Перевірка приватності

1. Тест мережевого трафіку

Встановіть монітор мережі, такий як mitmproxy (безплатно, відкритий код), Wireshark (безплатно, відкритий код) або Charles Proxy. Відкрийте Travel Document Vault, відскануйте документ, перегляньте своє сховище та встановіть нагадування. Ви не повинні бачити, щоб ваші документи, скани, дати завершення або вміст сховища надсилалися до Travel Document Vault. Мережевий трафік має обмежуватися конкретними функціями: опційним звітуванням про збої Sentry, перевірками покупок через App Store або Google Play, опційною хмарною резервною копією у ваш власний обліковий запис iCloud або Google Drive, та ручною перевіркою виправлень помилок, описаною нижче.

У Налаштуваннях є кнопка Check for Updates. Це ручна перевірка, ніколи не автоматична - вона виконується лише тоді, коли ви самі натискаєте на неї, ніколи у фоновому режимі і ніколи сама по собі. Перевірка звертається до updates.traveldocumentvault.com - нашого власного сервера оновлень, керованого нами на Google Cloud, який надає криптографічно підписані файли оновлень із контейнера сховища. Ми не ведемо запис перевірки: журнали запитів відключені з нашого боку, тому жодні IP-адреси не зберігаються. Кожне оновлення підписане ключем, який є лише в нас, і застосунок відхиляє все, підпис якого не відповідає вбудованому в нього сертифікату. Те саме натискання також перевіряє, чи доступна новіша версія застосунку в App Store або Google Play. Вона існує для того, щоб певні виправлення помилок могли доходити до вас швидше, ніж очікування цілком нового релізу в App Store чи Google Play, що корисно для термінових виправлень, залежно від характеру виправлення. Діє те саме правило, що й для решти цієї сторінки: жодного мережевого запиту без вашого запиту.

2. Звіт про приватність програм iOS

На iPhone перейдіть у Параметри > Приватність та безпека > Звіт про приватність програм. Ця вбудована функція Apple показує, які програми зверталися до мережевих доменів. Travel Document Vault не надсилає нам ваші документи, скани, дати завершення чи вміст сховища. Якщо ви ввімкнули хмарну резервну копію Pro, ви побачите з'єднання з доменами iCloud Apple - це ваша власна резервна копія синхронізується з вашим власним обліковим записом iCloud.

3. Android - як перевірити вашу приватність

У Android немає єдиного вбудованого звіту про приватність, як в iPhone. Є два простих способи перевірити це самостійно: подивіться власний розділ Data Safety цього застосунку на його сторінці в Google Play (там чітко вказано, що збирається, чим діляться, що ваші дані шифруються під час передавання і що їх не можна видалити) - або скористайтеся монітором мережі, як описано в кроці 1 вище.

Якщо ви ввімкнули хмарну резервну копію, ви можете помітити певну активність у бік серверів Google (веб-адреси, що закінчуються на googleapis.com). Це очікувано і безпечно: надсилається лише ваш заблокований, зашифрований файл резервної копії та перевірка входу, напряму до вашого власного облікового запису Google Drive - того самого, який ви вже використовуєте для фото чи Gmail. Ми ніколи його не бачимо, не отримуємо і ніде не зберігаємо його копію. Лише ви маєте ключ відновлення, який може його розблокувати.

4. Етикетки приватності App Store та Play Store

Apple та Google вимагають, щоб розробники зазначали, які дані збирає їх програма. Перевірте список Travel Document Vault в App Store або Google Play. Наша заява: дані не збираються.

Ми оцінюємо застосунок за публічним стандартом

Ми перевіряємо Travel Document Vault на відповідність OWASP Mobile Application Security Verification Standard (MASVS), галузевому переліку вимог до того, як мобільний застосунок має зберігати дані, використовувати шифрування, блокуватися за допомогою Face ID чи PIN-коду та обробляти посилання з інших застосунків. Кожен може ознайомитися з цим стандартом і порівняти його з реальною поведінкою застосунку.

Ми скануємо власний код

Перед випуском кожної збірки ми проводимо статичний аналіз нашого коду за допомогою інструмента з відкритим кодом Semgrep, який виявляє небезпечні шаблони, наприклад слабке шифрування або ненадійну обробку даних, щоб ми могли виправити їх на ранньому етапі.

Ми скануємо готовий застосунок

Ми також перевіряємо наші опубліковані збірки за допомогою інструментів сканування безпеки мобільних застосунків, з'ясовуючи, як збірка зберігає дані, до чого вона має доступ і як вона підписана.

Знайшли проблему? Повідомте нас

Якщо ви виявили проблему безпеки, напишіть на support@traveldocumentvault.com. Подробиці нашої процедури розкриття інформації опубліковані за адресою /.well-known/security.txt.