AES-GCM 키, 암호화는 사용자의 기기에서 이루어집니다
비밀번호 추측 1회에 드는 메모리(Argon2id)
저희 서버에 저장되는 읽을 수 있는 콘텐츠
카드당 파일 수, 파일당 최대 2GB
01 · Vault + Transfer
Box는 동일한 종단 간 암호화로 두 가지를 모두 해냅니다. 비밀 정보와 파일을 필요한 만큼 오래 보관하고, 필요할 때는 내 기기 사이에서 옮기거나 다른 사람에게 보낼 수 있습니다.
Vault
기한을 ‘Never’로 설정한 카드는 삭제할 때까지 Vault에 남습니다. 로그인 정보, Wi-Fi 비밀번호, PIN, 복구 코드, API 키, 계약서, 신분증 스캔 등을 보관할 수 있습니다. 카드는 모든 기기에 실시간으로 동기화됩니다.
Transfer
휴대폰의 사진을 노트북으로 옮기거나, 동료에게 비밀번호를 건네거나, 고객에게 계약서를 보낼 수 있습니다. 모든 것이 암호화된 상태로 전달되며, 잠시만 필요한 카드는 스스로 삭제됩니다.
02 · 미리보기
미리보기는 복호화된 뒤 브라우저에서 렌더링됩니다. 어떤 파일도 서버에서 변환되지 않으므로, 읽고 보고 듣는 동안에도 제로 지식 원칙이 그대로 유지됩니다.
이미지
이미지가 있는 카드에는 원본과 별도로 암호화된 작은 미리보기가 표시됩니다. 사진을 전체 화면으로 열고, 두 손가락이나 Ctrl과 마우스 휠로 확대/축소하고, 두 번 탭해 확대할 수 있으며, 화살표나 스와이프로 카드의 파일을 차례로 넘겨 볼 수 있습니다.
문서
PDF 페이지는 pdf.js로 그려지며, 페이지 카운터와 확대/축소를 지원합니다. Word 문서는 제목, 목록, 표가 그대로 유지되고, 이전 DOC 파일은 텍스트가 표시됩니다. 스프레드시트는 시트마다 탭 하나로 열립니다.
읽기 전용 미리보기이므로 수식과 정확한 서식은 표시되지 않습니다.
ZIP 압축 파일
크기와 줄 수가 표시된 폴더 트리를 살펴보고, 텍스트, 코드, PDF, Word, Excel 파일을 압축 파일에서 바로 열 수 있습니다. 폴더를 Box에 끌어다 놓으면 브라우저가 ZIP으로 묶어 줍니다.
프로젝트 압축 파일을 위한 기능: 코드 안의 파일 이름은 클릭할 수 있고, 다른 YAML이나 Jinja 파일에 정의된 이름은 해당 정의로 이동합니다. YAML 줄에 마우스를 올리면 그 줄이 구조에서 어디에 있는지 보여 주며, 자주 쓰이는 Kubernetes와 Ansible 키에는 짧은 설명이 붙습니다.
동영상
동영상은 브라우저에 내장된 플레이어로 재생됩니다. 지원되는 형식은 브라우저에 따라 다르며, 예를 들어 MP4와 WebM이 있습니다.
오디오
재생과 일시정지, 10초 뒤로 또는 앞으로 이동, 진행 막대 드래그를 지원합니다. MP3, WAV, OGG, M4A 등 브라우저가 지원하는 형식을 재생할 수 있습니다.
코드와 텍스트
줄 번호, 자동 줄 바꿈, 새 탭에서 열리는 링크를 지원하며, 단어를 두 번 클릭하면 그 단어가 나오는 모든 곳이 강조 표시됩니다. 휴대폰에서는 두 손가락을 오므리거나 벌려 글꼴 크기를 바꿀 수 있습니다.
03 · 편집기
입력하거나 붙여 넣거나 끌어다 놓으면 됩니다. 모든 카드에는 선택 사항인 제목, 메모, 최대 20개의 첨부 파일을 넣을 수 있으며, 모두 같은 방식으로 암호화됩니다.
