Si i mbron Moments kujtimet e familjes suaj

1. Garancia thelbësore

Moments është ndërtuar rreth një premtimi të vetëm: serverët tanë ruajnë vetëm të dhëna të enkriptuara, dhe nuk mbajnë kurrë një çelës që mund ta hapë përmbajtjen tuaj. Çdo foto, video, përshkrim, koment dhe reagim enkriptohet në pajisjen tuaj para se ta lërë atë, dhe mund të deshifrohet vetëm në pajisjet e njerëzve që keni zgjedhur ju.

Pasoja është e prerë: një shkelje e plotë e sistemeve tona do të zbulonte kush ndan me kë, kur dhe sa — por zero përmbajtje. Nuk ka pamje administratori të fotove tuaja, nuk ka mjet mbështetjeje që mund të hapë një moment, dhe asgjë të përdorshme për t'u dorëzuar në përgjigje të një kërkese ligjore për përmbajtje.

Serverët tanë nuk e shohin, ruajnë apo përpunojnë kurrë një moment të lexueshëm. I gjithë enkriptimi dhe deshifrimi ndodh brenda aplikacioneve, në pajisjet e familjes suaj.

2. Parimet tona të dizajnit

• Serverit nuk i besohet kurrë përmbajtja juaj. Ai ruan të dhëna të kyçura dhe zbaton se kush mund të marrë çfarë — ai nuk është kurrë në gjendje të lexojë momentet tuaja apo të krijojë çelësa.
• Qasja është kriptografi, jo kuti zgjedhjeje. Kudo që është e mundur, „ky person nuk mund ta shohë këtë" do të thotë se ai nuk mban asnjë çelës që e hap atë — jo se një cilësim thotë jo.
• Dështo i mbyllur. Sa herë që ka ndonjë dyshim se një çelës është ende i sigurt për t'u përdorur, aplikacioni refuzon të postojë derisa kjo të zgjidhet — ai nuk e merr kurrë rrezikun në emrin tuaj.
• Një arkiv, jo një bisedë. Moments është një regjistër i përhershëm familjar: përmbajtja duhet të mbetet e lexueshme për dekada dhe të jetë e rikuperueshme në pajisje të reja. Enkriptimi ynë është i projektuar për qëndrueshmëri, jo për mesazhe që zhduken.
• Sinqeritet për kufijtë. Kur pranojmë një kompromis (dhe çdo sistem real i ka ato), ai shkruhet në këtë dokument, nuk fshihet.

3. Si mbrohen momentet tuaja

• Të enkriptuara para ngarkimit. Çdo moment enkriptohet në pajisjen tuaj duke përdorur enkriptim standard të industrisë, të audituar gjerësisht — e njëjta familje AES-256 që i besohet për të dhënat bankare dhe qeveritare. Pa shifra të bëra në shtëpi, askund.
• Çelësat mbeten te familja juaj. Çelësat që i hapin momentet tuaja ekzistojnë vetëm në pajisjet e familjes suaj. Ajo që mbajnë serverët tanë janë kuti të kyçura që ata nuk mund t'i hapin.
• Çdo moment i vulosur më vete. Çdo moment mbrohet individualisht, kështu që edhe në rastin më të keq të imagjinueshëm, ekspozimi do të kufizohej në një moment të vetëm — kurrë në gjithë ditarin tuaj.
• Manipulimi zbulohet. Të gjitha të dhënat e ruajtura janë të vërtetuara kriptografikisht: çdo gjë e ndryshuar, e cunguar ose e ngjitur zbulohet dhe refuzohet, në vend që të shfaqet në heshtje.

4. Kush mund të shohë çfarë

Një hapësirë është vetëm me ftesë, dhe ftesa është e vetmja derë. Prej aty, qasja zbatohet nga enkriptimi, jo nga cilësimet:

• Heqja e një anëtari e heq atë vërtet. Që nga momenti që dikush hiqet, momentet e reja vulosen me çelësa të rinj që ai nuk i merr kurrë. Edhe sikur të arrinte disi t'i siguronte të dhënat e ruajtura, asgjë e re nuk do të hapej kurrë për të.
• „Vetëm nga tani e tutje" e ka seriozisht. Një anëtar i ftuar pa historik nuk mund të lexojë momentet e mëparshme — dhe serverët tanë as nuk ia dorëzojnë kurrë ato momente, kështu që ai nuk mund të shohë sa ekzistojnë, kur apo nga kush.
• Audiencat e grupeve janë mure të vërteta. Kufizimi i një momenti vetëm për „gjyshërit" nuk është një flamur dukshmërie: vetëm anëtarët e atij grupi e marrin ndonjëherë çelësin e tij. Për të gjithë të tjerët, momenti mund edhe të mos ekzistonte fare — ai mungon, nuk është i fshehur.
• Administratorët ruajnë kujdestarinë. Administratorët e hapësirës ruajnë gjithmonë mbikëqyrjen e hapësirës për të cilën janë përgjegjës, përfshirë momentet e kufizuara.

