Сквозное шифрование, с ключами на ваших собственных устройствах

В корне вашего аккаунта лежит один секрет, и он создаётся на устройстве, а не выдаётся сервером. Всё остальное выводится из него деревом ключей: корень на HMAC-SHA-512, затем по одному шагу HMAC на каждый именованный элемент пути. Пара ключей, которая открывает запечатанные ключи сессий, берётся из этого дерева под меткой "content", и так же берётся отдельный ключ для каждого другого вида хранимого блоба, так что ни один ключ не делает две работы.

Именно поэтому совершенно новый браузер может войти в ваш аккаунт и всё равно не показать вам ничего из прошлой недели. Вход доказывает релею, кто вы. Чтобы прочитать старую сессию, нужен ключ, а ключа на релее нет и отправить его неоткуда. Восстановление устройства — это и есть шаг, который его переносит: с устройства, где он уже есть, или из секретного ключа, который вы сохранили.

Это также значит, что сценарий потери реален и о нём стоит сказать один раз: если все устройства, где выполнен вход, пропали и секретный ключ пропал вместе с ними, зашифрованные сессии не сможем восстановить ни мы, ни кто-либо ещё. Релей, который мог бы их вернуть, был бы релеем, который мог бы их прочитать.

Добавление устройства — тот момент, когда перемещается ключевой материал, поэтому именно его стоит понимать. Сканирование QR-кода поднимает запрос, и только его: подтверждение происходит на устройстве, где вход уже выполнен, а когда на обоих экранах показывается короткий код подтверждения, их полагается сравнить до подтверждения.

Что подтверждение делает на самом деле — запечатывает ключ контента открытым ключом устройства, которое запросило доступ, в конверте с эфемерным ключом отправителя и свежим nonce. Этот конверт едет через релей, как и всё остальное. Подключение терминала добавляет сверху ещё одну привязку: полезная нагрузка аутентифицируется по секрету сопряжения, который приехал в QR-коде, а не через сервер, так что релей, подменивший нагрузку, не смог бы получить подходящий тег.

Всё выше описывает поведение по умолчанию, и это умолчание — не предложение, от которого клиент может отговорить сервер. Свежий релей настроен требовать хранение со сквозным шифрованием: запись открытым текстом отклоняется ошибкой политики, а не принимается молча. Клиенты читают политику из собственного эндпоинта features сервера до того, как создать сессию, так что режим, в котором находится сессия, согласован до её первого сообщения.

У оператора сервера есть ещё две настройки. Одна разрешает выбирать аккаунту, так что зашифрованные и открытые сессии сосуществуют на одном релее, — для этого нужны и опциональная политика, и разрешение на отказ, а разрешение выключено, пока оператор его не включит. Другая требует открытого текста — для организаций, которые управляют шифрованием на уровне инфраструктуры и которым нужно, чтобы сервер мог читать и обрабатывать содержимое сессий. Последняя — настоящий размен, и сказать об этом стоит без смягчения: в открытой сессии сервер может прочитать транскрипт. В этом и смысл настройки.

Режим фиксируется для каждой сессии при её создании, так что одна сессия никогда не бывает наполовину той и наполовину другой, а смена режима у аккаунта меняет то, что происходит с новыми сессиями, а не дотягивается до старых. Ничто не расшифровывается задним числом, и ничто задним числом не шифруется.

Переменные, которые задают все три, лежащие под ними варианты хранения на диске и окружающие их механизмы идентичности — это половина оператора, и живёт она на странице про развёртывание у себя для команд.

Пуш-уведомление — единственное, что выходит за пределы этой модели, потому что оно должно прийти на телефон, где ничего не открыто. Ответ Happier здесь в том, что отправляет их ваш собственный компьютер. Сервер хранит ваши push-токены; CLI на вашем компьютере читает их обратно и отправляет уведомление сам, что оставляет релей вне пути, на котором ему иначе пришлось бы узнать содержимое.

Полезная нагрузка намеренно тонкая: тип инструмента или запроса и короткая подсказка там, где она помогает, — файл вроде src/file.ts, имя команды, счётчик вроде «3 вопроса». Сырой ввод инструмента в неё не кладётся. Достаточно, чтобы решить, тянуться ли за телефоном, — на экране, который может прочитать любой, кто стоит у вас за спиной.

Всё это верно и на релее, который держите не вы. Причина держать свой — строка выше про идентификаторы и форму: шифрование не скрывает, кто с кем говорит и как часто, а на вашем собственном релее этот журнал тоже ваш. Одна команда ставит релей на ваше собственное железо, и путь становится таким: ваше устройство, ваш релей, ваш компьютер — и ничего в нём, что развернули бы не вы.

На этой странице нет сертификации, потому что сообщать нечего, а страница о безопасности, намекающая на соответствие, которого у неё нет, хуже той, которая о нём не заикается. Вместо этого здесь код, из которого написано каждое предложение выше, — под лицензией MIT и доступный для чтения до запуска: примитивы в packages/protocol/src/crypto, шифрование сессий в apps/cli/src/api/encryption.ts, политика хранения, которую сервер применяет в своём эндпоинте features, и схема, показывающая ровно то, какие колонки лежат открытым текстом.

Это же честный ответ на то, как относиться к этой странице: как к карте того, куда смотреть, а не как к обещанию, которое принимают на веру. Прочитайте эти четыре файла или запустите релей сами и прочитайте, что он объявляет своим клиентам.

Справочник по модели шифрования покрывает ту же территорию как процедуру: чего требует от вас восстановление, что каждый режим хранения означает для аккаунта, к какому сценарию тянуться, когда устройство ещё не может прочитать сессию.