Як працює Clavenzo

Чому запис сьогоднішнього дзвінка залишиться нечитабельним

Поширена й цілком реальна атака — терпляча. Записати зашифрований трафік зараз, здобути ключ пізніше (через судовий запит, крадіжку чи злам пристрою через роки) і спокійно розшифрувати запис.

Ефемерні ключі роблять це неможливим. Ключ, яким насправді було зашифровано ваш дзвінок, існував, поки тривав дзвінок, на двох пристроях, і наприкінці був знищений. Ваш довгостроковий ключ ідентичності лише підписує обмін; він не шифрує жодної секунди звуку. Скомпрометувавши його завтра, хтось зможе завтра видати себе за вас. Але не зможе відкрити записане вчора.

Ця властивість називається прямою секретністю, і це найцінніше, що може мати зашифрований дзвінок.

Кожен дзвінок також оновлює ключі за допомогою ML-KEM-768, постквантового алгоритму, за частку секунди після з'єднання, якщо його підтримують обидва застосунки. Це відповідь тому самому терплячому нападникові, озброєному кращим інструментом: трафік, записаний зараз і відкритий згодом квантовим комп'ютером. З повідомленнями й файлами поки що інакше. Якщо застосунок одержувача це підтримує, вони запечатуються RSA і ML-KEM-768 разом, але сьогодні ключ ML-KEM виводиться з ключа RSA, тому постквантовими ми їх поки не називаємо. А повідомлення, яке чекає на сервері, поки телефон вимкнений, не має прямої секретності: той, хто записав його, а згодом здобув ключ ідентичності одержувача, міг би його відкрити.

Що робить сервер і чого він не може

Є одне завдання, якого одноранговий застосунок не може виконати сам: розбудити телефон, на якому застосунок закрито. Для цього існує служба рандеву, і її побудовано так, щоб вона знала якомога менше, але все ж виконувала свою роботу.

• Вона ніколи не бачить вмісту. Пропозиції й офлайн-повідомлення запечатуються ключем одержувача ще до того, як залишать ваш телефон. Служба зберігає байти, яких не може відкрити.
• Вона не знає вашого імені. У її каталозі — адреса кожного пристрою, відкриті ключі й платформа, а для телефону — push-токен. Там немає імен, номерів телефону чи електронних адрес, бо застосунок їх ніколи не питає. Будь-хто, хто має адресу, може запитати, чи вона зареєстрована.
• Її сповіщення не містять ні відправника, ні вмісту. Push-сповіщення, яке будить ваш телефон, каже лише, дзвінок це чи повідомлення. На iPhone сповіщення про повідомлення має текст «New message» і «Tap to read». Apple і Google бачать, що щось було надіслано й коли, але не що саме й не хто надіслав.
• Вона швидко забуває. Запрошення до дзвінка живе 60 секунд. Запечатане офлайн-повідомлення — щонайбільше 72 години. Реєстрація пристрою спливає через 30 днів без поновлення.
• Вона бачить, хто кому телефонує, поки елемент чекає. У запрошенні до дзвінка чи офлайн-повідомленні має бути названо ключ, для якого воно, і ключ, від якого воно, тож сервер бачить обидва. Щойно елемент зникає, запису про пару не залишається: запрошення забувається через 60 секунд, а повідомлення — щонайбільше через 72 години. Приховування ще й відправника («запечатаний відправник») є в наших планах. Наші сервери розташовані за Cloudflare, який бачить ті самі дані й ніколи — вміст.

Коли дзвінок не вдається встановити напряму — зазвичай тому, що цього не дозволяють обидві мережі (так буває в деяких мобільних операторів), — зашифровані пакети пересилає ретранслятор. Телефони пробують ретранслятори Cloudflare й наші власні паралельно, спершу через UDP, потім TCP, потім TLS, і використовують той, через який удалося пробитися. Ретранслятор лише передає дані. Він не має ключа й не може його отримати. Але IP-адреси обох пристроїв він бачить. Сьогодні немає налаштування, яке спрямовувало б кожен дзвінок через ретранслятор, і під час кожного дзвінка, з ретранслятором чи без, кожен пристрій дізнається IP-адресу іншого.

Коли щось ламається

Clavenzo проєктували довкола складного запитання: що працюватиме, коли щось піде не так? Буря виводить із ладу дата-центр. Країна сповільнює свої з'єднання. Провайдер зникає з мережі. Вишки відмовляють, і залишається тільки локальна мережа. На кожен із цих випадків нижче є відповідь.

• Інтернету немає зовсім. Телефони в одній мережі Wi-Fi або на одній точці доступу можуть телефонувати один одному напряму — у межах, описаних вище. Жодного сервера, нічого поза кімнатою.
• Сервери невеликі, і їх кілька. Вони лише знайомлять два телефони й зберігають запечатані повідомлення. Медіа через них не проходить, якщо не потрібен ретранслятор, тож уся служба працює на кількох невеликих машинах у різних провайдерів у різних місцях.
• Жоден із них не є незамінним. Ваш телефон реєструється на кожному сервері й забирає дані з кожного. Якщо один відмовить, інші працюють далі, а на дзвінок відповідають через той сервер, який його доставив.
• Список серверів підписаний. Телефони отримують його від самих серверів і звіряють із ключем, який ніколи не потрапляє на сервер. Нові сервери можна додавати без оновлення застосунку, а старий список неможливо підсунути повторно, щоб скерувати телефони туди, куди не слід.
• Немає DNS — не біда. Список містить прямі мережеві адреси із закріпленими сертифікатами, тож телефони дістаються сервера, навіть коли сервер імен не працює чи бреше або відмовляє мережа доставки вмісту, — і без довіри до жодного центру сертифікації.
• Два ретранслятори, одна драбина. Коли дві мережі не дозволяють прямого шляху, зашифрований дзвінок передає ретранслятор — Cloudflare або наш власний — через UDP, потім TCP, потім TLS. Якщо один відмовить, ви втратите сходинку, а не дзвінок.
• Слабкі й ненадійні канали. Мові потрібно 13.2 kbit/s. Буфер джитера вимірює мережу й підлаштовується під неї, втрачені пакети маскуються, а не озиваються клацанням, а великі файли самі призупиняються й відновлюються.
• Мережі, що втручаються. Проксі SOCKS5 і HTTP CONNECT вбудовано — для мереж, які вимагають проксі або де локальний сервер імен заблоковано чи підроблено.

Перехід на новий телефон

Два окремі експорти, свідомо розділені, бо містять різне.

Зашифрована резервна копія містить ваші розмови, фото, історію дзвінків і контакти в одному файлі, який ви зберігаєте де завгодно. Вона відкривається лише кодом, який показується один раз під час експорту й ніде не зберігається. Імпорт додає те, чого бракує, і ніколи не перезаписує того, що вже є.

Експорт ідентичності переносить ключ, який є вашою адресою. Він запечатаний власним одноразовим кодом перенесення, захищений блокуванням екрана телефону, і це єдиний спосіб, у який цей ключ узагалі залишає пристрій. Після імпорту новий телефон відповідає як ця ідентичність.

Межі цього рішення

Кожне рішення має межі. Ось наші.

• Хто з ким розмовляє. Запрошення до дзвінка чи офлайн-повідомлення називає дві адреси, між якими воно проходить, тож сервер і Cloudflare перед ним бачать цю пару, поки воно зберігається. Початкове рукостискання прямого дзвінка також передає обидва ключі ідентичності відкрито, тож той, хто стежить за цією мережею, може визначити, які дві ідентичності розмовляють. Ні те, ні те не розкриває жодного слова зі сказаного. Обидва випадки — метадані, і обидва є у списку на виправлення.
• Час і метадані. Сервер неминуче бачить, коли ваш пристрій виходить на зв'язок. Із часу надходження пакетів під час дзвінка може бути видно, коли хтось говорить, хоча ніщо зі сказаного не виходить з-під шифрування.
• Ваша IP-адреса. Під час кожного дзвінка, навіть якщо він зрештою йде через ретранслятор, застосунок співрозмовника дізнається вашу IP-адресу, бо два пристрої обмінюються мережевими адресами, шукаючи прямий шлях. З неї може бути приблизно видно, де ви перебуваєте. Ретранслятор теж бачить обидві IP-адреси.
• Слабке місце — ваш пристрій. Той, хто тримає ваш розблокований телефон, має ваші повідомлення. Шкідлива програма на телефоні читає те, що ви вводите, ще до шифрування. Це стосується кожного месенджера, який будь-коли було написано.
• Він не проходив незалежного аудиту. Його створено ретельно й ґрунтовно протестовано. Це не те саме, і ми не вдаватимемо, ніби те саме.

Якщо вам потрібен захист від того, хто може стежити за цілою мережею, усвідомте ці межі, користуйтеся підтримкою проксі й не ставте на жоден окремий інструмент, зокрема й на цей, нічого, що ви не можете дозволити собі втратити.