இது எவ்வாறு பாதுகாக்கிறது என்பதை எளிய வார்த்தைகளில் புரிந்துகொள்ளுங்கள்.

எளிய வார்த்தைகளில்

நீங்கள் பயன்படுத்தும் ஒவ்வொரு சாதனமும் தனக்கென்று ஒரு சாவி இணையை உருவாக்கிக்கொள்கிறது. நீங்கள் ஒரு செய்தி அனுப்பும்போது, உங்கள் phone அதை ஒரு புதிய, ஒரே ஒருமுறை மட்டுமே பயன்படுத்தப்படும் சாவியால் பூட்டுகிறது; பிறகு அந்தச் சாவியை உரையாடலில் உள்ள ஒவ்வொரு சாதனத்திற்கும் தனித்தனியாகப் பூட்டுகிறது. அந்தச் சாதனங்களால் மட்டுமே அதைத் திறக்க முடியும். உங்கள் phone செய்தியில் கையொப்பமும் இடுகிறது; எனவே படிப்பவரின் phone, அந்தச் செய்தி உண்மையிலேயே உங்களிடமிருந்து வந்தது என்றும் வழியில் மாற்றப்படவில்லை என்றும் உறுதிப்படுத்திக்கொள்ள முடியும்.

தொழில்நுட்ப சுருக்கம்

• சாதன சாவிகள்: சாவி பரிமாற்றத்திற்கு X25519 மற்றும் கையொப்பத்திற்கு Ed25519 பயன்படுத்தப்படுகின்றன; இவை சாதனத்திலேயே உருவாக்கப்படுகின்றன. தனிப்பட்ட சாவிகள் platform-இன் பாதுகாப்பான சேமிப்பிடத்தில் வைக்கப்படுகின்றன; ஒருபோதும் பதிவேற்றப்படுவதில்லை.
• செய்திகள்: சீரற்ற முறையில் உருவாக்கப்பட்ட 256-bit உள்ளடக்க சாவி, ChaCha20-Poly1305 மூலம் தகவலை மறைக்கிறது. உள்ளடக்க சாவி, ephemeral X25519 + HKDF-SHA256 பயன்படுத்தி ஒவ்வொரு பெறுநர் சாதனத்திற்கும் தனித்தனியாக மூடப்படுகிறது. உறை தலைப்பு (உரையாடல், அனுப்புநர், சாதனம், செய்தி id, பெறுநர் பட்டியல்) தொடர்புடைய தரவாக இணைக்கப்பட்டு Ed25519 மூலம் கையொப்பமிடப்படுகிறது.
• கோப்புகள்: சாதனத்திலேயே ஒரே ஒருமுறை மட்டுமே பயன்படுத்தப்படும் சாவியால் மறைக்கப்படுகின்றன; அந்தச் சாவி மறைக்கப்பட்ட செய்திக்குள்ளேயே அனுப்பப்படுகிறது. சேவையகம் மறைக்கப்பட்ட வடிவத்தை மட்டுமே சேமிக்கிறது.
• அழைப்புகள்: WebRTC உடன் DTLS-SRTP பயன்படுத்தப்படுகிறது. இணைப்பு தொடங்குவதற்கான தகவல்கள் அதே கையொப்பமிடப்பட்ட, மறைக்கப்பட்ட உறைகள் வழியாகவே பயணிக்கின்றன; எனவே சேவையகத்தால் அழைப்பு இணைப்பை படிக்கவோ மாற்றவோ முடியாது.
• பாதுகாப்பு எண்கள்: இருவரின் சாதன சாவிகளின் கைரேகை போன்றது. நடுவில் யாரும் இல்லை என்பதை உறுதிப்படுத்த நேரில் சந்தித்து ஒப்பிட்டுப் பாருங்கள். ஒரு தொடர்பின் சாவிகள் மாறும்போது app எச்சரிக்கை தெரிவிக்கும்.
• உள்நுழைவு: scrypt password hash, விரும்பினால் TOTP இரண்டு-படி சரிபார்ப்பு மற்றும் hash செய்யப்பட்ட மீட்பு குறியீடுகள், 5 தோல்விகளுக்குப் பிறகு பூட்டுதல், 12 மணி நேர செயலற்ற நிலை மற்றும் 24 மணி நேர அதிகபட்ச அமர்வு, HttpOnly SameSite=Strict cookie. எங்கும் SMS இல்லை.
• Web: கடுமையான Content-Security-Policy, மூன்றாம் தரப்பு மூலங்கள் இல்லை, frame-இல் பொதிதல் மறுக்கப்படுகிறது, உற்பத்தியில் HSTS.
• Android: திரை பிடிப்பை தடுக்க FLAG_SECURE பயன்படுத்தப்படுகிறது, வெளிப்படையான உரையாக தரவு அனுப்புவது முடக்கப்பட்டுள்ளது, app backup முடக்கப்பட்டுள்ளது.

