Messenger Satelit
Безопасность Messenger Satelit
Messenger Satelit шифрует каждое сообщение, звонок и файл на вашем устройстве по протоколу MLS (RFC 9420) в постквантовом варианте X25519 + ML-KEM-768. Ключи не попадают на сервер. Сервер передаёт шифр и знает только, кто в какой беседе и примерно когда.
- 0 приватных ключей на сервере
- 30 дней максимум ждёт зашифрованное сообщение, пока его не получат все устройства
- 14 дней максимум фото и голосовые, в шифре
- 10 мин приложение проверяет свою версию
Коротко
- Протокол
- MLS, RFC 9420 (IETF), для бесед вдвоём и в группе
- Набор
- MLS_256_XWING_AES256GCM_SHA512_Ed25519: X25519 + ML-KEM-768, AES-256-GCM, SHA-512, Ed25519
- Ключи
- Создаются на устройстве. Приватные ключи и код восстановления никогда не попадают на сервер.
- Кто в беседе
- Решают устройства по протоколу, а не сервер.
- Звонки
- Напрямую между устройствами, до 8. В сложных сетях — ретранслятор, который видит только шифр.
- Файлы
- С устройства на устройство. Фото, голосовые и короткие видео ждут в шифре максимум 14 дней.
- Сообщения в ожидании
- Зашифрованы, пока их не получат все устройства: максимум 30 дней. Истории на сервере нет.
- Версия приложения
- Подписана Ed25519; отпечаток SHA-256 манифеста лежит в публичном журнале, проверка при запуске и каждые 10 минут.
- Аккаунт
- Аккаунт Satelit по e-mail. Без номера телефона.
- Внешний аудит
- Пока нет. Мы пишем об этом здесь и в приложении.
Проверьте сами. Не верьте на слово.
Что хранит сервер
- Зашифрованные сообщения в ожидании, пока их не получат все устройства: максимум 30 дней.
- Кто в какой беседе и день, когда что-то происходило, но не час.
- Публичные ключи устройств.
Чего он никогда не видит
- Текст, фото, файлы и звонки.
- Названия и фото групп.
- Приватные ключи и код восстановления.
- Кто из участников отправил конкретное сообщение.
Как проверить версию
- Подписанный манифест Список всех файлов версии, у каждого свой отпечаток SHA-256, с подписью Ed25519.messenger.satelit.md/.well-known/satelit-build.json
- Журнал версий Отпечаток SHA-256 манифеста должен быть здесь. Если версии нет в журнале, приложение поднимает тревогу.messenger.satelit.md/api/kt/builds
- Вершина журнала Подписанный корень журнала, для тех, кто хочет следить за ним во времени.messenger.satelit.md/.well-known/satelit-kt-head.json
Публичный ключ подписи (Ed25519)TOhCsXBzw74hRERKF71s8eFPVbckLYbPuXfytPcYsxg
Приложение само делает эти проверки при запуске и каждые 10 минут. Их видно в настройках, в разделе «Безопасность и прозрачность».
Чего мы не обещаем
- Независимого внешнего аудита Messenger пока не было.
- В браузере код приходит с сервера при первом визите. Полностью эту границу закрывают только установленные приложения.
- При первом контакте сравните код безопасности с собеседником: только так вы знаете, что посередине никого нет.
- Сервер знает, кто в какой беседе и примерно когда что-то отправлено. Но не знает что.
Вопросы
Может ли Satelit читать мои сообщения?
Нет. Сервер получает только зашифрованные данные и не имеет ключей. Серверу видно: кто в какой беседе и примерно когда. Исключения: сообщения, которые вы сами решили отправить в жалобе, и вопросы для @satelit.
Что Satelit получает в открытом виде?
Две вещи, только когда вы ими пользуетесь. То, что вы отправляете через @satelit: вопрос, сообщение, на которое отвечаете, и сообщения, которые вы сами выбрали в окне вопроса, с заменёнными именами, чтобы ответил Satelit AI. И то, что вы делаете в социальной части: друзья, встречи, места и Meet. Это Satelit читает, как в приложении Satelit. Остальные сообщения нет.
Что происходит с сообщениями из жалобы?
Сообщения, которые вы сами решили отправить в жалобе, доходят до модераторов Satelit в читаемом виде. Жалоба хранится 90 дней после закрытия, затем удаляется.
Был ли внешний аудит?
Пока нет. До тех пор мы пишем об этом здесь и в приложении.