Sicherheit

Der Server ist ein Tresor ohne eigenen Schlüssel

Er bewahrt die verschlüsselten Inhalte auf, aber der Schlüssel, der sie öffnet, gehört ihm nicht: er bleibt bei Brüdern und Schwestern, auf ihren Geräten. Das ist der Unterschied, und hier unten zeichnen wir genau nach, wo die Grenze verläuft, einschließlich des Live-Bildes und des Live-Tons einer Online-Tempelarbeit, die mit der hohen Verschwiegenheit nun ebenfalls Ende-zu-Ende verschlüsselt sind, ohne Unmögliches zu versprechen.

Die Grenze, vollständig

Was wir nicht sehen können, und was doch

Was wir nicht sehen können

Ende-zu-Ende verschlüsselt: es verlässt den Browser verschlüsselt und bleibt es.

Den Text der Baustücke und der hochgeladenen Dokumente
Die Protokolle der Arbeiten
Den Anzeigenamen der Mitglieder (verschlüsselt, getrennt vom technischen Benutzernamen)
Die bekleideten Ämter und ihre Amtszeiten (verschlüsselte Zuordnungen)
Die Anhänge und die ins Archiv geladenen Dateien (Einladungen eingeschlossen)
Das Kassenbuch: Beträge, Zwecke, Zahlungen und die Wohltätigkeit (die Sammelbüchse ist selbst für die Loge anonym)
Das Mitgliederverzeichnis: die Daten des Weges jedes Mitglieds, Aufnahme, Beförderung und Erhebung (ob jemand aktiv oder ruhend ist, ist dagegen ein Metadatum: siehe rechts)
Die Erinnerungen im Terminplan des Sekretärs (Titel und Daten)
Die Bibliothek: die Titel im Katalog und wer was entliehen hat

Was wir sehen, und warum

Metadaten, die der Dienst kennen muss, um zu funktionieren.

Dass eine Loge existiert, und ihren Verwaltungsnamen (um die Zugänge zu leiten und den Dienst zu verwalten).
Wie viele Konten und wie viele Mitglieder sie hat (um die Grenzen des Tarifs anzuwenden).
Daten und Uhrzeiten der Arbeiten im Kalender (um sie mit den Teilnehmenden zu teilen; eine Tempelarbeit ist ein gemeinsamer Termin, kein geschützter Inhalt).
Die opaken Benutzernamen (technische Kennungen, keine Namen) (um zu authentifizieren, ohne die reale Identität preiszugeben).
Größe und Zeitpunkte der verschlüsselten Daten (um sie aufzubewahren und auszuliefern; ihre Größe ist unvermeidlich bekannt).
Dass die Schatzmeisterei in Gebrauch ist, und den Rhythmus ihrer Einträge (um die verschlüsselten Einträge aufzubewahren; ihr Inhalt bleibt verschlossen).
Den Stand des Weges eines Mitglieds (aktiv, ruhend, ausgetreten, in den Ewigen Osten eingegangen) (um den Zugang zu schließen, wenn dieser Stand es verlangt; die Daten des Weges bleiben verschlüsselt).
Die Anwesenheiten bei den Arbeiten, wenn die Loge sie erfassen will (um dem Sekretär das Bild der Beständigkeit zu geben).
Dass Erinnerungen und Bibliothekseinträge existieren, wie viele und wann geschrieben (um sie verschlüsselt aufzubewahren; Titel, Daten und Namen bleiben verschlossen).

Eine ehrliche Anmerkung: schon die Metadaten allein erzählen etwas: den Rhythmus der Tempelarbeiten, das Wachstum einer Loge. Wir verschlüsseln nicht, was der Server zum Betrieb braucht, und wir sagen das lieber, als es zu verstecken. Das gilt auch für die Online-Tempelarbeiten: das Live-Bild und der Live-Ton sind nun mit der hohen Verschwiegenheit Ende-zu-Ende verschlüsselt, aber ihre Metadaten bleiben sichtbar: wer in diesem Moment verbunden ist (mit temporären Kennungen), die Uhrzeiten und wer spricht. Wir erklären es hier unten.

Die Online-Tempelarbeiten

Die Tempelarbeit per Videokonferenz: der Live-Datenstrom, Ende-zu-Ende verschlüsselt

Eine Loge kann die Tempelarbeit auch aus der Ferne halten, in einem virtuellen Saal mit der Szenerie des Tempels, und nicht nur in Präsenz. Der Eingang bleibt bewacht: ein digitaler Wächter empfängt an der Tür, das Aufnahmegespräch bleibt ein menschlicher Akt in Echtzeit und niemand tritt von selbst ein. Und wie beim übrigen Archiv sind mit der hohen Verschwiegenheit das Live-Bild und der Live-Ton auf den Geräten der Anwesenden verschlüsselt: bei unserem Server kommen opake Umschläge an, die er nicht öffnen kann. Sichtbar bleiben nur die Metadaten, und das sagen wir offen.

