ਸੁਰੱਖਿਆ

ਸਾਦੀ ਭਾਸ਼ਾ ਵਿੱਚ

ਤੁਹਾਡੇ ਹਰੇਕ ਯੰਤਰ ਵਿੱਚ ਆਪਣੀ ਚਾਬੀਆਂ ਦੀ ਜੋੜੀ ਬਣਦੀ ਹੈ। ਜਦੋਂ ਤੁਸੀਂ ਸੁਨੇਹਾ ਭੇਜਦੇ ਹੋ, ਤੁਹਾਡਾ ਫ਼ੋਨ ਉਸਨੂੰ ਇੱਕ ਨਵੀਂ, ਇੱਕੋ ਵਾਰ ਵਰਤੀ ਜਾਣ ਵਾਲੀ ਚਾਬੀ ਨਾਲ ਬੰਦ ਕਰਦਾ ਹੈ, ਫਿਰ ਉਹ ਚਾਬੀ ਗੱਲਬਾਤ ਵਿੱਚ ਸ਼ਾਮਲ ਹਰੇਕ ਯੰਤਰ ਲਈ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਬੰਦ ਕਰਦਾ ਹੈ। ਸਿਰਫ਼ ਉਹੀ ਯੰਤਰ ਇਸਨੂੰ ਖੋਲ੍ਹ ਸਕਦੇ ਹਨ। ਤੁਹਾਡਾ ਫ਼ੋਨ ਸੁਨੇਹੇ 'ਤੇ ਦਸਤਖ਼ਤ ਵੀ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋ ਪੜ੍ਹਨ ਵਾਲੇ ਦਾ ਫ਼ੋਨ ਜਾਣ ਸਕੇ ਕਿ ਇਹ ਸੱਚਮੁੱਚ ਤੁਹਾਡੇ ਵੱਲੋਂ ਆਇਆ ਹੈ ਅਤੇ ਰਾਹ ਵਿੱਚ ਬਦਲਿਆ ਨਹੀਂ ਗਿਆ।

