ਸੁਰੱਖਿਆ

ਤਿਜੋਰੀ ਕਿਵੇਂ ਬਣਾਈ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਕੀ ਦਰਾੜ ਹੋਵੇਗੀ।

ਆਖਰੀ ਵਾਰ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ 21 ਸਤੰਬਰ 2026 · AssuredAuth, CircleRoll LLC ਦੁਆਰਾ

ਇਹ ਜਨਤਕ ਵਰਣਨ ਹੈ ਕਿ AssuredAuth ਤੁਹਾਡੇ ਦੁਆਰਾ ਇਸ ਵਿੱਚ ਰੱਖੇ ਗਏ ਦੋ-ਕਾਰਕ ਰਾਜ਼ਾਂ, ਪਾਸਵਰਡਾਂ ਅਤੇ ਕਾਰਡਾਂ ਦੀ ਕਿਵੇਂ ਰੱਖਿਆ ਕਰਦਾ ਹੈ। ਇਹ ਇਸ ਲਈ ਲਿਖਿਆ ਗਿਆ ਹੈ ਤਾਂ ਜੋ ਇੱਕ ਸੁਰੱਖਿਆ-ਮਨ ਵਾਲਾ ਪਾਠਕ ਐਪ ਅਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਟੈਸਟ ਵੈਕਟਰਾਂ (hello@assuredauth.com 'ਤੇ ਬੇਨਤੀ ਕਰਨ 'ਤੇ ਕਿਸੇ ਵੀ ਸਮੀਖਿਅਕ ਲਈ ​​ਉਪਲਬਧ) ਦੇ ਵਿਰੁੱਧ ਹਰ ਦਾਅਵੇ ਦੀ ਜਾਂਚ ਕਰ ਸਕੇ। ਇਹ ਕਹਿੰਦਾ ਹੈ ਕਿ ਸੱਚ ਕੀ ਹੈ ਅਤੇ ਹੋਰ ਕੀ ਨਹੀਂ: ਇੱਥੇ ਕੁਝ ਵੀ ਹਮਲੇ ਤੋਂ ਪਰੇ ਹੋਣ ਦਾ ਦਾਅਵਾ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਪ੍ਰਤੀਸ਼ਤ ਵਿੱਚ ਕੁਝ ਵੀ ਵਾਅਦਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।

ਛੋਟਾ ਸੰਸਕਰਣ: ਵਾਲਟ ਇੱਕ ਜਗ੍ਹਾ 'ਤੇ ਮੌਜੂਦ ਹੈ, ਤੁਹਾਡੇ ਫ਼ੋਨ 'ਤੇ। ਇਸ ਵਿੱਚ ਹਰ ਮੁੱਲ ਇੱਕ ਕੁੰਜੀ ਨਾਲ ਏਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ ਜੋ ਫ਼ੋਨ ਦੇ ਸੁਰੱਖਿਆ ਹਾਰਡਵੇਅਰ ਕੋਲ ਹੈ ਅਤੇ ਨਿਰਯਾਤ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਅਸੀਂ ਕੋਈ ਵਾਲਟ ਸਰਵਰ ਨਹੀਂ ਚਲਾਉਂਦੇ, ਕੋਈ ਕਾਪੀ ਨਹੀਂ ਰੱਖਦੇ ਅਤੇ ਕੋਈ ਕੁੰਜੀ ਨਹੀਂ ਰੱਖਦੇ। ਇੱਕ ਬੈਕਅੱਪ ਫਾਈਲ ਫ਼ੋਨ ਨੂੰ ਸਿਰਫ਼ ਉਦੋਂ ਹੀ ਛੱਡਦੀ ਹੈ ਜਦੋਂ ਇਸਨੂੰ ਇੱਕ ਪਾਸਫਰੇਜ ਦੇ ਅਧੀਨ ਏਨਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਕਦੇ ਵੀ ਕਿਤੇ ਵੀ ਸਟੋਰ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ।

ਸਮੱਸਿਆ ਦੀ ਰਿਪੋਰਟ ਕਰੋ: hello@assuredauth.com. ਅੰਤ ਵਿੱਚ "ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਕਰਨਾ" ਵੇਖੋ।

1. ਕੀ ਇਨਕ੍ਰਿਪਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਕਿਸ ਨਾਲ

ਡੇਟਾ	ਫ਼ੋਨ 'ਤੇ	ਕੁੰਜੀ
ਦੋ-ਕਾਰਕ ਰਾਜ਼ (TOTP/HOTP/ਭਾਫ਼ ਦੇ ਬੀਜ)	ਫ਼ੋਨ 'ਤੇਕੀਚੇਨ (iOS) / ਐਂਡਰਾਇਡ ਕੀਸਟੋਰ-ਬੈਕਡ ਸਟੋਰ	ਕੁੰਜੀਪਲੇਟਫਾਰਮ ਦੀ ਹਾਰਡਵੇਅਰ-ਬਾਊਂਡ ਕੁੰਜੀ; ਡੇਟਾਬੇਸ ਕਤਾਰ ਵਿੱਚ ਸਿਰਫ਼ ਇੱਕ ਹਵਾਲਾ (secretRef) ਹੁੰਦਾ ਹੈ, ਕਦੇ ਵੀ ਸੀਡ ਨਹੀਂ
ਪਾਸਵਰਡ (ਪਾਸਵਰਡ ਮੁੱਲ, ਨੋਟਸ)	ਫ਼ੋਨ 'ਤੇਸੀਲਬੰਦ ਕਤਾਰ: AES-256-GCM, ਪ੍ਰਤੀ ਮੁੱਲ ਇੱਕ ਬੇਤਰਤੀਬ 96-ਬਿੱਟ ਨਾਨਸ	ਕੁੰਜੀਇੱਕ ਬੇਤਰਤੀਬ 256-ਬਿੱਟ ਡੇਟਾ ਕੁੰਜੀ, ਜੋ ਕਿ ਹਾਰਡਵੇਅਰ ਕੁੰਜੀ ਦੁਆਰਾ §2 ਵਿੱਚ ਲਪੇਟੀ ਹੋਈ ਹੈ।
ਕਾਰਡ (ਨੰਬਰ, ਮਿਆਦ ਪੁੱਗਣ ਦੀ ਤਾਰੀਖ, ਕਾਰਡ 'ਤੇ ਨਾਮ, ਸੀਵੀਸੀ)	ਫ਼ੋਨ 'ਤੇਪਾਸਵਰਡਾਂ ਵਾਂਗ ਹੀ ਮੋਹਰ; CVC ਵਿਕਲਪਿਕ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਤਾਂ ਹੀ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੇਕਰ ਤੁਸੀਂ ਇਸਨੂੰ ਦਰਜ ਕਰਦੇ ਹੋ।	ਕੁੰਜੀਉਹੀ ਡਾਟਾ ਕੁੰਜੀ
ਮੈਟਾਡੇਟਾ (ਸੇਵਾ ਦੇ ਨਾਮ, ਉਪਭੋਗਤਾ ਨਾਮ, ਆਈਕਨ, ਛਾਂਟੀ ਕ੍ਰਮ)	ਫ਼ੋਨ 'ਤੇਐਪ ਦਾ ਡੇਟਾਬੇਸ (ਸਵਿਫਟਡਾਟਾ / ਕਮਰਾ)	ਕੁੰਜੀਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਦੀ ਫਾਈਲ ਇਨਕ੍ਰਿਪਸ਼ਨ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ; ਗੈਰ-ਗੁਪਤ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ
ਬੈਕਅੱਪ ਫਾਈਲ (.authbackup)	ਫ਼ੋਨ 'ਤੇਤੁਸੀਂ ਇਸਨੂੰ ਜਿੱਥੇ ਵੀ ਰੱਖੋ: ਫਾਈਲਾਂ, ਆਈਕਲਾਉਡ ਡਰਾਈਵ, ਗੂਗਲ ਡਰਾਈਵ ਐਪਡਾਟਾਫੋਲਡਰ, ਇੱਕ ਸ਼ੇਅਰ ਸ਼ੀਟ	ਕੁੰਜੀਤੁਹਾਡੇ ਪਾਸਫਰੇਜ (§3) ਤੋਂ ਪ੍ਰਾਪਤ ਕੀਤੀ ਗਈ ਇੱਕ ਕੁੰਜੀ। ਐਪਲ ਅਤੇ ਗੂਗਲ ਨੂੰ ਸੀਲਬੰਦ ਫਾਈਲ ਪ੍ਰਾਪਤ ਹੁੰਦੀ ਹੈ ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ।
Watch / Wear ਸਾਥੀ ਐਪ	ਫ਼ੋਨ 'ਤੇਘੜੀ ਦਾ ਆਪਣਾ ਕੀਚੇਨ / ਇਨਕ੍ਰਿਪਟਡਸ਼ੇਅਰਡਪ੍ਰੈਫਰੈਂਸ	ਕੁੰਜੀਵਾਚ ਪਲੇਟਫਾਰਮ ਦੀਆਂ ਕੁੰਜੀਆਂ; ਪਲੇਟਫਾਰਮ ਦੇ ਪੇਅਰਡ-ਡਿਵਾਈਸ ਚੈਨਲ ਉੱਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ।
ਡੈਸਕਟੌਪ ਐਕਸਟੈਂਸ਼ਨ ਟ੍ਰੈਫਿਕ (ਬੇਨਤੀ ਕਰਨ 'ਤੇ ਇੱਕ-ਵਾਰੀ ਕੋਡ)	ਫ਼ੋਨ 'ਤੇਸਟੋਰ ਨਹੀਂ ਕੀਤਾ ਗਿਆ; ਐਂਡ-ਟੂ-ਐਂਡ ਇਨਕ੍ਰਿਪਟਡ ਲਿਫ਼ਾਫ਼ਿਆਂ ਵਜੋਂ ਰੀਲੇਅ ਕੀਤਾ ਗਿਆ	ਕੁੰਜੀਪ੍ਰਤੀ ਜੋੜਾ ਇੱਕ X25519 ਕੁੰਜੀ ਜੋੜਾ, ਕੀਚੇਨ / ਕੀਸਟੋਰ ਵਿੱਚ ਨਿੱਜੀ ਕੁੰਜੀ; ਰੀਲੇਅ ਸਿਰਫ਼ ਸਿਫਰਟੈਕਸਟ ਦੇਖਦਾ ਹੈ

