Contacts de confiance
Vos contacts de confiance reçoivent vos sessions, quand vous les partagez ou automatiquement en cas d'alerte, de contrainte ou d'absence de pointage. Ils détiennent aussi chacun une part de votre clé : avec le réglage par défaut, un seul d'entre eux peut la reconstruire si vous avez perdu votre phrase de passe.
Chaque contact a son propre compte ripoux.fr, anonyme comme le vôtre.
Les rôles
| Rôle | Ce qu'il permet |
|---|---|
| Lecture seule | Voit les sessions que vous lui partagez. Rien de plus. |
| Lecture et modification | Voit, exporte, prolonge le verrou. Reçoit les rappels si vous ne pointez pas, les alertes de contrainte et le partage automatique. |
Aucun rôle ne permet de supprimer avant la fin du verrou, ni de le raccourcir.
Un collectif (legal team, observatoire) peut aussi être ajouté, en lecture et modification : l'un de ses membres ouvre le lien d'invitation depuis le collectif, et tous ses membres voient alors les sessions partagées, les alertes, et qui les a prises en charge.
Parts de clé et contacts nécessaires
Votre clé maîtresse est découpée en autant de parts que de contacts, selon un partage de secret (Shamir). Le réglage Contacts nécessaires fixe le nombre de parts qu'il faut réunir pour la reconstruire.
Par défaut, un seul contact suffit : chaque contact, seul, peut reconstruire votre clé. C'est le réglage le plus simple, et le plus sûr contre la perte : il suffit qu'un seul contact soit joignable. La contrepartie est nette : un contact qui reconstruit votre clé obtient votre clé entière, donc l'accès à tout votre compte, et il n'a besoin de personne pour cela. Ne donnez une part qu'à des personnes à qui vous confieriez votre phrase de passe.
Pour vous protéger d'un contact isolé, augmentez ce nombre dans Paramètres avancés, sur la page Contacts, ou depuis Mon compte : avec 2 sur 3, par exemple, il faut deux contacts réunis, et une part seule ne révèle rien. L'écran affiche alors « 2 contacts sur 3 peuvent reconstruire votre clé ». Un nombre plus élevé protège mieux contre une entente limitée, mais demande plus de personnes joignables le jour où vous en avez besoin.
La part d'un contact est chiffrée pour lui seul ; le serveur la transmet sans pouvoir la lire. À chaque ajout ou retrait de contact, et à chaque changement du nombre de contacts nécessaires, les parts sont recalculées et redistribuées, et les anciennes deviennent inutilisables.
Ajouter un contact
- Sur Contacts, section Ajouter un contact : saisissez un nom (pour vous seul, chiffré), un rôle, et une phrase de protection du lien.
- Créer le lien d'invitation produit un lien à usage unique, valable 48 h.
- Envoyez le lien par un canal, et donnez la phrase de vive voix, jamais par le même canal que le lien.
- Le contact ouvre le lien, se connecte ou crée son compte, saisit la phrase. Il reçoit sa part de clé, qu'il chiffre aussitôt pour lui-même.
- Il apparaît dans votre liste, avec l'état de sa part : « Détenue, vérifiée le … ».
Tant que l'invitation n'est pas acceptée, le contact est marqué « invitation envoyée », sans part. Annuler l'invitation la rend inutilisable.
La phrase protège la part pendant le transport. Quelqu'un qui intercepterait le lien sans la phrase ne pourrait rien en faire, sauf à la deviner : choisissez-la longue.
Retirer ou modifier un contact
Modifier change son nom ou son rôle. Retirer un contact redistribue les parts aux autres : sa part ne sert plus à rien. Les sessions déjà partagées avec lui le restent : un accès ouvert ne se retire pas, pour qu'on ne puisse pas vous forcer à couper un partage. Les accès en attente, préparés mais pas encore ouverts, sont supprimés.
Récupérer son compte
Si vous avez perdu votre phrase de passe et votre clé de récupération :
- Allez sur la page de récupération et saisissez votre identifiant.
- Une demande part à vos contacts. Prévenez-les par un autre moyen, pour qu'ils sachent que c'est bien vous.
- Chaque contact qui accepte déchiffre sa part et la rechiffre pour votre demande, et seulement pour elle.
- Dès que le nombre de contacts nécessaires est atteint, votre navigateur reconstruit la clé. Vous choisissez une nouvelle phrase de passe.
- Les parts sont ensuite régénérées et redistribuées.
Un contact qui reçoit une demande de récupération inattendue doit vérifier de vive voix qu'elle vient bien de vous avant d'accepter. Une demande lancée par quelqu'un d'autre avec votre identifiant n'aboutit que si vos contacts acceptent.
Si vous avez votre clé de récupération, vos contacts ne sont pas nécessaires : voir Démarrer.
Ce que voit un contact
Un contact voit les sessions partagées avec lui, en lecture seule. Pour chacune : la personne, la durée sur le serveur, les secondes non reçues, la raison du partage (« Sous contrainte », « Partage immédiat », « Partagée par la personne »), la date de fin du verrou.
En cas de code de contrainte ou d'alerte terrain, une alerte rouge s'affiche en haut de sa page, avec l'heure des dernières images reçues. Je prends en charge indique aux autres membres d'un collectif que quelqu'un s'en occupe.
Une session masquée à vos contacts disparaît de la vue de tous les contacts.