Sicherheit: Was wir schützen und was nicht

Diese Seite beschreibt, was die App tatsächlich tut, ohne Marketing. Auch die Grenzen stehen hier, damit nichts übertrieben dargestellt wird.

Das Grundprinzip

LiveSSH verbindet sich per SSH von deinem Gerät direkt mit dem Server deiner Wahl. Deine Verbindungsdaten laufen nicht über einen LiveSSH-Server.

Schaltest du LiveSSH Cloud (kostenpflichtig) ein, werden Einträge wie Hosts, Snippets und SSH-Schlüssel auf deinem Gerät verschlüsselt, bevor sie synchronisiert werden. Die Entschlüsselungsschlüssel lassen sich nur aus deinem Master-Passwort und deinem Wiederherstellungsschlüssel ableiten. Dieses Design heißt Ende-zu-Ende-Verschlüsselung oder Zero Knowledge.

Wie der Tresor verschlüsselt wird

Synchronisierte Einträge werden so geschützt:

Einträge werden auf deinem Gerät mit XChaCha20-Poly1305 (authentifizierte Verschlüsselung) und einem zufällig erzeugten Datenschlüssel verschlüsselt.
Der Datenschlüssel wird mit einem Schlüssel umhüllt, der per Argon2id (64 MiB Speicher, 3 Durchläufe) aus deinem Master-Passwort abgeleitet wird.
Derselbe Datenschlüssel wird zusätzlich separat mit deinem Wiederherstellungsschlüssel umhüllt, einer base32-Zeichenfolge aus 52 Zeichen, aus der per HKDF ein Schlüssel abgeleitet wird.
Die umhüllten Datenschlüssel liegen als Keyset (JSON) auf dem Server.
Änderst du das Master-Passwort, wird nur das Keyset neu umhüllt. Deine Einträge bleiben unverändert, und der Wiederherstellungsschlüssel funktioniert weiter.

Der Wiederherstellungsschlüssel

Hast du das Master-Passwort vergessen, öffnet der Wiederherstellungsschlüssel den Tresor, und du kannst ein neues Master-Passwort festlegen.

Verlierst du Master-Passwort und Wiederherstellungsschlüssel, kann niemand deine Daten wiederherstellen. Der Server hat die zum Entschlüsseln nötigen Schlüssel nicht, das gilt also auch für uns. Den Wiederherstellungsschlüssel musst du selbst sicher aufbewahren.

Was der Server speichert

Der LiveSSH-Cloud-Server ist ein selbst gehostetes Supabase. Er enthält Folgendes:

Gespeichert

Deine E-Mail-Adresse aus deinem Google- oder Apple-Konto (Anmeldung nur mit Google oder Apple; es wird kein Login-Passwort gespeichert)
Das Keyset: der Datenschlüssel, umhüllt mit Master-Passwort und mit Wiederherstellungsschlüssel
Chiffretext der Tresor-Einträge. Der Server sieht Typ (z. B. Host, Snippet, Schlüssel), ID, Zeitstempel und Löschmarkierungen jedes Eintrags
Für Push: Gerätetokens und Gerätetyp, ein Hash (SHA-256) des Benachrichtigungs-Hook-Tokens mit einem Label (dem Anzeigenamen des Hosts) und das Ablaufdatum deines Abos
Zugriffsprotokolle (IP-Adresse, Zeitpunkt der Anfrage) für Sicherheit und Fehlersuche

Nicht gespeichert

Dein Master-Passwort und dein Wiederherstellungsschlüssel
Jeder Schlüssel, der deine Einträge entschlüsseln könnte
SSH-Passwörter, private Schlüssel, Hostadressen und Benutzernamen (sie erreichen die Cloud nur als Chiffretext)
Terminal-Ein- und -Ausgaben, Befehlsverlauf, per SFTP übertragene Dateien

Die Datenbank trennt Konten per zeilenbasierter Zugriffskontrolle, und der Datenverkehr zum Server ist per TLS geschützt. Aufbewahrungsfristen und Auftragsverarbeiter stehen in der Datenschutzerklärung.