ਡਾਇਗਨੌਸਟਿਕਸ ਕੋਲ ਕੋਈ ਅਜਿਹਾ ਤਰੀਕਾ ਨਹੀਂ ਹੈ ਜੋ ਕਿਸੇ ਗੁਪਤ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਵਿਸ਼ਲੇਸ਼ਣ ਘਟਨਾ ਵਿੱਚ ਵਾਲਟ ਖੇਤਰ ਨਹੀਂ ਹੁੰਦਾ। ਕਿਸੇ ਵੀ ਬਿਲਡ ਵਿੱਚ, ਵਾਲਟ ਤੋਂ ਕੋਈ ਮੁੱਲ ਕਦੇ ਵੀ ਲੌਗ ਵਿੱਚ ਨਹੀਂ ਲਿਖਿਆ ਜਾਂਦਾ ਹੈ।

2. ਜਿੱਥੇ ਚਾਬੀਆਂ ਰਹਿੰਦੀਆਂ ਹਨ, ਹਰੇਕ ਪਲੇਟਫਾਰਮ 'ਤੇ

ਆਈਓਐਸ। ਡਾਟਾ ਕੁੰਜੀ ਨੂੰ ਸਕਿਓਰ ਐਨਕਲੇਵ (kSecAttrTokenIDSecureEnclave) ਦੇ ਅੰਦਰ ਜਨਰੇਟ ਕੀਤੀ ਗਈ ਇੱਕ ਕੁੰਜੀ ਨਾਲ ਲਪੇਟਿਆ ਜਾਂਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਐਕਸੈਸ ਕੰਟਰੋਲ .privateKeyUsage + .userPresence, ਪਹੁੰਚਯੋਗਤਾ ...ThisDeviceOnly, ਐਪ ਦੇ ਸਾਂਝੇ ਕੀਚੇਨ ਐਕਸੈਸ ਸਮੂਹ ਵਿੱਚ ਹੁੰਦਾ ਹੈ ਤਾਂ ਜੋ ਆਟੋਫਿਲ ਐਕਸਟੈਂਸ਼ਨ ਉਸੇ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕੇ। ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀ ਨੂੰ ਐਪ ਦੁਆਰਾ, ਬੈਕਅੱਪ ਦੁਆਰਾ, ਜਾਂ ਡੀਬਗਰ ਦੁਆਰਾ ਐਨਕਲੇਵ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਪੜ੍ਹਿਆ ਜਾ ਸਕਦਾ; ਐਨਕਲੇਵ ਸਿਰਫ ਉਪਭੋਗਤਾ ਦੇ ਮੌਜੂਦ ਹੋਣ ਤੋਂ ਬਾਅਦ ਹੀ ਇਸਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਸਹਿਮਤ ਹੁੰਦਾ ਹੈ (ਫੇਸ ਆਈਡੀ, ਟੱਚ ਆਈਡੀ ਜਾਂ ਡਿਵਾਈਸ ਪਾਸਕੋਡ)। ThisDeviceOnly ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਫ਼ੋਨ ਦਾ iCloud ਜਾਂ iTunes ਬੈਕਅੱਪ ਕੁੰਜੀ ਨਹੀਂ ਰੱਖਦਾ; ਇੱਕ ਰੀਸਟੋਰ ਕੀਤਾ ਫ਼ੋਨ ਇੱਕ ਖਾਲੀ ਵਾਲਟ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਅਤੇ ਤੁਹਾਡੀ ਬੈਕਅੱਪ ਫਾਈਲ ਅਤੇ ਪਾਸਫ੍ਰੇਜ਼ ਮੰਗਦਾ ਹੈ। ਬਿਨਾਂ ਪਾਸਕੋਡ ਵਾਲਾ ਫ਼ੋਨ .userPresence ਕੁੰਜੀ ਨੂੰ ਗੇਟ ਨਹੀਂ ਕਰ ਸਕਦਾ (ਐਨਕਲੇਵ ਇੱਕ ਬਣਾਉਣ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ), ਅਤੇ ਸਿਮੂਲੇਟਰ ਡਿਜ਼ਾਈਨ ਦੁਆਰਾ ਉਹੀ ਰਸਤਾ ਅਪਣਾਉਂਦਾ ਹੈ (ਇਸਦਾ ਮੌਜੂਦਗੀ ਪ੍ਰੋਂਪਟ ਇੱਕ ਚੇਤਾਵਨੀ ਹੈ ਜਿਸਦਾ ਕੋਈ ਟੈਸਟ ਜਵਾਬ ਨਹੀਂ ਦੇ ਸਕਦਾ): ਉੱਥੇ ਡੇਟਾ ਕੁੰਜੀ ਇੱਕ ਸਧਾਰਨ ਡਿਵਾਈਸ-ਓਨਲੀ ਕੀਚੇਨ ਆਈਟਮ ਹੈ — ਅਜੇ ਵੀ ਹਰੇਕ ਬੈਕਅੱਪ ਤੋਂ ਬਾਹਰ ਹੈ, ਫ਼ੋਨ ਲਾਕ ਹੋਣ 'ਤੇ ਵੀ ਪੜ੍ਹਨਯੋਗ ਨਹੀਂ ਹੈ, ਪਰ ਦੂਜੇ ਪ੍ਰੋਂਪਟ ਦੇ ਬਿਨਾਂ — ਅਤੇ ਸੁਰੱਖਿਆ ਸਕ੍ਰੀਨ ਬਿਲਕੁਲ ਇਹੀ ਕਹਿੰਦੀ ਹੈ ਅਤੇ ਇੱਕ ਪਾਸਕੋਡ ਸੈੱਟ ਕਰਨ ਦਾ ਸੁਝਾਅ ਦਿੰਦੀ ਹੈ।

ਐਂਡਰਾਇਡ। ਡਾਟਾ ਕੁੰਜੀ ਨੂੰ ਇੱਕ AndroidKeyStore AES-256 ਕੁੰਜੀ ਦੁਆਰਾ ਲਪੇਟਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ StrongBox ਵਿੱਚ ਉਦੋਂ ਤਿਆਰ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਡਿਵਾਈਸ ਵਿੱਚ ਇੱਕ (ਨਹੀਂ ਤਾਂ TEE) ਹੁੰਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ setUserAuthenticationRequired(true) ਅਤੇ ਬਾਇਓਮੈਟ੍ਰਿਕ ਜਾਂ ਡਿਵਾਈਸ ਕ੍ਰੇਡੈਂਸ਼ੀਅਲ, setUnlockedDeviceRequired(true), ਅਤੇ setInvalidatedByBiometricEnrollment(true) ਤੋਂ ਬਾਅਦ 30-ਸਕਿੰਟ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵੈਧਤਾ ਹੁੰਦੀ ਹੈ। ਇਹ ਆਖਰੀ ਫਲੈਗ ਲੋਡ-ਬੇਅਰਿੰਗ ਦੀ ਬਜਾਏ ਇਮਾਨਦਾਰ ਹੈ: ਐਂਡਰਾਇਡ ਇਸਨੂੰ ਸਿਰਫ਼ ਉਹਨਾਂ ਕੁੰਜੀਆਂ 'ਤੇ ਲਾਗੂ ਕਰਦਾ ਹੈ ਜੋ ਹਰ ਵਰਤੋਂ 'ਤੇ ਬਾਇਓਮੈਟ੍ਰਿਕ ਦੀ ਮੰਗ ਕਰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਡਿਵਾਈਸ ਕ੍ਰੇਡੈਂਸ਼ੀਅਲ ਦੇ ਨਾਲ ਇਸ 30-ਸਕਿੰਟ ਦੀ ਕੁੰਜੀ 'ਤੇ ਇਹ ਕੁਝ ਵੀ ਨਹੀਂ ਬਦਲਦਾ - ਜੋ ਚੀਜ਼ ਕਿਸੇ ਅਜਨਬੀ ਦੀ ਉਂਗਲ ਨੂੰ ਬਾਹਰ ਰੱਖਦੀ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਕਿਸੇ ਨੂੰ ਨਾਮ ਦਰਜ ਕਰਨ ਲਈ ਪਿੰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਸਕ੍ਰੀਨ ਲੌਕ ਨੂੰ ਹਟਾਉਣ ਨਾਲ ਕੁੰਜੀ ਹਮੇਸ਼ਾ ਲਈ ਅਯੋਗ ਹੋ ਜਾਂਦੀ ਹੈ। ਕੀਸਟੋਰ ਕੁੰਜੀਆਂ ਨਿਰਯਾਤਯੋਗ ਨਹੀਂ ਹਨ ਅਤੇ ਐਂਡਰਾਇਡ ਦੇ ਕਲਾਉਡ ਬੈਕਅੱਪ ਤੋਂ ਬਾਹਰ ਰੱਖੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇੱਕ ਡੋਮੇਨ ਜੋ ਇੱਕ ਐਪ ਆਪਣੇ ਖੁਦ ਦੇ ਵਿਯੂਜ਼ (webDomain) 'ਤੇ ਨਾਮ ਦਿੰਦੀ ਹੈ, ਸਿਰਫ ਇੱਕ ਜਾਣੇ-ਪਛਾਣੇ ਬ੍ਰਾਊਜ਼ਰ ਤੋਂ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ; ਕਿਸੇ ਵੀ ਹੋਰ ਪੈਕੇਜ ਤੋਂ ਇਹ ਉਹ ਵੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਸਿਸਟਮ ਨੇ ਉਸ ਪੈਕੇਜ (ਡਿਜੀਟਲ ਸੰਪਤੀ ਲਿੰਕ) ਲਈ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਹੈ, ਕਿਉਂਕਿ ਕੋਈ ਵੀ ਐਪ ਕਿਸੇ ਵੀ ਡੋਮੇਨ ਦਾ ਦਾਅਵਾ ਕਰ ਸਕਦਾ ਹੈ।