சேவையகம் என்னென்னவற்றைப் பார்க்க முடியும்

யார் யாரிடம் பேசுகிறார்கள், எப்போது பேசுகிறார்கள், செய்தி மற்றும் கோப்பு அளவுகள், குழு பெயர்கள் மற்றும் உறுப்பினர்கள், மற்றும் ஒரு அழைப்பு இணைக்கப்படுகிறது என்பதை சேவையகம் பார்க்க முடியும். பணிகள், ஒப்பந்தங்கள் மற்றும் அறிக்கை வரைவுகள் இரு முனைகளிலும் மறைக்கப்படாமல் சேவையகத்தில் சேமிக்கப்படுகின்றன. இதை நாங்கள் Privacy பக்கத்தில் வெளிப்படையாகத் தெரிவிக்கிறோம்.

நாங்கள் எவ்வாறு சோதிக்கிறோம்

ஒவ்வொரு வெளியீடும் 40-க்கும் மேற்பட்ட சரிபார்ப்புகளை கொண்ட தானியங்கி நுழைவாயிலை கடக்க வேண்டும்; இதில் அடங்குவன: Python-இல் எழுதப்பட்ட, app-உடன் இணைந்து செயல்பட வேண்டிய protocol-இன் சுயாதீன செயலாக்கம்; மாற்றப்பட்ட, போலியான மற்றும் மீண்டும் பயன்படுத்தப்பட்ட உறைகள் மீதான தாக்குதல்கள்; சேவையக தரவுத்தளத்தில் வெளிப்படையான உரைக்கான ஆய்வு; காலாவதியான மறையும் செய்திகள் அவற்றின் சாவிகளுடன் சேர்த்து நீக்கப்படுகின்றன என்பதை சரிபார்த்தல்; மற்றும் web app மூன்றாம் தரப்பு கோரிக்கைகளை சுழியமாக வைக்கிறது என்பதை உறுதிப்படுத்தும் browser ஆய்வு.

தெரிந்த வரம்புகள்

• முன்னோக்கிய இரகசியத்தன்மை ratchet இன்னும் இல்லை: திருடப்பட்ட சாதன சாவி, அந்தச் சாதனத்திற்கு அனுப்பப்பட்ட கடந்த கால செய்திகளை மறைகுறியாக்கிவிடக்கூடும். double-ratchet வடிவமைப்பு திட்டத்தில் உள்ளது.
• மேலே விவரிக்கப்பட்டபடி, metadata சேவையகத்திற்குத் தெரியும்.
• web பதிப்பின் பாதுகாப்பு, browser-ஐயும் எங்கள் server அனுப்பும் code-ஐயும் சார்ந்தது. அதனால்தான் web பதிப்பு அழைப்பு பெற்ற சிறிய pilot குழுவுக்கு மட்டும்: முதலில் Google Play app வரும், அதன் signing certificate-ஐ Namaskara பெறுக பக்கத்தில் வெளியிடுவோம்.

பாதுகாப்பு சிக்கலை தெரிவியுங்கள்

ஒரு பாதிப்பு கண்டுபிடித்தீர்களா? வெளியிடுவதற்கு முன்பு, தலைப்பில் "Security" என்று குறிப்பிட்டு Contact வழியாக எங்களிடம் தனிப்பட்ட முறையில் தெரிவியுங்கள். நாங்கள் பதிலளிப்போம், சரிசெய்வோம், நீங்கள் விரும்பினால் உங்கள் பெயரையும் குறிப்பிடுவோம். மற்றவர்களின் கணக்குகளில் சோதனை செய்யாதீர்கள்.