Режим Fortress

Шифрование локального хранилища почты учётной записи парольной фразой, которую FOLD никогда не сохраняет.

Режим Fortress шифрует то, что FOLD хранит на вашем устройстве для одной учётной записи, поверх FileVault или защиты данных iPhone и iPad. По умолчанию он выключен и включается отдельно для каждой учётной записи.

Включение

На Mac откройте Настройки (⌘,) > Безопасность > Шифрование Fortress и включите нужную учётную запись. На iPhone и iPad коснитесь изображения своей учётной записи, затем Безопасность и конфиденциальность, и используйте раздел Fortress.

Для первой учётной записи вы задаёте парольную фразу (Задать парольную фразу Fortress). Каждая следующая учётная запись использует ту же парольную фразу. Затем FOLD шифрует уже имеющиеся данные учётной записи.

Парольная фраза нигде не хранится. Если вы её потеряете, локальные данные ваших учётных записей Fortress будут утрачены; почта на вашем сервере при этом не затрагивается, и после Сбросить Fortress… её можно загрузить снова.

Как это работает

Argon2id с 64 МиБ памяти, 3 проходами и 4 потоками превращает парольную фразу в 256-битный главный ключ. Главный ключ существует только в оперативной памяти.
Каждая учётная запись получает собственный ключ, выведенный с помощью HKDF-SHA256.
Каждая сохранённая запись шифруется AES-256-GCM и привязана к своему месту, поэтому записи нельзя поменять местами между письмами.

Шифруются: тексты писем и вложения, тема, адреса, предпросмотр, исходные заголовки и результаты аутентификации. Не шифруются: идентификаторы писем, даты, флаги и папки, которые нужны FOLD для построения списка писем.

Заметные ограничения

Поиск: FOLD не добавляет содержимое учётных записей Fortress в свой полнотекстовый индекс, поэтому поиск по словам в этих учётных записях ничего не находит.
Spotlight: учётные записи Fortress исключены из системного поиска.
Пока заблокировано: синхронизация учётных записей Fortress приостанавливается, а их письма нельзя открыть.

Блокировка и разблокировка

На Mac Fortress блокируется через 5 минут бездействия, а также сочетанием ⌘L.
На iPhone и iPad отдельного таймера бездействия пока нет; Fortress блокируется вместе с блокировкой приложения.
На обеих платформах выход из приложения блокирует Fortress, только если включена блокировка приложения, и только когда срабатывает сама блокировка приложения. На системную блокировку экрана FOLD не реагирует.

Чтобы разблокировать, введите парольную фразу. Можно также включить разблокировку с помощью Touch ID или Face ID: тогда FOLD хранит главный ключ в Связке ключей этого устройства под защитой биометрии и никогда его не синхронизирует. Если включена блокировка приложения, один запрос Touch ID или Face ID разблокирует и то и другое.

Выключение

При выключении для учётной записи появляется вопрос Выключить Fortress?. Выключить и удалить локально удаляет зашифрованные локальные данные, и FOLD снова загружает почту с сервера.

Чем Fortress не является

Это не сквозное шифрование. Ваш сервер по-прежнему хранит почту в том виде, в каком она пришла. Для сквозного шифрования используйте OpenPGP или S/MIME.
Он не защищает от скомпрометированной операционной системы или вредоносного ПО, работающего, пока FOLD разблокирован.
Он не заменяет FileVault или код-пароль устройства.