ਚੋਰੀ ਹੋਈ ਡੇਟਾਬੇਸ ਫਾਈਲ ਲਈ ਇਸਦਾ ਕੀ ਅਰਥ ਹੈ। SQLite ਫਾਈਲ ਅਤੇ ਸੀਲਬੰਦ ਕਤਾਰਾਂ ਸਿਫਰਟੈਕਸਟ ਹਨ। ਉਹਨਾਂ ਨੂੰ ਖੋਲ੍ਹਣ ਵਾਲੀ ਕੁੰਜੀ ਉਸ ਫ਼ੋਨ ਦੇ ਸੁਰੱਖਿਆ ਹਾਰਡਵੇਅਰ ਵਿੱਚ ਰਹਿੰਦੀ ਹੈ ਜਿਸ ਤੋਂ ਫਾਈਲ ਆਈ ਸੀ ਅਤੇ ਫਾਈਲ ਨਾਲ ਕਾਪੀ ਨਹੀਂ ਕੀਤੀ ਜਾ ਸਕਦੀ। ਆਫ਼ਲਾਈਨ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣ ਲਈ ਕੁਝ ਵੀ ਨਹੀਂ ਹੈ: ਡੇਟਾ ਕੁੰਜੀ ਬੇਤਰਤੀਬ ਹੈ, ਕਿਸੇ ਵਿਅਕਤੀ ਦੁਆਰਾ ਚੁਣੀ ਗਈ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਤੋਂ ਪ੍ਰਾਪਤ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ।

3. ਬੈਕਅੱਪ ਫਾਈਲ

ਬੈਕਅੱਪ ਹੀ ਇੱਕ ਅਜਿਹੀ ਚੀਜ਼ ਹੈ ਜੋ ਫ਼ੋਨ ਤੋਂ ਦੂਰ ਰਹਿੰਦੀ ਹੈ, ਇਸ ਲਈ ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਔਫਲਾਈਨ ਹਮਲਾ ਸੰਭਵ ਹੈ। ਡਿਜ਼ਾਈਨ ਉਸ ਹਮਲੇ ਨੂੰ ਮਹਿੰਗਾ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਜਿੰਨਾ ਸੰਭਵ ਹੋ ਸਕੇ ਘੱਟ ਕੰਮ ਕਰਨ ਦਿੰਦਾ ਹੈ:

• ਪਾਸਫਰੇਜ ਘੱਟੋ-ਘੱਟ 12 ਅੱਖਰਾਂ ਦਾ ਹੈ (ਸ਼ੀਟ ਘੱਟ ਅੱਖਰਾਂ ਨੂੰ ਰੱਦ ਕਰਦੀ ਹੈ ਅਤੇ ਇੱਕ ਤਾਕਤ ਪੱਟੀ ਦਿਖਾਉਂਦੀ ਹੈ)।
• ਕੋਈ ਵੀ ਪਾਸਫ੍ਰੇਜ਼ ਸੰਕੇਤ ਕਿਤੇ ਵੀ ਸਟੋਰ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ, ਫਾਈਲ ਵਿੱਚ ਜਾਂ ਐਪ ਵਿੱਚ।
• ਹਰੇਕ ਲਿਖੀ ਗਈ ਫਾਈਲ ਲਈ ਇੱਕ ਤਾਜ਼ਾ ਬੇਤਰਤੀਬ 16-ਬਾਈਟ ਸਾਲਟ ਅਤੇ 12-ਬਾਈਟ ਨੋਨਸ।
• ਪੂਰਾ ਬਾਡੀ AES-256-GCM ਹੈ, ਇਸ ਲਈ ਗਲਤ ਪਾਸਫ੍ਰੇਜ਼ ਜਾਂ ਖਰਾਬ ਫਾਈਲ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਕਦੇ ਵੀ ਕੂੜੇ ਵਿੱਚ ਡਿਕ੍ਰਿਪਟ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ।
• ਹੈਡਰ (ਫਾਰਮੈਟ, ਸੰਸਕਰਣ, KDF ਪੈਰਾਮੀਟਰ, ਸਾਲਟ) GCM ਟੈਗ ਵਿੱਚ ਵਾਧੂ ਪ੍ਰਮਾਣਿਤ ਡੇਟਾ ਦੇ ਰੂਪ ਵਿੱਚ ਬੰਨ੍ਹਿਆ ਹੋਇਆ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਫਾਈਲ ਜਿਸਦਾ ਵਰਕ ਫੈਕਟਰ ਸੰਪਾਦਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਖੁੱਲ੍ਹਦੀ ਨਹੀਂ ਹੈ।

ਇਹ ਫਾਈਲ JSON ਹੈ ਅਤੇ ਕਿਸੇ ਵੀ ਟੈਕਸਟ ਐਡੀਟਰ ਵਿੱਚ ਪੜ੍ਹਨਯੋਗ ਹੈ; ਸਿਰਫ਼ ਸਿਫਰਟੈਕਸਟ ਹੀ ਅਪਾਰਦਰਸ਼ੀ ਹੈ। ਕੋਈ ਵੀ ਜੋ ਪੰਜ ਸਾਲਾਂ ਵਿੱਚ ਫਾਈਲ ਲੱਭਦਾ ਹੈ, ਐਪ ਬੰਦ ਹੋਣ ਦੇ ਨਾਲ, ਉਹ ਬਿਲਕੁਲ ਦੇਖ ਸਕਦਾ ਹੈ ਕਿ ਇਸਨੂੰ ਕਿਵੇਂ ਸੀਲ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ ਇਸਨੂੰ OpenSSL ਜਾਂ ਕਿਸੇ ਵੀ Argon2 ਲਾਇਬ੍ਰੇਰੀ ਨਾਲ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ।

ਫਾਰਮੈਟ v1 (1.0 ਵਿੱਚ ਭੇਜਿਆ ਗਿਆ, ਪੜ੍ਹਨਯੋਗ ਰਹਿੰਦਾ ਹੈ)

{
  "format": "authbackup",
  "version": 1,
  "kdf": "PBKDF2-HMAC-SHA256",
  "rounds": 600000,
  "salt": "<base64, 16 bytes>",
  "cipher": "AES-256-GCM",
  "nonce": "<base64, 12 bytes>",
  "ciphertext": "<base64>",
  "tag": "<base64, 16 bytes>"
}

ਕਦਮ	ਬਾਈਟ
key	PBKDF2-HMAC-SHA256(passphrase as UTF-8, salt, 600000 rounds, 32 bytes)
aad	UTF-8("authbackup:1:600000:") ‖ salt (ਕੱਚਾ ਸਾਲਟ ਬਾਈਟ, ਬੇਸ64 ਨਹੀਂ)
ciphertext, tag	AES-256-GCM(key, nonce, plaintext, aad); ਟੈਗ 16 ਬਾਈਟ, ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸਟੋਰ ਕੀਤਾ ਗਿਆ
plaintext	UTF-8 JSON, ਕੁੰਜੀਆਂ ਕ੍ਰਮਬੱਧ: {"accounts":[…],"exportedAt":"…Z","passwords":[…],"version":1}

ਅਨੁਕੂਲਤਾ ਨੋਟ: ਐਂਡਰਾਇਡ 1.0 ਨੇ v1 ਦਾ ਇੱਕ ਰੂਪ ਲਿਖਿਆ — kdf ਛੋਟੇ ਅੱਖਰਾਂ ਵਿੱਚ, ਕੋਈ ਟੈਗ ਕੀ ਨਹੀਂ (16-ਬਾਈਟ ਟੈਗ ਸਿਫਰਟੈਕਸਟ ਨਾਲ ਜੋੜਿਆ ਗਿਆ), ਕੋਈ ਵਾਧੂ ਡੇਟਾ ਨਹੀਂ। ਦੋਵੇਂ ਪਲੇਟਫਾਰਮ ਉਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਪੜ੍ਹਦੇ ਰਹਿੰਦੇ ਹਨ (ਜਦੋਂ ਟੈਗ ਗੈਰਹਾਜ਼ਰ ਹੁੰਦਾ ਹੈ: ਆਖਰੀ 16 ਬਾਈਟਾਂ ਨੂੰ ਵੰਡੋ, ਖਾਲੀ AAD ਨਾਲ ਖੋਲ੍ਹੋ; kdf ਕੇਸ-ਅਸੰਵੇਦਨਸ਼ੀਲਤਾ ਨਾਲ ਤੁਲਨਾ ਕਰੋ) ਅਤੇ ਦੋਵੇਂ ਹੁਣ ਸਿਰਫ਼ ਉੱਪਰ ਵਾਲਾ ਲੇਆਉਟ ਲਿਖਦੇ ਹਨ।