ਤਕਨੀਕੀ ਸਾਰ

ਯੰਤਰ ਦੀਆਂ ਚਾਬੀਆਂ: ਚਾਬੀ ਸਾਂਝ ਲਈ X25519 ਅਤੇ ਦਸਤਖ਼ਤਾਂ ਲਈ Ed25519, ਯੰਤਰ 'ਤੇ ਹੀ ਬਣਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਨਿੱਜੀ ਚਾਬੀਆਂ ਪਲੇਟਫ਼ਾਰਮ ਦੇ ਸੁਰੱਖਿਅਤ ਭੰਡਾਰ ਵਿੱਚ ਰੱਖੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਕਦੇ ਅੱਪਲੋਡ ਨਹੀਂ ਹੁੰਦੀਆਂ।
ਸੁਨੇਹੇ: ਇੱਕ ਬੇਤਰਤੀਬ 256-bit ਸਮੱਗਰੀ ਚਾਬੀ, ਅਸਲ ਡੇਟਾ ਨੂੰ ChaCha20-Poly1305 ਨਾਲ ਬੰਦ ਕਰਦੀ ਹੈ। ਸਮੱਗਰੀ ਚਾਬੀ ਹਰੇਕ ਪ੍ਰਾਪਤਕਰਤਾ ਯੰਤਰ ਲਈ ਅਸਥਾਈ X25519 + HKDF-SHA256 ਨਾਲ ਲਪੇਟੀ ਜਾਂਦੀ ਹੈ। ਲਿਫ਼ਾਫ਼ੇ ਦਾ ਸਿਰਲੇਖ (ਗੱਲਬਾਤ, ਭੇਜਣ ਵਾਲਾ, ਯੰਤਰ, ਸੁਨੇਹਾ id, ਪ੍ਰਾਪਤਕਰਤਾ ਸੂਚੀ) ਸੰਬੰਧਿਤ ਡੇਟਾ ਵਜੋਂ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ Ed25519 ਨਾਲ ਦਸਤਖ਼ਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
ਫ਼ਾਈਲਾਂ: ਯੰਤਰ 'ਤੇ ਹੀ ਇੱਕੋ ਵਾਰ ਵਰਤੀ ਜਾਣ ਵਾਲੀ ਚਾਬੀ ਨਾਲ ਬੰਦ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਜੋ ਬੰਦ ਕੀਤੇ ਸੁਨੇਹੇ ਅੰਦਰ ਜਾਂਦੀ ਹੈ। ਸਰਵਰ ਸਿਰਫ਼ ਬੰਦ ਕੀਤਾ ਡੇਟਾ ਹੀ ਸੰਭਾਲਦਾ ਹੈ।
ਕਾਲਾਂ: DTLS-SRTP ਮੀਡੀਆ ਨਾਲ WebRTC। ਪੇਸ਼ਕਸ਼ਾਂ, ਜਵਾਬ ਅਤੇ ICE candidates ਉਹੀ ਦਸਤਖ਼ਤ ਕੀਤੇ, ਬੰਦ ਲਿਫ਼ਾਫ਼ਿਆਂ ਵਿੱਚ ਜਾਂਦੇ ਹਨ, ਇਸ ਲਈ ਸਰਵਰ ਕਾਲ ਜੋੜਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਨਾ ਪੜ੍ਹ ਸਕਦਾ ਹੈ ਨਾ ਬਦਲ ਸਕਦਾ ਹੈ।
ਸੁਰੱਖਿਆ ਨੰਬਰ: ਦੋਵਾਂ ਲੋਕਾਂ ਦੀਆਂ ਯੰਤਰ ਚਾਬੀਆਂ ਦੀ ਛਾਪ। ਇਹ ਯਕੀਨੀ ਕਰਨ ਲਈ ਕਿ ਵਿਚਕਾਰ ਕੋਈ ਨਹੀਂ ਹੈ, ਆਹਮੋ-ਸਾਹਮਣੇ ਮਿਲ ਕੇ ਮਿਲਾਓ। ਜਦੋਂ ਕਿਸੇ ਸੰਪਰਕ ਦੀਆਂ ਚਾਬੀਆਂ ਬਦਲਦੀਆਂ ਹਨ ਤਾਂ app ਚੇਤਾਵਨੀ ਦਿੰਦਾ ਹੈ।
ਸਾਈਨ-ਇਨ: scrypt ਪਾਸਵਰਡ ਹੈਸ਼, ਵਿਕਲਪਿਕ TOTP ਦੋ-ਪੜਾਅ ਤਸਦੀਕ ਜਿਸ ਵਿੱਚ ਹੈਸ਼ ਕੀਤੇ ਰਿਕਵਰੀ ਕੋਡ ਹਨ, 5 ਅਸਫ਼ਲ ਕੋਸ਼ਿਸ਼ਾਂ ਬਾਅਦ ਤਾਲਾਬੰਦੀ, 12 ਘੰਟੇ ਵਿਹਲੇ ਰਹਿਣ ਅਤੇ ਵੱਧ ਤੋਂ ਵੱਧ 24 ਘੰਟੇ ਦੇ ਸੈਸ਼ਨ, HttpOnly SameSite=Strict cookie। ਕਿਤੇ ਵੀ SMS ਨਹੀਂ।
ਵੈੱਬ: ਸਖ਼ਤ Content-Security-Policy, ਕੋਈ ਤੀਜੀ-ਧਿਰ ਦੇ ਸਰੋਤ ਨਹੀਂ, ਫ਼੍ਰੇਮ ਵਿੱਚ ਜੋੜਨਾ ਮਨ੍ਹਾ, ਉਤਪਾਦਨ ਵਿੱਚ HSTS।
Android: ਸਕਰੀਨ ਕੈਪਚਰ ਰੋਕਣ ਲਈ FLAG_SECURE, ਸਾਫ਼ ਟ੍ਰੈਫ਼ਿਕ ਬੰਦ, app ਦਾ ਬੈਕਅੱਪ ਬੰਦ।

ਸਰਵਰ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ

ਕੌਣ ਕਿਸ ਨਾਲ ਅਤੇ ਕਦੋਂ ਗੱਲ ਕਰਦਾ ਹੈ, ਸੁਨੇਹੇ ਅਤੇ ਫ਼ਾਈਲਾਂ ਦਾ ਆਕਾਰ, ਗਰੁੱਪਾਂ ਦੇ ਨਾਮ ਅਤੇ ਮੈਂਬਰੀ, ਅਤੇ ਇਹ ਕਿ ਕਾਲ ਜੋੜੀ ਜਾ ਰਹੀ ਹੈ। ਕੰਮ, ਸਮਝੌਤੇ ਅਤੇ ਰਿਪੋਰਟ ਦੇ ਖਰੜੇ ਸਰਵਰ 'ਤੇ ਸਿਰੇ-ਤੋਂ-ਸਿਰੇ ਸੁਰੱਖਿਆ ਤੋਂ ਬਿਨਾਂ ਸੰਭਾਲੇ ਜਾਂਦੇ ਹਨ। ਅਸੀਂ ਇਹ ਗੱਲ ਖੁੱਲ੍ਹ ਕੇ ਪ੍ਰਾਈਵੇਸੀ ਪੰਨੇ 'ਤੇ ਦੱਸੀ ਹੈ।

