viyh/whisper

Whisper

通过一次性或短期链接实现安全的秘密共享。

可共享密码、凭证、密钥或其他敏感数据，无需使用邮件或聊天等不安全渠道。秘密在传输前进行客户端加密——服务器始终无法查看明文。

工作原理

1. 输入秘密文本或选择文件，并设置密码。
2. 选择过期方式：一次性使用、1小时、1天或1周。
3. 点击创建秘密生成可分享链接。
4. 分别发送链接和密码（例如：链接通过邮件发送，密码通过短信发送）。
5. 接收者打开链接，输入密码，即可获取秘密。

安全模型

Whisper采用分层安全策略：

• 客户端加密：秘密通过AES-256-GCM（Web *** API）在离开浏览器前加密。服务器永远无法访问明文数据。
• Argon2id密码哈希：密码在客户端通过Argon2id（WASM）哈希后传输。服务器使用自身的Argon2id盐值重新哈希，即使服务器被入侵也无法恢复密码。
• 一次性秘密：获取后立即删除——并发请求无法同时成功。
• 速率限制：每IP每分钟10次尝试，且每个秘密在10次密码尝试失败后锁定。
• 严格CSP：无内联脚本。带有明确允许列表的内容安全策略（Content-Security-Policy）。

完整加密设计详见安全详情。

快速开始

bash
# 生成包含随机密钥的配置文件
export SECRET_KEY=$(head /dev/urandom | LC_ALL=C tr -dc 'A-Za-z0-9' | head -c 48)
sed "s/CHANGE_ME_TO_A_RANDOM_STRING_OF_32_OR_MORE_CHARACTERS/$SECRET_KEY/" src/config.default.yaml > config.yaml

# 从源码构建（可选，也可直接拉取viyh/whisper:0.2.0）:
# docker build -t viyh/whisper .

# 运行容器
docker run -d --name whisper -p 8000:8000 \
    -v $(pwd)/config.yaml:/usr/src/app/config.yaml \
    viyh/whisper:0.2.0

访问 http://localhost:8000

配置

将src/config.default.yaml复制为config.yaml并自定义。将其挂载到容器的/usr/src/app/config.yaml路径。

必需设置

可选设置

环境变量

存储后端

本地磁盘（默认）

将秘密存储为JSON文件。需挂载卷以实现持久化。

yaml
storage_class: whisper.storage.local.local
storage_config:
    path: /tmp/whisper

bash
docker run -d --name whisper -p 8000:8000 \
    -v $(pwd)/config.yaml:/usr/src/app/config.yaml \
    -v whisper-data:/tmp/whisper \
    whisper

内存

最简单且最安全——重启后秘密丢失。

yaml
storage_class: whisper.storage.memory.memory
storage_config: {}

AWS S3

使用S3对象标签（create_date、expire_date），清理过程仅读取标签而非完整对象。

yaml
storage_class: whisper.storage.aws.s3
storage_config:
    bucket_name: my-whisper-bucket
    bucket_path: secrets

凭证：推荐使用IAM角色，或挂载凭证文件（-v ~/.aws:/.aws:ro），或设置环境变量（AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_DEFAULT_REGION）。

最小IAM权限：

json
{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:ListBucket", "s3:GetBucketLocation",
            "s3:GetObject", "s3:PutObject", "s3:DeleteObject",
            "s3:GetObjectTagging", "s3:PutObjectTagging", "s3:DeleteObjectTagging"
        ],
        "Resource": [
            "arn:aws:s3:::my-whisper-bucket",
            "arn:aws:s3:::my-whisper-bucket/*"
        ]
    }]
}

GCP Cloud Storage

使用对象元数据（create_date、expire_date）实现高效清理。

yaml
storage_class: whisper.storage.gcp.gcs
storage_config:
    gcp_project: my-project
    bucket_name: my-whisper-bucket
    bucket_path: secrets

凭证：推荐使用应用默认凭证，或挂载gcloud配置（-v ~/.config/gcloud:/.config/gcloud:ro）。

所需GCS权限：

storage.objects.get, storage.objects.update, storage.objects.list,
storage.objects.create, storage.objects.delete,
storage.multipartUploads.create, storage.multipartUploads.abort,
storage.multipartUploads.listParts, storage.multipartUploads.list,
storage.buckets.get

或使用内置角色：roles/storage.legacyObjectOwner + roles/storage.legacyBucketWriter。

安全详情

秘密结构

json
{
    "id": "8d692508856cabba82d73e15ef6f0364de70546c",
    "create_date": 1657421435,
    "expire_date": -1,
    "data": "U2FsdGVkX1/qMytBOYisCGZ3KjpkowinHQhu12lGY8E=",
    "hash": "$argon2id$v=19$m=131072,t=5,p=1$...",
    "version": 2
}

加密流程（v2）

创建秘密：

1. 用户输入明文+密码。
2. 客户端使用Argon2id哈希密码（可配置参数，URL源的公共盐值）。
3. 客户端通过Web *** API使用AES-256-GCM加密明文（随机96位IV，PBKDF2派生密钥，210,000次迭代）。
4. 客户端将加密数据+Argon2id哈希发送至服务器。
5. 服务器使用服务器secret_key作为附加输入，通过Argon2id重新哈希。
6. 服务器存储加密数据+服务器端哈希。

获取秘密：

1. 客户端使用Argon2id哈希密码（相同参数）。
2. 服务器验证与存储的哈希是否匹配。
3. 对于一次性秘密：在返回数据前原子性地声明并删除。
4. 客户端使用原始密码通过AES-256-GCM解密。

服务器永远无法访问明文密码或数据。

旧版v1秘密

若您有0.2.0版本前创建的v1格式（PBKDF2 + bcrypt + ***JS AES-CBC）秘密链接，请查看release/0.1.0_to_0.2.0分支，该分支保留了v1解密支持。

速率限制

默认内存速率限制器（storage_uri="memory://"）按gunicorn工作进程跟踪状态。在多工作进程或多容器部署中，每个工作进程独立执行限制。如需跨工作进程共享速率限制状态，可通过flask-limiter配置Redis后端。

开发

编写存储后端

存储后端必须继承store并实现以下方法：

详见src/whisper/storage/memory.py的最小示例。

开发环境运行

bash
docker build -t whisper:dev .
docker run -it --rm --name whisper -p 8000:8000 \
    -e LOG_LEVEL=DEBUG \
    -v $(pwd)/src/config.yaml:/usr/src/app/config.yaml \
    whisper:dev

构建

bash
# 标准构建
docker build -t whisper:0.2.0 .

# 跨平台构建
docker buildx build --platform=linux/amd64,linux/arm64 \
    -t whisper:0.2.0 .

技术栈

后端：Python 3.12、Flask 3.1、Gunicorn 23、Nginx（Debian Slim）

客户端加密：Web *** API（AES-256-GCM、PBKDF2）、argon2-browser（WASM）

前端：Bootstrap 5.3、clipboard.js、原生JS（无jQuery）

存储：本地磁盘、内存、AWS S3、GCP Cloud Storage

贡献

欢迎提交拉取请求。设置和指南详见CONTRIBUTING.md。安全问题请参考SECURITY.md。

作者

Joe Richards（GitHub：https://github.com/viyh%EF%BC%89

许可证

MIT许可证