Messenger Satelit
Безпека Messenger Satelit
Messenger Satelit шифрує кожне повідомлення, дзвінок і файл на вашому пристрої за протоколом MLS (RFC 9420) у постквантовому варіанті X25519 + ML-KEM-768. Ключі не потрапляють на сервер. Сервер передає шифр і знає лише, хто в якій розмові й приблизно коли.
- 0 приватних ключів на сервері
- 30 днів щонайбільше чекає зашифроване повідомлення, доки його не отримають усі пристрої
- 14 днів щонайбільше фото й голосові, у шифрі
- 10 хв застосунок перевіряє свою версію
Коротко
- Протокол
- MLS, RFC 9420 (IETF), для розмов удвох і в групі
- Набір
- MLS_256_XWING_AES256GCM_SHA512_Ed25519: X25519 + ML-KEM-768, AES-256-GCM, SHA-512, Ed25519
- Ключі
- Створюються на пристрої. Приватні ключі й код відновлення ніколи не потрапляють на сервер.
- Хто в розмові
- Вирішують пристрої за протоколом, а не сервер.
- Дзвінки
- Напряму між пристроями, до 8. У складних мережах — ретранслятор, який бачить лише шифр.
- Файли
- З пристрою на пристрій. Фото, голосові й короткі відео чекають у шифрі щонайбільше 14 днів.
- Повідомлення в очікуванні
- Зашифровані, доки їх не отримають усі пристрої: щонайбільше 30 днів. Історії на сервері немає.
- Версія застосунку
- Підписана Ed25519; відбиток SHA-256 маніфесту лежить у публічному журналі, перевірка під час запуску й кожні 10 хвилин.
- Акаунт
- Акаунт Satelit через e-mail. Без номера телефону.
- Зовнішній аудит
- Поки ні. Ми пишемо про це тут і в застосунку.
Перевірте самі. Не вірте на слово.
Що зберігає сервер
- Зашифровані повідомлення в очікуванні, доки їх не отримають усі пристрої: щонайбільше 30 днів.
- Хто в якій розмові й день, коли щось відбувалося, але не годину.
- Публічні ключі пристроїв.
Чого він ніколи не бачить
- Текст, фото, файли й дзвінки.
- Назви й фото груп.
- Приватні ключі й код відновлення.
- Хто з учасників надіслав конкретне повідомлення.
Як перевірити версію
- Підписаний маніфест Список усіх файлів версії, кожен зі своїм відбитком SHA-256, з підписом Ed25519.messenger.satelit.md/.well-known/satelit-build.json
- Журнал версій Відбиток SHA-256 маніфесту має бути тут. Якщо версії немає в журналі, застосунок здіймає тривогу.messenger.satelit.md/api/kt/builds
- Вершина журналу Підписаний корінь журналу, для тих, хто хоче стежити за ним у часі.messenger.satelit.md/.well-known/satelit-kt-head.json
Публічний ключ підпису (Ed25519)TOhCsXBzw74hRERKF71s8eFPVbckLYbPuXfytPcYsxg
Застосунок сам робить ці перевірки під час запуску й кожні 10 хвилин. Їх видно в налаштуваннях, у розділі «Безпека й прозорість».
Чого ми не обіцяємо
- Незалежного зовнішнього аудиту Messenger поки не було.
- У браузері код приходить із сервера під час першого візиту. Повністю цю межу закривають лише встановлені застосунки.
- Під час першого контакту порівняйте код безпеки зі співрозмовником: лише так ви знаєте, що посередині нікого немає.
- Сервер знає, хто в якій розмові й приблизно коли щось надіслано. Але не знає що.
Запитання
Чи може Satelit прочитати мої повідомлення?
Ні. Сервер отримує лише зашифровані дані й не має ключів. Серверу видно: хто в якій розмові й приблизно коли. Винятки: повідомлення, які ви самі надіслали у скарзі, і питання для @satelit.
Що Satelit отримує у відкритому вигляді?
Дві речі, лише коли ви ними користуєтеся. Те, що ви надсилаєте через @satelit: питання, повідомлення, на яке ви відповідаєте, і повідомлення, які ви самі вибрали у вікні питання, із заміненими іменами, щоб відповів Satelit AI. І те, що ви робите в соціальній частині: друзі, зустрічі, місця й Meet. Це Satelit читає, як у застосунку Satelit. Інші повідомлення ні.
Що відбувається з повідомленнями у скарзі?
Повідомлення, які ви самі вирішили надіслати у скарзі, доходять до модераторів Satelit у читабельному вигляді. Скарга зберігається 90 днів після закриття, потім видаляється.
Чи був зовнішній аудит?
Поки ні. Доти ми пишемо про це тут і в застосунку.