ਫਾਰਮੈਟ v2 (ਮੌਜੂਦਾ; ਨਵੇਂ ਬੈਕਅੱਪਾਂ ਲਈ ਡਿਫਾਲਟ)

{
  "format": "authbackup",
  "version": 2,
  "kdf": "Argon2id",
  "memoryKiB": 65536,
  "passes": 3,
  "lanes": 1,
  "salt": "<base64, 16 bytes>",
  "cipher": "AES-256-GCM",
  "nonce": "<base64, 12 bytes>",
  "ciphertext": "<base64>",
  "tag": "<base64, 16 bytes>"
}

ਕਦਮ	ਬਾਈਟ
key	Argon2id(version 0x13, passphrase as UTF-8, salt, m = 65536 KiB, t = 3, p = 1, tagLength 32, no secret, no associated data)
aad	UTF-8("authbackup:2:argon2id:65536:3:1:") ‖ salt
ciphertext, tag	AES-256-GCM(key, nonce, plaintext, aad); ਟੈਗ 16 ਬਾਈਟ, ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸਟੋਰ ਕੀਤਾ ਗਿਆ
plaintext	UTF-8 JSON, ਕੁੰਜੀਆਂ ਕ੍ਰਮਬੱਧ: {"accounts":[…],"cards":[…],"exportedAt":"…Z","passwords":[…],"version":2}

Argon2id ਇੱਕ ਸੰਦਰਭ C ਲਾਗੂਕਰਨ (phc-winner-argon2, CC0) ਹੈ, ਜੋ ਦੋਵਾਂ ਪਲੇਟਫਾਰਮਾਂ 'ਤੇ ਵਿਕਰੇਤਾ ਹੈ। 64 MiB ਅਤੇ 3 ਪਾਸ ਇੱਕ ਮੌਜੂਦਾ ਫ਼ੋਨ 'ਤੇ ਲਗਭਗ ਇੱਕ ਸਕਿੰਟ ਲੈਂਦੇ ਹਨ ਅਤੇ ਹਰੇਕ ਅੰਦਾਜ਼ਾ ਲਗਾਉਂਦਾ ਹੈ ਕਿ ਕਿਸੇ ਵੀ ਹਾਰਡਵੇਅਰ 'ਤੇ ਉਸ ਮੈਮੋਰੀ ਅਤੇ ਸਮੇਂ ਦੀ ਕੀਮਤ ਹੈ — GPU ਰਿਗ ਦੇ ਵਿਰੁੱਧ PBKDF2 ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਘਾਟ ਹੈ, ਅਤੇ v2 ਮੌਜੂਦ ਹੋਣ ਦਾ ਕਾਰਨ। ਇੱਕ ਪਾਠਕ ਉਹਨਾਂ ਕੁੰਜੀਆਂ ਨੂੰ ਅਣਡਿੱਠਾ ਕਰ ਦਿੰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਉਹ ਨਹੀਂ ਜਾਣਦਾ, ਇਸ ਲਈ ਇੱਕ v2 ਬਾਡੀ ਦਿੱਤਾ ਗਿਆ v1 ਰੀਡਰ ਕਦੇ ਵੀ ਕਾਰਡ ਨਹੀਂ ਦੇਖਦਾ।

ਸਬੂਤ

ਤਿੰਨ ਟੈਸਟ-ਵੈਕਟਰ ਫਾਈਲਾਂ (ਬੈਕਅੱਪ v1, ਬੈਕਅੱਪ v2 ਅਤੇ Argon2id) ਇੱਕ ਤੀਜੇ ਲਾਗੂਕਰਨ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਜੋ ਦੋਵਾਂ ਐਪਾਂ ਤੋਂ ਸੁਤੰਤਰ ਹੁੰਦੀਆਂ ਹਨ (PBKDF2 ਅਤੇ AES-GCM ਲਈ ਨੋਡ ਦਾ OpenSSL, ਇੱਕ WebAssembly Argon2id ਜੋ ਸੰਦਰਭ ਲਾਗੂਕਰਨ ਦੇ ਪ੍ਰਕਾਸ਼ਿਤ ਜਵਾਬਾਂ ਦੇ ਵਿਰੁੱਧ ਪੀੜ੍ਹੀ ਸਮੇਂ ਜਾਂਚਿਆ ਜਾਂਦਾ ਹੈ)। ਹਰੇਕ ਵਿੱਚ ਪਾਸਫ੍ਰੇਜ਼, ਸਾਲਟ, ਨੋਨਸ, ਪਲੇਨਟੈਕਸਟ, ਡੈਰੀਵੇਟਿਡ ਕੁੰਜੀ, AAD, ਉਮੀਦ ਕੀਤੀ ਗਈ ਸਿਫਰਟੈਕਸਟ ਅਤੇ ਟੈਗ, ਅਤੇ ਪੂਰੀ ਫਾਈਲ ਹੁੰਦੀ ਹੈ। iOS ਅਤੇ Android 'ਤੇ ਯੂਨਿਟ ਟੈਸਟ ਇੱਕੋ ਫਾਈਲਾਂ ਨੂੰ ਪੜ੍ਹਦੇ ਹਨ ਅਤੇ ਇੱਕੋ ਬਾਈਟ ਦਾ ਦਾਅਵਾ ਕਰਦੇ ਹਨ - ਇਸ ਲਈ ਇੱਕ ਪਲੇਟਫਾਰਮ 'ਤੇ ਸੀਲ ਕੀਤਾ ਗਿਆ ਬੈਕਅੱਪ ਦੂਜੇ 'ਤੇ ਖੁੱਲ੍ਹਣ ਲਈ ਸਾਬਤ ਹੁੰਦਾ ਹੈ, ਮੰਨਿਆ ਨਹੀਂ ਜਾਂਦਾ, ਅਤੇ ਤਿੰਨਾਂ ਦਾ ਸਮਝੌਤਾ ਇੱਕੋ ਗਲਤੀ ਦੀਆਂ ਦੋ ਕਾਪੀਆਂ ਨਹੀਂ ਹੈ। ਇੱਕ ਸਾਥੀ ਟੂਲ ਇੱਕ ਫਾਈਲ ਖੋਲ੍ਹਦਾ ਹੈ ਜੋ ਇੱਕ ਫੋਨ ਨੇ ਅਸਲ ਵਿੱਚ ਉਸੇ ਤੀਜੇ ਲਾਗੂਕਰਨ ਨਾਲ ਲਿਖੀ ਸੀ ਅਤੇ ਉੱਪਰ ਦਿੱਤੇ ਨਿਯਮਾਂ ਦੇ ਵਿਰੁੱਧ ਹੈਡਰ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ (ਬਿਲਕੁਲ ਫਾਰਮੈਟ ਦੀਆਂ ਕੁੰਜੀਆਂ, ਇਸ ਲਈ ਕੋਈ ਸੰਕੇਤ ਜਾਂ ਨਾਮ ਮੌਜੂਦ ਨਹੀਂ ਹੋ ਸਕਦਾ; 16-ਬਾਈਟ ਸਾਲਟ, 12-ਬਾਈਟ ਨੋਨਸ, 16-ਬਾਈਟ ਟੈਗ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸਟੋਰ ਕੀਤਾ ਗਿਆ; ਸੰਸਕਰਣ 2 ਬਿਲਕੁਲ 64 MiB / 3 / 1 'ਤੇ; ਗਲਤ ਪਾਸਫ੍ਰੇਜ਼ ਇਨਕਾਰ ਕਰ ਦਿੱਤਾ ਗਿਆ); ਆਟੋਮੇਟਿਡ iOS ਰਨ ਸਿਮੂਲੇਟਰ 'ਤੇ ਇੱਕ ਲਿਖਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਖੋਲ੍ਹਦਾ ਹੈ, ਅਤੇ ਸਿਮੂਲੇਟਰ ਦੇ ਐਪ ਕੰਟੇਨਰ, ਐਪ ਗਰੁੱਪ ਕੰਟੇਨਰ ਅਤੇ ਕੀਚੇਨ ਡੇਟਾਬੇਸ ਨੂੰ ਹਰੇਕ ਸੀਡ ਕੀਤੇ ਪਾਸਵਰਡ ਅਤੇ ਕਾਰਡ ਨੰਬਰ ਲਈ UTF-8 ਅਤੇ UTF-16 (0 ਹਿੱਟ) ਦੇ ਰੂਪ ਵਿੱਚ ਖੋਜਦਾ ਹੈ।

