در یک نگاه
- میز کار شما — موکلان، پرونده‌ها، جلسه‌ها، وظایف، یادداشت‌ها، مبالغ و فایل اسناد — روی دستگاه خودتان و پیش از ارسال رمزنگاری می‌شود.
- کلید رمزنگاری روی دستگاه شما ساخته می‌شود و هرگز به سرور نمی‌رسد. سرور فقط متن رمزشده نگه می‌دارد.
- لودسک، مدیران و پشتیبانی آن، شرکت میزبان، و هر کسی که سرور یا نسخهٔ پشتیبان را به دست آورد نمی‌تواند اطلاعات میز کار را بخواند.
- رمز گاوصندوق و کلید بازیابی فقط نزد شماست. اگر هر دو را گم کنید، نسخهٔ روی سرور برای هیچ‌کس — حتی ما — قابل بازگرداندن نیست.
- دستیار هوشمند تنها استثناست و فقط با اقدام و اجازهٔ خود شما چیزی می‌فرستد (پایین را ببینید).
چطور کار می‌کند
وقتی رمزنگاری سرتاسری را فعال می‌کنید، برنامه روی دستگاه شما یک کلید تصادفی ۲۵۶ بیتی می‌سازد. هر رکورد و هر فایل با همین کلید و الگوریتم AES-256-GCM رمز می‌شود؛ هر بار با یک nonce تازه، و گره‌خورده به شناسهٔ حساب، شناسهٔ رکورد و نوع آن — پس متن رمزشدهٔ یک رکورد اگر جای رکورد دیگری گذاشته شود باز نمی‌شود و هر دست‌کاری رد می‌شود.
برای اینکه روی گوشی یا مرورگر دیگری هم به میز کارتان برسید، همان کلید به‌صورت «بسته‌بندی‌شده» روی سرور نگه داشته می‌شود: یک بار با کلیدی که از رمز گاوصندوق شما ساخته می‌شود (PBKDF2-HMAC-SHA256 با ۶۰۰٬۰۰۰ دور و نمک تصادفی) و یک بار با کلید بازیابی ۱۶۰ بیتی که فقط یک بار به خودتان نشان داده می‌شود. باز کردن هر کدام بدون آن رمز یا آن کلید ممکن نیست.
روی سرور، روی همین متن رمزشده یک لایهٔ دوم هم هست: رمزنگاری با کلید مخصوص حساب که کلید اصلی آن بیرون از پایگاه داده نگه‌داری می‌شود. این لایه برای محافظت بیشتر از نسخه‌های پشتیبان است؛ امنیت اصلی همان رمزنگاری روی دستگاه است.
در انتقال، همهٔ ارتباط‌ها از راه HTTPS است.
چه چیزی رمز نمی‌شود
برای همگام‌سازی بین دستگاه‌ها، سرور باید این‌ها را بداند:
- شمارهٔ موبایل حساب (برای ورود) و نام و نام خانوادگی خودِ شما که در شروع یا تنظیمات می‌نویسید (برای پشتیبانی و صورتحساب) — دفتر، شهر، شمارهٔ پروانه و عکس پروفایل رمز می‌مانند
- شناسهٔ تصادفی و نوع هر رکورد (مثلاً «پرونده» یا «وظیفه»)، و اینکه حذف شده یا نه
- زمان ایجاد و ویرایش و شمارهٔ نسخهٔ هر رکورد
- حجم تقریبی هر رکورد و هر فایل (حجم متن رمزشده)
- تعداد پیام‌های دستیار در هر روز (برای سهمیهٔ پلن) و وضعیت اشتراک
- اگر یادآوری پیامکی را روشن کنید (پیش‌فرض خاموش است): نوع و زمان رویدادهایی که یادآوری می‌شوند — مثلاً «جلسهٔ دادگاه، ۱۵ مهر ۱۰:۳۰» — بدون عنوان، نام موکل یا دادگاه
- اگر استعلام رسمی بگیرید: نوع استعلام، هزینه و زمان آن در کیف پول استعلام ثبت می‌شود — ورودی (کد ملی، شماره و…) و نتیجه نه
- اگر به پشتیبانی پیام بدهید: متنی که خودتان می‌نویسید و، اگر کلید «اطلاعات فنی» روشن بماند، نسخهٔ اپ، سیستم‌عامل، اندازهٔ صفحه و پلن — هیچ چیزی از میز کار خودکار فرستاده نمی‌شود
- اگر اعلان‌های لودسک روشن باشد: نشانی اعلانِ گوشی یا مرورگر شما (توکن پوش) و نسخهٔ برنامه، تا اطلاعیه‌های تیم لودسک به آن برسد — با خروج از حساب پاک می‌شود
نام‌ها، عنوان‌ها، شمارهٔ پرونده‌ها، مبالغ، تاریخ جلسه‌ها، نام و محتوای فایل‌ها و هر متنی که می‌نویسید رمز می‌شود.