5. Fotot, videot & etiketa I sigurt

• Mediat enkriptohen si gjithçka tjetër. Fotot dhe videot — edhe ato të gjata — enkriptohen në pajisjen tuaj para ngarkimit dhe ruhen në një formë që e zbulon manipulimin: prerja, rirenditja ose ngjitja e skedarit të ruajtur zbulohet.
• Videot nuk ekzistojnë kurrë të pambrojtura në disk. Videot luhen menjëherë duke mbetur të enkriptuara në ruajtje; ato deshifrohen vetëm në memorie në pajisjen e shikuesit, kurrë të shkruara si skedar i luajtshëm.
• Etiketa I sigurt. Një moment i shënuar si I sigurt nuk mund të ruhet, ndahet ose shkarkohet nga shikuesit, dhe mediat e tij nuk ekzistojnë kurrë të paenkriptuara në hapësirën ruajtëse të pajisjes së shikuesit.
• Kapja e ekranit bllokohet në të gjithë aplikacionin. Në Android, pamjet e ekranit refuzohen dhe regjistrimet dalin bosh. Në Windows, aplikacioni shfaqet i zi në kapjet dhe ndarjet e ekranit. Në iOS, ne përdorim të njëjtën mbrojtje në të cilën mbështetet e gjithë industria — me një paralajmërim të sinqertë: iOS nuk ofron asnjë mënyrë zyrtare për të bllokuar kapjen, kështu që nëse një përditësim i ardhshëm i iOS do ta çaktivizonte atë, aplikacioni thjesht do ta humbiste bllokimin në vend që të rrezikonte që fotot tuaja të shfaqeshin bosh. Ne e kontrollojmë këtë në çdo version të ri të iOS.

6. Pajisjet tuaja & rikuperimi

• Një pajisje e re duhet të miratohet. Një telefon i ri nuk mund thjesht të hyjë dhe të lexojë hapësirat tuaja. Një nga pajisjet tuaja ekzistuese duhet ta miratojë atë, me të dy ekranet që shfaqin një kod verifikimi të njëjtë — gjë që do të thotë gjithashtu se askush, as vetë serverët tanë, nuk mund të fusë fshehurazi një pajisje mashtruese në llogarinë tuaj.
• Humbja e gjithçkaje është një vendim njerëzor, jo automatik. Dikush që humbet të gjitha pajisjet e tij fillon nga e para pa përmbajtje. Një administrator i hapësirës duhet ta konfirmojë personalisht rikthimin e qasjes së tij — rifitimi i hyrjes pas humbjes totale trajtohet si një pranim i ri.
• Zotëruesit mbajnë një frazë rikuperimi. Zotëruesit e hapësirave mbajnë një frazë rikuperimi prej 12 fjalësh që mund t'i rikthejë hapësirat e tyre pa asnjë pajisje të mbijetuar. Aplikacioni verifikon se e keni ruajtur vërtet para se të mbështetet në të, dhe ne nuk e shohim kurrë.

7. Hyrja

• Pa fjalëkalime, askund. Ju hyni me një lidhje të njëhershme të dërguar në emailin tuaj. Lidhjet skadojnë brenda pak minutash dhe funksionojnë saktësisht një herë — nuk ka asgjë për t'u ripërdorur, për t'u vjedhur me phishing apo për të rrjedhur në një shkelje.
• Sesionet janë jetëshkurtra dhe rrotullohen automatikisht. Dalja e mbyll sesionin në serverët tanë, jo vetëm në pajisjen tuaj.
• Hyrja nuk është e njëjta gjë me leximin. Edhe dikush që do të kontrollonte emailin tuaj do të mund vetëm të hynte si ju — ai nuk do të mund të deshifronte asgjë, sepse pajisja e tij do të kishte ende nevojë për miratim nga një prej tuajave.