어떤 카드에든 제목을 붙일 수 있습니다. 파일에는 메모를 달 수 있으며, 메모는 카드와 미리보기에 표시됩니다.
Ctrl+V를 눌러 스크린샷을 카드에 추가하거나 ‘Paste image’를 사용합니다. Android에서는 방금 복사한 이미지가 입력창에 자동으로 추가됩니다.
파일을 페이지나 열려 있는 카드에 끌어다 놓습니다. 끌어다 놓은 폴더는 암호화되기 전에 브라우저에서 ZIP으로 묶입니다.
링크만 담긴 카드는 링크 카드가 됩니다. 미리보기 텍스트 속 링크에는 새 탭에서 여는 작은 버튼이 붙습니다.
텍스트와 제목 변경, 파일 추가와 제거는 언제든 할 수 있습니다. 삭제는 항상 두 번 클릭해야 합니다.
제목, 이름, 텍스트, 첨부 파일 이름을 브라우저 안에서 로컬로 검색합니다. ‘Expiring’, ‘Vault’, ‘Shared’ 사이를 전환할 수 있고, 웹 앱에서는 유형별로 필터링할 수도 있습니다.
15분부터 30일까지 고르거나, ‘Never’를 골라 카드를 Vault에 보관합니다. 만료된 카드와 그 파일은 자동으로 삭제됩니다.
04 · 공유
받는 사람은 계정 없이 어떤 브라우저에서든 링크를 열고, 이미지, 동영상, 오디오, PDF, Word, Excel 파일, 코드, ZIP 압축 파일의 내용을 미리 보며, 다운로드 버튼으로 받을 수 있습니다.
링크마다 고유한 무작위 256비트 키가 생성됩니다. 이 키는 # 기호 뒷부분에 들어 있으며, 브라우저는 이 부분을 서버로 보내지 않습니다. 계정에는 사용자 자신의 키로 래핑된 사본이 보관되므로, 나중에 링크를 다시 복사할 수 있습니다.
15분부터 30일까지 설정할 수 있으며, 카드 자체의 만료 기한을 넘지 않습니다. 기한 변경, 조회 수 초기화, 새 링크 만들기, 링크 취소는 언제든 가능합니다.
링크 조회 수를 1회, 3회, 5회, 10회로 제한할 수 있습니다. 마지막 조회가 끝나면 링크는 더 이상 작동하지 않습니다.
키 위에 더하는 두 번째 관문입니다. 올바른 비밀번호를 입력해야만 서버가 암호화된 데이터를 내줍니다. 10번 틀리면 링크가 5분 동안 잠기고, 그 뒤로는 틀릴 때마다 다시 잠깁니다.
링크를 열면 브라우저에 뷰어가 열립니다. 텍스트는 복사할 수 있고, 파일은 미리 보고 다운로드할 수 있습니다.
‘Shared’ 보기에는 활성 링크가 있는 모든 카드가 모입니다. 카드를 열면 조회 수와 남은 시간을 확인할 수 있습니다.
링크 하나에는 카드 하나, 즉 그 카드의 텍스트나 파일이 담깁니다. 카드의 첨부 파일은 링크에 포함되지 않으며, 공유 중인 텍스트 카드를 편집하면 링크가 취소됩니다.
05 · 보안
Box는 한 가지 원칙을 중심으로 설계되었습니다. 콘텐츠는 오직 사용자의 기기에서만 암호화되고 복호화됩니다. 그 작동 방식과 저희 서버가 실제로 보는 것을 쉬운 말로 설명합니다.
텍스트, 메모, 제목, 파일 이름, 파일, 썸네일은 업로드 전에 브라우저에서 암호화됩니다. 데이터베이스와 파일 저장소에는 암호문과 무작위 IV만 있습니다.
브라우저의 Web Crypto API를 통해 256비트 키로 AES-GCM을 사용합니다. 암호화할 때마다 새로운 무작위 IV를 쓰며, 변조된 데이터는 복호화에 실패합니다.
