Iriszip: tarayıcıda hesap ve yüklemeye gerek olmayan, şifreli P2P dosya aktarımı

Bir geliştirici, tamamen tarayıcı içinde çalışan, veriyi doğrudan bir cihazdan diğerine aktaran, hesap açmayı, merkezi bir servise dosya yüklemeyi ve herhangi bir kurulum gerektirmeyen Iriszip dosya aktarım aracını yayınladı. Proje dev.to üzerinde bir yazıyla duyuruldu ve tek bir yazarın eseri; yazar, projenin kısa süre önce herkese açık hale geldiğini belirtiyor.

Geliştiricinin motivasyonu basitti: bir uygulamayı kurmadan, hiçbir yerde kayıt olmadan veya dosyayı önce bir sunucuya yüklemeden, bir dosyayı bir cihazdan diğerine kolayca ulaştırmanın bir yolunu bulmak.

Bir aktarım nasıl gerçekleşiyor

Her iki cihaz da Iriszip sitesini açar. Biri bir QR kodunu tarar ya da dokuz haneli bir eşleştirme kodu girer; ardından dosyalar veya düz metin tarayıcıdan gönderilebilir. Verinin izlediği yol, iki cihazın nerede olduğuna bağlı; dev.to duyurusuna göre bu şekilde açıklanıyor. Aynı yerel ağda aktarımlar cihazdan cihaza kalabiliyor ve LAN hızında çalışıyor. İnternet üzerinden ise Iriszip önce iki tarayıcı arasında doğrudan bir WebRTC bağlantısı kurmayı dener ve yalnızca doğrudan bağlantı kurulamadığında bir relay'e (aktarıcı sunucuya) geri döner — kısıtlayıcı yönlendiricilerin ve kilitli kurumsal ağların arkasında birçok kişinin karşılaştığı durum bu. Geliştirici, o relay'den yalnızca şifreli metnin (ciphertext) geçtiğini vurguluyor.

Şifreleme ve sunucunun neye dokunduğu

Trafik uçtan uca şifreleniyor ve geliştirici, kriptografik protokol tasarımının bağımsız bir güvenlik incelemesinden geçtiğini yazıyor; projenin güvenlik tarafının başlangıçta öngörülenden çok daha büyük bir hal aldığına da ekliyor. Sunucu tarafına gelince: hiçbir dosya veya mesaj içeriği diske yazılmıyor, relay edilen veri yalnızca aktarım sürerken bellekte tutuluyor ve oturum bittiğinde oturum durumu atılıyor.

Açık kaynak ve kendi kendine barındırma

Üç bileşen de açık kaynak ve bilinçli bir lisans ayrımı yapılmış: tarayıcı istemcisi MIT lisanslı, kriptografik çekirdek Apache-2.0, sunucu ise AGPL-3.0. Sunucu Docker Compose ile kendi başınıza barındırılabiliyor; böylece bir ekip, iriszip.com'daki barındırılan servise bağımlı kalmak yerine kendi örneğini çalıştırabiliyor. Kod, GitHub'daki iris-zip/iris deposunda yayınlanmış durumda.

Geliştirici olgunluk konusunda açık sözlü: proje hâlâ tek kişilik, henüz yayına girdi ve yazar, WebRTC, kriptografi, ağ, gizlilik veya self-hosted yazılımlarla çalışan insanlardan geri bildirim istiyor — bozuk bir şeyler veya daha iyi yapılabilecek tasarım kısımları hakkındaki bildirimler dahil.

Neden önemli

Tüketici dosya paylaşım servislerinin çoğu yükleme modelini kullanıyor: dosya, alıcı indirinceye kadar üçüncü taraf altyapısında bekliyor. Iriszip'nin peer-to-peer yaklaşımı yükü iki uç nokta arasında tutuyor; bir sunucunun yola girmek zorunda kaldığı durumlarda ise o sunucu yalnızca şifreli baytları görüyor ve hiçbir şey saklamıyor. Bu, tarafların işleticiye göstermesi gereken güveni de içeriğin üçüncü bir tarafa maruz kalmasını da azaltıyor.

AGPL lisanslı sunucu ve Docker Compose desteği, relay'in başkasına ait olmak zorunda olmadığı anlamına da geliyor. Bir kurum kendi örneğini kurup tüm akışı kendi kontrolünde tutabilir — bu, barındırılan aktarım servislerinde nadiren sunulan bir seçenektir.

Dürüst uyarılar da var. Bu, erken aşamadaki tek kişilik bir proje; bağımsız güvenlik incelemesi duyuruda iddia ediliyor ama orada ayrıntılı olarak belgelenmemiş ve yeni yazılmış kriptografik kod genellikle hassas aktarımlar için güvenilmeden önce dışarıdan incelemeyi hak ediyor. Yazar bunun farkında görünüyor ve tam da bu tür bir inceleme istiyor — tüm bileşenler açık kaynak olduğundan inceleyicilerin bunu sağlamak için ihtiyaç duydukları her şeye sahipler.