ಸುರಕ್ಷತೆ

ಸರಳ ಮಾತುಗಳಲ್ಲಿ

ನಿಮ್ಮ ಪ್ರತಿಯೊಂದು ಸಾಧನವೂ ತನ್ನದೇ ಆದ ಒಂದು ಜೋಡಿ ಕೀಗಳನ್ನು ತಯಾರಿಸುತ್ತದೆ. ನೀವು ಸಂದೇಶ ಕಳುಹಿಸಿದಾಗ, ನಿಮ್ಮ phone ಅದಕ್ಕೆ ಒಂದು ಹೊಸ ಏಕಬಳಕೆಯ ಕೀಯಿಂದ ಬೀಗ ಹಾಕುತ್ತದೆ, ನಂತರ ಆ ಕೀಯನ್ನು ಚಾಟ್‌ನಲ್ಲಿರುವ ಪ್ರತಿಯೊಂದು ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕವಾಗಿ ಬೀಗ ಹಾಕುತ್ತದೆ. ಆ ಸಾಧನಗಳು ಮಾತ್ರ ಅದನ್ನು ತೆರೆಯಬಲ್ಲವು. ನಿಮ್ಮ phone ಸಂದೇಶಕ್ಕೆ ಸಹಿಯನ್ನೂ ಹಾಕುತ್ತದೆ, ಹಾಗಾಗಿ ಓದುವವರ phone ಗೆ ಅದು ನಿಜವಾಗಿಯೂ ನಿಮ್ಮಿಂದಲೇ ಬಂದಿದೆ ಮತ್ತು ದಾರಿಯಲ್ಲಿ ಬದಲಾಗಿಲ್ಲ ಎಂದು ಗೊತ್ತಾಗುತ್ತದೆ.

