Как SSHMount обращается с вашими ключами и данными
SFTP-клиент, подключающий том в Finder, держит две вещи, которые стоит защищать: учётные данные, открывающие ваш сервер, и уверенность, что отвечающий сервер — именно тот, который вы имели в виду. Вот что SSHMount делает с обеими.
- Никакой слежки. Никакого сбора данных. Никакой сторонней аналитики.Ровно это заявляют манифесты приватности SSHMount, и Apple публикует их рядом с приложением.
- Никаких наших серверов посередине.Трафик идёт с вашего Mac на ваш сервер и никуда больше. Нет ни ретранслятора, ни облачной учётной записи, ни регистрации. Если бы наша компания завтра исчезла, ваши соединения по-прежнему были бы между вами и вашими машинами.
- Учётные данные и закрытые ключи остаются в связке ключей.В общей группе доступа, которую могут читать и приложение, и его расширение Finder — никогда не записываются на диск в открытом виде.
- В песочнице, подписано и распространяется через Mac App Store.Никаких установщиков со стороны, никаких пакетов, которым надо доверять, никаких настроек безопасности, которые надо понижать.
- Ключи хоста проверяются строго.После рукопожатия, до аутентификации. Несовпадение всегда прерывает. У расширения Finder нет собственного интерфейса, поэтому оно прямо отклоняет неизвестные хосты, а не угадывает за вас — спрашивает именно приложение, показывая отпечаток, прежде чем что-либо станет доверенным.
- И этот сайт.Никаких отслеживающих cookie, никакого баннера согласия, который надо закрывать, никаких сторонних скриптов, наблюдающих за вашим чтением.
Что происходит при подключении
- TCP-соединение и рукопожатие SSHSSHMount открывает соединение прямо с вашего Mac к хосту и порту из вашего профиля. Ничто не идёт через прокси и ничто — через ретранслятор.
- Ключ хоста проверяется — до того, как что-либо отправленоСервер предъявляет свой ключ хоста. SSHMount ищет его реализацией known_hosts из libssh2, которая читает тот же формат файла, что и OpenSSH: хешированные имена хостов, шаблоны с подстановочными знаками и метки
@revokedведут себя так, как вы ожидаете. Это происходит после рукопожатия и до аутентификации. - Несовпадение прерывает. Неизвестный хост спрашивает — или отказываетЕсли сохранённый и предъявленный ключи расходятся, соединение обрывается прямо там, каждый раз. Если хост просто неизвестен, приложение показывает отпечаток и ждёт: ничто не считается доверенным, пока вы этого не скажете. Внутри расширения Finder действует строгая политика и никакого диалога нет вовсе — расширение без интерфейса не может спросить, поэтому отказывает, а не угадывает.
- Только после этого отправляются учётные данныеВаш пароль или закрытый ключ читается из связки ключей macOS и используется против сервера, который вы уже опознали. Сессии терминала проходят ровно ту же последовательность — терминал отдаёт пароль так же, как это делает расширение, значит и проверку получает ту же.
Где живут секреты
- Пароли, закрытые ключи и парольные фразы хранятся в связке ключей macOS, в группе доступа, общей для приложения и его расширения File Provider, чтобы оба могли ими пользоваться без второй копии.
- Ничто не записывается на диск в открытом виде. Не существует файла конфигурации, содержащего пароль.
- Доверенные ключи хоста живут в общем файле known_hosts, а команда Import known_hosts… переносит хосты, которым вы уже доверяете, из
~/.ssh/known_hosts. - Поля пароля по умолчанию скрыты и раскрываются щелчком, чтобы демонстрация экрана не превратилась в утечку учётных данных.
Что говорят манифесты приватности
- Файлы
PrivacyInfo.xcprivacy, поставляемые с приложением и его расширением, заявляют отсутствие слежки, отсутствие собираемых данных, отсутствие отслеживающих доменов и отсутствие сторонней аналитики. Apple публикует эти заявления на странице продукта в App Store, где вы можете сверить их с этой страницей. - Единственная заявленная категория API — временные метки файлов, используемые для файлов, которыми приложение управляет само.
- Покупки обрабатывает Apple. До нас доходят статус подписки и агрегированные отчёты Apple — но никогда ваши платёжные данные.
И этот сайт
- Ни один cookie не устанавливается — ни одного, даже «функционального». Именно поэтому здесь нет баннера согласия.
- Ни шрифты, ни скрипты, ни таблицы стилей, ни изображения не загружаются со стороннего CDN. Всё отдаётся с этого домена, а страница использует системный шрифт, который у вашего Mac уже есть.
- Никакой аналитический продукт не встроен. Ничто на этой странице не составляет ваш профиль, пока вы читаете.
Ваши файлы уже там. Откройте их.
Хватит копировать папки туда и обратно. Подключите сервер, работайте в Finder, держите рядом открытый терминал.