Architektur
Jede Komponente und was sie sehen kann
Ein Datenschutzversprechen ist nur so viel wert, wie ein Leser nachprüfen kann. Hier steht die vollständige Liste der Systemteile, wer jeden betreibt und was jeder sehen kann - einschließlich des einen Rechners, den wir selbst betreiben.
PrivaMesh hat keine Kontodatenbank und keinen Nachrichtenspeicher. Es gibt aber einen Gebührendienst, der jede Transaktion bezahlt, einen RPC-Endpunkt, den ein Drittanbieter betreibt, und eine öffentliche Chain, die Chiffretext dauerhaft speichert. Alle drei stehen unten, zusammen mit dem, was sie sehen können.
Wie eine Nachricht reist
01
Ihr iPhone
Verschlüsselt und füllt die Nachricht auf, leitet die Einmaladresse ab
02
Gebührendienst
Bezahlt die Netzwerkgebühr, verbraucht ein Blind-Token
03
RPC-Endpunkt
Reicht die Transaktion beim Netzwerk ein
04
Solana
Trägt den aufgefüllten Chiffretext zu einer Einmaladresse
05
iPhone des Empfängers
Sucht nach eigenen Einmaladressen und entschlüsselt lokal
Was jede Komponente sehen kann
| Komponente | Betrieben von | Was sie sieht | Was sie speichert | Ersetzbar |
|---|---|---|---|---|
| iOS-ClientDer einzige Ort, an dem Klartext und Schlüssel überhaupt existieren. Die Schlüssel liegen im iOS-Schlüsselbund hinter Face ID und werden nie mit iCloud synchronisiert. | Sie | Klartext, Schlüssel, Kontakte | Alles, nur auf dem Gerät | Ja |
| GebührendienstBezahlt die Netzwerkgebühr, damit Sie nie SOL halten müssen - der eine Rechner, den wir betreiben. Sendungen authentifizieren sich mit einem anonymen Blind-Token ohne Identität, sodass der Dienst eine Sendung weder mit einem Kauf noch mit einer anderen Sendung oder einem Konto verknüpfen kann. Ein älterer Kontoweg existiert noch und ist nötig, um einen öffentlichen Such-Nickname zu veröffentlichen, der naturgemäß identifizierend ist. Sein Quellcode ist öffentlich, unter relay/ im selben Repository wie der Client. | PrivaMesh | Ein gültiges, unverbrauchtes Blind-Token und die zu bezahlende Transaktion - auf dem anonymen Weg kein Konto | Nur Betriebslogs - kein Klartext, kein Empfänger | Teilweise |
| Solana RPCAustauschbar und selbst hostbar. Diese Komponente sieht am wahrscheinlichsten Ihre Aktivität auf Netzwerkebene, und über sie haben wir am wenigsten Kontrolle. | Ein Drittanbieter | Ihre IP-Adresse, den Zeitpunkt der Anfragen, die eingereichten Transaktionen | Was dieser Anbieter zu protokollieren beschließt | Ja |
| Solana-NetzwerkDer Transportweg. Alles, was hier geschrieben wird, ist aufgefüllter Chiffretext an einen Einmalschlüssel, aber es wird für immer geschrieben. | Niemand Bestimmtes | Chiffretext, Einmaladressen, Zeitpunkt der Transaktionen | Dauerhaft und öffentlich | Nein |
| StoreKitFür In-App-Käufe unter iOS unvermeidlich. Blind-Tokens sorgen dafür, dass sich der Kauf nicht mit Ihrer Nachrichtenaktivität verknüpfen lässt. | Apple | Ihren Kauf und Ihre Apple-ID | Gemäß Apples Richtlinien | Nein |
Warum es den Gebührendienst gibt
Jede Nachricht ist eine Solana-Transaktion, und Transaktionen kosten eine Netzwerkgebühr. Nutzer SOL halten zu lassen, um eine Nachricht zu senden, wäre ein schlechteres Produkt und für den Datenschutz schlechter, denn das Aufladen einer Wallet ist selbst eine verknüpfbare Handlung. Also bezahlt ein Dienst die Gebühr.
Daraus folgt die naheliegende Frage: Erfährt der Zahler, wer mit wem spricht? Nein. Die App weist ihr Abo einmal nach und erhält einen Vorrat an RSA-Blindsignaturen; jede Sendung verbraucht ein Token. Der Dienst kann prüfen, dass ein Token gültig und unverbraucht ist, kann es aber weder mit dem Kauf noch mit einem anderen Token oder einem Konto verknüpfen - der anonyme Weg sendet überhaupt kein Konto. Der ältere Kontoweg bleibt nur für die Veröffentlichung eines öffentlichen Such-Nicknames, der naturgemäß identifizierend ist.
Was dieses Design nicht behebt
Der RPC-Endpunkt sieht Ihre IP und den Zeitpunkt Ihrer Anfragen. Die Chain speichert Chiffretext dauerhaft. Nichts von oben verbirgt das, deshalb stehen beide in der Tabelle, und deshalb gibt es die Seite mit den Einschränkungen. Gehört ein Beobachter auf Netzwerkebene zu Ihrem Bedrohungsmodell, kombinieren Sie PrivaMesh mit einem VPN oder Tor und hosten Sie den RPC selbst.
Häufige Fragen
Betreibt PrivaMesh Server?
Einen. Ein Gebührendienst bezahlt die Solana-Netzwerkgebühr für jede Transaktion, damit Sie nie SOL halten müssen. Auf dem anonymen Weg sieht er ein gültiges, unverbrauchtes Blind-Token und die zu bezahlende Transaktion - kein Konto, keinen Klartext, keinen Empfänger. Es gibt keine Kontodatenbank und keinen Nachrichtenspeicher.
Was kann der RPC-Anbieter sehen?
Ihre IP-Adresse, den Zeitpunkt Ihrer Anfragen und die Transaktionen, die Sie einreichen. Es ist die Komponente mit dem klarsten Blick auf Ihre Aktivität auf Netzwerkebene, deshalb ist sie austauschbar und selbst hostbar.
Was passiert, wenn der Gebührendienst ausfällt?
Das Senden funktioniert nicht mehr, bis er zurück ist oder Sie Transaktionen selbst bezahlen. Ihre Identität, Kontakte und Ihr Nachrichtenverlauf sind nicht betroffen - sie liegen auf Ihrem Gerät und hängen von nichts ab, was wir betreiben.
Kann Apple sehen, wem ich schreibe?
Apple sieht, dass Sie ein Abo gekauft haben und mit welcher Apple-ID. Ihre Nachrichten und Kontakte sieht Apple nicht. Blind-Tokens verhindern, dass sich der Kauf mit Ihrer Sendeaktivität verknüpfen lässt.