Backups certificados

O que é um backup certificado

Todo backup do Text2Store já registra uma soma de verificação de tudo o que capturou, para o app saber depois se um arquivo mudou. Um backup certificado acrescenta mais uma coisa no exato momento em que essa soma é gravada: envia uma impressão digital dela a uma Autoridade de Carimbo de Tempo independente (DigiCert, pelo padrão aberto RFC 3161) e guarda a resposta assinada ao lado do backup. Essa resposta é uma testemunha confiável de que o backup existia, exatamente como foi capturado, naquele momento específico. Nada muda no backup em si: mesmos arquivos, mesma velocidade, tudo igual, só um arquivo pequeno a mais.

É uma propriedade do arquivo (o backup salvo no seu computador), separada de uma exportação verificada (o .zip que você entrega a alguém). Os dois funcionam juntos, veja abaixo.

Ativando

A certificação é a chave Backups certificados em Ajustes, e ela vem ligada por padrão. Vale para todo backup naquele computador, incluindo os iniciados pelo menu, até você desligá-la. Antes de cada backup, a janela de backup informa se esse backup será certificado, com um link para mudar isso em Ajustes. Não há mais nada para configurar por aparelho ou por backup.

Você precisa de internet no instante em que um backup certificado é feito; uma requisição pequena envia só uma impressão digital de 32 bytes, nunca suas mensagens ou arquivos. Se você estiver offline, ou o serviço de carimbo estiver fora do ar, o Text2Store não faz o backup falhar nem falsifica um certificado. Ele termina o backup normalmente, guarda o backup (um backup vale demais para ser jogado fora por falta de carimbo) e avisa com clareza: “Backup salvo, mas não certificado.” O arquivo está completo e seguro; só vai continuar sendo um backup comum, sem certificação. Para ter um certificado, faça backup de novo quando estiver online.

O que a marca significa

A certificação aparece em todo lugar com o mesmo selo pequeno: um selo em forma de roseta com uma marca de verificação. Ele é discreto de propósito, um fato sobre a origem do backup, não um alerta, e você vai vê-lo em três lugares:

• Na sua lista de backups, um selinho cinza fica ao lado da data de um arquivo certificado, tão discreto quanto o cadeado de um criptografado. Ao passar o ponteiro, aparece: “Backup certificado: o horário de criação dele está ancorado com um carimbo de tempo confiável.”
• Embaixo de uma lista de conversas, quando o backup aberto é certificado, o mesmo selo aparece em verde com as palavras “Backup certificado”, abaixo da contagem de conversas e mensagens.
• Na janela Exportação Verificada, o selo aparece de novo, com a cor do que afirma: verde e “De um backup certificado” quando o arquivo de origem é certificado, cinza e “Verificada na data de hoje” quando não é. Veja abaixo o que essa diferença significa de fato para a exportação.

O que ele prova

Um backup comum já consegue dizer depois se um arquivo mudou desde o backup, mas o registro com que ele compara fica bem ao lado dos arquivos que protege. Quem tem acesso aos arquivos brutos poderia, em tese, editar um e regenerar esse registro em silêncio para bater. Um backup certificado fecha essa brecha colocando a testemunha fora do alcance de qualquer um: o carimbo é assinado pela chave privada da DigiCert, que ninguém além da DigiCert tem, nem você, nem o Text2Store, nem um invasor. Regenerar o registro local depois muda a impressão digital dele, que deixa de bater com o carimbo selado, e a divergência é detectada.

É isso que responde a “você poderia ter editado as mensagens depois do backup e entregue isto”, do mesmo jeito que o carimbo de uma exportação verificada responde a “você editou isto depois de exportar”, só que ancorado dois passos antes: na hora do backup em vez da exportação.

Por que só pode acontecer na hora do backup

A certificação não pode ser acrescentada a um backup depois, e o Text2Store nunca vai oferecer um jeito de fazer isso. Um carimbo obtido mais tarde só prova que o backup existia mais tarde, que é exatamente a brecha que a certificação existe para fechar. Por isso a caixa fica num só lugar, a janela do backup, e em nenhum outro. Se você tem um backup importante que não foi certificado, o único caminho é fazer um novo com a caixa marcada.

