یہ سب کیسے کام کرتا ہے، سادہ الفاظ میں۔

سادہ الفاظ میں

آپ کا ہر آلہ اپنی چابیوں کا ایک جوڑا خود بناتا ہے۔ جب آپ کوئی پیغام بھیجتے ہیں تو آپ کا فون اسے ایک نئی، صرف ایک بار کام آنے والی چابی سے بند کرتا ہے، پھر اس چابی کو گفتگو میں شامل ہر آلے کے لیے الگ الگ بند کرتا ہے۔ صرف وہی آلے اسے کھول سکتے ہیں۔ آپ کا فون پیغام پر اپنی مہر بھی لگاتا ہے، تاکہ پڑھنے والے کا فون یہ جان سکے کہ یہ واقعی آپ کی طرف سے آیا ہے اور راستے میں اس میں کوئی تبدیلی نہیں ہوئی۔

تکنیکی خلاصہ

• آلے کی چابیاں: چابی کے اتفاق کے لیے X25519 اور دستخط کے لیے Ed25519، جو آلے پر ہی بنتی ہیں۔ خفیہ چابیاں پلیٹ فارم کی محفوظ جگہ میں رکھی جاتی ہیں اور کبھی اپلوڈ نہیں ہوتیں۔
• پیغامات: ایک بے ترتیب 256-bit مواد کی چابی، ChaCha20-Poly1305 سے مضمون کو بند کرتی ہے۔ مواد کی چابی کو ہر وصول کنندہ آلے کے لیے عارضی X25519 + HKDF-SHA256 سے لپیٹا جاتا ہے۔ لفافے کا سرنامہ (گفتگو، بھیجنے والا، آلہ، پیغام کی شناخت، وصول کنندگان کی فہرست) منسلک ڈیٹا کے طور پر باندھا جاتا ہے اور Ed25519 سے دستخط کیا جاتا ہے۔
• فائلیں: آلے پر ایک بار کام آنے والی چابی سے بند کی جاتی ہیں، جو خود بند پیغام کے اندر سفر کرتی ہے۔ سرور پر صرف بند شدہ مواد محفوظ ہوتا ہے۔
• کالیں: DTLS-SRTP میڈیا کے ساتھ WebRTC۔ آفر، جواب اور ICE candidates اسی دستخط شدہ، بند لفافوں میں سفر کرتے ہیں، اس لیے سرور کال کا آغاز نہ پڑھ سکتا ہے نہ بدل سکتا ہے۔
• حفاظتی نمبر: دونوں لوگوں کے آلے کی چابیوں کی ایک پہچان۔ آمنے سامنے ملا کر تصدیق کریں کہ درمیان میں کوئی اور تو نہیں۔ جب کسی رابطے کی چابیاں بدلیں تو app خبردار کرتا ہے۔
• سائن اِن: scrypt پاس ورڈ ہیش، اختیاری TOTP دو مرحلہ تصدیق ہیش شدہ بحالی کوڈز کے ساتھ، 5 ناکام کوششوں کے بعد بندش، 12 گھنٹے کی بے عملی اور 24 گھنٹے کا زیادہ سے زیادہ سیشن، HttpOnly SameSite=Strict کوکی۔ کہیں بھی SMS نہیں۔
• ویب: سخت Content-Security-Policy، کوئی تیسرے فریق کا ذریعہ نہیں، فریم میں جوڑنا ممنوع، پروڈکشن میں HSTS۔
• Android: اسکرین کیپچر کے خلاف FLAG_SECURE، کھلی ٹریفک بند، app کا بیک اپ بند۔

سرور کیا دیکھ سکتا ہے

کون کس سے اور کب بات کرتا ہے، پیغام اور فائل کا حجم، گروپ کے نام اور رکنیت، اور یہ کہ کوئی کال شروع ہو رہی ہے۔ کام، معاہدے اور مسودے سرور پر بغیر سرے سے سرے تک حفاظت کے محفوظ ہوتے ہیں۔ ہم یہ بات کھل کر پرائیویسی صفحے پر لکھتے ہیں۔

ہم جانچ کیسے کرتے ہیں

ہر ریلیز 40 سے زیادہ خودکار جانچوں سے گزرتی ہے، جن میں شامل ہیں: Python میں لکھا ہوا پروٹوکول کا ایک آزاد نمونہ جو app کے ساتھ مل کر کام کرے؛ چھیڑے گئے، جعلی اور دوبارہ بھیجے گئے لفافوں پر حملے؛ سرور کے ڈیٹا بیس میں کھلے متن کی تلاش؛ اس بات کی تصدیق کہ میعاد ختم ہو جانے والے غائب ہونے والے پیغام اپنی چابیوں سمیت مٹا دیے گئے ہیں؛ اور یہ جانچ کہ ویب app کوئی تیسرے فریق کی درخواست نہیں کرتا۔

معلوم حدود

• ابھی تک آگے کی رازداری کا ratchet نہیں ہے: چوری شدہ آلے کی چابی اس آلے کو بھیجے گئے پرانے پیغام کھول سکتی ہے۔ double-ratchet کا طریقہ آگے کے منصوبے میں شامل ہے۔
• میٹا ڈیٹا سرور کو نظر آتا ہے، جیسا کہ اوپر بیان کیا گیا۔
• ویب ورژن کی حفاظت براؤزر پر اور اُس کوڈ پر منحصر ہوتی ہے جو ہمارا سرور بھیجتا ہے۔ یہی ایک وجہ ہے کہ ویب ورژن فی الحال صرف ایک چھوٹے، دعوت پر مبنی آزمائشی مرحلے تک محدود ہے: Google Play کی ایپ پہلے آئے گی، اور ہم اُس کا دستخطی سرٹیفکیٹ Namaskara حاصل کریں صفحے پر شائع کریں گے۔

سیکیورٹی کا مسئلہ رپورٹ کریں

کوئی کمزوری ملی؟ براہ کرم شائع کرنے سے پہلے ہمیں خاموشی سے بتائیں، رابطہ کے ذریعے موضوع میں "Security" لکھ کر۔ ہم جواب دیں گے، درستی کریں گے اور آپ کی مرضی ہو تو آپ کا نام لیں گے۔ براہ کرم دوسرے لوگوں کے اکاؤنٹ پر جانچ نہ کریں۔