چه کسی می‌تواند اطلاعات را ببیند
فقط خود شما، روی دستگاه‌هایی که گاوصندوق را با رمز آن باز کرده‌اید. پنل مدیریت لولرن بخشی برای دیدن محتوای میز کار ندارد و اگر داشت هم چیزی جز متن رمزشده نمی‌دید. اگر روزی از ما خواسته شود اطلاعات حسابی را تحویل دهیم، تنها چیزی که می‌توانیم بدهیم همان متن رمزشده و موارد فهرست بالاست.
ورود به حساب
ورود با شمارهٔ موبایل و رمز عبور است (رمز با bcrypt نگه‌داری می‌شود). در تنظیمات ← امنیت می‌توانید ورود دومرحله‌ای را با یک برنامهٔ احراز هویت مثل Google Authenticator روشن کنید (TOTP طبق RFC 6238). از آن پس هر ورود، چه با رمز و چه با کد پیامکی، کد ۶ رقمی برنامه را هم می‌خواهد؛ بازنشانی رمز با پیامک هم بدون آن کد انجام نمی‌شود، پس دسترسی به سیم‌کارت شما به‌تنهایی برای ورود کافی نیست.
کلید برنامه روی سرور رمزشده نگه‌داری می‌شود و از ۸ کد بازیابی فقط چکیدهٔ نمک‌دار (SHA-256) ذخیره می‌شود. هر کد یک‌بار کار می‌کند و پنج کد نادرست پشت‌سرهم، ورود را ۱۵ دقیقه قفل می‌کند.
ورود به حساب جدا از گاوصندوق است: حتی پس از ورود، باز کردن میز کار رمز گاوصندوق را می‌خواهد.
روی دستگاه شما
برای کار بدون اینترنت (مثلاً در راهروی دادگاه)، نسخه‌ای از میز کار روی همین گوشی می‌ماند — آن هم با همان کلید و همان AES-256-GCM رمزشده، نه فقط به اتکای رمزنگاری گوشی. کلید در گاوصندوق امن سیستم‌عامل (Keychain در iOS، Android Keystore در اندروید) نگه‌داری می‌شود. قفل برنامه با رمز ۴ رقمی و اثر انگشت جلوی کسی را می‌گیرد که گوشی باز شما را برمی‌دارد. در نسخهٔ وب کلید ذخیره نمی‌شود: نسخهٔ مرورگر هم رمزشده می‌ماند و با هر بار باز کردن دوباره، تا وارد کردن رمز گاوصندوق قفل است. یادآورها روی خود گوشی زمان‌بندی می‌شوند و متن رویداد در اعلان دیده می‌شود.