4. ਧਮਕੀ ਮਾਡਲ

ਸਥਿਤੀ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈ
ਗੁੰਮ ਜਾਂ ਚੋਰੀ ਹੋਇਆ ਫ਼ੋਨ, ਲਾਕ ਕੀਤਾ ਹੋਇਆ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਡਿਵਾਈਸ, ਡੇਟਾਬੇਸ ਫਾਈਲ, ਸੀਲਬੰਦ ਕਤਾਰਾਂ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਸਾਈਫਰਟੈਕਸਟ। ਰੈਪਿੰਗ ਕੁੰਜੀ ਸਿਕਿਓਰ ਐਨਕਲੇਵ / ਸਟ੍ਰਾਂਗਬਾਕਸ ਵਿੱਚ ਹੈ ਅਤੇ ਡਿਵਾਈਸ ਲਾਕ ਅਤੇ ਇੱਕ ਤਾਜ਼ਾ ਬਾਇਓਮੈਟ੍ਰਿਕ ਜਾਂ ਪਾਸਕੋਡ ਤੋਂ ਬਾਅਦ ਹੀ ਜਾਰੀ ਹੁੰਦੀ ਹੈ। ਫ਼ੋਨ ਨੂੰ ਰਿਮੋਟਲੀ ਪੂੰਝਣ ਨਾਲ (ਮੇਰਾ ਲੱਭੋ / ਮੇਰਾ ਡਿਵਾਈਸ ਲੱਭੋ) ਇਸ ਨਾਲ ਮੁੱਖ ਸਮੱਗਰੀ ਨਸ਼ਟ ਹੋ ਜਾਂਦੀ ਹੈ।
ਚੋਰੀ ਹੋਈ ਬੈਕਅੱਪ ਫਾਈਲ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਕਲਾਉਡ ਖਾਤੇ, ਈਮੇਲ, ਲੈਪਟਾਪ ਤੋਂ .authbackup ਫਾਈਲ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਘੱਟੋ-ਘੱਟ 12 ਅੱਖਰਾਂ ਦੇ ਪਾਸਫਰੇਜ ਤੋਂ ਪ੍ਰਾਪਤ ਇੱਕ ਕੁੰਜੀ ਦੇ ਅਧੀਨ ਇੱਕ AES-256-GCM ਬਾਡੀ, ਜਿਸ ਵਿੱਚ ਪ੍ਰਤੀ-ਫਾਈਲ ਸਾਲਟ ਅਤੇ Argon2id 64 MiB × 3 ਪਾਸ (v2) ਜਾਂ PBKDF2 600,000 ਰਾਊਂਡ (v1) 'ਤੇ ਹੈ। ਕੋਈ ਸੰਕੇਤ ਨਹੀਂ, ਕੋਈ ਉਪਭੋਗਤਾ ਨਾਮ ਨਹੀਂ, ਕੋਈ ਖਾਤਾ ਸੂਚੀ ਸਾਫ਼ ਨਹੀਂ ਹੈ। ਹਰੇਕ ਅਨੁਮਾਨ ਦੀ ਪੂਰੀ ਪ੍ਰਾਪਤੀ ਹੁੰਦੀ ਹੈ; ਕੋਈ ਸ਼ਾਰਟਕੱਟ ਨਹੀਂ ਹੈ। ਇੱਕ ਮਜ਼ਬੂਤ ​​ਪਾਸਫਰੇਜ ਇੱਥੇ ਪੂਰਾ ਬਚਾਅ ਹੈ, ਅਤੇ ਐਪ ਸ਼ੀਟ 'ਤੇ ਅਜਿਹਾ ਕਹਿੰਦੀ ਹੈ।
ਚੋਰੀ ਹੋਇਆ ਡਿਵਾਈਸ ਜਿਸਦੀ ਸਕ੍ਰੀਨ ਅਨਲੌਕ ਹੈ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਤੁਹਾਡੇ ਹੱਥ ਵਿੱਚ ਇੱਕ ਫ਼ੋਨ, ਅਨਲੌਕ ਹੋਇਆ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਕੋਡਾਂ ਦੀ ਸੂਚੀ। ਵਾਲਟ (ਪਾਸਵਰਡ, ਕਾਰਡ) ਐਪ ਲਾਕ ਦੇ ਪਿੱਛੇ ਹੁੰਦਾ ਹੈ ਅਤੇ ਆਟੋ-ਲਾਕ ਟਾਈਮਰ (ਤੁਰੰਤ / 1 ਮਿੰਟ / 5 ਮਿੰਟ) 'ਤੇ ਦੁਬਾਰਾ ਲਾਕ ਹੁੰਦਾ ਹੈ; ਇੱਕ ਡੀਕ੍ਰਿਪਟਡ ਮੁੱਲ ਮੈਮੋਰੀ ਵਿੱਚ ਸਿਰਫ਼ ਉਦੋਂ ਹੀ ਮੌਜੂਦ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਇਸਦੀ ਸਕ੍ਰੀਨ ਇਸਨੂੰ ਦਿਖਾ ਰਹੀ ਹੁੰਦੀ ਹੈ। ਆਟੋਫਿਲ ਅਤੇ ਪਲੇਨ-ਟੈਕਸਟ ਐਕਸਪੋਰਟ ਐਪ ਖੁੱਲ੍ਹੇ ਹੋਣ 'ਤੇ ਵੀ ਇੱਕ ਤਾਜ਼ਾ ਬਾਇਓਮੈਟ੍ਰਿਕ ਦੀ ਮੰਗ ਕਰਦੇ ਹਨ। ਜੇਕਰ ਤੁਸੀਂ ਇਸ ਮਾਮਲੇ ਬਾਰੇ ਚਿੰਤਤ ਹੋ ਤਾਂ "ਤੁਰੰਤ" ਨਾਲ ਐਪ ਲਾਕ ਨੂੰ ਚਾਲੂ ਕਰੋ।
ਉਸੇ ਫ਼ੋਨ 'ਤੇ ਖ਼ਰਾਬ ਐਪ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਕਿਸੇ ਹੋਰ ਐਪ ਦਾ ਸੈਂਡਬੌਕਸ, ਕਲਿੱਪਬੋਰਡ, ਪਹੁੰਚਯੋਗਤਾ ਜਾਂ ਓਵਰਲੇ ਟ੍ਰਿਕਸ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਇਹ ਸਾਡੀਆਂ ਫਾਈਲਾਂ (ਪਲੇਟਫਾਰਮ ਸੈਂਡਬੌਕਸਿੰਗ) ਨੂੰ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ ਜਾਂ ਸਾਡੀ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰ ਸਕਦਾ (ਕੁੰਜੀ ਸਾਡੀ ਦਸਤਖਤ ਪਛਾਣ ਅਤੇ ਉਪਭੋਗਤਾ ਦੀ ਮੌਜੂਦਗੀ ਨਾਲ ਜੁੜੀ ਹੋਈ ਹੈ)। ਕਾਪੀਆਂ 30 ਸਕਿੰਟਾਂ ਬਾਅਦ ਕਲਿੱਪਬੋਰਡ ਤੋਂ ਸਾਫ਼ ਹੋ ਜਾਂਦੀਆਂ ਹਨ; ਐਂਡਰਾਇਡ 'ਤੇ ਕਾਪੀ ਨੂੰ ਸੰਵੇਦਨਸ਼ੀਲ ਫਲੈਗ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਕਲਿੱਪਬੋਰਡ ਇਤਿਹਾਸ ਤੋਂ ਬਾਹਰ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ। ਵਾਲਟ ਸਕ੍ਰੀਨਾਂ ਐਂਡਰਾਇਡ 'ਤੇ FLAG_SECURE ਸੈੱਟ ਕਰਦੀਆਂ ਹਨ (ਕੋਈ ਸਕ੍ਰੀਨਸ਼ੌਟ ਨਹੀਂ, ਕੋਈ ਸਕ੍ਰੀਨ ਰਿਕਾਰਡਿੰਗ ਨਹੀਂ, ਸਵਿੱਚਰ ਵਿੱਚ ਖਾਲੀ); iOS ਸਵਿੱਚਰ ਥੰਬਨੇਲ ਨੂੰ ਖਾਲੀ ਕਰ ਦਿੰਦਾ ਹੈ। ਐਂਡਰਾਇਡ 'ਤੇ ਆਟੋਫਿਲ ਸਿਰਫ਼ ਉਹਨਾਂ ਐਪਾਂ ਨੂੰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਸਿਸਟਮ ਨੇ ਸੇਵ ਕੀਤੇ ਡੋਮੇਨ (ਡਿਜੀਟਲ ਸੰਪਤੀ ਲਿੰਕ) ਦੇ ਵਿਰੁੱਧ ਤਸਦੀਕ ਕੀਤੀ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਦਿੱਖ ਵਾਲੀ ਐਪ ਨੂੰ ਤੁਹਾਡੇ ਪਾਸਵਰਡ ਦੀ ਪੇਸ਼ਕਸ਼ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
ਫਿਸ਼ਿੰਗ ਪੰਨਾ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਇੱਕ ਸਾਈਟ ਜੋ ਤੁਹਾਡੇ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਕੀਤੀ ਗਈ ਸਾਈਟ ਵਰਗੀ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਕੁਝ ਵੀ ਨਹੀਂ ਭਰਦਾ। ਮੇਲ ਕਰਨਾ ਰਜਿਸਟਰ ਕਰਨ ਯੋਗ ਡੋਮੇਨ (ਜਨਤਕ ਪਿਛੇਤਰ ਸੂਚੀ, ਐਪ ਨਾਲ ਬੰਡਲ ਅਤੇ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ) ਦੁਆਰਾ ਹੁੰਦਾ ਹੈ: login.example.com ਅਤੇ example.com ਮੇਲ, example.com.evil.net ਅਤੇ examp1e.com ਨਹੀਂ। ਇਨ-ਐਪ ਬ੍ਰਾਊਜ਼ਰ ਉਸੇ ਤਰ੍ਹਾਂ ਮੇਲ ਖਾਂਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਉਸ ਫਰੇਮ ਵਿੱਚ ਭਰਦਾ ਹੈ ਜਿਸਨੇ ਪੁੱਛਿਆ ਸੀ, ਭਰਨ ਦੇ ਸਮੇਂ ਉਸ ਫਰੇਮ ਦੇ ਆਪਣੇ ਮੂਲ ਦੇ ਵਿਰੁੱਧ ਦੁਬਾਰਾ ਜਾਂਚ ਕੀਤੀ ਗਈ; ਇੱਕ ਹੋਸਟ ਜਿਸਦਾ ਆਪਣਾ ਕੋਈ ਰਜਿਸਟਰ ਕਰਨ ਯੋਗ ਡੋਮੇਨ ਨਹੀਂ ਹੈ - ਇੱਕ IP ਪਤਾ, ਸਥਾਨਕ ਨੈੱਟਵਰਕ 'ਤੇ ਇੱਕ ਨੰਗਾ ਨਾਮ - ਬਿਲਕੁਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਅਤੇ ਕੁਝ ਵੀ ਘੱਟ ਨਹੀਂ ਹੁੰਦਾ। iOS ਆਟੋਫਿਲ ਐਪਲ ਦੇ ਸੰਬੰਧਿਤ-ਡੋਮੇਨ ਚੈੱਕ ਨੂੰ ਜੋੜਦਾ ਹੈ। ਇੱਕ ਪਾਸਵਰਡ ਜੋ ਤੁਹਾਨੂੰ ਹੱਥ ਨਾਲ ਇੱਕ ਸਮਾਨ ਦਿੱਖ ਵਿੱਚ ਪੇਸਟ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਜੇ ਵੀ ਇੱਕ ਜੋਖਮ ਹੈ; ਐਪ ਇਸਨੂੰ ਹਟਾ ਨਹੀਂ ਸਕਦਾ, ਸਿਰਫ ਮਦਦ ਕਰਨ ਤੋਂ ਬਚਦਾ ਹੈ।
ਸਾਡੇ ਆਪਣੇ ਸਰਵਰ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈ—	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਕੋਈ ਵਾਲਟ ਸਰਵਰ ਨਹੀਂ ਹੈ। AssuredAuth ਕੋਲ ਕੋਈ ਖਾਤੇ ਨਹੀਂ ਹਨ, ਕੋਈ ਸਾਈਨ-ਇਨ ਨਹੀਂ ਹੈ ਅਤੇ ਤੁਹਾਡੇ ਵਾਲਟ ਦੀ ਕੋਈ ਕਾਪੀ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਸਾਡੇ ਪਾਸੇ ਤੁਹਾਡਾ ਕੁਝ ਵੀ ਚੋਰੀ ਅਤੇ ਤੋੜਨ ਲਈ ਨਹੀਂ ਹੈ। ਦੋ ਚੀਜ਼ਾਂ ਸਰਵਰ-ਸਾਈਡ 'ਤੇ ਚੱਲਦੀਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਵਾਲਟ ਨੂੰ ਨਹੀਂ ਛੂੰਹਦਾ: ਡੈਸਕਟੌਪ ਐਕਸਟੈਂਸ਼ਨ ਲਈ ਇੱਕ ਰੀਲੇਅ ਮੇਲਬਾਕਸ, ਜੋ ਐਂਡ-ਟੂ-ਐਂਡ ਏਨਕ੍ਰਿਪਟਡ ਲਿਫ਼ਾਫ਼ੇ (ਇੱਕ-ਵਾਰੀ ਕੋਡ, ਪੜ੍ਹਨ 'ਤੇ ਮਿਟਾ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ; ਰੀਲੇਅ ਵਿੱਚ ਕਦੇ ਵੀ ਕੋਈ ਕੁੰਜੀ ਨਹੀਂ ਹੁੰਦੀ), ਅਤੇ ਵਿਕਲਪਿਕ ਪ੍ਰਾਈਵੇਟ ਕਨੈਕਸ਼ਨ ਦੇ ਐਗਜ਼ਿਟ ਸਰਵਰ, ਜੋ ਟ੍ਰੈਫਿਕ ਲੈ ਕੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਕੋਈ ਐਕਸੈਸ ਲੌਗ ਨਹੀਂ ਰੱਖਦੇ।
ਇੱਕ ਸੰਮਨ ਜਾਂ ਸਰਕਾਰੀ ਬੇਨਤੀ	ਉਨ੍ਹਾਂ ਕੋਲ ਕੀ ਹੈਸਾਨੂੰ ਸੰਬੋਧਿਤ ਕਾਨੂੰਨੀ ਪ੍ਰਕਿਰਿਆ	ਉਹਨਾਂ ਨੂੰ ਕੀ ਮਿਲਦਾ ਹੈਸੌਂਪਣ ਲਈ ਕੁਝ ਵੀ ਨਹੀਂ: ਸਾਡੇ ਕੋਲ ਕੋਈ ਤਿਜੋਰੀ ਨਹੀਂ, ਕੋਈ ਚਾਬੀ ਨਹੀਂ, ਕੋਈ ਪਾਸਫ੍ਰੇਜ਼ ਨਹੀਂ ਅਤੇ ਕੋਈ ਬੈਕਅੱਪ ਨਹੀਂ ਹੈ। ਸਾਨੂੰ ਇਹ ਕਹਿਣ ਲਈ ਮਜਬੂਰ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ; ਸਾਨੂੰ ਉਹ ਪੈਦਾ ਕਰਨ ਲਈ ਮਜਬੂਰ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਜੋ ਮੌਜੂਦ ਨਹੀਂ ਹੈ।

