SecureDrop verwendet das Tor-Netzwerk zur Anonymisierung; es soll eine sichere Kommunikation zwischen Whistleblowern und Journalisten ermöglicht werden.[6] Installationen von SecureDrop sind deswegen nur als Tor Onion Services mit einer .onion-Adresse erreichbar. Beim Upload der sensiblen Dokumente, wird dem Whistleblower ein zufällig generierter Code-Name zugewiesen. Mit diesem können die Journalisten Nachrichten an den Whistleblower hinterlassen. Die Nachrichten können nur durch SecureDrop und mit dem richtigen Code-Namen abgerufen werden.[7]
Vor der Veröffentlichung jeder Hauptversion wird, von einem sich jedes Mal ändernden externen Expertenteam, ein Sicherheitsaudit durchgeführt.[17]
Im August 2013 wurde der erste Sicherheitsaudit von einem Team der University of Washington, zu dem unter anderem Bruce Schneier und Jacob Appelbaum gehörten, durchgeführt. Sie empfanden SecureDrop als ein technisch anständiges System, bemängelten aber die technische Kompetenz, die von Journalisten vorausgesetzt wird. Fehler in der Anwendung von Journalisten könnten die Anonymität der Quellen gefährden.[18]
Der Quelltext der Version 0.2.1 wurde vor der Veröffentlichung von der Berliner Sicherheitsfirma Cure53 überprüft.[19] In der Zusammenfassung des Penetrationstest-Berichts wurde angegeben, dass keine kritischen Fehler gefunden wurden. Zudem wird SecureDrop als gut gesicherte Anwendung mit geringen Angriffsmöglichkeiten beschrieben.[20]
Vor der Veröffentlichung der Version 0.3 wurde ebenfalls ein Sicherheitsaudit von dem Sicherheitsunternehmen iSECpartners, unter der Leitung von Valentin Leon und Jonathan Chittenden, durchgeführt. Es wurden dabei zwei Schwachstellen entdeckt, welche jedoch als „schwer ausnutzbar“ eingestuft wurden und vor der Veröffentlichung ausgebessert wurden. Keine der entdeckten Schwachstellen wurde als kritisch eingestuft.[17]
Die bereitgestellten Dokumente werden mit OpenPGP verschlüsselt und zu einem abgetrennten Spiegelserver übertragen. Journalisten greifen mit einer Verbindung durch das Tor-Netzwerk auf den Server zu und speichern die verschlüsselten Dokumente auf einem USB-Speicherstick. Ein vom Internet getrennter Computer wird mit einer Live-CD gestartet; vor jeder Benutzung werden alle Daten komplett von diesem Computer gelöscht. Die zur Entschlüsselung benötigten Schlüssel sind auf einem weiteren USB-Stick gespeichert. Die Dokumente können jetzt entschlüsselt und für die Veröffentlichung vorbereitet werden.[5][6][7]
↑Freedom of the Press Foundation:The Official SecureDrop Directory.ArchiviertvomOriginal(nicht mehr online verfügbar)am2.Januar 2015;abgerufen am 31.Juli 2014(englisch).Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/freedom.press
↑Jürgen Schmidt:Heise öffnet Enthüllungsplattform heise Tippgeber.heise.de,5.August 2016,abgerufen am 26.März 2017:„Der sichere Briefkasten beruht auf dem speziell für solche Zwecke konzipierten Open-Source-Projekt Secure Drop der Freedom of the Press Foundation, das heise Security für den Einsatz im Redaktions-Alltag angepasst hat. […] heise Tippgeber ist damit das erste große deutsche Internet-Angebot, das einen anonymen Briefkasten auf Basis von Secure Drop anbietet.“
