Vaulted'ın zero-knowledge şifrelemesini kendin doğrula

1. vaulted.fyi adresini aç.
2. DevTools'u aç ve Network sekmesine geç. Fetch/XHR olarak filtrele.
3. Gizli bilgi alanına tanınabilir bir dizi gir — örneğin CANARY-12345.
4. Create'a tıkla.

Tek bir POST isteği göreceksin: /api/secrets. Üzerine tıkla ve Payload sekmesine bak.

Body bir ciphertext alanı ve bir iv alanı içeriyor. Her ikisi de base64url kodlu blob'lar. Payload'da CANARY-12345 ara — orada değil. Düz metin, istek gönderilmeden önce tarayıcıda şifrelendi.

Daha kapsamlı olmak istersen ağ kısıtlamasını "Slow 3G" olarak ayarla ve tekrar dene. Şifreli metin hâlâ gürültü gibi görünür; düz metin yine hiçbir yerde değil.

Gizli bilgiyi oluşturduktan sonra Vaulted sana bir paylaşım linki gösterir. Şöyle görünür:

https://vaulted.fyi/s/abc123#dGhpcyBpcyBhIGtleQ
                              ^^^^^^^^^^^^^^^^^^^^
                              encryption key (base64url)

# işaretinden sonraki kısım URL fragmentıdır. RFC 3986'ya göre tarayıcılar fragmentları yerel olarak işler — HTTP istek satırlarında, başlıklarda ya da referrer'larda asla görünmezler.

Bunu kanıtlamak için:

1. Paylaşım linkini kopyala.
2. DevTools'un Network sekmesi açıkken yeni bir sekmede aç.
3. GET /s/abc123 isteğini bul.
4. Headers sekmesine bak — tam istek URL'si, fragment yok.
5. Request sekmesine bak — fragment yok.
6. Bir sonraki sayfada document.referrer'i kontrol et — fragment çıkarılmış.

Alıcının gizli bilgiyi çözmek için ihtiyaç duyduğu anahtar URL'deydi, ama tarayıcısında kaldı. Sunucu yalnızca GET /s/abc123 gördü, başka bir şey değil.

Bir terminal aç ve gizli bilgiyi doğrudan curl ile al:

curl https://vaulted.fyi/api/secrets/abc123

ciphertext ve iv içeren bir JSON alacaksın. Bu, gizli bilginin sunucu tarafındaki tüm durumu.

Şimdi bunu anlamlandırmaya çalış. URL fragmentındaki anahtar olmadan yapamazsın. Doğru şekilde üretilmiş rastgele bir anahtarla AES-256-GCM, tüm pratik amaçlar için rastgele gürültüden ayırt edilemez. Vaulted'ın sunucularından alınacak tam bir veritabanı dökümü tam da bunu verir — şifreli blob'lar ve meta veriler.

Bu, zero-knowledge'ın tam anlamıyla tanımıdır: sunucu okuyamadığı verileri depolar.

Vaulted, Web Crypto API kullanır; bu bir tarayıcı primitifi — işi gizleyen karmaşık WASM ya da yerel modül yoktur. Şifrelemenin gerçekleştiğini izleyebilirsin.

1. DevTools'ta Sources sekmesini aç.
2. crypto.subtle.encrypt ara (genel arama için Cmd+Option+F kullan).
3. crypto.subtle.encrypt çağıran satıra breakpoint koy.
4. Yeni bir gizli bilgi oluşturmayı tetikle.
5. Breakpoint tetiklenir. Argümanları incele: düz metni bir Uint8Array olarak, AES-GCM anahtarını ve yeni rastgele bir IV'ü göreceksin.
6. Çağrının üzerinden geç. Sonuç, gönderilen şifreli metindir.

Artık düz metnin şifreli metne dönüştüğünü — tarayıcında, herhangi bir ağ isteğinden önce — izliyorsun. Verilerin gidebileceği başka bir yol yok.