5. ਕਲਿੱਪਬੋਰਡ, ਸਕ੍ਰੀਨਸ਼ਾਟ ਅਤੇ ਮੈਮੋਰੀ

• ਕਾਪੀ ਮੁੱਲ ਨੂੰ ਕਲਿੱਪਬੋਰਡ 'ਤੇ 30 ਸਕਿੰਟਾਂ ਲਈ ਰੱਖਦਾ ਹੈ, ਫਿਰ ਜੇਕਰ ਇਹ ਅਜੇ ਵੀ ਸਾਡਾ ਹੈ ਤਾਂ ਇਸਨੂੰ ਸਾਫ਼ ਕਰ ਦਿੰਦਾ ਹੈ। ਐਂਡਰਾਇਡ 'ਤੇ ਕਲਿੱਪ ਨੂੰ EXTRA_IS_SENSITIVE ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਗਿਆ ਹੈ ਇਸ ਲਈ ਸਿਸਟਮ ਇਸਨੂੰ ਕਲਿੱਪਬੋਰਡ ਪ੍ਰੀਵਿਊ ਅਤੇ ਇਤਿਹਾਸ ਤੋਂ ਲੁਕਾਉਂਦਾ ਹੈ; iOS 'ਤੇ ਪੇਸਟਬੋਰਡ ਆਈਟਮ ਸਿਰਫ਼ ਸਥਾਨਕ ਹੈ (ਹੋਰ ਡਿਵਾਈਸਾਂ ਨੂੰ ਹੈਂਡਆਫ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ)।
• ਵਾਲਟ ਸਕ੍ਰੀਨਾਂ (ਪਾਸਵਰਡ, ਪਾਸਵਰਡ, ਕਾਰਡ, ਕਾਰਡ, ਪਾਸਫ੍ਰੇਜ਼ ਸ਼ੀਟਾਂ, ਪਲੇਨ-ਟੈਕਸਟ ਐਕਸਪੋਰਟ) ਐਂਡਰਾਇਡ 'ਤੇ FLAG_SECURE ਸੈੱਟ ਕਰਦੀਆਂ ਹਨ। iOS ਦਾ ਕੋਈ ਸਮਾਨ ਫਲੈਗ ਨਹੀਂ ਹੈ; ਐਪ ਐਪ ਸਵਿੱਚਰ ਵਿੱਚ ਆਪਣੇ ਥੰਬਨੇਲ ਨੂੰ ਖਾਲੀ ਕਰ ਦਿੰਦੀ ਹੈ ਅਤੇ ਮੁੱਲ ਡਿਫੌਲਟ ਤੌਰ 'ਤੇ ਅੱਖ ਟੌਗਲ ਦੇ ਪਿੱਛੇ ਹੁੰਦੇ ਹਨ।
• ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਮੁੱਲ ਸਿਰਫ਼ ਉਦੋਂ ਹੀ ਮੈਮੋਰੀ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ ਜਦੋਂ ਇੱਕ ਸਕ੍ਰੀਨ ਉਹਨਾਂ ਨੂੰ ਦਿਖਾਉਂਦੀ ਹੈ ਅਤੇ ਜਦੋਂ ਇਹ ਚਲੀ ਜਾਂਦੀ ਹੈ ਜਾਂ ਐਪ ਲਾਕ ਹੋ ਜਾਂਦੀ ਹੈ ਤਾਂ ਛੱਡ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ। ਡੇਟਾ ਕੁੰਜੀ ਨੂੰ ਬੇਨਤੀ ਲਈ ਖੋਲ੍ਹਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਲਾਕ ਵਿੱਚ ਕੈਸ਼ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਪਲੇਨ-ਟੈਕਸਟ ਐਕਸਪੋਰਟ ਮੌਜੂਦ ਹੈ (ਇਸ ਲਈ ਤੁਸੀਂ ਹਮੇਸ਼ਾ ਛੱਡ ਸਕਦੇ ਹੋ) ਅਤੇ ਇੱਕ ਪੁਸ਼ਟੀ ਸ਼ੀਟ ਅਤੇ ਇੱਕ ਤਾਜ਼ਾ ਬਾਇਓਮੈਟ੍ਰਿਕ ਦੇ ਪਿੱਛੇ ਹੈ, ਅਤੇ ਇਸਦੀ ਸਕ੍ਰੀਨ ਵੀ FLAG_SECURE ਹੈ।

