// beveiliging
Het geheim blijft op het apparaat.
Konsolity is zo gebouwd dat de server je niet kan verraden, zelfs niet als hij gecompromitteerd is.
Zero-knowledge-kluis
Je hoofdwachtwoord gaat op het apparaat door Argon2id. Daar komen twee sleutels uit: een om je tegenover de server te identificeren, een om de kluis te versleutelen (XChaCha20-Poly1305). De server krijgt de eerste gehasht en de tweede nooit. Hij kan je hosts niet lezen en je wachtwoord niet resetten.
Herstelsleutel
Aangemaakt op het apparaat, één keer getoond. Alleen daarmee herstel je de kluis als het wachtwoord kwijt is. Zonder deze sleutel zijn de gegevens verloren: de app zegt het vooraf, niet achteraf.
Vastgelegde hostsleutels
Bij de eerste verbinding wordt om je toestemming gevraagd en wordt de sleutel vastgelegd. Een afwijkende sleutel later blokkeert de verbinding, toont de datum van de vorige en accepteert geen automatische omweg, ook niet bij opnieuw verbinden.
SSH-sleutels
Privésleutels staan versleuteld in de kluis en worden aan sessies aangeboden door een interne agent die ondertekent zonder de sleutel ooit af te geven. Koppelingen tussen servers gebruiken tijdelijke sleutels, ingetrokken bij het sluiten.
Tweestapsverificatie
TOTP met back-upcodes. Vereist om een tweede apparaat toe te voegen, voor een terminal van buitenaf en om Claude te autoriseren.
Terminal op afstand
De relay ziet alleen SSH-versleutelde bytes tussen twee apparaten van hetzelfde account, met kortlevende ondertekende tickets. Elk apparaat wordt geïdentificeerd met een eigen sleutel, die wordt verwijderd zodra het apparaat wordt ingetrokken.
Claude-connector
OAuth 2.1 met PKCE, toestemming via een code die in de app wordt bevestigd, geen wachtwoord op het web. Elke opdracht wacht op jouw goedkeuring; argumenten en resultaten worden versleuteld opgeslagen en na een uur gewist.
Server
HTTPS verplicht, HSTS, rate limiting, oplopende vergrendeling, geheimen versleuteld opgeslagen, auditlog per account zonder gevoelige gegevens, e-mail bij elk nieuw apparaat.
Wat we nooit loggen
Nooit een wachtwoord, sleutel, wachtwoordzin, token of de tekst van een opdracht. Zelfs in de app worden logboeken opgeschoond voordat ze worden weggeschreven.
// faq
Veelgestelde vragen
Kan Konsolity mijn kluis herstellen als ik mijn hoofdwachtwoord en mijn herstelsleutel kwijt ben?
Nee, en dat is zo ontworpen. De server heeft nooit de versleutelingssleutel. Er moet een nieuwe kluis worden aangemaakt.
Kan de relay van de terminal op afstand mijn terminal lezen?
Nee: hij stuurt SSH-bytes door die tussen je twee apparaten al versleuteld zijn. Hij kent alleen het account en de duur.
Kan Claude zonder mij een opdracht uitvoeren?
Alleen als je voor die client "Altijd toestaan" hebt aangevinkt; anders wacht elke opdracht op "Eén keer toestaan" in de app en wordt ze na 60 seconden geweigerd.
// security.txt
Een kwetsbaarheid melden
Schrijf naar security@konsolity.com. We antwoorden binnen 48 uur en vermelden verantwoorde meldingen.