TextSandbox sử dụng mã hóa xác thực XChaCha20-Poly1305 và Argon2id để bảo vệ Master Password. Nội dung Vault được mã hóa cục bộ trước khi lưu hoặc đồng bộ. Trang này mô tả việc mã hóa diễn ra như thế nào — và cả những gì mã hóa không thể bảo vệ.
Thuật toán sử dụng
Một thuật toán để mã hóa nội dung, một thuật toán để bảo vệ Master Password. Cả hai đều chạy cục bộ trên thiết bị của bạn.
Mã hóa nội dung
Mã hóa xác thực (AEAD): XChaCha20 giữ bí mật nội dung, còn tag xác thực Poly1305 phát hiện mọi thay đổi trên dữ liệu đã mã hóa. Nonce mở rộng 192-bit giúp an toàn khi sinh nonce ngẫu nhiên.
Bảo vệ Master Password
Hàm dẫn xuất khóa tiêu tốn bộ nhớ (memory-hard KDF), người thắng cuộc thi Password Hashing Competition. Argon2id biến Master Password thành khóa mã hóa và làm cho việc dò mật khẩu bằng vũ lực trở nên đắt đỏ.
Toàn bộ việc mã hóa và giải mã diễn ra cục bộ trên thiết bị của bạn. Cloud Sync chỉ lưu dữ liệu đã mã hóa và sẽ không nhận Master Password, Recovery Key hay nội dung dạng đọc được.
Quy trình mã hóa
Văn bản chỉ tồn tại ở dạng đọc được trong bộ nhớ khi Vault đang mở. Trước khi ghi xuống ổ đĩa hoặc rời thiết bị, nó luôn được mã hóa.
Trong bộ nhớ (Vault đang mở)
# Ghi chú nghiên cứu
Hợp đồng khách hàng — bản nháp 3Trên ổ đĩa & trên cloud
a7f3e1b9c05d... 4c2d8e
+ tag xác thực Poly1305Bốn bước mã hóa
Mật khẩu chỉ nằm trong bộ nhớ trong thời gian mở Vault.
Master Password được biến thành khóa mã hóa bằng KDF tiêu tốn bộ nhớ.
Nội dung, tiêu đề, lịch sử và tệp đính kèm được mã hóa kèm tag xác thực.
Chỉ dữ liệu đã mã hóa được ghi xuống ổ đĩa — và chỉ dữ liệu đó mới được đồng bộ.
Nội dung Vault, tiêu đề tài liệu, lịch sử chỉnh sửa, tệp đính kèm và trạng thái workspace được mã hóa bằng XChaCha20-Poly1305 trước khi ghi xuống ổ đĩa — không tồn tại dưới dạng văn bản trần.
Master Password được bảo vệ bằng Argon2id, không được lưu và không được gửi lên cloud. Tài khoản cloud không thay thế Master Password và không thể giải mã Vault thay cho bạn.
Cloud Sync chỉ lưu dữ liệu đã mã hóa và sẽ không nhận Master Password, Recovery Key hay nội dung dạng đọc được. Dịch vụ cloud không có khóa để giải mã Vault của bạn.
Không tồn tại khóa dự phòng nào khác. Khi mất đồng thời Master Password và Recovery Key, dữ liệu đã mã hóa không thể được giải mã — hệ quả trực tiếp của mã hóa thực sự.
Nhờ mã hóa ở tầng dữ liệu, TextSandbox phù hợp với những ghi chú, bản nháp, tài liệu cá nhân hoặc dữ liệu công việc mà bạn không muốn lưu dưới dạng văn bản trần trên máy hoặc trên cloud.
Recovery Key & auto-lock
Khi tạo Vault, TextSandbox cung cấp Recovery Key — con đường thứ hai duy nhất dẫn tới khóa giải mã Vault nếu bạn quên Master Password. Recovery Key cần được lưu ngoại tuyến, tách biệt khỏi Vault và không bao giờ được gửi lên cloud.
