सुरक्षा

सरल शब्दमे

अहाँक प्रत्येक उपकरण अपन एक जोड़ा चाबी बनबैत अछि। जखन अहाँ कोनो संदेश पठबैत छी, अहाँक phone ओकरा एकटा नव एक-बेरक चाबीसँ बन्द करैत अछि, तकर बाद ओ चाबी बातचीतमे सामिल प्रत्येक उपकरणक लेल अलग-अलग बन्द होइत अछि। केवल ओही उपकरण ओकरा खोलि सकैत अछि। अहाँक phone संदेशपर हस्ताक्षरो करैत अछि, जाहिसँ पढ़नेवालाक phone बुझि सकैत अछि जे ई सच्चे अहाँ लगसँ आएल अछि आ रस्तामे बदलल नहि गेल अछि।

तकनीकी सारांश

उपकरणक चाबी: चाबी सहमतिक लेल X25519 आ हस्ताक्षरक लेल Ed25519, उपकरणेपर बनैत अछि। निजी चाबी platform केर सुरक्षित भंडारमे राखल जाइत अछि आ कहियो upload नहि होइत अछि।
संदेश: एकटा यादृच्छिक 256-bit सामग्री-चाबी ChaCha20-Poly1305 सँ मूल सामग्री केँ बन्द करैत अछि। सामग्री-चाबी प्रत्येक प्राप्तकर्ता उपकरणक लेल ephemeral X25519 + HKDF-SHA256 सँ लपेटल जाइत अछि। लिफाफाक शीर्षक (बातचीत, पठाओनिहार, उपकरण, संदेश id, प्राप्तकर्ताक सूची) associated data रूपमे जोड़ल जाइत अछि आ Ed25519 सँ हस्ताक्षरित होइत अछि।
फाइल: उपकरणेपर एकटा एक-बेरक चाबीसँ बन्द होइत अछि, जे चाबी बन्द संदेशक भीतरे जाइत अछि। server केवल बन्द रूपमे संग्रह करैत अछि।
कॉल: WebRTC संग DTLS-SRTP माध्यम। प्रस्ताव, उत्तर आ ICE candidates ओही हस्ताक्षरित, बन्द लिफाफामे जाइत अछि, तेँ server कॉल जोड़बाक प्रक्रिया ने पढ़ि सकैत अछि, ने बदलि सकैत अछि।
सुरक्षा-संख्या: दुनू व्यक्तिक उपकरण-चाबीक छाप। आमने-सामने मिलाकए देखू जे बीचमे कियो नहि अछि। जखन कोनो परिचितक चाबी बदलैत अछि, app सूचित करैत अछि।
प्रवेश: scrypt सँ password केर हैश, ऐच्छिक TOTP दू-चरण सत्यापन हैश कएल पुनर्प्राप्ति कोडक संग, 5 बेर गलत भेलापर बन्द, 12 घंटाक निष्क्रियता आ 24 घंटाक अधिकतम सत्र, HttpOnly SameSite=Strict cookie। कतहु SMS नहि।
वेब: कड़ा Content-Security-Policy, कोनो तेसर पक्षक स्रोत नहि, फ्रेम एम्बेडिङ अस्वीकृत, प्रोडक्शनमे HSTS।
Android: स्क्रीन कैप्चर रोकबाक लेल FLAG_SECURE, सादा यातायात बन्द, app बैकअप बन्द।

server की देखि सकैत अछि

के कहियासँ ककरासँ बात करैत अछि, संदेश आ फाइलक आकार, समूहक नाम आ सदस्यता, आ जे कोनो कॉल जोड़ल जा रहल अछि — ई सब server देखि सकैत अछि। कार्य, सहमति आ प्रतिवेदनक मसौदा server पर बिना पूर्ण सुरक्षाक संग्रहित होइत अछि। ई बात हम गोपनीयता पृष्ठपर खुलकए लिखने छी।

हम परीक्षण कोना करैत छी

प्रत्येक संस्करण 40 सँ बेशी स्वचालित जाँचसँ गुजरैत अछि, जाहिमे सामिल अछि: Python मे लिखल protocol केर एकटा स्वतंत्र कार्यान्वयन जे app संग मिलिकए काज करए; बदलल, जाली आ दोहराएल लिफाफापर आक्रमणक परीक्षण; server डेटाबेसमे सादा पाठक खोज; ई सत्यापन जे समाप्त भेल अदृश्य संदेश अपन चाबीक संग मेटाएल जाइत अछि; आ एकटा browser जाँच जे web app कोनो तेसर पक्षसँ शून्य अनुरोध करैत अछि।

ज्ञात सीमा

अखन forward secrecy ratchet नहि अछि: चोराएल उपकरण-चाबीसँ ओहि उपकरणकेँ पठाएल पुरान संदेश पढ़ल जा सकैत अछि। double-ratchet योजना आगाँक कार्यसूचीमे अछि।
Metadata सर्वर केँ देखाइत अछि, जेना ऊपर कहल गेल अछि।
वेब संस्करणक सुरक्षा ब्राउज़र आ हमर सर्वर जे कोड पठबैत अछि, ताहि पर निर्भर करैत अछि। यैह एकटा कारण छैक जे वेब संस्करण मात्र एकटा छोट, निमंत्रण-आधारित परीक्षण धरि सीमित अछि: पहिने Google Play बला app आओत, आ हम ओकर signing certificate Get Namaskara पन्ना पर प्रकाशित करब।