L1
🔐 Encriptação em repouso
AES-256-GCM com nonce aleatório por registo. Confidencialidade + integridade: qualquer bit adulterado invalida a desencriptação.
AES-GCM · nonce 96-bitTHREAT MODEL: LOCAL-FIRST / ZERO-TRUST
A tua 2ª camada.
Blindada por design,
não por promessa.
Cofre TOTP para desktop que nunca fala com a internet. Segredos encriptados com AES-256-GCM, chave guardada no keyring do sistema, backups .2fa com password. Se não há servidor, não há breach de servidor.
0pacotes de rede
telemetria / sync
telemetria / sync
AES-256GCM autenticado
em repouso
em repouso
3barreiras
keyring + lock + backup
keyring + lock + backup
100%código auditável
Tauri + Rust + React
Tauri + Rust + React
RFC 6238TOTP padrão
AES-256-GCMencriptação autenticada
OS KEYRINGchave fora do disco
TAURI 2 + RUSTsuperfície mínima
ZERO SYNCsem conta, sem cloud
01 — Arquitetura zero-trust
O segredo nunca sai da máquina.
Por construção, não por configuração.
Sem endpoint para atacar. Sem base de dados central para vazar. O diagrama todo cabe num quadrado: a tua máquina.
✓ DENTRO DO PERÍMETRO — A TUA MÁQUINA
- Segredos TOTP → encriptados (AES-256-GCM) em disco local
- Chave mestra → keyring do OS, nunca em plaintext
- Geração TOTP → otpauth local, relógio do sistema
- QR scan → webcam / imagem, descodificado localmente (jsQR)
- Clipboard → cópia via comando Rust nativo
segredo → AES-GCM(keyring) → disco → TOTP(30s) → clipboard
✕ FORA DO PERÍMETRO — NÃO EXISTE
- Servidor de sync
- Conta / login cloud
- Telemetria / analytics
- Backup automático remoto
- Push / notificações
netstat: 0 conexões · wireshark: silêncio
02 — Defesa em profundidade
6 camadas entre o atacante e os teus códigos
L2
🗝️ Chave no keyring do OS
A chave mestra vive no Credential Manager (Windows) ou Secret Service (Linux) — protegida pelo login do sistema, não num ficheiro.
DPAPI · libsecretL3
🔒 App Lock por password
Bloqueio da interface com password. Portátil partilhado, ecrã exposto, pausa para café — o cofre fica selado.
auto-lock · anti-shoulder-surfL4
📦 Backups .2fa encriptados
Export com password: chave derivada por KDF da tua password. Perde a password = perde o backup. É assim que deve ser.
KDF · offline restoreL5
🧹 Higiene operacional
Confirmação antes de apagar, pesquisa que não expõe segredos, cópia mínima para o clipboard. Menos fricção = menos erros.
confirm-delete · least-exposureL6
📉 Superfície mínima
Tauri 2 + Rust: sem Electron pesado, sem servidor embutido, sem dependências de rede. Menos código exposto, menos CVE para te preocupar.
tauri · rust · no-server03 — Threat model honesto
O que prometemos.
E o que não prometemos.
Segurança séria diz o que não cobre. Aqui vai:
✓ PROTEGIDO
- Roubo de password — mesmo com a tua password, o atacante precisa do TOTP que só existe nesta máquina.
- Phishing clássico — códigos de 30s expiram; sem acesso ao cofre, sessões roubadas morrem rápido.
- Breach de fornecedor — não há fornecedor. Não há base de dados central para vazar (vs. Authy / cloud).
- Perda de telemóvel — o desktop é o segundo fator independente; backup .2fa permite recuperação.
- Curiosos locais — App Lock + keyring ligado ao login do OS.
✕ NÃO PROTEGIDO — SÊ HONESTO CONTIGO
- OS comprometido — keylogger / RAT com acesso à sessão desbloqueada lê códigos. Mantém o OS atualizado.
- Acesso físico desbloqueado — máquina aberta e desbloqueada = cofre aberto. Usa Win+L / auto-lock.
- Password fraca de backup — backup .2fa com 1234 é só teatro. Usa frase longa + gestor de passwords.
- Relógio errado — TOTP depende da hora. Desvio >30s gera códigos inválidos. Usa NTP.
- Phishing em tempo real — proxy reverso (Evilginx) consegue usar o código nos 30s. 2FA reduz, não elimina.
04 — Comparativo de risco
Cloud 2FA vs. cofre local
| Critério | 2FA Authenticator | Authy / MS / Google sync |
|---|---|---|
| Onde vivem os segredos | Só no teu disco, encriptados | Réplica na cloud do fornecedor |
| Impacto de breach do fornecedor | Nulo — não há fornecedor | Total — todos os segredos expostos |
| Código auditável | Sim, open-source | Não, caixa-preta |
| Funciona offline / avião | Sim, sempre | Parcial (login/sync exige rede) |
| Backup | .2fa encriptado, tu controlas | Cloud automática, eles controlam |
| Telemetria | Zero | Variável, opt-out obscuro |
| Plataforma | Desktop Windows/Linux | Mobile-first |
Regra prática: telemóvel no bolso + cofre no desktop = dois fatores em dois dispositivos físicos. É o setup mais forte para o dia-a-dia.
05 — Download verificado
Instala. Verifica. Confia.
Descarrega das Releases oficiais e confirma o hash antes de executar. Nunca instales binários de links de terceiros.
PASSO 1 — ESCOLHE O TEU SISTEMA
PASSO 2 — DESCARREGAR + VERIFICAR NA CONSOLA
# o hash impresso tem de ser igual ao SHA256 da Release
06 — FAQ de segurança
Perguntas de quem leva isto a sério
Porque é que “sem cloud” é mais seguro?
Menos uma cópia, menos um alvo. Breaches de 2022–2024 mostraram cofres cloud exfiltrados em massa. Aqui, um atacante precisa de comprometer a tua máquina específica — não um bucket com milhões de utilizadores.
Onde fica exatamente a chave mestra?
No keyring do OS: Credential Manager (Windows DPAPI) ou Secret Service (Linux). Herdam a proteção do teu login — e nunca são escritas em ficheiro pela app.
Esqueci a password do backup .2fa. E agora?
Não há recuperação — por design. A chave deriva da password via KDF; sem ela, o ficheiro é ruído AES. Guarda a password num gestor (ou papel em cofre) antes de precisares.
Posso auditar o que a app faz na rede?
Sim — e deves. Corre com Wireshark / Little Snitch / firewall: verás zero conexões. O código Rust/TS é aberto para confirmar que não há endpoints escondidos.
Desktop + telemóvel ou só um?
Os dois, em dispositivos separados. Telemóvel para o dia-a-dia, desktop como fator independente + backup .2fa offline. Perder um não é perder o acesso.