Безопасность

#Как защищён ваш трафик

Colitu шифрует трафик между вашим устройством и VPN-сервером Colitu. Шифрование заканчивается на VPN-сервере: на участке от него до сайта трафик защищён только собственным HTTPS сайта.

• Все режимы подключения используют проверенные протоколы (Hysteria2, VLESS Reality и XHTTP, Trojan, Shadowsocks 2022) через известные реализации (Xray-core, sing-box, Hysteria). Собственной криптографии у Colitu нет.
• Подлинность сервера проверяется при каждом подключении (по TLS-сертификату, ключу Reality или общему ключу), поэтому подключиться к поддельному серверу не получится.
• TLS-сертификаты серверов обновляются автоматически.
• Известные ограничения: Trojan принимает TLS 1.2 или 1.3 (сервер пока не требует 1.3), у Shadowsocks 2022 нет прямой секретности (forward secrecy).

Соседи по Wi-Fi, ваш провайдер или администратор сети не видят, какие сайты вы открываете и что отправляете через туннель. Им видно, что вы подключены к серверу Colitu, когда и примерно какой объём данных вы используете. Трафик, который приложения отправляют мимо туннеля (например, некоторые региональные сайты из встроенного списка и локальная сеть), не защищён; см. Раздельное туннелирование.

Сам VPN-сервер технически видит ваш IP-адрес и то, куда идёт трафик, но не содержимое HTTPS-соединений. VPN не делает вас анонимным. Кто что видит, описано в Техническом документе по безопасности.

#Адреса серверов

Адреса серверов и настройки подключения безопасно управляются внутри приложений и нигде не публикуются. Это снижает риск целенаправленных атак и блокировок.

#Защита аккаунта

• Пароли хранятся только в виде хеша Argon2id; никто, включая сотрудников Colitu, не может их прочитать.
• Выберите надёжный пароль, который больше нигде не используете, и включите двухэтапную проверку для дополнительной защиты.
• Каждое устройство, каждая ссылка подписки и каждый экспорт ручной настройки получают на серверах собственные данные для подключения. Устройство, удалённое в разделе Управление устройствами, теряет подключение примерно через 15 секунд, а при замене ссылки подписки данные старой ссылки отзываются. Если устройство потеряно, удалите его и смените пароль: это завершит сеансы на всех устройствах и на сайте.
• Больше устройств, чем позволяет тариф, подключить нельзя; отклонённые попытки сохраняются в аккаунте.
• Проверяйте сеансы на странице аккаунта и завершайте незнакомые; подробности в статьях Безопасность аккаунта и Вход с passkey.

#Двухэтапная проверка (2FA)

Двухэтапная проверка требует вместе с паролем код из приложения-аутентификатора.

• Включается только на сайте

  откройте colitu.com/account/security и выполните шаги с приложением-аутентификатором (любым приложением для одноразовых кодов по времени, TOTP). В самих приложениях её настроить нельзя.

• Коды восстановления

  при включении вы получите 10 одноразовых кодов восстановления. Храните их в надёжном месте отдельно от телефона. Каждый код срабатывает один раз, если вы потеряете доступ к приложению-аутентификатору.

• В приложениях

  приложения запрашивают код только при входе, в том числе после сброса пароля. Поддерживается начиная с Windows 2.6.0, Android 2.6.0, Linux 1.2.0 и iOS 5.5.0; на более старой версии приложение попросит обновиться, прежде чем вы сможете войти.

• Не можете войти?

  Напишите в поддержку. Убедившись, что аккаунт ваш, поддержка может сбросить двухэтапную проверку.

#Что делать вам

• Никому не сообщайте пароль и код подтверждения. Сотрудники Colitu и Colitu Bot никогда их не спрашивают.
• Скачивайте приложения только с colitu.com/download.
• Не делитесь аккаунтом с другими людьми — каждому нужен свой слот устройства.

#Приложения с открытым кодом

Исходный код наших приложений для Windows, Android, iOS и Linux опубликован на GitHub под лицензией GPL-3.0: colitu/windows, colitu/android, colitu/ios и colitu/linux. Любой может проверить, что приложение делает на устройстве, и собрать его сам. Серверное ПО и система аккаунтов не открыты. Почему мы открыли код и что в нём можно проверить, рассказываем на странице Открытый код.

#Аудит

Независимого аудита безопасности или теста на проникновение у Colitu пока не было. Архитектура, известные ограничения и то, что можно проверить самостоятельно, описаны в Техническом документе по безопасности.

#Сообщить об уязвимости

Сообщайте об уязвимостях конфиденциально на [email protected]: опишите шаги воспроизведения и затронутую версию. Мы подтверждаем получение в течение 3 рабочих дней и даём первичную оценку в течение 10 рабочих дней. Мы не преследуем добросовестных исследователей, указываем авторство по желанию и не выплачиваем вознаграждений. Пожалуйста, дайте нам время исправить проблему до её публикации. Полная политика: Раскрытие уязвимостей.