Host-Key-Pinning (TOFU)

Beim ersten Verbinden mit einem Server zeigt die App den Fingerabdruck seines Host-Schlüssels (SHA-256) an und speichert ihn nach deiner Bestätigung beim Host (Trust On First Use).

Weicht der Fingerabdruck später ab, verweigert die App die Verbindung und warnt dich. Der Server könnte ausgetauscht worden sein, oder jemand fängt die Verbindung ab. Auf dem Bearbeiten-Bildschirm des Hosts kannst du den gespeicherten Fingerabdruck zurücksetzen.

Ob der Fingerabdruck bei der allerersten Verbindung echt ist, musst du selbst beurteilen. TOFU schützt nicht vor einem Angriff bei dieser ersten Verbindung.

Was eine Push-Benachrichtigung enthält

Push-Benachrichtigungen nehmen einen anderen Weg als der verschlüsselte Tresor. Ein Benachrichtigungs-Hook auf deinem Server sendet die Nachricht an den LiveSSH-Server, der sie über Google Firebase Cloud Messaging (unter iOS über den Apple Push Notification Service) an dein Gerät zustellt.

Eine Benachrichtigung enthält einen Titel, einen Text (zum Beispiel die Bestätigungsanfrage des Agenten, bis zu 300 Zeichen), den Namen der tmux-Sitzung und das Host-Label. Auf diesem Weg ist sie nicht Ende-zu-Ende-verschlüsselt und läuft daher über den LiveSSH-Server sowie Google oder Apple. Der Server ist so gebaut, dass er Benachrichtigungstexte nicht in Protokolle schreibt. Könnten die Bestätigungsanfragen deines Agenten sensible Inhalte enthalten, aktiviere Benachrichtigungen nicht.

Absturzberichte

Absturzberichte gehen nur dann an Firebase Crashlytics, wenn du beim ersten Start zustimmst. Du kannst sie jederzeit unter Einstellungen → Sicherheit ausschalten; dabei werden noch nicht gesendete Berichte gelöscht.

Ein Bericht enthält die Absturzursache (Stacktrace), Betriebssystem- und App-Version sowie das Gerätemodell. Fehlermeldungen werden auf die erste Zeile gekürzt, und IP-Adressen, E-Mail-Adressen, Pfade und Hostnamen werden vor dem Senden maskiert. Hostadressen, Benutzernamen, Befehle, Terminalausgaben, Dateinamen und Schlüssel sind nie enthalten. Die App verwendet kein Werbe-SDK und kein SDK zur Nutzungsanalyse.

Wovor dieses Design nicht schützt

Ein mit Malware infiziertes oder entsperrtes Gerät kann die App nicht schützen. Solange der Tresor geöffnet ist, arbeitet die App mit entschlüsselten Daten, und bei aktivierter biometrischer Entsperrung liegt das Master-Passwort im sicheren Speicher des Geräts.
Ein schwaches Master-Passwort ist anfällig für Brute-Force-Angriffe. Argon2id verlangsamt jeden Versuch, verhindert das Raten aber nicht.
Der LiveSSH-Server sieht Metadaten wie Eintragstypen, IDs, Zeitstempel und die Anzahl der Einträge.
Die Sicherheit auf der SSH-Server-Seite (Schlüsselverwaltung, ein kompromittierter Server, die Aufbewahrung des Hook-Tokens dort) liegt bei dir und den Administratoren deines Servers.
Der Quellcode der App ist nicht öffentlich und wurde nicht von Dritten geprüft. Die Erklärungen auf dieser Seite stammen vom Entwickler und sind nicht unabhängig überprüft.

Sicherheitsprobleme melden

Wenn du eine Schwachstelle oder ein Verhalten findest, das von dieser Beschreibung abweicht, schreib an contact@xiu.kr.

Zuletzt aktualisiert: 2026-10-07