ತಾಂತ್ರಿಕ ಸಾರಾಂಶ

ಸಾಧನದ ಕೀಗಳು: ಕೀ ಒಪ್ಪಂದಕ್ಕೆ X25519 ಮತ್ತು ಸಹಿಗೆ Ed25519, ಸಾಧನದಲ್ಲೇ ತಯಾರಾಗುತ್ತವೆ. ಖಾಸಗಿ ಕೀಗಳನ್ನು ಸಾಧನದ ಸುರಕ್ಷಿತ ಸಂಗ್ರಹದಲ್ಲಿ ಇಡಲಾಗುತ್ತದೆ, ಎಂದಿಗೂ ಅಪ್‌ಲೋಡ್ ಮಾಡಲಾಗುವುದಿಲ್ಲ.
ಸಂದೇಶಗಳು: ಯಾದೃಚ್ಛಿಕ 256-bit ವಿಷಯ ಕೀ, ChaCha20-Poly1305 ಮೂಲಕ ಮಾಹಿತಿಯನ್ನು ಗುಪ್ತವಾಗಿ ಇಡುತ್ತದೆ. ವಿಷಯ ಕೀಯನ್ನು ಪ್ರತಿ ಸ್ವೀಕರಿಸುವ ಸಾಧನಕ್ಕೆ ephemeral X25519 + HKDF-SHA256 ಬಳಸಿ ಸುತ್ತಿಡಲಾಗುತ್ತದೆ. ಹೊದಿಕೆಯ ತಲೆಬರಹ (ಸಂಭಾಷಣೆ, ಕಳುಹಿಸುವವರು, ಸಾಧನ, ಸಂದೇಶ id, ಸ್ವೀಕರಿಸುವವರ ಪಟ್ಟಿ) ಅನ್ನು ಸಂಬಂಧಿತ ಮಾಹಿತಿಯಾಗಿ ಜೋಡಿಸಿ Ed25519 ನಿಂದ ಸಹಿ ಮಾಡಲಾಗುತ್ತದೆ.
ಫೈಲ್‌ಗಳು: ಸಾಧನದಲ್ಲೇ ಒಂದು ಏಕಬಳಕೆಯ ಕೀಯಿಂದ ಗುಪ್ತವಾಗಿ ಇಡಲಾಗುತ್ತದೆ; ಆ ಕೀ ಗುಪ್ತ ಸಂದೇಶದ ಒಳಗೇ ಹೋಗುತ್ತದೆ. ಸರ್ವರ್ ಕೇವಲ ಗುಪ್ತ ರೂಪವನ್ನು ಮಾತ್ರ ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ.
ಕರೆಗಳು: DTLS-SRTP ಮಾಧ್ಯಮದೊಂದಿಗೆ WebRTC. ಕರೆ ಆರಂಭದ ಸಂದೇಶಗಳು ಅದೇ ಸಹಿ ಮಾಡಿದ, ಗುಪ್ತ ಹೊದಿಕೆಗಳಲ್ಲಿ ಹೋಗುತ್ತವೆ, ಹಾಗಾಗಿ ಸರ್ವರ್‌ಗೆ ಕರೆ ಜೋಡಣೆಯನ್ನು ಓದಲು ಅಥವಾ ನಕಲಿ ಮಾಡಲು ಸಾಧ್ಯವಿಲ್ಲ.
ಸುರಕ್ಷತೆ ಸಂಖ್ಯೆಗಳು: ಇಬ್ಬರ ಸಾಧನದ ಕೀಗಳ ಗುರುತಿನ ಮುದ್ರೆ. ನಡುವೆ ಯಾರೂ ಇಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು ನೇರವಾಗಿ ಭೇಟಿಯಾಗಿ ಹೋಲಿಸಿ ನೋಡಿ. ಸಂಪರ್ಕದ ಕೀಗಳು ಬದಲಾದಾಗ app ಎಚ್ಚರಿಕೆ ನೀಡುತ್ತದೆ.
ಒಳಗೆ ಬರುವುದು: scrypt password ಹ್ಯಾಶ್‌ಗಳು, ಐಚ್ಛಿಕ TOTP ಎರಡು-ಹಂತದ ಪರಿಶೀಲನೆ ಮತ್ತು ಹ್ಯಾಶ್ ಮಾಡಿದ ಮರುಪಡೆಯುವ ಸಂಕೇತಗಳು, 5 ಬಾರಿ ತಪ್ಪಾದ ನಂತರ ಬೀಗ, 12 ಗಂಟೆ ನಿಷ್ಕ್ರಿಯ ಮತ್ತು ಗರಿಷ್ಠ 24 ಗಂಟೆ ಅವಧಿ, HttpOnly SameSite=Strict cookie. ಎಲ್ಲಿಯೂ SMS ಇಲ್ಲ.
ವೆಬ್: ಕಟ್ಟುನಿಟ್ಟಾದ Content-Security-Policy, ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಮೂಲಗಳಿಲ್ಲ, ಫ್ರೇಮ್ ಅಳವಡಿಕೆ ನಿರಾಕರಿಸಲಾಗಿದೆ, ಉತ್ಪಾದನೆಯಲ್ಲಿ HSTS.
Android: ಪರದೆ ಸೆರೆಹಿಡಿಯುವಿಕೆ ತಡೆಯಲು FLAG_SECURE, ಸರಳ ಪಠ್ಯ ಸಂಚಾರ ನಿಷ್ಕ್ರಿಯ, app ಬ್ಯಾಕಪ್ ನಿಷ್ಕ್ರಿಯ.

ಸರ್ವರ್‌ಗೆ ಏನು ಕಾಣಿಸುತ್ತದೆ

ಯಾರು ಯಾರೊಂದಿಗೆ ಮಾತನಾಡುತ್ತಾರೆ ಮತ್ತು ಯಾವಾಗ, ಸಂದೇಶ ಮತ್ತು ಫೈಲ್ ಗಾತ್ರಗಳು, ಗುಂಪಿನ ಹೆಸರುಗಳು ಮತ್ತು ಸದಸ್ಯತ್ವ, ಮತ್ತು ಕರೆ ಜೋಡಣೆ ನಡೆಯುತ್ತಿದೆ ಎಂಬುದು — ಇವೆಲ್ಲ ಸರ್ವರ್‌ಗೆ ಕಾಣಿಸುತ್ತವೆ. ಕಾರ್ಯಗಳು, ಒಪ್ಪಂದಗಳು ಮತ್ತು ವರದಿಯ ಕರಡುಗಳನ್ನು ಸರ್ವರ್‌ನಲ್ಲಿ ತುದಿಯಿಂದ ತುದಿಯ ಗುಪ್ತತೆ ಇಲ್ಲದೆ ಸಂಗ್ರಹಿಸಲಾಗುತ್ತದೆ. ಇದನ್ನು ನಾವು ಗೌಪ್ಯತೆ ಪುಟದಲ್ಲಿ ಬಹಿರಂಗವಾಗಿ ತಿಳಿಸಿದ್ದೇವೆ.

