Sicherheit, die
sich selbst nicht vertraut.
Die meisten Produkte verlangen, dass Sie ihren Servern vertrauen. PulsVault ist so gebaut, dass Sie das nie müssen. Mehrstufige Schlüssel, zwei Faktoren und Isolation pro Tresor sorgen dafür, dass die Sicherheit Ihrer Daten nie davon abhängt, dass wir uns korrekt verhalten – sie beruht auf Mathematik.
Die Schlüsselhierarchie
Vier Schlüssel. Einer verlässt nie Ihr Gerät.
Ihre Daten werden durch eine Kette abgeleiteter Schlüssel geschützt. Jeder wird vom darüberliegenden entsperrt, und die Kette beginnt – und endet – in Ihrem Browser.
Passwortabgeleitetes Geheimnis
PDSMaster-Passwort + SaltAus Ihrem Master-Passwort mit PBKDF2 und Ihrem persönlichen Salt gestreckt – vollständig in Ihrem Browser. Es wird im Sitzungsspeicher zwischengespeichert und nie an unsere Server übertragen.
Schlüsselverschlüsselungsschlüssel
KEKPDS + ZugriffsschlüsselAus Ihrem PDS in Kombination mit Ihrem maschinell erzeugten Zugriffsschlüssel über 600.000 PBKDF2-Iterationen abgeleitet. Ohne beide Faktoren lässt sich der KEK nicht rekonstruieren.
Benutzer-Hauptschlüssel
UMKVom KEK entpacktDer Wurzelschlüssel, der Ihr Konto entsperrt. Er wird von Ihrem KEK umhüllt und existiert nur nach einer erfolgreichen Entsperrung im Speicher – und wird dann sofort gelöscht.
Datenverschlüsselungsschlüssel
DEKPro Tresor, vom UMK umhülltJeder Tresor erhält seinen eigenen, unabhängigen, zufälligen 256-Bit-DEK, der von Ihrem UMK umhüllt wird. Die Kompromittierung eines Tresors ist mathematisch von jedem anderen Tresor isoliert.
Wenn Sie Ihr Master-Passwort ändern, wird nur ein einziger Schlüssel neu umhüllt – Ihr UMK – und kein einziger Tresoreintrag neu verschlüsselt.
Mehrschichtige Verteidigung
Jede Schicht geht davon aus, dass die anderen versagen könnten
Ein schwaches Passwort, ein gestohlenes Token, ein kompromittierter Server – jedes wird von der darunterliegenden Schicht eingedämmt. Kein einzelner Ausfallpunkt kann Ihre Geheimnisse offenlegen.
Von Grund auf mit zwei Faktoren
Ihr Master-Passwort wird mit einem maschinell erzeugten Zugriffsschlüssel mit ca. 155 Bit Entropie kombiniert – weit über dem NIST-Minimum von 128 Bit. Ein erratenes Passwort allein entsperrt nichts.
Isolation pro Tresor
Jeder Tresor wird mit einem eigenen zufälligen Datenverschlüsselungsschlüssel versiegelt. Das Knacken eines Tresors verschafft keinerlei Vorteil gegenüber dem nächsten – auf unserer Seite gibt es keinen Generalschlüssel.
AES-256-GCM und mehr
Ihr primärer Tresor nutzt immer die authentifizierte Verschlüsselung AES-256-GCM. Die Tarife Team, Business und Enterprise schalten ChaCha20-Poly1305, AES-256-CBC-HMAC und XChaCha20-Poly1305 frei.
Manipulationserkennbare Hüllen
Authentifizierte Verschlüsselung bedeutet, dass jede Änderung an Ihrem Chiffretext erkannt und beim Entschlüsseln abgelehnt wird. Beschädigte oder manipulierte Daten gelangen nie unbemerkt in Ihren Tresor.
Signierte, Replay-sichere Anfragen
Jede API-Anfrage wird mit HMAC-SHA256 signiert und enthält eine einmalige Nonce. Eine abgefangene Anfrage kann nicht erneut abgespielt werden, und HSTS bindet die Verbindung an strikte Transportsicherheit.
Missbrauch wird am Rand blockiert
Brute-Force- und Credential-Stuffing-Versuche werden auf Netzwerkebene gedrosselt – wiederholte Fehlversuche von einer IP-Adresse lösen automatische, zeitlich begrenzte Sperren aus, bevor sie Ihren Tresor je erreichen.
Der stärkste Schlüssel ist der, den wir nie besitzen
Starten Sie mit einem kostenlosen Tresor und erleben Sie Zero-Knowledge-Sicherheit, ohne auf Benutzerfreundlichkeit zu verzichten.
Ihren kostenlosen Tresor erstellen