Mega против HexaTransfer: приватность и шифрование

Mega и HexaTransfer оба используют шифрование на стороне клиента, но ориентированы на разные сценарии работы и находятся в разных юрисдикциях. Mega — новозеландская платформа облачного хранилища с 20 ГБ бесплатно, шифрованием AES-128-GCM с обменом ключами RSA-2048 и постоянными аккаунтами. HexaTransfer — французский сервис разовой передачи файлов с 10 ГБ на передачу, шифрованием AES-256-GCM, автоматическим удалением через 7 дней и отсутствием необходимости в регистрации. Для долгосрочного зашифрованного хранения у Mega богаче функциональность. Для разовых зашифрованных передач без аккаунта HexaTransfer проще и остаётся в юрисдикции ЕС. С точки зрения 152-ФЗ и требований Роскомнадзора к хранению данных в РФ важно помнить, что оба сервиса хранят данные за рубежом, поэтому их применение допустимо для данных, не относящихся к персональным данным граждан России.

Детали шифрования: AES-128 против AES-256

Шифрование на стороне клиента Mega использует AES-128 в режиме CCM для шифрования файлов и RSA-2048 для обмена ключами. Выбор AES-128 Mega защищает как достаточный (128-битный AES по-прежнему вычислительно неосуществим для перебора). Критики указывают, что AES-256 — текущий отраслевой стандарт. Веб-клиент Mega выполняет шифрование на JavaScript; настольные и мобильные приложения используют нативные реализации.

HexaTransfer использует AES-256-GCM с PBKDF2 при 600 000 итерациях для ключей, выведенных из пароля. Размер ключа 256 бит соответствует текущим передовым практикам (NIST SP 800-131A). Шифрование происходит в браузере через Web Crypto API (SubtleCrypto.encrypt), что использует нативные платформенные реализации, а не чистый JavaScript. Это быстрее и менее уязвимо к атакам по времени.

Различия в модели доверия

Mega опирается на аккаунты пользователей с ключами восстановления. Если вы потеряете и пароль, и ключ восстановления — данные безвозвратно потеряны, что правильно для zero-knowledge, но создаёт реальные проблемы поддержки. Исторически Mega обвиняли в хранении возможностей расшифровки открытого текста через потоки смены пароля, а исследователи безопасности публиковали претензии к отдельным деталям протокола.

У HexaTransfer нет аккаунтов, поэтому нет механизма сброса пароля, который можно потенциально злоупотребить. Ключ дешифрования либо во фрагменте URL, либо обёрнут пользовательским паролем через PBKDF2. Если потерять оба — файл не восстановить, что соответствует сценарию разовой передачи, при которой 7-дневный срок жизни всё равно удалит файл.

Юрисдикция и хранение данных

Mega базируется в Окленде, Новая Зеландия, с дата-центрами в Новой Зеландии, Нидерландах, Канаде и других странах. Новая Зеландия — член альянса Five Eyes по обмену разведывательными данными, что беспокоит ряд сторонников конфиденциальности. Тем не менее Закон о конфиденциальности Новой Зеландии 2020 года обеспечивает защиту, эквивалентную GDPR, а распределённый хостинг означает, что файлы пользователей из ЕС могут попасть на серверы в Нидерландах.

HexaTransfer размещает данные исключительно во Франции. Никакого распределённого глобального присутствия, никакого участия Five Eyes. GDPR применяется напрямую. Для пользователей из ЕС со строгими требованиями к суверенитету данных модель с единой юрисдикцией проще оценить юридически.

Размер файлов, хранилище и хранение данных

Бесплатный уровень Mega предлагает 20 ГБ постоянного хранения с неограниченным сроком хранения файлов при условии периодического входа (30-дневная блокировка при бездействии). Платные уровни предлагают до 16 ТБ. Максимальный размер файла при загрузке ограничен только квотой.

HexaTransfer позволяет передавать до 10 ГБ за раз с автоматическим удалением через 7 дней. Постоянного хранилища нет — сервис предназначен исключительно для отправки, а не хранения. Для еженедельной доставки 8 ГБ дизайн-материалов клиентам HexaTransfer подходит. Для архива личных фотографий подходит Mega, а HexaTransfer — нет.