Das Live-Bild und der Live-Ton sind Ende-zu-Ende verschlüsselt (hohe Verschwiegenheit)
Wie die Baustücke, die Protokolle und die Schatzmeisterei ist auch der Live-Datenstrom einer Online-Tempelarbeit auf den Geräten der Anwesenden verschlüsselt: der Schlüssel der Sitzung entsteht und bleibt auf Ihren Browsern, und bei unserem Server kommen opake Umschläge an, die er nicht öffnen kann. Der Server verteilt die verschlüsselten Datenströme in Echtzeit, damit jeder die anderen sieht und hört, ohne ihren Inhalt zu sehen.
Wir zeichnen nichts auf und bewahren nichts auf
Der Saal zeichnet nicht auf. Wenn die Tempelarbeit endet, bewahren wir keine Kopie der Datenströme auf: unser Server verteilt sie im Vorübergehen, verschlüsselt, und archiviert sie nicht, noch könnte er sie lesen.
Kein Videodienst von Dritten
Der Server, der die Datenströme verteilt, ist unser eigener und lebt auf derselben europäischen Infrastruktur wie der übrige Dienst. Die Sitzung wird nicht externen Anbietern anvertraut.
Welche Tempelarbeiten online stattfinden, wissen wir nicht
Dass ein Termin einen Saal hat, und die Angaben, um ihn zu betreten, leben im verschlüsselten Inhalt der Einladung: der Server weiß nicht, welche Tempelarbeiten aus der Ferne stattfinden. An der Tür vergibt der Wächter den Namen der Anwesenden; während der Sitzung kennen wir nur, wer verbunden ist, mit temporären Kennungen und nicht mit den realen Namen.
Was sichtbar bleibt, und die Browser, die sie nicht tragen
Die hohe Verschwiegenheit verbirgt den Inhalt, nicht die Metadaten: sichtbar bleiben, wer verbunden ist (mit temporären Kennungen), die Uhrzeiten und wer spricht. Und sie setzt einen aktuellen Browser voraus: nutzt jemand einen Browser, der zu alt für die Live-Verschlüsselung ist, fällt sein Datenstrom auf den Klartext zurück, und der Saal erklärt es allen, damit niemand für geschützt hält, was es in jenem Moment nicht ist.

Unter der Haube

Die Technik, in Kürze

Verschlüsselung des Inhalts: XChaCha20-Poly1305, mit einem zufälligen Inhaltsschlüssel für jedes Dokument.
Schlüssel der Loge: gekapselt mit X25519 Sealed Boxes (Curve25519): ein einziges Schlüsselpaar für die Loge, mit jedem Mitglied geteilt und nur auf ihren Geräten verwahrt.
Vom Passwort zum Schlüssel: Ableitung mit Argon2id auf dem Gerät; das Passwort verlässt den Browser nie.
Bibliothek: libsodium, standardisierte und bewährte Primitiven, keine proprietären Algorithmen.
Rotation: der Schlüssel der Loge kann rotiert werden, indem die Inhalte neu umhüllt werden, ohne sie auf dem Server zu entschlüsseln.
Siegel der gedruckten Dokumente: eine Ed25519-Signatur, gesetzt im Browser der Beauftragten; jeder kann sie unter /verifica prüfen, im eigenen Browser, ohne dass der Inhalt uns erreicht.
Grade und Ämter: Berechtigungen, keine getrennten Schlüssel: Innerhalb der Loge regeln die Zugriffsregeln des Dienstes, wer welchen Inhalt lesen kann, nach Grad und Ämtern, nicht verschiedene kryptografische Schlüssel: wer nicht zugelassen ist, dem liefert der Server weder die Metadaten noch den Schlüssel des Inhalts. Gegenüber dem Server und nach außen bleibt die Verschwiegenheit dagegen kryptografisch: die Inhalte bleiben Ende-zu-Ende verschlüsselt, und der Schlüssel der Loge lebt nur auf den Geräten der Mitglieder.

Ein ausführliches technisches Dokument ist auf Anfrage erhältlich.

Die Tür nach draußen

Die Daten mitnehmen, oder wirklich löschen

Das eigene Archiv lässt sich jederzeit exportieren. Und die Löschung ist konstruktionsbedingt endgültig: sind die Schlüssel zerstört, werden die verschlüsselten Daten zu unlesbarem Rauschen: ein Crypto-Shredding, das nirgendwo eine Klartextkopie zurücklässt.