Онлайн-буфер обмена без регистрации

Открыть буфер обмена

Почему почти все такие сервисы требуют войти

Сервису синхронизации нужно ответить на один вопрос: какие два устройства принадлежат друг другу? Учётная запись отвечает на него так: пусть оба докажут, что они — это вы. Это работает и тянет за собой всё, чего учётная запись требует, — адрес почты, пароль, сервер, который помнит, какие устройства ваши, и запись о том, когда ими пользовались.

Общий ключ отвечает на тот же вопрос иначе. Оба устройства предъявляют одну и ту же короткую строку, и сервис может поместить их в одну комнату, так и не узнав, чьи они. Ключ — это знание, а не личность, а знание набирается за пять секунд.

Одна эта замена убирает разом форму регистрации, сброс пароля, подтверждение по почте и базу учётных записей. И она же означает, что сервис действительно не отличит вас от кого угодно другого: ему никогда не давали ничего, чем это можно было бы сделать.

Как это работает

1. Откройте буфер обмена на первом устройстве — он сгенерирует короткий ключ.
2. Введите этот ключ на втором устройстве или отсканируйте показанный QR-код.
3. Скопируйте что угодно на любом из двух.
4. Переключитесь на другое устройство и вставьте — оно уже в системном буфере обмена.

Ключ никогда не покидает браузер. До ретранслятора доходит SHA-256(ключ) — хеш, который служит только адресом комнаты, — и ваш текст, уже зашифрованный AES-GCM на ключе, выведенном из того, который вы набрали. Ретранслятор пересылает шифротекст между двумя соединениями и ничего не пишет на диск. Файлы обходят его вовсе и идут напрямую между браузерами по WebRTC.

Чего на самом деле стоит отсутствие учётной записи

Любой сервис без регистрации чем-то за это расплачивается, и страница, которая не говорит чем именно, ровно это и скрывает.

Если в сессию должно быть труднее зайти, ключ можно закрыть PIN-кодом. Это меняет саму комнату, а не добавляет проверку прав поверх неё, поэтому закрытую ссылку не откроет тот, у кого есть ключ, но нет PIN-кода, — и она не откатится молча в незакрытую комнату того же ключа.

Устанавливать тоже ничего не нужно

Это веб-страница: устанавливать нечего и одобрять нечего. Больше всего это значит там, где решаете не вы: рабочий ноутбук с запретом на установку программ, общий или библиотечный компьютер, Chromebook или телефон, куда не хочется ставить ещё одно приложение.

Если хочется, чтобы это ощущалось приложением, страница ставится как PWA из собственного меню браузера — без всякой учётной записи в магазине. Руководства по установке охватывают каждую платформу, а если ближе нативное, есть сборки для настольных систем и утилита командной строки.

Безопасен ли буфер обмена без регистрации?

Для того, ради чего он сделан, — переносить текст между вашими собственными устройствами — отсутствие учётной записи делает его безопаснее, а не наоборот: взламывать нечего и утекать нечему, потому что нет ни записи, ни сохранённой истории. Шифрование происходит в браузере, поэтому никто, кто наблюдает за сетью, — ваш Wi-Fi, ваш провайдер — ваш буфер обмена не прочитает.

Адрес комнаты, который оператор всё-таки видит, выводится через то же растягивание ключа в 250 000 итераций, поэтому обратить его в ваш ключ не выйдет, не заплатив эту цену за каждую попытку. Модель угроз приводит расчёты.

Настоящий риск — тот, что назван выше: короткий ключ достаточно короток, чтобы упорный человек его подобрал, поэтому он не годится для секрета, который будет важен и через год. Для всего чувствительного используйте PIN-код, а к незакрытой сессии относитесь как к записке, оставленной на столе. Исходный код лежит на GitHub под лицензией MIT, и ретранслятор можно поднять свой, если не хочется доверять чужому.

Открыть буфер обмена