ਅਸੀਂ ਜਾਂਚ ਕਿਵੇਂ ਕਰਦੇ ਹਾਂ

ਹਰ ਰੀਲੀਜ਼ 40 ਤੋਂ ਵੱਧ ਜਾਂਚਾਂ ਦੇ ਆਪਣੇ-ਆਪ ਚੱਲਣ ਵਾਲੇ ਦਰਵਾਜ਼ੇ ਵਿੱਚੋਂ ਲੰਘਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ: Python ਵਿੱਚ ਲਿਖੀ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਇੱਕ ਵੱਖਰੀ ਵਰਤੋਂ ਜੋ app ਨਾਲ ਮਿਲ ਕੇ ਕੰਮ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ; ਬਦਲੇ ਹੋਏ, ਜਾਅਲੀ ਅਤੇ ਦੁਬਾਰਾ ਭੇਜੇ ਲਿਫ਼ਾਫ਼ਿਆਂ 'ਤੇ ਹਮਲੇ; ਸਰਵਰ ਡੇਟਾਬੇਸ ਵਿੱਚ ਸਾਫ਼ ਟੈਕਸਟ ਦੀ ਜਾਂਚ; ਇਹ ਤਸਦੀਕ ਕਿ ਮਿਆਦ ਲੰਘੇ ਅਲੋਪ ਹੋਣ ਵਾਲੇ ਸੁਨੇਹੇ ਆਪਣੀਆਂ ਚਾਬੀਆਂ ਸਮੇਤ ਮਿਟਾਏ ਜਾਂਦੇ ਹਨ; ਅਤੇ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ ਜਾਂਚ ਕਿ ਵੈੱਬ app ਕੋਈ ਤੀਜੀ-ਧਿਰ ਬੇਨਤੀ ਨਹੀਂ ਕਰਦਾ।

ਜਾਣੀਆਂ ਸੀਮਾਵਾਂ

ਅਜੇ ਅੱਗੇ ਦੀ ਗੁਪਤਤਾ ਦਾ ਰੈਚੇਟ ਨਹੀਂ ਹੈ: ਚੋਰੀ ਹੋਈ ਯੰਤਰ ਚਾਬੀ ਉਸ ਯੰਤਰ ਨੂੰ ਭੇਜੇ ਪੁਰਾਣੇ ਸੁਨੇਹੇ ਖੋਲ੍ਹ ਸਕਦੀ ਹੈ। ਡਬਲ-ਰੈਚੇਟ ਢਾਂਚਾ ਅਗਲੀ ਯੋਜਨਾ ਵਿੱਚ ਹੈ।
ਮੈਟਾਡੇਟਾ ਸਰਵਰ ਨੂੰ ਦਿਖਦਾ ਹੈ, ਜਿਵੇਂ ਉੱਪਰ ਦੱਸਿਆ ਗਿਆ ਹੈ।
ਵੈੱਬ ਰੂਪ ਦੀ ਸੁਰੱਖਿਆ ਬ੍ਰਾਊਜ਼ਰ ਅਤੇ ਸਾਡੇ ਸਰਵਰ ਵੱਲੋਂ ਭੇਜੇ ਜਾਂਦੇ ਕੋਡ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਇਹੀ ਇੱਕ ਕਾਰਨ ਹੈ ਕਿ ਵੈੱਬ ਰੂਪ ਸਿਰਫ਼ ਇੱਕ ਛੋਟੀ, ਸੱਦੇ ਉੱਤੇ ਅਧਾਰਤ ਅਜ਼ਮਾਇਸ਼ ਤੱਕ ਸੀਮਤ ਹੈ: ਪਹਿਲਾਂ Google Play ਵਾਲੀ ਐਪ ਆਵੇਗੀ, ਅਤੇ ਅਸੀਂ ਉਸਦਾ ਸਾਈਨਿੰਗ ਸਰਟੀਫ਼ਿਕੇਟ Namaskara ਲਵੋ ਸਫ਼ੇ ਉੱਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਾਂਗੇ।