Como funciona o Clavenzo

Porque uma gravação da chamada de hoje continua ilegível

Há um ataque comum e realista que consiste em ter paciência: gravar agora o tráfego cifrado, obter a chave mais tarde (por ordem judicial, por roubo, entrando num dispositivo anos depois) e decifrar a gravação com calma.

As chaves efémeras derrotam-no. A chave que realmente cifrou a sua chamada existiu o tempo da chamada, em dois dispositivos, e foi destruída no fim. A sua chave de identidade de longa duração apenas assina a troca; não cifra um único segundo de áudio. Comprometê-la amanhã permite fazer-se passar por si amanhã. Não permite abrir o que foi gravado ontem.

Esta propriedade chama-se sigilo futuro, e é a coisa mais valiosa que uma chamada cifrada pode ter.

Cada chamada volta também a gerar as chaves com ML-KEM-768, um algoritmo pós-quântico, uma fração de segundo depois de ligar, quando as duas aplicações o suportam. Responde ao mesmo atacante paciente com uma ferramenta melhor: tráfego gravado agora e aberto mais tarde por um computador quântico. Com as mensagens e os ficheiros, por agora, é diferente. São selados com RSA e ML-KEM-768 em conjunto, mas hoje a chave ML-KEM é derivada da chave RSA, por isso ainda não lhes chamamos pós-quânticos. E uma mensagem que espera no servidor por um telemóvel desligado não tem sigilo futuro: quem a tiver gravado e mais tarde obtiver a chave de identidade do destinatário pode abri-la.

O que o servidor faz e o que não consegue fazer

Há um trabalho que uma aplicação ponto a ponto genuinamente não consegue fazer sozinha: acordar um telemóvel com a aplicação fechada. Para isso existe um serviço de encontro, construído para saber o menos possível sem deixar de o fazer.

• Nunca vê o conteúdo. As ofertas e as mensagens fora de linha são seladas com a chave do destinatário antes de saírem do seu telemóvel. O serviço guarda bytes que não consegue abrir.
• Não sabe o seu nome. O seu diretório guarda a morada, as chaves públicas e a plataforma de cada dispositivo e, no caso de um telemóvel, o token de notificações. Não tem nomes, nem números de telefone, nem endereços de e-mail, porque a aplicação nunca os pede. Quem tiver uma morada pode perguntar se ela está registada.
• As notificações não levam remetente nem conteúdo. O aviso que acorda o seu telemóvel diz apenas se é uma chamada ou uma mensagem. No iPhone, a notificação de uma mensagem diz «New message» e «Tap to read». A Apple e a Google veem que algo foi enviado, e quando, mas não o quê nem de quem.
• Esquece depressa. Um convite de chamada vive 60 segundos. Uma mensagem selada fora de linha, no máximo 72 horas. Um registo de dispositivo expira ao fim de 30 dias sem renovação.
• Vê quem liga a quem, enquanto dura a espera. Um convite de chamada ou uma mensagem offline tem de nomear a chave a que se destina e a chave de onde vem, por isso o servidor vê as duas passar. Não guarda nenhum registo do par depois de o convite ou a mensagem desaparecer: um convite é esquecido ao fim de 60 segundos e uma mensagem ao fim de 72 horas, no máximo. Esconder também o remetente (remetente selado) está na nossa lista. Os nossos servidores estão atrás da Cloudflare, que vê os mesmos dados, e nunca o conteúdo.

Quando uma chamada não pode ir direta (normalmente porque as duas redes o recusam, o que acontece em algumas operadoras móveis) um retransmissor reencaminha os pacotes cifrados: o nosso próprio retransmissor por UDP, depois por TCP, e depois os retransmissores da Cloudflare. O retransmissor só passa os dados adiante. Não tem chave e não a consegue obter. Vê, isso sim, os endereços IP dos dois dispositivos. Hoje não há nenhuma definição que envie todas as chamadas por um retransmissor, e em todas as chamadas, retransmitidas ou não, cada dispositivo fica a saber o endereço IP do outro.

Quando as coisas se partem

O Clavenzo foi desenhado à volta de uma pergunta difícil: o que continua a funcionar quando tudo corre mal? Uma tempestade deita abaixo um centro de dados. Um país estrangula as ligações. Um fornecedor desaparece. As antenas falham e só resta uma rede local. Cada um destes casos tem resposta aqui em baixo.