8. Përkthimi & enkriptimi

Familjet shkruajnë në gjuhë të ndryshme, dhe Moments mund t'i përkthejë postimet dhe komentet në gjuhën e secilit lexues. Kudo që platforma e lejon, kjo tani ndodh në vetë pajisjen; përkthimi me IA në cloud është përjashtimi i kushtëzuar nga pëlqimi, jo rregulli:

• Përkthimi në pajisje (sot në Android) përkthen lokalisht, pas një shkarkimi të vogël të njëhershëm të gjuhës. Teksti nuk e lë kurrë zarfin nga skaji në skaj, dhe nuk përfshihet asnjë palë e tretë.
• Përkthimi me IA në cloud mbulon platformat që ende nuk kanë një motor në pajisje, plus hapin opsional „Përmirëso me IA" mbi çdo rezultat të përkthyer në pajisje. Pajisja juaj e deshifron tekstin lokalisht, dhe vetëm atëherë e përcjell atë, përmes një lidhjeje të enkriptuar nëpërmjet serverëve tanë, te një shërbim përkthimi me IA i një pale të tretë. Ne nuk e regjistrojmë dhe nuk e ruajmë kurrë tekstin, dhe ai nuk përdoret për të trajnuar modele.
• Përkthimet mbahen vetëm në pajisjen tuaj, të mbrojtura në ruajtje, dhe fshihen kur dilni.
• Edhe se cilat gjuhë flet familja juaj nuk është diçka që serverët tanë mund ta lexojnë.

9. Kufijtë e sinqertë

Të mbrojtur kundër

• Një shkelje e plotë e serverëve ose ruajtjes sonë — përmbajtja juaj është e enkriptuar gjatë gjithë rrugës.
• Një host kureshtar ose i detyruar ligjërisht: nuk ka përmbajtje për t'u parë dhe asnjë çelës të përdorshëm për t'u dorëzuar.
• Një anëtar i hequr që lexon momente të ardhshme, edhe me qasje në të dhënat e ruajtura.
• Një anëtar i ftuar pa historik që arrin momentet e kaluara — ose që edhe mëson se ato ekzistojnë.
• Manipulimi i përmbajtjes ose mediave të ruajtura — ndryshimet zbulohen dhe refuzohen.
• Shkelje të llojit të bazave të të dhënave me fjalëkalime — nuk ka fjalëkalime.

Kompromise të pranuara, të dokumentuara

• Kur ka ndodhur një moment është e dukshme për serverët tanë. Ky është kompromisi i qëllimshëm që mundëson filtrin e moshës dhe vijën kohore. Datëlindja e fëmijës suaj mbetet e enkriptuar, kështu që një datë nuk bëhet kurrë moshë askund tjetër përveçse në pajisjet e familjes suaj.
• Komentet e shtuara në momente të vjetra. Një anëtar i hequr që e ka mbajtur pajisjen e tij do të mund — vetëm nëse edhe të dhënat tona të ruajtura do të ishin shkelur — të lexonte komentet e shtuara më vonë në momentet që i kishte tashmë. Serverët tanë ia refuzojnë ato në çastin që ai pushon së qeni anëtar; ky përjashtim kërkon një shkelje mbi të gjitha.
• Vetë etiketa I sigurt është e dukshme — aplikacioni duhet ta dijë se një moment është I sigurt para se ta hapë. Ajo zbulon saktësisht atë fakt të vetëm dhe asnjë përmbajtje.
• Përkthimi me IA në cloud transmetohet i paenkriptuar gjatë thirrjes — me zgjedhje të qartë dhe i deklaruar (seksioni 8); përkthimi në pajisje nuk preket.

Të pambrojtur kundër

• Një pajisje anëtari e komprometuar. Një pajisje që mund t'ju shfaqë një foto mban domosdoshmërisht atë që i nevojitet për ta deshifruar. Kjo është e natyrshme për çdo sistem të enkriptuar nga skaji në skaj.
• Metadatat. Kush ndan me kë, kur, sa shpesh dhe sa të dhëna — të dukshme për serverët tanë, si në praktikisht të gjitha sistemet praktike.
• Një kamerë e dytë e drejtuar nga një ekran.

10. Çfarë vjen më pas

• Përkthim në pajisje në më shumë platforma — i ofruar në Android, ku teksti nuk e lë kurrë zarfin e enkriptuar; ne po e sjellim të njëjtin përkthim lokal në platformat tona të tjera, kështu që kompromisi i përshkruar në seksionin 8 të zhduket kudo.
• Forcim i vazhdueshëm — ne vazhdojmë të forcojmë mënyrën se si pajisjet dhe çelësat verifikohen ndaj njëri-tjetrit, dhe i rishikojmë këto mbrojtje me çdo version të ri të platformave.

Ky dokument teknik përditësohet sa herë që ndryshojnë mbrojtjet tona. Nëse besoni se keni gjetur një dobësi në Moments, duam të dëgjojmë nga ju: security@momentsapp.eu.