Argon2id가 64MiB 메모리와 3회 반복으로 비밀번호를 키로 변환하므로, 추측 한 번 한 번에 큰 비용이 듭니다. Argon2id 도입 이전의 계정(PBKDF2-SHA256, 600,000회)은 다음 로그인 때 자동으로 업그레이드됩니다.
카드는 무작위 데이터 키로 암호화되고, 비밀번호는 이 키를 래핑할 뿐입니다. 비밀번호를 바꾸면 키만 다시 래핑되며, 데이터를 다시 암호화하지는 않습니다. 잠금을 해제한 뒤 브라우저는 키를 추출할 수 없는 형태로 보관하고, 7일 동안 사용하지 않으면 지웁니다.
계정을 설정할 때 160비트 복구 코드가 한 번 표시됩니다. 비밀번호가 재설정된 경우 이 코드로 데이터 잠금을 다시 해제할 수 있습니다. 둘 다 잃어버리면 누구도 데이터를 복호화할 수 없으며, 저희도 마찬가지입니다.
원하는 인증 앱(TOTP)의 일회용 코드를 추가할 수 있습니다. 로그인된 모든 기기와 세션을 확인하고, 클릭 한 번으로 다른 모든 기기에서 로그아웃할 수 있습니다.
공유 링크는 # 기호 뒤에 자체 키를 담고 있어 서버는 이 키를 받지 못합니다. 선택형 비밀번호는 두 번째 관문을 더하며, PBKDF2-SHA256 해시로 저장되고 10번 틀리면 잠깁니다.
45MB가 넘는 파일은 청크 단위(기본 8MB)로 암호화되며, 청크마다 고유한 IV를 씁니다. 모든 청크는 자신의 위치와 전체 개수에 묶여 있어, 순서가 바뀌거나 잘린 데이터는 거부됩니다.
PDF는 스크립트나 양식 없이 캔버스에 그려지고, Word 콘텐츠는 엄격한 새니타이저(DOMPurify)를 거치며, 문서는 내용이 파일 형식과 일치해야만 열립니다. 서버에서 변환되는 것은 없습니다.
엄격한 콘텐츠 보안 정책(Content Security Policy)에 따라 앱은 box.sortia.de에서만 코드를 불러옵니다. HSTS를 적용하고, 다른 사이트에 삽입할 수 없으며, 광고, 분석 도구, 트래커가 없습니다.
Android 앱은 서명된 APK 안의 코드로 실행되므로, 저희 서버가 코드를 바꿔치기할 수 없습니다. 지문 로그인은 Android Keystore에 봉인됩니다(AES-256-GCM, 가능한 경우 StrongBox, 강력한 생체 인증만 허용). 앱 잠금을 켜면 백그라운드에서 1분에서 60분이 지난 뒤 Box를 가릴 수 있습니다.
데이터베이스와 저장소는 독일 프랑크푸르트에서 운영됩니다(Supabase, 리전 eu-central-1). 45MB가 넘는 파일은 EU에 있는 자체 서버에 보관됩니다. 행 수준 보안으로 모든 계정은 자신의 데이터에만 접근할 수 있습니다.
참고: Box 비밀번호는 로그인 비밀번호이기도 합니다. 비밀번호는 TLS를 통해 로그인 서비스(Supabase Auth)로 전송되며, 이 서비스는 비밀번호의 해시만 보관합니다. 암호화 키는 이와 별도로 브라우저에서 비밀번호로부터 도출됩니다. 웹 앱에서는 방문할 때마다 저희 서버가 페이지 코드를 전달하고, Android 앱은 서명된 APK 안에 코드를 담고 있습니다.
개인 데이터 처리 방식: 개인정보 처리방침
06 · 플랫폼
휴대폰과 컴퓨터에서 로그인하면 새 카드, 편집, 삭제가 다른 기기에 실시간으로 반영됩니다.
웹
설치할 필요가 없습니다. Box를 앱(PWA)으로 홈 화면이나 데스크톱에 추가할 수도 있습니다.
Android
Android 앱은 같은 암호화 앱을 감싸고, 휴대폰에 필요한 기능을 더합니다. Android 8 이상에서 사용할 수 있습니다.
서명된 APK를 box.sortia.de에서 직접 제공합니다.
