ब्राउज़र एन्क्रिप्शन क्षमताएं: आधुनिक ब्राउज़र क्या कर सकते हैं

आधुनिक browsers में native cryptography है जो dedicated security libraries को टक्कर देती है। Chrome, Firefox, Safari और Edge सभी Web Crypto API (crypto.subtle) expose करते हैं, TLS 1.3 implement करते हैं, WebAuthn/passkeys support करते हैं, Site Isolation के साथ हर origin sandbox करते हैं, और Windows के TPM व macOS/iOS के Secure Enclave के ज़रिए hardware-backed key storage provide करते हैं। Encrypted फ़ाइल ट्रांसफर tools बनाने वाले developers के लिए इसका मतलब है AES-256-GCM encryption, PBKDF2 key derivation और FIDO2 authentication बिना किसी external library के मुफ्त में मिलते हैं। यहाँ बताया है कि 2026 में हर browser वास्तव में क्या कर सकता है।

Web Crypto API: साझा आधार

चारों major browsers लगभग identical surface area के साथ W3C Web Cryptography API support करते हैं। Core algorithms:

• Symmetric: AES-GCM, AES-CBC, AES-CTR, AES-KW (128, 192, 256-bit)
• Asymmetric: RSA-OAEP, RSA-PSS, RSASSA-PKCS1-v1_5 (4096-bit तक), ECDSA और ECDH (P-256, P-384, P-521)
• Hashing: SHA-1, SHA-256, SHA-384, SHA-512
• Key derivation: PBKDF2, HKDF
• MAC: HMAC

क्या missing है: ChaCha20-Poly1305 (कोई browser support नहीं), Argon2 (कोई browser support नहीं), Ed25519/X25519 (Safari 17+ और Firefox 129+ में है, Chrome catch up कर रहा है)। इनके लिए अभी भी libsodium.js या @noble/curves जैसे JavaScript या WASM libraries चाहिए।

Chrome और Edge एक ही crypto implementation share करते हैं (BoringSSL via V8)। Firefox NSS use करता है। Safari CoreCrypto use करता है, Apple की FIPS-validated library। Performance varies: Firefox का PBKDF2 equivalent hardware पर Chrome से लगभग 20% slower चलता है; Apple Silicon पर hardware acceleration के साथ Safari का AES-GCM उसी Mac पर Chrome से roughly 2x faster है।

TLS 1.3 और Certificate Transparency

हर major browser supported origins पर TLS 1.3 default करता है। Chrome ने Chrome 84 (July 2020) में TLS 1.0 और 1.1 support remove की। Firefox ने Firefox 78 में remove की। Safari ने macOS 11 / iOS 14 में drop की।

Certificate Transparency enforce होती है: April 2018 के बाद issued certificates कम से कम दो CT logs में appear होने चाहिए वरना Chrome और Safari reject करते हैं। यह CA misissuance को publicly auditable बनाकर DigiNotar-style attacks जल्दी catch करता है। Mozilla का Firefox Firefox 117 (2023) में CT enforcing शुरू हुआ।

Public key pinning via HPKP header deprecated हो गया (Chrome 72 ने support remove की) क्योंकि यह lockout attacks enable करता था। Enterprises को अभी भी managed configurations के ज़रिए pinning मिलती है।

Origin Isolation और Sandboxing

Chrome का Site Isolation 2018 से (desktop) हर origin को अपने OS process में रखता है। Firefox का Fission Firefox 94 से यही करता है। Safari WebKit का per-process model use करता है। Encryption के लिए इसका मतलब: एक malicious cross-origin script आपकी decrypted फ़ाइल sibling tab की memory से नहीं पढ़ सकता, क्योंकि sibling अलग process में अपने heap के साथ रहता है।

Cross-Origin-Opener-Policy (COOP), Cross-Origin-Embedder-Policy (COEP), और Cross-Origin-Resource-Policy (CORP) pages को और stricter isolation में opt करने देते हैं। Cross-Origin-Opener-Policy: same-origin और Cross-Origin-Embedder-Policy: require-corp set करने से cross-origin isolation enable होती है, जो SharedArrayBuffer और high-resolution timers unlock करती है। Crypto के लिए relevant क्योंकि Spectre-style timing attacks AES implementations के खिलाफ mitigate होते हैं।

WebAuthn और Passkeys Authentication के लिए

FIDO2 WebAuthn Chrome 67+, Firefox 60+, Safari 14+, और Edge 18+ में supported है। यह applications को hardware keys (YubiKey, Titan), platform authenticators (Face ID, Windows Hello, Android biometric), या iCloud Keychain, Google Password Manager, या 1Password के ज़रिए synced passkeys से authenticate करने देता है।

File transfer application के लिए, WebAuthn passwords को stored share link protect करने वाले factor के रूप में replace करता है। Crucially, WebAuthn phishing-resistant है: signature origin से bound है, इसलिए lookalike domain credentials capture नहीं कर सकता। Chrome और Safari दोनों 2023-2024 में passkey-default flows पर moved।