• Sem internet nenhuma. Os telefones na mesma Wi-Fi ou hotspot podem ligar-se diretamente, dentro dos limites descritos acima. Sem servidor, sem nada fora da sala.
• Os servidores são pequenos, e há vários. Só apresentam dois telefones e guardam mensagens seladas. O áudio e o vídeo nunca passam por eles, a não ser que seja preciso um retransmissor, por isso todo o serviço corre num punhado de máquinas pequenas de fornecedores diferentes em sítios diferentes.
• Nenhum deles é indispensável. O seu telefone regista-se em todos os servidores e recolhe de todos. Se um cair, os outros continuam, e uma chamada é atendida através do servidor que a entregou.
• A lista de servidores é assinada. Os telefones vão buscá-la aos próprios servidores e verificam-na com uma chave que nunca toca num servidor. Novos servidores podem juntar-se sem atualizar a aplicação, e uma lista antiga nunca pode ser reutilizada para mandar os telefones para onde não devem ir.
• Sem DNS, sem problema. A lista inclui endereços de rede diretos com certificados fixados, por isso os telefones conseguem chegar a um servidor quando um servidor de nomes está em baixo ou mente, ou quando falha uma rede de distribuição de conteúdos, sem confiar em nenhuma autoridade de certificação.
• Dois retransmissores, uma escada. Quando duas redes recusam um caminho direto, um retransmissor leva a chamada cifrada: o nosso próprio retransmissor por UDP, depois por TCP, e depois os retransmissores da Cloudflare. Se algum falhar, perde-se um degrau, não a chamada.
• Ligações fracas e instáveis. A voz precisa de 13,2 kbit/s. O buffer de jitter mede a rede e adapta-se, os pacotes perdidos são disfarçados em vez de estalarem, e os ficheiros grandes pausam e retomam sozinhos.
• Redes que interferem. Há proxies SOCKS5 e HTTP CONNECT incorporados, para redes que obrigam a usar um ou em que o resolvedor local está bloqueado ou adulterado.

Mudar de telemóvel

Duas exportações distintas, deliberadamente separadas, porque transportam coisas diferentes.

Uma cópia de segurança cifrada guarda as suas conversas, fotos, histórico de chamadas e contactos num único ficheiro que fica onde quiser. Abre-se apenas com um código mostrado uma vez na exportação e guardado em lado nenhum. Importar acrescenta o que falta e nunca substitui o que já lá está.

Uma exportação de identidade move a chave que é a sua morada. Vai selada com o seu próprio código de transferência de uso único, fica por trás do bloqueio de ecrã do telemóvel e é a única forma de essa chave sair de um dispositivo. Importá-la faz o telemóvel novo responder como essa identidade.

Onde este desenho pára

Todo o desenho tem limites. Estes são os nossos.

• Quem fala com quem. Um convite de chamada ou uma mensagem offline nomeia as duas moradas entre as quais passa, por isso o servidor, e a Cloudflare à frente dele, veem esse par enquanto está guardado. O aperto de mão inicial de uma chamada direta também leva as duas chaves de identidade sem cifra, por isso quem observa essa rede consegue saber que duas identidades estão a falar. Nenhuma das duas revela uma palavra do que se diz. Ambas são metadados, e ambas estão na lista para corrigir.
• Tempos e metadados. O servidor vê necessariamente quando o seu dispositivo se apresenta. O ritmo dos pacotes durante uma chamada pode revelar quando alguém fala, ainda que nada do que é dito escape à cifra.
• O seu endereço IP. Em todas as chamadas, mesmo numa que acabe por passar por um retransmissor, a aplicação da outra pessoa fica a saber o seu endereço IP, porque os dois dispositivos trocam endereços de rede para procurar um caminho direto. Pode mostrar aproximadamente onde está. Um retransmissor também vê os dois endereços IP.
• O seu dispositivo é o ponto fraco. Quem tiver o seu telemóvel desbloqueado tem as suas mensagens. Um programa malicioso no telemóvel lê o que escreve antes de chegar a ser cifrado. Isto é verdade para todas as aplicações de mensagens alguma vez escritas.
• Não foi auditado de forma independente. É feito com cuidado e testado a fundo. Não é a mesma coisa e não vamos fingir que é.

Se o seu modelo de ameaça incluir um adversário capaz de vigiar uma rede inteira, perceba estes limites, use o suporte de proxy e não aposte numa única ferramenta (esta incluída) nada que não possa dar-se ao luxo de perder.