دستیار هوشمند
دستیار فقط وقتی شما پرسشی می‌فرستید کار می‌کند. همراه پرسش فقط همان بخش‌هایی از میز کار فرستاده می‌شود که خودتان در «دسترسی دستیار» روشن کرده‌اید (پرونده، تقویم یا مالی). این متن روی دستگاه شما ساخته می‌شود، از راه سرور به سرویس هوش مصنوعی می‌رود تا پاسخ ساخته شود و در لودسک ذخیره نمی‌شود. این تنها جایی است که بخشی از میز کار بدون رمز از دستگاه خارج می‌شود؛ اگر نمی‌خواهید، دسترسی‌ها را خاموش کنید یا از دستیار استفاده نکنید. با «پرونده‌ها» روشن، اگر در پرسش نام پرونده، موکل یا طرف مقابل را بیاورید همان پرونده‌ها (حداکثر سه)، و اگر کلی دربارهٔ «پرونده‌هایم» بپرسید فهرست کوتاه پرونده‌های باز (عنوان، موکل، وضعیت، مرجع و تاریخ رویداد بعدی) فرستاده می‌شود؛ سه پرسش‌وپاسخ آخر همان گفتگو هم برای فهم پرسش تازه همراه می‌رود.
سرور برای پاسخ، مواد مرتبط کتابخانهٔ قوانین و پاسخ‌های تأییدشدهٔ تیم حقوقی را پیدا می‌کند و به‌عنوان منبع کنار پرسش می‌گذارد. اگر هیچ منبعی پیدا نشود، فقط متن خود پرسش (بدون نام و شمارهٔ شما، با پوشاندن ارقام بلند مثل تلفن و کد ملی و بدون هیچ بخشی از میز کار) برای «پرسش‌های بی‌پاسخ» تیم حقوقی نگه داشته می‌شود و حداکثر ۳۰ روز بعد پاک می‌شود. برای هر پاسخ فقط نتیجه (پاسخ داده شد یا نه)، مدت پاسخ، تعداد منبع و «مفید بود / نبود» شما ثبت می‌شود، بدون متن پرسش و پاسخ. تاریخچهٔ گفتگوهای دستیار فقط روی همین گوشی و رمزشده با کلیدی که از گوشی خارج نمی‌شود نگه داشته می‌شود. اگر سهمیهٔ پلن تمام شده باشد و کار با «اعتبار هوش مصنوعی» (سکه) پرداخت شود، فقط نوع کار (پیام، لایحه یا قرارداد)، تعداد سکه و زمان آن ثبت می‌شود.
نگارش هوشمند (لایحه، دادخواست، شکوائیه، اظهارنامه، درخواست و قرارداد از روی ۱۷۱۰ قالب): آنچه دربارهٔ سند می‌نویسید، گفتگوی همان سند و اگر پرونده‌ای را خودتان انتخاب کنید مشخصات همان پرونده، از راه سرور به سرویس هوش مصنوعی می‌رود. گفتگو روی دستگاه شما نگه داشته می‌شود و سرور نه گفتگو را ذخیره می‌کند و نه پیش‌نویس را؛ فقط شناسهٔ قالب، تعداد توکن و زمان پاسخ ثبت می‌شود. فایل Word در لحظه روی سرور ساخته و برگردانده می‌شود و نگه داشته نمی‌شود.
استعلامات رسمی
استعلام‌ها (هویت، شرکت، چک، شبا و آدرس) از سامانهٔ زحل گرفته می‌شوند و زحل فقط به سرور لودسک پاسخ می‌دهد، پس ورودی هر استعلام — مثلاً کد ملی یا شناسهٔ صیادی — بدون رمز از راه سرور به زحل می‌رود و نتیجه از همان راه به گوشی شما برمی‌گردد. سرور ورودی و نتیجه را ذخیره نمی‌کند و در لاگ نمی‌نویسد؛ فقط نوع استعلام، هزینه و زمان آن برای کیف پول استعلام نگه داشته می‌شود.
نتیجه فقط روی گوشی شما و رمزشده (AES-256-GCM با کلیدی که در گاوصندوق امن گوشی است) در «سوابق» می‌ماند و پس از ۱۵ روز خودکار حذف می‌شود؛ ورودی در سوابق نیمه‌پنهان است (مثل ۰۹۱*****۷۸۹). استعلام بخشی از میز کار نیست و به رمزنگاری سرتاسری آن ربطی ندارد؛ اگر نتیجه را در یادداشت پرونده ذخیره کنید، از آن پس مثل هر یادداشت دیگر رمز می‌شود.
