должно хранить данные, использовать шифрование, блокироваться с помощью Face ID или PIN-кода и обрабатывать ссылки из других приложений. Любой желающий может ознакомиться с этим стандартом и сравнить его с реальным поведением приложения.

Мы сканируем собственный код

Перед выпуском каждой сборки мы проводим статический анализ нашего кода с помощью инструмента с открытым исходным кодом Semgrep, который выявляет небезопасные шаблоны, например слабое шифрование или ненадёжную обработку данных, чтобы мы могли устранить их на раннем этапе.

Мы сканируем готовое приложение

Мы также проверяем наши опубликованные сборки с помощью инструментов сканирования безопасности мобильных приложений, изучая, как сборка хранит данные, к чему у неё есть доступ и как она подписана.

Нашли проблему? Сообщите нам

Если вы обнаружили проблему безопасности, напишите на support@traveldocumentvault.com. Подробности нашей процедуры раскрытия информации опубликованы по адресу /.well-known/security.txt.