6. ਆਟੋਫਿਲ: ਕੀ ਭਰਦਾ ਹੈ, ਅਤੇ ਕੀ ਨਹੀਂ

ਕਿੱਥੇ	ਪਾਸਵਰਡ	ਕਾਰਡ
iOS: ਸਫਾਰੀ ਅਤੇ ਐਪਸ (ਆਟੋਫਿਲ ਐਕਸਟੈਂਸ਼ਨ)	ਪਾਸਵਰਡਹਾਂ, ਐਕਸਟੈਂਸ਼ਨ (LAContext) ਵਿੱਚ ਇੱਕ ਨਵੇਂ ਫੇਸ ਆਈਡੀ / ਟੱਚ ਆਈਡੀ / ਪਾਸਕੋਡ ਤੋਂ ਬਾਅਦ, ਅਤੇ ਸਿਰਫ਼ ਰਜਿਸਟਰ ਕਰਨ ਯੋਗ ਡੋਮੇਨ ਲਈ ਐਂਟਰੀ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਐਪਲ ਦੇ ਐਸੋਸੀਏਟਿਡ-ਡੋਮੇਨ ਐਪਸ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹਨ।	ਕਾਰਡਨਹੀਂ। ਸਫਾਰੀ ਵਿੱਚ ਕਾਰਡ ਆਟੋਫਿਲ ਸਿਰਫ਼ ਐਪਲ ਦਾ ਹੈ; ਕਾਰਡ ਸਕ੍ਰੀਨ ਕਹਿੰਦੀ ਹੈ "AssuredAuth ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਭਰਦਾ ਹੈ ਅਤੇ ਕਾਪੀ ਨਾਲ" ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ ਦੇਣ ਦਾ ਵਾਅਦਾ ਕਰਦਾ ਹੈ।
ਐਂਡਰਾਇਡ: ਐਪਸ ਅਤੇ ਕਰੋਮ (ਆਟੋਫਿਲ ਸਰਵਿਸ)	ਪਾਸਵਰਡਹਾਂ, ਪ੍ਰਤੀ-ਡੇਟਾਸੈੱਟ ਪ੍ਰਮਾਣੀਕਰਨ: ਸਿਸਟਮ ਭਰਨ ਤੋਂ ਪਹਿਲਾਂ ਬਾਇਓਮੈਟ੍ਰਿਕ ਪ੍ਰੋਂਪਟ ਦਿਖਾਉਂਦਾ ਹੈ; ਐਪ ਪੈਕੇਜ ਸਿਰਫ਼ ਉਦੋਂ ਹੀ ਮੇਲ ਖਾਂਦਾ ਹੈ ਜਦੋਂ ਡਿਜੀਟਲ ਸੰਪਤੀ ਲਿੰਕ ਇਸਨੂੰ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਡੋਮੇਨ ਨਾਲ ਜੋੜਦੇ ਹਨ।	ਕਾਰਡਹਾਂ, ਕ੍ਰੈਡਿਟਕਾਰਡਨੰਬਰ, ਕ੍ਰੈਡਿਟਕਾਰਡਐਕਸਪਾਇਰੀ* ਅਤੇ ਕ੍ਰੈਡਿਟਕਾਰਡਸਕਿਓਰਿਟੀਕੋਡ ਸੰਕੇਤ, ਉਹੀ ਬਾਇਓਮੈਟ੍ਰਿਕ ਗੇਟ
AssuredAuth ਬ੍ਰਾਊਜ਼ਰ (ਦੋਵੇਂ ਪਲੇਟਫਾਰਮ)	ਪਾਸਵਰਡਹਾਂ, ਰਜਿਸਟਰ ਕਰਨ ਯੋਗ ਡੋਮੇਨ ਦੁਆਰਾ - ਇੱਕ ਹੋਸਟ ਜਿਸਦਾ ਆਪਣਾ ਕੋਈ ਵੀ ਮੇਲ ਬਿਲਕੁਲ ਨਹੀਂ ਹੈ - ਉਸ ਫਰੇਮ ਵਿੱਚ ਜਿਸਨੇ ਪੁੱਛਿਆ ਸੀ, ਭਰਨ ਤੋਂ ਪਹਿਲਾਂ ਬਾਇਓਮੈਟ੍ਰਿਕ	ਕਾਰਡਹਾਂ, ਫੀਲਡ ਡਿਟੈਕਸ਼ਨ ਦੁਆਰਾ, ਭਰਨ ਤੋਂ ਪਹਿਲਾਂ ਬਾਇਓਮੈਟ੍ਰਿਕ
ਕਾਪੀ ਬਟਨ	ਪਾਸਵਰਡਐਪ ਲਾਕ ਦੇ ਪਿੱਛੇ, 30-ਸਕਿੰਟ ਦਾ ਕਲਿੱਪਬੋਰਡ	ਕਾਰਡਨੰਬਰ, ਮਿਆਦ ਪੁੱਗਣ ਦੀ ਤਾਰੀਖ, CVC (ਉਹੀ ਨਿਯਮ)

ਇੱਕ ਵਰਗੇ ਦਿਖਣ ਵਾਲੇ ਹੋਸਟ 'ਤੇ ਕੁਝ ਵੀ ਨਹੀਂ ਭਰਦਾ। ਬਾਇਓਮੈਟ੍ਰਿਕ ਤੋਂ ਬਿਨਾਂ ਕੁਝ ਵੀ ਨਹੀਂ ਭਰਦਾ।

7. ਜੋ ਕਦੇ ਨਹੀਂ ਹੁੰਦਾ

ਕੋਈ ਵਾਲਟ ਸਰਵਰ ਨਹੀਂ। ਕੋਈ ਵਿਸ਼ਲੇਸ਼ਣ ਨਹੀਂ ਜੋ ਵਾਲਟ ਖੇਤਰ ਰੱਖਦਾ ਹੈ। ਪੁਸ਼ਟੀ ਸ਼ੀਟ ਅਤੇ ਇੱਕ ਤਾਜ਼ਾ ਬਾਇਓਮੈਟ੍ਰਿਕ ਤੋਂ ਬਿਨਾਂ ਕੋਈ ਪਲੇਨ-ਟੈਕਸਟ ਨਿਰਯਾਤ ਨਹੀਂ। ਵਾਲਟ ਸਕ੍ਰੀਨ 'ਤੇ ਕੋਈ ਤੀਜੀ-ਧਿਰ SDK ਲੋਡ ਨਹੀਂ ਕੀਤਾ ਗਿਆ। ਵਾਲਟ ਸਕ੍ਰੀਨ ਦਾ ਕੋਈ ਸਕ੍ਰੀਨਸ਼ੌਟ ਨਹੀਂ। ਕੋਈ ਪਾਸਫ੍ਰੇਜ਼ ਸੰਕੇਤ ਨਹੀਂ। ਕਿਸੇ ਵੀ ਬਿਲਡ ਵਿੱਚ ਮੁੱਲਾਂ ਦੀ ਕੋਈ ਲੌਗਿੰਗ ਨਹੀਂ।

8. ਅਸੀਂ ਕਿਸ ਤੋਂ ਬਚਾਅ ਨਹੀਂ ਕਰ ਸਕਦੇ

ਇੱਕ ਪਾਸਫ੍ਰੇਜ਼ ਇੰਨਾ ਕਮਜ਼ੋਰ ਹੈ ਕਿ ਅੰਦਾਜ਼ਾ ਲਗਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਇੱਕ ਫ਼ੋਨ ਜਿਸਦਾ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਰੂਟ ਤੋਂ ਖਰਾਬ ਹੈ (ਇੱਕ ਜੇਲ੍ਹ-ਭਰੋਟ ਜਾਂ ਰੂਟਡ ਡਿਵਾਈਸ ਉਪਰੋਕਤ ਹਰ ਚੀਜ਼ ਬਾਰੇ ਐਪ ਨਾਲ ਝੂਠ ਬੋਲ ਸਕਦਾ ਹੈ)। ਇੱਕ ਵਿਅਕਤੀ ਜਿਸਨੂੰ ਟਾਈਪ ਕਰਦੇ ਸਮੇਂ ਦੇਖਿਆ ਜਾਂਦਾ ਹੈ। ਡੈਸਕਟੌਪ 'ਤੇ ਮਾਲਵੇਅਰ ਜਿਸ ਵਿੱਚ ਤੁਸੀਂ ਪੇਸਟ ਕਰਦੇ ਹੋ। ਅਸੀਂ ਇਹ ਇਸ ਲਈ ਕਹਿੰਦੇ ਹਾਂ ਤਾਂ ਜੋ ਉਪਰੋਕਤ ਸੂਚੀ ਨੂੰ ਪੜ੍ਹਿਆ ਜਾ ਸਕੇ ਕਿ ਇਹ ਕੀ ਹੈ: ਉਹ ਚੀਜ਼ਾਂ ਜੋ ਇੱਕ ਡਿਜ਼ਾਈਨ ਹਟਾ ਸਕਦਾ ਹੈ, ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਹੈ।

9. ਸਥਿਤੀ ਦੀ ਸਮੀਖਿਆ ਕਰੋ

ਇਸ ਡਿਜ਼ਾਈਨ ਨੂੰ ਪਲੇਟਫਾਰਮਾਂ 'ਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਜਾਣੇ-ਪਛਾਣੇ ਜਵਾਬਾਂ ਅਤੇ ਇਸਦੇ ਆਪਣੇ ਕਰਾਸ-ਪਲੇਟਫਾਰਮ ਵੈਕਟਰਾਂ ਦੇ ਵਿਰੁੱਧ ਯੂਨਿਟ-ਟੈਸਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਸਟੋਰ ਸੂਚੀ 'ਤੇ ਵਾਲਟ ਦਾ ਇਸ਼ਤਿਹਾਰ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਲਕ ਦੀ ਸੂਚੀ 'ਤੇ ਇੱਕ ਬਾਹਰੀ ਸਮੀਖਿਆ ਹੁੰਦੀ ਹੈ; ਜਦੋਂ ਤੱਕ ਇਹ ਨਹੀਂ ਹੋ ਜਾਂਦਾ, ਇਹ ਦਸਤਾਵੇਜ਼ ਇੱਥੇ ਇਹੀ ਕਹੇਗਾ।