Пользовательский опыт

Веб-интерфейс Mega, настольная синхронизация и мобильные приложения обеспечивают опыт, похожий на Dropbox: папки, версии, общий доступ. Можно иметь постоянные общие папки с коллегами, устанавливать права для каждой папки и поддерживать структуру проекта месяцами.

HexaTransfer — намеренно узкоцелевой сервис. Откройте сайт, перетащите файл, получите ссылку, отправьте. Никаких папок, синхронизации, версий. Минимализм — это цель: ноль когнитивных затрат, ноль управления аккаунтами.

Сравнительная таблица

| Функция | Mega | HexaTransfer | |---|---|---| | Тип | Постоянное облачное хранилище | Разовая передача | | Шифрование | AES-128-CCM + RSA-2048 | AES-256-GCM + PBKDF2 | | Клиентское шифрование | Да | Да | | Бесплатный уровень | 20 ГБ хранилища | 10 ГБ на передачу | | Макс. размер файла | По квоте | 10 ГБ | | Хранение | Бессрочно (30 дней простоя) | 7 дней | | Нужна регистрация | Да | Нет | | Местонахождение данных | НЗ, НЛ, КА и др. | Франция | | Позиция по GDPR | Соответствует | Резидент ЕС | | Five Eyes | Да (НЗ) | Нет | | Настольные приложения | Да | Нет | | Мобильные приложения | Да | Нет (только браузер) | | Общий доступ к папкам | Да | Нет |

Аудиты безопасности и прозрачность

Mega опубликовала открытый для просмотра веб-клиент и заказала сторонние аудиты безопасности. Академическая статья 2022 года «MEGA: Malleable Encryption Goes Awry» от исследователей ETH Zürich выявила пять уязвимостей в криптографическом протоколе Mega, впоследствии все исправлены. Публичная реакция и исправления были оперативными — правильное поведение для криптографического сервиса под пристальным вниманием.

Архитектура HexaTransfer проще (меньше протоколов, нет восстановления аккаунта, нет долгоживущих сессий), что уменьшает поверхность атаки. Клиентский код можно изучить в браузере. Как более новый и узкоспециализированный сервис, он не прошёл тот же уровень академической проверки, что Mega.

Бизнес-модель и долговечность

Бизнес-модель Mega — freemium с уровнями хранилища, что генерирует выручку пропорционально числу платных пользователей. Сервис работает с 2013 года (изначально как MEGA Limited, преемник Megaupload Кима Дотком). Долговечность обоснована.

HexaTransfer — бесплатный сервис без платных уровней в настоящее время. Вопросы о бизнес-модели бесплатных сервисов обоснованы: если сервис не монетизирован, убедитесь в его устойчивости, прежде чем полагаться на него в бизнес-критических задачах. Для разовых передач устойчивость важна меньше, чем для архивного хранения.

Когда выбирать каждый из них

Выбирайте Mega для постоянного зашифрованного облачного хранилища, общего доступа к папкам команды, постоянных архивов проектов, межустройственной синхронизации и полного zero-knowledge-облачного продукта. Принимайте компромисс с юрисдикцией Five Eyes ради богатства функций.

Выбирайте HexaTransfer для разовых зашифрованных передач, требований к юрисдикции ЕС, сценариев, где создание аккаунта добавляет трение (внешние доставки, одноразовые получатели), и когда 10 ГБ достаточно. Принимайте отсутствие постоянного хранилища и функций совместной работы ради простоты и юрисдикционной направленности.

Использование обоих

Они скорее дополняют друг друга, чем конкурируют. Человек, заботящийся о конфиденциальности, может использовать Mega для постоянного личного облачного хранилища (фотографии, резервные копии, документы, которые он хочет сохранить) и HexaTransfer для разовых зашифрованных отправок получателям, у которых нет Mega. Рабочие процессы не пересекаются настолько, чтобы создавать излишнее дублирование.

Для малого бизнеса Mega может служить внутренним хранилищем для совместной работы, а HexaTransfer — для внешних доставок клиентам. Клиентам не нужны аккаунты Mega для получения ссылок HexaTransfer, что снижает трение при разовых взаимодействиях.

Попробуйте на hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.