چه داده‌ای به کجا می‌رود
| سرویس | برای چه | چه داده‌ای |
|---|---|---|
| سرویس پیامک | کد ثبت‌نام و فراموشی رمز | شمارهٔ موبایل و کد یک‌بارمصرف |
| سرویس هوش مصنوعی | دستیار، فقط وقتی می‌پرسید | پرسش و آنچه خودتان اجازه داده‌اید |
| زحل (zohal.io) | استعلامات رسمی، فقط وقتی استعلام می‌گیرید | ورودی همان استعلام (مثلاً کد ملی یا شناسهٔ صیادی)؛ هیچ داده‌ای از میز کار |
| پیام‌رسان بله | نسخهٔ پشتیبان شبانه | پشتیبان پایگاه داده؛ میز کارِ رمزنگاری‌شده در آن فقط متن رمزشده است |
| Firebase / سرویس اعلان مرورگر | رساندن اطلاعیه‌های تیم لودسک | توکن پوش و متن همان اطلاعیه؛ هیچ داده‌ای از میز کار |
| کافه‌بازار / درگاه پرداخت | خرید اشتراک، پیامک و اعتبار استعلام | شناسهٔ خرید و مبلغ؛ هیچ داده‌ای از میز کار |
اگر رمز گاوصندوق را فراموش کنم؟
با کلید بازیابی گاوصندوق را باز می‌کنید و رمز تازه می‌گذارید. اگر کلید بازیابی هم نباشد، می‌توانید نسخهٔ قفل‌شدهٔ سرور را پاک کنید و گاوصندوق تازه بسازید؛ هر چه روی دستگاهتان هست با گاوصندوق تازه دوباره همگام می‌شود، ولی چیزی که فقط روی سرور بود قابل بازگرداندن نیست. این بها را آگاهانه پذیرفته‌ایم: سامانه‌ای که بتواند بدون رمز شما بازیابی کند، می‌تواند بدون اجازهٔ شما هم بخواند.
حذف اطلاعات
با حذف حساب از داخل برنامه، همهٔ رکوردها و فایل‌های رمزشدهٔ میز کار و پاکت کلید از سرور حذف می‌شوند. نسخه‌های پشتیبان قبلی تا پاک شدنشان باقی می‌مانند، ولی میز کارِ رمزنگاری‌شده در آن‌ها هم فقط متن رمزشده است.
محدودیت‌ها
- اگر دستگاه شما آلوده به بدافزار باشد یا باز در اختیار دیگری قرار بگیرد، رمزنگاری سرتاسری از اطلاعاتی که روی همان دستگاه باز است محافظت نمی‌کند.
- رمز گاوصندوقِ ساده قابل حدس‌زدن است؛ یک عبارت بلند و غیرقابل حدس انتخاب کنید.
- نسخهٔ وب از سرور بارگذاری می‌شود؛ برای بالاترین سطح اطمینان، اپ اندروید (امضاشده و منتشرشده در کافه‌بازار) را به کار ببرید.
- این طراحی هنوز توسط یک نهاد مستقل ممیزی امنیتی نشده است؛ گواهی‌نامه‌ای مانند ISO 27001 را ادعا نمی‌کنیم.
- حساب‌هایی که رمزنگاری سرتاسری را هنوز فعال نکرده‌اند، تا فعال‌سازی فقط از رمزنگاری سمت سرور برخوردارند؛ در آن حالت سامانه از نظر فنی می‌تواند اطلاعات را بخواند. برنامه تا فعال‌سازی همگام‌سازی را متوقف می‌کند.
گزارش مشکل امنیتی
اگر ایراد امنیتی پیدا کردید، به نشانی solicitor.saraee@gmail.com بنویسید. گزارش را تا رفع مشکل عمومی نکنید؛ پاسخ و پیگیری از همین نشانی است.
آخرین به‌روزرسانی: ۲۰ مهر ۱۴۰۵ · لودسک، روی حساب لولرن · سند فنی