Hardware-Backed Key Storage

Windows पर, TPM 2.0 chip (Windows 11 पर mandatory) Windows CNG bridge के ज़रिए non-extractable generate किए Web Crypto keys store कर सकता है। macOS और iOS पर, Secure Enclave Face ID, Touch ID और passkeys के लिए use होने वाली keys hold करता है। Android पर, StrongBox (hardware) या TEE (Trusted Execution Environment) द्वारा backed Keystore similar protection provide करता है।

Practically: modern laptop पर Web Crypto के ज़रिए extractable: false generate key TPM या Secure Enclave में live हो सकती है, main memory में नहीं। JavaScript memory dump करने वाला full browser exploit भी raw key bytes नहीं देगा। File transfer tools के लिए, यह long-lived recipient keys के लिए सबसे useful है; ephemeral per-file AES keys को यह protection नहीं चाहिए।

Content Security Policy एक Crypto Multiplier है

Encryption बेकार है अगर malicious script encrypt होने से पहले plaintext पढ़ सके। Content Security Policy headers site को declare करने देते हैं कि कौन से scripts run होने allowed हैं। Strict policy जैसे:

Content-Security-Policy: default-src 'self'; script-src 'self' 'strict-dynamic' 'nonce-abc123';

inline scripts और third-party code block करती है, injected crypto-stealing payloads के लिए कोई attack surface नहीं छोड़ती। सभी major browsers CSP Level 3 support करते हैं। File transfer apps के लिए, किसी भी allowed third-party JS पर Subresource Integrity (SRI) के साथ CSP combine करें।

File System Access और OPFS

File System Access API (Chrome 86+, Edge 86+, partial Safari 15.2+ via Origin Private File System) web apps को user permission से local files read-write करने देती है। Origin Private File System encryption के लिए particularly relevant है: यह per-origin private filesystem है, browser-managed, जो पूरी चीज़ memory में load किए बिना large encrypted payloads को upload से पहले stage करने के लिए use होता है।

Firefox FSA adopt करने में slower रहा है लेकिन Firefox 111 से OPFS support करता है। Safari सभी पर OPFS support करता है लेकिन broader File System Access API पर ज़्यादा restrictive behavior है।

Browsers अभी क्या अच्छे से नहीं कर सकते

कुछ gaps बाकी हैं:

• Argon2 key derivation Web Crypto से absent है। PBKDF2 से ऊपर password hashing के लिए WASM libraries use करें।
• ChaCha20-Poly1305 exposed नहीं है। AES-GCM most needs cover करता है, लेकिन ChaCha AES-NI के बिना पुराने ARM devices पर help करता।
• Key attestation hardware-backed keys के लिए limited है।
• Streaming AEAD अभी spec का हिस्सा नहीं है। Large file encryption के लिए chunking logic या WASM चाहिए।
• Post-quantum algorithms (Kyber, Dilithium) browser में अभी नहीं हैं। Google ने TLS handshakes में Kyber ship किया (Chrome 116+) लेकिन JavaScript-exposed post-quantum crypto अभी library territory है।

2026 में File Transfer के लिए क्या Use करें

2026 में credible browser-based file transfer stack:

• AES-256-GCM via crypto.subtle.encrypt file contents के लिए
• PBKDF2-SHA-256 at 600,000 iterations password-derived keys के लिए
• crypto.getRandomValues() salts और nonces के लिए (कभी Math.random नहीं)
• URL fragments (#key=...) server exposure के बिना keys pass करने के लिए
• HTTPS with TLS 1.3 minimum, HSTS enabled, COOP/COEP isolation के लिए
• CSP strict-dynamic, no inline scripts
• WebAuthn passkeys किसी भी stored-account feature के लिए
• OPFS Chrome/Edge/Safari 16+ पर large-file staging के लिए

HexaTransfer essentially यही stack run करता है। SwissTransfer, Tresorit Send, Cryptpad और Proton Drive Share भी। Primitives mature हैं और browsers में consistent हैं।

सभी Browsers में Testing

हमेशा सभी चार में test करें। Real-world bugs: Firefox Chrome द्वारा silently accept की जाने वाली PBKDF2 inputs पर OperationError throw करता है। Safari का FileReader 2+ GB files पर slower है। Chrome का OPFS कुछ versions में 4 GB से ऊपर chunked writes करता है। WebAuthn user verification prompts काफी differ करते हैं। Pre-release testing के लिए BrowserStack, Sauce Labs, या physical devices का local matrix use करें।

Browsers चुपचाप उपलब्ध सबसे complete crypto platforms में से एक बन गए हैं — वही standards-based primitives जो banking apps, password managers और messaging clients power करते हैं, encrypted file transfer tools बनाने वाले किसी के लिए एक JavaScript call दूर हैं।

hexatransfer.com पर आज़माएं — मुफ्त, बिना अकाउंट, 10 GB तक।