07 · 자주 묻는 질문
네, 비밀번호와 그 밖의 비밀 정보를 안전하게 보관하는 용도라면 그렇습니다. 로그인 정보, Wi-Fi 비밀번호, PIN, 복구 코드, API 키를 Vault에 카드로 저장할 수 있습니다. 이 정보는 기기에서 암호화되고, 다른 기기와 동기화되며, 검색할 수 있고, 서버는 읽을 수 없습니다. 다만 Box는 웹사이트나 앱에 비밀번호를 채워 넣지 않습니다. 자동 완성, 브라우저 확장 프로그램, 비밀번호 생성기, 다른 비밀번호 관리자에서 가져오기 기능이 없습니다. 카드의 텍스트를 클릭 한 번으로 복사해 필요한 곳에 붙여 넣으면 됩니다.
아니요. 텍스트, 메모, 제목, 파일 이름, 파일, 썸네일은 업로드 전에 사용자의 기기에서 암호화되며, 서버에는 암호문만 저장됩니다. 다만 서버는 기술적 메타데이터를 볼 수 있습니다. 이메일 주소, 카드의 생성 시각과 만료 시각, 카드 종류, 크기, 파일 형식, Vault에 있는지 여부, 공유 설정이 여기에 해당합니다.
비밀번호는 로그인과 데이터 키를 모두 보호합니다. 계정을 설정할 때 Box는 복구 코드를 한 번 보여 주므로, 안전한 곳에 보관해 두시기 바랍니다. 비밀번호가 재설정된 경우 새 비밀번호로 로그인한 뒤 ‘Forgot password? Use recovery code’를 선택하고 코드를 입력합니다. 그러면 Box가 데이터 잠금을 해제하고 데이터 키를 새 비밀번호로 래핑합니다. 복구 코드가 없으면 저희를 포함해 누구도 데이터를 복호화할 수 없습니다.
현재 Box에는 유료 요금제, 인앱 구매, 광고가 없으며, 계정은 초대를 받아야 만들 수 있습니다. 계정마다 만료되는 항목을 최대 1,000개, Vault 항목을 최대 500개까지 보관할 수 있으며(첨부 파일은 하나당 1개로 계산), 파일은 개당 최대 2GB입니다. 계정당 전체 저장 용량에는 한도가 있으며, 현재 사용량은 앱에 표시됩니다.
아니요. 공유 링크는 계정이나 앱 없이 모든 최신 브라우저에서 열립니다. 받는 사람은 미리보기를 보고 파일을 다운로드할 수 있습니다. 비밀번호를 설정했다면 그 비밀번호도 필요합니다.
EU에 저장됩니다. 데이터베이스와 파일 저장소는 독일 프랑크푸르트에서 운영되며(Supabase, 리전 eu-central-1), 45MB가 넘는 파일은 EU에 있는 자체 서버에 저장됩니다. 모든 데이터는 기기를 떠나기 전에 암호화됩니다. 개인정보 처리방침
Box 계정은 현재 초대를 받아야 만들 수 있습니다. 계정을 원하시면 info@sortia.de로 연락해 주십시오. 보내신 공유 링크는 누구나 열 수 있습니다.
파일당 최대 2GB, 카드당 최대 20개입니다. 45MB가 넘는 파일은 암호화된 청크로 나뉘어 EU에 있는 자체 서버로 업로드됩니다.
이미지, PDF, Word(DOCX, DOC는 텍스트로), 스프레드시트(XLSX, XLS, ODS), ZIP 압축 파일, 오디오, 동영상, 50개 언어의 텍스트나 코드를 미리 볼 수 있습니다. 그 밖의 파일도 저장, 공유, 다운로드할 수 있습니다.
원하는 경우에만 만료됩니다. 15분에서 30일 사이로 만료 기한을 고르면, 시간이 다 되었을 때 카드와 그 파일이 자동으로 삭제됩니다. ‘Never’로 설정한 카드는 삭제할 때까지 Vault에 남습니다.
앱 인터페이스는 영어로 되어 있습니다. 카드에는 어떤 언어로든 텍스트를 담을 수 있습니다.
