التشفير

كل ما يضعه bae في موطن سحابي معتم يُشفّر قبل أن يغادر الجهاز. لا ينفذ bae تشفيرًا خاصًا به: المخطط كله مخطط coven، وهذه الصفحة تصف كيف يستخدمه bae. المواطن القابلة للتصفح تخرج من ذلك كله؛ ولا ينطبق عليها ما يلي.

مفتاح المكتبة

للمكتبة المعتمة سر جذري واحد: مفتاح عشوائي بطول 256-bit يُنشأ عند إنشاء الموطن. يعيش في keyring نظام التشغيل، لا في ملف أبدًا؛ وعلى منصات Apple، يتزامن مدخل keyring عبر iCloud Keychain. لا يحفظ إعداد bae إلا بصمة المفتاح، بما يكفي لتمييز مفتاح خاطئ من صحيح عند الفتح من دون حمل السر.

ينتقل المفتاح بين الأجهزة بطريقتين، موصوفتين في الهوية والعضوية: يُغلق على المفتاح العام لجهاز موافَق عليه أثناء دعوة، ويُحمل داخل رمز استرداد.

الأجيال

مفتاح المكتبة هو في الحقيقة keyring من أجيال مرقمة. إزالة عضو تضيف جيلًا جديدًا لا يتلقاه العضو المُزال: كل ما يُكتب بعد ذلك يستخدم الجيل الجديد ولا يكون مقروءًا له، بينما يحتفظ الأعضاء الباقون بكل جيل ويستطيعون قراءة التاريخ كله. يسجل كل كائن مغلق، بوضوح، أي جيل يفتحه.

ما الذي يُغلق

كل كائن في الموطن: changesets، وsnapshots، وaudio blobs، والأعمال الفنية، وسجلات العضوية، وكائنات التحكم. تُغلق الكائنات باستخدام XChaCha20-Poly1305 في قطع 64 KB، وكل قطعة موثقة ومربوطة بسياقها: لا يُفك كائن مغلق إلا بوصفه الكائن الذي كُتب ليكونه، لهذه المكتبة، بهذا المفتاح. التقسيم إلى قطع هو سبب عمل البث، إذ يستطيع المشغل فك نطاقات البايت التي يجلبها بالضبط.

ما يستطيع المزود رؤيته

عدد الكائنات، وأحجام الكائنات، وتوقيت الرفع، وأنماط الوصول. لا الأسماء، ولا البيانات الوصفية، ولا الصوت، ولا العمل الفني، ولا العضوية. لا توجد استعادة من جهة الخادم: المستخدم الذي يفقد كل جهاز وكل نسخة من المفتاح فقد النص المعمى للمكتبة إلى الأبد، وهذا هو التصميم كما هو مقصود.

الفتح والقفل

فتح مكتبة يقرأ المفتاح من keyring. إذا كانت المكتبة تتوقع مفتاحًا ولا يملكه keyring، يعامل bae المكتبة كمقفلة: يطلب المفتاح قبل الفتح، ويتحقق من المدخل مقابل البصمة المحفوظة قبل حفظه مرة أخرى في keyring. قفل مكتبة يزيل المفتاح من keyring عمدًا؛ ولا يمكن قراءة أو كتابة أي شيء في موطن السحابة حتى يُدخل مرة أخرى.