ನಾವು ಹೇಗೆ ಪರೀಕ್ಷಿಸುತ್ತೇವೆ

ಪ್ರತಿ ಬಿಡುಗಡೆಯೂ 40 ಕ್ಕೂ ಹೆಚ್ಚು ಸ್ವಯಂಚಾಲಿತ ಪರಿಶೀಲನೆಗಳ ಮೂಲಕ ಹಾದುಹೋಗುತ್ತದೆ. ಅವುಗಳಲ್ಲಿ ಇವು ಸೇರಿವೆ: Python ನಲ್ಲಿ ಬರೆದ ಪ್ರೋಟೋಕಾಲ್‌ನ ಸ್ವತಂತ್ರ ಅನುಷ್ಠಾನ, app ನೊಂದಿಗೆ ಒಟ್ಟಾಗಿ ಕೆಲಸ ಮಾಡಬೇಕು; ತಿದ್ದಿದ, ನಕಲಿ ಮತ್ತು ಮರುಕಳಿಸಿದ ಹೊದಿಕೆಗಳ ಮೇಲೆ ದಾಳಿ ಪರೀಕ್ಷೆ; ಸರ್ವರ್ ಡೇಟಾಬೇಸ್‌ನಲ್ಲಿ ಸರಳ ಪಠ್ಯ ಇದೆಯೇ ಎಂದು ಪರಿಶೀಲನೆ; ಅವಧಿ ಮೀರಿದ ಮಾಯವಾಗುವ ಸಂದೇಶಗಳನ್ನು ಅವುಗಳ ಕೀಗಳ ಸಮೇತ ಅಳಿಸಲಾಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸುವುದು; ಮತ್ತು web app ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಯಾವುದೇ ವಿನಂತಿ ಮಾಡುವುದಿಲ್ಲ ಎಂದು ಬ್ರೌಸರ್ ತಪಾಸಣೆ.

ತಿಳಿದಿರುವ ಮಿತಿಗಳು

ಇನ್ನೂ ಮುಂದಿನ ಗೌಪ್ಯತೆಯ ರ್ಯಾಚೆಟ್ ಇಲ್ಲ: ಕದ್ದ ಸಾಧನದ ಕೀ ಆ ಸಾಧನಕ್ಕೆ ಕಳುಹಿಸಿದ ಹಿಂದಿನ ಸಂದೇಶಗಳನ್ನು ಓದಬಹುದು. ಡಬಲ್-ರ್ಯಾಚೆಟ್ ವಿನ್ಯಾಸ ಮುಂದಿನ ಯೋಜನೆಯಲ್ಲಿದೆ.
ಮೇಲೆ ವಿವರಿಸಿದಂತೆ, ಮೆಟಾಡೇಟಾ ಸರ್ವರ್‌ಗೆ ಕಾಣಿಸುತ್ತದೆ.
ವೆಬ್ ಆವೃತ್ತಿಯ ಸುರಕ್ಷತೆ ಬ್ರೌಸರ್ ಮೇಲೆ ಮತ್ತು ನಮ್ಮ ಸರ್ವರ್ ಕಳುಹಿಸುವ ಕೋಡ್ ಮೇಲೆ ಅವಲಂಬಿತವಾಗಿದೆ. ಇದೇ ಕಾರಣಕ್ಕಾಗಿ ವೆಬ್ ಆವೃತ್ತಿಯನ್ನು ಸಣ್ಣದಾದ, ಆಹ್ವಾನದ ಮೇಲೆ ಮಾತ್ರ ಬಳಸಬಹುದಾದ ಪ್ರಾಯೋಗಿಕ ಬಳಕೆಗೆ ಸೀಮಿತಗೊಳಿಸಲಾಗಿದೆ: ಮೊದಲಿಗೆ Google Play ನಲ್ಲಿ app ಬರಲಿದೆ, ಮತ್ತು ಅದರ ಸೈನಿಂಗ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಾವು Namaskara ಪಡೆಯಿರಿ ಪುಟದಲ್ಲಿ ಪ್ರಕಟಿಸುತ್ತೇವೆ.