Как Lumen держит профили врозь

В Lumen два вида процессов. Менеджер открывает хранилище мастер-паролем и держит список профилей, их ключи, список прокси и настройки этого Mac. Каждый запущенный профиль - отдельный процесс macOS: в нём работают интерфейс Safari и системный WebKit, и он знает только свой профиль.

Между процессом профиля и сетью стоит его прокси, а вокруг процесса - профиль песочницы ядра: без UDP и без доступа к папкам настоящей Safari.

Менеджер запускает процесс профиля и передаёт ему ключ этого профиля и его запись из списка - через стандартный ввод. Не в аргументах командной строки, которые видит любой процесс пользователя, не в переменных окружения и не в файле. Хранилище, открытое таким ключом, читает и пишет файлы одного профиля и отказывает во всём остальном: ключи и имена других профилей, список прокси и настройки синхронизации остаются у менеджера.

Окружение процесса собирается по списку, а не наследуется: имя пользователя и оболочка, кодировка, язык приложения, фиксированный PATH и собственные дом, временная папка и часовой пояс профиля. Ничего больше от менеджера в процесс не попадает.

Язык, регион и часовой пояс задаются процессу при запуске - так их получают и WebKit, и страница, и её воркеры. Скрипт поверх страницы для этого не нужен.

Если канал к менеджеру закрылся - менеджер завершился или упал, - процесс профиля запечатывает данные и выходит. Пока процесс работает, он держит блокировку своего дома: менеджер, запущенный после сбоя, запечатает дом только тогда, когда процесса уже нет.

Мастер-пароль превращается в ключ шифрования ключей функцией Argon2id (RFC 9106, 64 МиБ, 3 прохода, 4 потока). Этим ключом открывается ключ хранилища - случайные 256 бит. Из него через HKDF получаются ключи для отдельных назначений: списка профилей, синхронизации, настроек устройства, списка прокси. У каждого профиля свой случайный ключ, а из него - ключи паролей, истории, закладок, cookies, прогрева и архива данных сайтов.

Каждый шифртекст AES-256-GCM связан со своим назначением и владельцем через связанные данные - например, history:v1:<id профиля>. Переложить файл в другой профиль или подменить один файл другим нельзя: расшифровка не пройдёт.

Смена мастер-пароля перешифровывает только ключ хранилища. Новое устройство открывает хранилище тем же паролем: заголовок с солью, параметрами Argon2id и зашифрованным ключом хранилища синхронизируется открытым - секретов в нём нет.

Данные сайтов профиля WebKit хранит в своих папках, и API, чтобы шифровать их на лету, у него нет. Поэтому при остановке профиля они архивируются, архив шифруется отдельным ключом, а папки удаляются; при запуске - восстанавливаются. Пока профиль работает, они лежат на диске открытыми под защитой прав доступа macOS и FileVault.

Удалённые файлы на SSD с APFS нельзя надёжно затереть, и мы не делаем вид, что можем. Для удалённых блоков настоящая защита - FileVault.

Прокси профиля задаётся его хранилищу данных WebKit без права обхода: если прокси недоступен, загрузка завершается ошибкой, а не уходит напрямую. Но в процессе профиля работают и фреймворки Safari, поэтому прокси удерживается для всего процесса, а не только для известных нам веб-представлений.

Синхронизация переносит между вашими Mac настройки профиля, пароли, закладки, историю и постоянные cookies. Каждый объект шифруется на Mac до отправки (AES-256-GCM), а в связанных данных записаны хранилище, объект и ревизия: сервер не может переложить объект под другое имя или выдать старую ревизию за новую.

Имена объектов на сервере - HMAC от их настоящих имён: сервер не видит даже того, что объект - это «история профиля».

Конфликты разрешаются на устройстве: история и закладки сливаются по записям, cookies - по одному (побеждает более новое изменение), у настроек побеждает более поздняя правка, а другая сохраняется копией.