हें security कशें चलता, सोप्या उतरांनी.
जिज्ञासू आनी सावध मनशांखातीर. आदीं थोडक्यांत, उपरांत तांत्रिक विवरण.
सोप्या उतरांनी
तुमच्या हर एका device न स्वताचो किल्ल्यांचो जोडो तयार करता. तुमी संदेश धाडटना, तुमचो phone तो एका नव्या एकवेळच्या किल्ल्यान बंद करता, उपरांत तो किल्लो chat मधल्या हर एका device खातीर वेगळो बंद करता. फकत त्याच devices तो उगडपाक शकतात. तुमचो phone संदेशाचेर सयही घालता, देखून वाचपी मनशाचो phone सांगपाक शकता की तो खरोच तुमच्याकडल्यान आयला आनी वाटेर बदललो ना.
तांत्रिक सारांश
- Device किल्ले: किल्लो जुळोवपाखातीर X25519 आनी सयहींखातीर Ed25519, device वयर तयार जातात. खाजगी किल्ले platform च्या सुरक्षित सांठवणींत दवरतात आनी कधीच upload करिनात.
- संदेस: एक रँडम 256-bit कंटेंट कील ChaCha20-Poly1305 वापरून संदेसाचो मजकूर बंद करता. ती कंटेंट कील दर एका घेवपी उपकरणा खातीर ephemeral X25519 + HKDF-SHA256 वापरून गुठलायता. लिफाफ्याचो मथळो (संवाद, धाडपी, उपकरण, संदेस id, घेवपी वळेरी) जोडिल्ली माहिती म्हण बांदिल्लो आसता आनी Ed25519 वापरून सही केल्लो आसता.
- फायली: device वयर एका एकवेळच्या किल्ल्यान बंद जातात, तो किल्लो बंद केल्ल्या संदेशा भितर वता. Server फकत बंद केल्लो मजकूर सांठयता.
- कॉल: DTLS-SRTP माध्यमा सयत WebRTC. ऑफर, जाप आनी ICE उमेदवार त्याच सही केल्ल्या, बंद केल्ल्या लिफाफ्यांनी वचतात, देखून सर्व्हराक कॉल सुरू करपाची माहिती वाचूंक वा बनावट करूंक मेळना.
- Safety numbers: दोगांच्याय device किल्ल्यांचो ठसो. मदीं कोण ना हें खात्री करपाखातीर समोरासमोर मेळून तपासा. Contact चे किल्ले बदलले जाल्यार app सांगता.
- साइन-इन: scrypt पासवर्ड हॅश, पर्यायी TOTP दोन-पावलांची पडताळणी हॅश केल्ल्या रिकव्हरी कोडां सयत, 5 फसपां उपरांत लॉक-आवट, 12 वरां निश्क्रिय आनी 24 वरां कमाल सत्रां, HttpOnly SameSite=Strict कुकी. खंयच SMS ना.
- वेब: कडक Content-Security-Policy, तिसऱ्या पक्षाचे स्रोत नात, फ्रेम घालपाक मेळना, उत्पादनांत HSTS.
- Android: स्क्रीन कॅप्चरा आड FLAG_SECURE, साद्या रुपांतल्यान माहिती वचप बंद, app बॅकअप बंद.
Server किते पळोवपाक शकता
कोण कोणाकडेन आनी केन्ना उलयता, संदेश आनी फायलींचो आकार, गटाचें नांव आनी सदस्य, आनी कॉल सुरू जावपाची खबर. कामां, करार आनी अहवालाचे मसुदे server वयर end-to-end encryption विणें सांठयतात. हें आमी Privacy पानार उक्तेपणान सांगलां.
आमी कशें तपासतात
हर एक release, 40 परस चड automated तपासण्यांचो टप्पो पार करता, ज्यांत आसा: Python मध्यें बरयल्लो protocol चो स्वतंत्र अंमल जो app सयत काम करपाक जाय; बदललेल्या, बनावट आनी परत धाडिल्ल्या envelopes वयर हल्ले; plaintext खातीर server database चो शोध; मुदत सोंपिल्ले नश्ट जावपी संदेश तांच्या किल्ल्यांसयत पुसले जातात हें पडताळणी; आनी web app शून्य तृतीय-पक्ष requests करता हें browser audit.
ज्ञात मर्यादा
- अजून फॉरवर्ड सिक्रेसी रॅचेट ना: चोरिल्ली उपकरण कील त्या उपकरणाक धाडिल्ले पयलींचे संदेस उगडूंक शकता. डबल-रॅचेट रचनी मुखार येवपाच्या येवजणेंत आसा.
- मेटाडाटा सर्व्हराक दिसता, वयर सांगिल्ले परी.
- वेब आवृत्तीची सुरक्षा ब्राउझर आनी आमच्या सर्व्हरान धाडिल्ल्या कोडाचेर आदारून आसा. देखून वेब आवृत्ती फकत थोड्या आमंत्रीत लोकां खातीर मर्यादित दवरल्या: पयलीं Google Play ॲप येता, आनी तिचें सायनिंग सर्टिफिकेट आमी Get Namaskara पानार उजवाडायतले.
Security विशयाची तक्रार करात
एखादी vulnerability मेळ्ळी? उजवाडाक हाडचे आदीं, subject मध्यें "Security" घालून Contact मार्फत आमकां खाजगीपणान सांगा. आमी जाप दितले, दुरुस्त करतले आनी तुमची इच्छा आसल्यार नांव घेतले. कृपया दुसऱ्यांच्या accounts वयर तपासणी करू नका.