10. ਜਿੱਥੇ ਚੀਜ਼ਾਂ ਚੱਲਦੀਆਂ ਹਨ

ਵਾਲਟ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਫ਼ੋਨ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਂਦਾ, ਪਰ ਇਸਦੇ ਆਲੇ ਦੁਆਲੇ ਕੁਝ ਚੀਜ਼ਾਂ ਦੂਜੇ ਲੋਕਾਂ ਦੀਆਂ ਮਸ਼ੀਨਾਂ 'ਤੇ ਚੱਲਦੀਆਂ ਹਨ। ਇਹ ਸੂਚੀ ਹੈ, ਅਤੇ ਹਰੇਕ ਵਿੱਚ ਕੀ ਹੈ; ਡੇਟਾ ਫਲੋ ਆਪਣੇ ਆਪ https://assuredauth.com/privacy 'ਤੇ ਗੋਪਨੀਯਤਾ ਨੀਤੀ ਵਿੱਚ ਵਰਣਨ ਕੀਤੇ ਗਏ ਹਨ।

• ਗੂਗਲ ਕਲਾਉਡ / ਫਾਇਰਬੇਸ — ਡੈਸਕਟੌਪ ਐਕਸਟੈਂਸ਼ਨ (ਐਂਡ-ਟੂ-ਐਂਡ ਏਨਕ੍ਰਿਪਟਡ ਲਿਫ਼ਾਫ਼ੇ, ਪੜ੍ਹਨ 'ਤੇ ਮਿਟਾਏ ਜਾਂਦੇ ਹਨ), ਪੁਸ਼ ਟੋਕਨ, ਖਰੀਦ ਸਥਿਤੀ, ਅਤੇ ਸੰਪਰਕ ਫਾਰਮ ਰਾਹੀਂ ਭੇਜੇ ਗਏ ਸੁਨੇਹੇ ਲਈ ਰੀਲੇਅ ਮੇਲਬਾਕਸ।
• ਵਰਸੇਲ — assuredauth.com, ਇਸਦੇ ਪੰਨੇ ਅਤੇ ਉਹਨਾਂ ਦੇ ਪਿੱਛੇ ਛੋਟੇ ਫੰਕਸ਼ਨ।
• ਵੁਲਟਰ — ਪ੍ਰਾਈਵੇਟ ਕਨੈਕਸ਼ਨ ਦੇ ਐਗਜ਼ਿਟ ਸਰਵਰ। ਟ੍ਰੈਫਿਕ ਉਹਨਾਂ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ; ਕੁਝ ਵੀ ਸਟੋਰ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ।
• ਐਪਲ ਅਤੇ ਗੂਗਲ ਪਲੇ - ਖਰੀਦਦਾਰੀ ਅਤੇ ਗਾਹਕੀਆਂ, ਆਪਣੇ ਆਪਣੇ ਸਟੋਰਾਂ ਵਿੱਚ।
• ਪੋਸਟਹੌਗ — ਉਤਪਾਦ ਵਿਸ਼ਲੇਸ਼ਣ: ਵਰਤੀ ਗਈ ਚੀਜ਼ ਦੀ ਗਿਣਤੀ, ਬਿਨਾਂ ਕਿਸੇ ਪਛਾਣ ਨਾਲ ਜੁੜੀ ਹੋਈ।
• RevenueCat — ਗਾਹਕੀ ਦੀ ਸਥਿਤੀ: ਕਿਰਿਆਸ਼ੀਲ ਜਾਂ ਮਿਆਦ ਪੁੱਗ ਚੁੱਕੀ, ਅਤੇ ਕਿਸ ਯੋਜਨਾ 'ਤੇ।

ਹਰੇਕ ਕੋਲ ਆਪਣੀ ਲਾਈਨ ਜੋ ਕਹਿੰਦੀ ਹੈ ਉਹੀ ਹੁੰਦਾ ਹੈ ਅਤੇ ਵਾਲਟ ਤੋਂ ਕੁਝ ਨਹੀਂ ਹੁੰਦਾ। ਜਦੋਂ ਉਤਪਾਦ ਅਜਿਹਾ ਕਰਦਾ ਹੈ ਤਾਂ ਸੂਚੀ ਬਦਲ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਇਹ ਭਾਗ ਇਸਦੇ ਨਾਲ ਬਦਲਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਕਰਨਾ

ਜੇਕਰ ਤੁਹਾਨੂੰ ਲੱਗਦਾ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਇੱਥੇ ਦੱਸੀ ਗਈ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਵਿੱਚ ਕੋਈ ਕਮਜ਼ੋਰੀ ਮਿਲੀ ਹੈ, ਤਾਂ hello@assuredauth.com 'ਤੇ "ਸੁਰੱਖਿਆ" ਵਿਸ਼ੇ ਨਾਲ ਲਿਖੋ। ਕਿਰਪਾ ਕਰਕੇ ਪਲੇਟਫਾਰਮ, ਐਪ ਸੰਸਕਰਣ ਅਤੇ ਕਦਮ ਸ਼ਾਮਲ ਕਰੋ; ਇੱਕ ਸਬੂਤ ਜੋ ਤੁਹਾਡੇ ਆਪਣੇ ਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਉਹ ਕਾਫ਼ੀ ਹੈ, ਅਤੇ ਅਸੀਂ ਤੁਹਾਨੂੰ ਦੂਜੇ ਲੋਕਾਂ ਦੇ ਵਿਰੁੱਧ ਟੈਸਟ ਨਾ ਕਰਨ ਲਈ ਕਹਿੰਦੇ ਹਾਂ। ਅਸੀਂ PGP ਕੁੰਜੀ ਦੀ ਪੇਸ਼ਕਸ਼ ਨਹੀਂ ਕਰਦੇ ਹਾਂ; ਜੇਕਰ ਕੋਈ ਰਿਪੋਰਟ ਸਾਦੇ ਈਮੇਲ ਵਿੱਚ ਯਾਤਰਾ ਨਹੀਂ ਕਰਨੀ ਚਾਹੀਦੀ, ਤਾਂ ਪਹਿਲੇ ਸੁਨੇਹੇ ਵਿੱਚ ਅਜਿਹਾ ਦੱਸੋ ਅਤੇ ਅਸੀਂ ਕਿਸੇ ਹੋਰ ਤਰੀਕੇ ਨਾਲ ਪ੍ਰਬੰਧ ਕਰਾਂਗੇ।

ਬਦਲੇ ਵਿੱਚ ਅਸੀਂ ਕੀ ਵਾਅਦਾ ਕਰਦੇ ਹਾਂ: ਅਸੀਂ ਤਿੰਨ ਕਾਰੋਬਾਰੀ ਦਿਨਾਂ ਦੇ ਅੰਦਰ ਸਵੀਕਾਰ ਕਰਦੇ ਹਾਂ, ਜਦੋਂ ਤੱਕ ਅਸੀਂ ਇਸ 'ਤੇ ਕੰਮ ਕਰਦੇ ਹਾਂ, ਤੁਹਾਨੂੰ ਸੂਚਿਤ ਕਰਦੇ ਰਹਿੰਦੇ ਹਾਂ, ਇਸ ਬਾਰੇ ਕੁਝ ਵੀ ਪ੍ਰਕਾਸ਼ਿਤ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਲੀਅਤ ਨੂੰ ਠੀਕ ਕਰਦੇ ਹਾਂ, ਅਤੇ ਜੇਕਰ ਤੁਸੀਂ ਕ੍ਰੈਡਿਟ ਪ੍ਰਾਪਤ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹੋ ਤਾਂ ਤੁਹਾਨੂੰ ਇੱਥੇ ਕ੍ਰੈਡਿਟ ਦਿੰਦੇ ਹਾਂ। ਅਸੀਂ ਹੇਠਾਂ ਦਿੱਤੇ ਦਾਇਰੇ ਵਿੱਚ ਨੇਕਨੀਤੀ ਨਾਲ ਕੀਤੀ ਗਈ ਖੋਜ 'ਤੇ ਕਾਨੂੰਨੀ ਕਾਰਵਾਈ ਨਹੀਂ ਕਰਾਂਗੇ।

ਦਾਇਰੇ ਵਿੱਚ: iOS ਅਤੇ Android ਐਪਸ, ਵਾਚ ਐਪਸ, ਡੈਸਕਟੌਪ ਐਕਸਟੈਂਸ਼ਨ, assuredauth.com ਅਤੇ ਇਸਦਾ API। ਦਾਇਰੇ ਤੋਂ ਬਾਹਰ: ਐਪ ਸਟੋਰ ਅਤੇ ਗੂਗਲ ਪਲੇ ਖੁਦ, ਉੱਪਰ ਸੂਚੀਬੱਧ ਪ੍ਰਦਾਤਾ, ਕਿਸੇ ਦੀ ਵੀ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ, ਅਤੇ ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ।

ਇਸ ਸਮੇਂ ਕੋਈ ਇਨਾਮ ਨਹੀਂ ਹੈ। ਇੱਕ ਰਿਪੋਰਟ ਦਾ ਜਵਾਬ ਪੈਸੇ ਨਾਲ ਨਹੀਂ, ਸਗੋਂ ਹੱਲ ਅਤੇ ਧੰਨਵਾਦ ਨਾਲ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।