Security
How your phone and your computer talk safely, and what we are still working on. Honest, not marketing.
Your connection is encrypted
Over Wi-Fi, everything between your phone and your computer travels inside your local network, encrypted with TLS 1.3, the same kind of encryption banks use on the web. That covers the touchpad, the keyboard, remote-desktop video and sound, and files. The separate video and file connections each prove who they are before anything happens.
Your phone remembers your computer by its fingerprint. If another computer tries to pose as yours, your phone turns it away.
Pairing: PIN or QR
The first time you connect, the computer shows a PIN and a QR code. You either scan the QR or type the PIN. After that, your phone uses its own key to reconnect without a PIN.
Prefer the QR code, especially away from home. The QR already carries your computer's fingerprint, so there is no moment when your phone could be fooled by an impostor. With the PIN alone on a network you don't control, your phone trusts the first certificate it sees. On your home Wi-Fi the risk is small; the QR removes it either way.
Guessing the PIN doesn't work
The PIN is six digits and lasts five minutes. After five wrong tries the computer throws it away and picks a new random one. So an attacker gets five guesses out of a million, and then the number they were chasing no longer exists. Brute force gets nowhere.
You stay in control on the computer
- Forget a phone from the ThumbGlide window, and its connection is cut on the next beat.
- Files share only your home folder, unless you tick the box to allow every drive.
- Switches let you turn off file access and the shut-down and lock buttons.
- The firewall rule only lets connections through on private networks, like your home one, not on public Wi-Fi.
Bluetooth
Bluetooth mode uses the normal pairing between your phone and your computer, the same as a wireless keyboard or mouse. Its security is the same as those devices'.
Fire TV
The Fire TV remote works through the TV's ADB debugging, which you switch on and approve once. That link is not encrypted — that's how Amazon's debugging works, not something we add. While debugging is on, keep the TV on your home network only.
No account, no cloud
There is no sign-up, no server of ours in the middle, and nothing to leak from a database we don't have. Your phone talks only to the computer you paired with. See the privacy policy for the details.
What's still on our list
We'd rather tell you than let you find out:
- The key your phone uses to reconnect is kept in the app's private storage, not yet in Android's Keystore. Another app can't read it, but someone with a rooted phone could. Moving it to the Keystore is on our list before the store release.
- The Windows program isn't signed with a paid certificate yet, so Windows SmartScreen warns when you install it. Check the SHA-256 on the download page to be sure the file is the one we built.
- No outside security firm has audited this yet. It's our own code, written in the open.
Found something?
If you spot a security problem, please tell us: luixlabx@gmail.com.
Seguridad
Cómo hablan tu móvil y tu ordenador de forma segura, y en qué seguimos trabajando. Con franqueza, sin propaganda.
Tu conexión va cifrada
Por WiFi, todo lo que va entre el móvil y el ordenador viaja dentro de tu red local, cifrado con TLS 1.3, el mismo cifrado que usan los bancos en la web. Eso incluye el touchpad, el teclado, el vídeo y el sonido del escritorio remoto, y los archivos. Las conexiones aparte de vídeo y archivos se identifican antes de hacer nada.
El móvil reconoce a tu ordenador por su huella. Si otro ordenador intenta hacerse pasar por el tuyo, el móvil lo rechaza.
Emparejar: PIN o QR
La primera vez, el ordenador muestra un PIN y un código QR. Escaneas el QR o escribes el PIN. Después, el móvil usa su propia clave para reconectar sin PIN.
Usa mejor el QR, sobre todo fuera de casa. El QR ya lleva la huella de tu ordenador, así que no hay ningún momento en el que un impostor pueda engañar a tu móvil. Con solo el PIN, en una red que no controlas, el móvil se fía del primer certificado que recibe. En la WiFi de casa el riesgo es pequeño; el QR lo quita de todos modos.
Adivinar el PIN no funciona
El PIN tiene seis cifras y dura cinco minutos. Tras cinco intentos fallidos, el ordenador lo tira y elige otro al azar. Así, un atacante tiene cinco intentos sobre un millón, y después el número que buscaba ya no existe. La fuerza bruta no llega a nada.
Tú mandas desde el ordenador
- Olvida un móvil desde la ventana de ThumbGlide y su conexión se corta enseguida.
- Los archivos solo comparten tu carpeta personal, salvo que marques la casilla para permitir todos los discos.
- Hay interruptores para apagar el acceso a los archivos y los botones de apagar y bloquear.
- La regla del cortafuegos solo deja pasar conexiones en redes privadas, como la de casa, no en WiFi públicas.
Bluetooth
El modo Bluetooth usa el emparejamiento normal entre tu móvil y tu ordenador, igual que un teclado o un ratón inalámbrico. Su seguridad es la misma que la de esos aparatos.
Fire TV
El mando de Fire TV funciona por la depuración ADB de la tele, que tú activas y apruebas una vez. Esa conexión no va cifrada; así funciona la depuración de Amazon, no es algo que añadamos nosotros. Mientras la depuración esté activada, ten la tele solo en la red de casa.
Ni cuenta ni nube
No hay registro, ni un servidor nuestro por medio, ni nada que se pueda filtrar de una base de datos que no tenemos. El móvil solo habla con el ordenador que has emparejado. Los detalles están en la política de privacidad.
Lo que aún tenemos en la lista
Preferimos contártelo a que lo descubras:
- La clave que usa el móvil para reconectar se guarda en el almacén privado de la app, aún no en el Keystore de Android. Otra app no puede leerla, pero alguien con el móvil rooteado sí. Pasarla al Keystore está en la lista antes de publicar.
- El programa de Windows todavía no está firmado con un certificado de pago, así que SmartScreen avisa al instalarlo. Comprueba el SHA-256 en la página de descarga para asegurarte de que el archivo es el que compilamos.
- Ninguna empresa de seguridad externa lo ha auditado aún. Es código nuestro, escrito a la vista.
¿Has encontrado algo?
Si ves un problema de seguridad, cuéntanoslo: luixlabx@gmail.com.