Ứng dụng cũng có thể tự động khóa sau một khoảng thời gian không hoạt động. Khi người dùng đóng cửa sổ, TextSandbox lưu các chỉnh sửa và trạng thái workspace, xác nhận Vault đã được khóa an toàn rồi mới thoát.
Không lưu Recovery Key trong chính Vault mà khóa đó dùng để khôi phục.
Trạng thái Vault
Nội dung nằm trên ổ đĩa ở dạng đã mã hóa. Không thể giải mã mà không có Master Password hoặc Recovery Key.
Nội dung được giải mã trong bộ nhớ để bạn làm việc. Autosave mã hóa lại mọi thay đổi trước khi ghi vào Vault.
Sau khoảng thời gian không hoạt động do bạn cấu hình, Vault trở về trạng thái khóa và khóa giải mã được loại bỏ khỏi bộ nhớ.
Lưu chỉnh sửa, lưu trạng thái workspace, xác nhận Vault đã khóa an toàn rồi mới thoát.
Threat Model
Mã hóa bảo vệ dữ liệu khi Vault đang khóa, khi nằm trên ổ đĩa và khi tệp .tsbx bị sao chép khỏi thiết bị. Khi Vault đang mở, nội dung bắt buộc phải được giải mã trong bộ nhớ để bạn làm việc — vì vậy có những rủi ro mã hóa không thể xử lý.
Tài liệu SECURITY, PRIVACY và THREAT MODEL đi kèm sản phẩm mô tả chi tiết phạm vi bảo vệ. Nếu bạn cần bản mới nhất, hãy xem tại textsandbox.com hoặc liên hệ cuongtechnology@gmail.com.
Dữ liệu ở đâu?
| Thành phần | Trên thiết bị | Trên cloud |
|---|---|---|
| Nội dung tài liệu | Đã mã hóa | Chỉ khi bật Sync — đã mã hóa |
| Tiêu đề tài liệu | Đã mã hóa | Chỉ khi bật Sync — đã mã hóa |
| Tệp đính kèm | Đã mã hóa | Chỉ khi bật Sync — đã mã hóa |
| Lịch sử phiên bản | Đã mã hóa | Chỉ khi bật Sync — đã mã hóa |
| Trạng thái workspace | Đã mã hóa | Chỉ khi bật Sync — đã mã hóa |
| Nội dung dạng đọc được | Chỉ trong bộ nhớ khi Vault mở | Không bao giờ |
| Master Password | Không được lưu (Argon2id) | Không bao giờ |
| Recovery Key | Bạn lưu ngoại tuyến | Không bao giờ |
Quyền riêng tư
Bạn có thể sử dụng TextSandbox hoàn toàn cục bộ: không cần tạo tài khoản, không cần Internet, không cần đăng ký gói cloud nào — việc mã hóa vẫn diễn ra đầy đủ trên máy bạn. Cloud Sync là lựa chọn bổ sung, không phải điều kiện để sử dụng ứng dụng.
Mã hóa mạnh nhất khi đi cùng thói quen sử dụng đúng của bạn.
Không chia sẻ Master Password hoặc Recovery Key với bất kỳ ai.
Argon2id làm chậm đáng kể việc dò mật khẩu bằng vũ lực, nhưng độ mạnh của mật khẩu vẫn là yếu tố quyết định.
Không lưu Recovery Key trong chính Vault mà khóa đó dùng để khôi phục.
Giữ ít nhất một bản sao lưu Vault ở vị trí an toàn.
Khóa Vault trước khi rời khỏi thiết bị dùng chung.
Mất đồng thời Master Password và Recovery Key đồng nghĩa với việc không thể khôi phục nội dung.
Cấu hình thời gian tự động khóa phù hợp với môi trường làm việc của bạn.
Hãy liên hệ trực tiếp với tác giả — mọi phản hồi về mã hóa và bảo mật đều được xem xét cẩn thận.