Como ele reforça uma exportação verificada

A certificação não é requisito para a exportação verificada: você continua podendo exportar, de qualquer backup, certificado ou não, um .zip que torna qualquer alteração detectável, e ele continua tão útil quanto antes. O que muda é até onde a prova da exportação volta no tempo.

• De um backup certificado: a exportação carrega o carimbo de criação do próprio backup, então a cadeia de prova volta até a hora do backup, não só até a exportação. O certificado dentro da exportação diz isso com clareza: os anexos são idênticos byte a byte aos de um backup com carimbo de tempo confiável daquela data, e a transcrição foi extraída dele.
• De um backup não certificado: a exportação recebe o carimbo como sempre na hora de exportar e torna as alterações tão detectáveis quanto antes. Ela só não consegue dizer nada sobre o que aconteceu entre o backup e a exportação, porque nada testemunhou o backup em si. A exportação diz isso com honestidade: “Verificada na data de hoje. Este backup não foi certificado quando foi feito, então a integridade antes de hoje não é atestada.”

De qualquer jeito, a exportação é real e verificável de forma independente; a certificação só acrescenta uma âncora mais antiga, nunca tira nada.

Essa afirmação de “idênticos byte a byte” não é aceita na confiança a partir da certificação original. Antes de montar uma exportação de um backup certificado, o Text2Store confere de novo, de forma independente, o banco de mensagens do backup, o índice de arquivos (qual anexo pertence a qual mensagem) e os outros registros de que a exportação depende, contra a base de integridade do próprio backup, naquela hora, e não só uma vez quando o backup foi feito. Uma alteração em qualquer um deles depois da certificação é detectada e a exportação se recusa a ser montada, em vez de carregar em silêncio um selo de certificação que não bate mais com o que está de fato no backup.

O que ele não prova

Os mesmos limites honestos de uma exportação verificada valem aqui, um passo antes:

• Que o celular não foi manipulado antes do backup. A certificação ancora “sem alterações desde que o Text2Store capturou”, não “o aparelho estava dizendo a verdade quando foi capturado”.
• Como ele vai ser recebido. O Text2Store nunca afirma que um backup certificado ou as exportações feitas a partir dele serão aceitos por um destinatário ou processo específico. O peso de um registro é sempre decisão de quem o recebe. Veja a página da exportação verificada para a discussão completa.
• Nada sobre um backup feito antes desse recurso existir, ou um feito com a certificação desligada. A certificação nunca é retroativa, por projeto.

A âncora técnica

A certificação usa o mesmo padrão aberto da exportação verificada, carimbos de tempo confiáveis RFC 3161 assinados pela DigiCert, e o mesmo verificador do app a confere: ele recalcula o hash do registro de integridade do backup, confirma que a assinatura chega à raiz fixada da DigiCert, checa se ela era válida no momento atestado e informa o resultado. O mecanismo, o padrão e como conferir tudo à mão com ferramentas padrão estão documentados por completo na seção técnica da página da exportação verificada, porque os dois recursos compartilham exatamente o mesmo código de verificação e a mesma âncora de confiança.

Solução de problemas

“A exportação verificada não foi montada: … não bate mais com a base de integridade deste arquivo …”

A verificação antes da exportação descrita acima encontrou um dos arquivos de que um backup certificado depende alterado desde a certificação, talvez por degradação do disco onde ele está, talvez por adulteração. A exportação é recusada em vez de ser montada a partir de um arquivo que não bate mais com o que foi certificado. Clique no botão Verificar daquele arquivo para o mesmo diagnóstico com mais detalhes. Se for degradação do disco, um backup novo dá a você uma cópia limpa, recém-certificada; o arquivo afetado e seus outros arquivos não sofrem mais nada.

“… ele não está mais no disco.”

Falta um arquivo que o registro de integridade do backup espera; quase sempre algo foi apagado à mão de dentro da pasta do arquivo. Como acima, use Verificar naquele arquivo para ver os detalhes, e faça backup de novo se precisar de uma cópia certificada daquele aparelho.

Veja também

Exportar para PDF, RSMF para revisão de eDiscovery e backups criptografados.

Dúvidas?

Escreva para hello@text2store.com que a gente ajuda.