Arkitektur
Hver komponent, og hva den kan se
Et personvernløfte er bare verdt det en leser kan sjekke. Dette er hele listen over delene i systemet, hvem som driver hver av dem og hva hver kan observere - inkludert den ene maskinen vi kjører selv.
PrivaMesh har ingen kontodatabase og ingen meldingslagring. Det finnes derimot en gebyrtjeneste som betaler hver transaksjon, et RPC-endepunkt som drives av en tredjepart og en offentlig kjede som lagrer chiffertekst permanent. Alle tre er listet nedenfor med hva de kan observere.
Hvordan en melding reiser
01
Din iPhone
Krypterer og fyller ut meldingen, avleder engangsadressen
02
Gebyrtjeneste
Betaler nettverksgebyret, bruker én blind token
03
RPC-endepunkt
Sender transaksjonen inn til nettverket
04
Solana
Bærer den utfylte chifferteksten til en engangsadresse
05
Mottakerens iPhone
Ser etter egne engangsadresser og dekrypterer lokalt
Hva hver komponent kan observere
| Komponent | Drives av | Hva den ser | Hva den lagrer | Utskiftbar |
|---|---|---|---|---|
| iOS-klientDet eneste stedet klartekst og nøkler noensinne finnes. Nøklene ligger i iOS-nøkkelringen bak Face ID og synkroniseres aldri til iCloud. | Deg | Klartekst, nøkler, kontakter | Alt, bare på enheten | Ja |
| GebyrtjenesteBetaler nettverksgebyret slik at du aldri trenger å holde SOL - den ene maskinen vi kjører. Sendinger autentiseres med en anonym blind token som ikke bærer noen identitet, så tjenesten kan ikke knytte en sending til et kjøp, til en annen sending eller til en konto. En eldre kontovei finnes fortsatt og kreves for å publisere et offentlig søkbart kallenavn, som av natur er identifiserende. Kildekoden er åpen, under relay/ i samme repo som klienten. | PrivaMesh | En gyldig, ubrukt blind token og transaksjonen som skal betales - ingen konto på den anonyme veien | Bare driftslogger - ingen klartekst, ingen mottaker | Delvis |
| Solana RPCUtskiftbar og kan driftes selv. Dette er komponenten som mest sannsynlig ser aktiviteten din på nettverksnivå, og den vi har minst kontroll over. | En tredjepartsleverandør | IP-adressen din, tidspunkt for forespørsler, transaksjoner du sender inn | Det leverandøren velger å logge | Ja |
| Solana-nettverketTransporten. Alt som skrives her er utfylt chiffertekst adressert til en engangsnøkkel, men det skrives for alltid. | Ingen bestemt | Chiffertekst, engangsadresser, tidspunkt for transaksjoner | Permanent, og offentlig | Nei |
| StoreKitUunngåelig for kjøp i apper på iOS. Det er blinde tokens som hindrer at kjøpet kan knyttes til meldingsaktiviteten din. | Apple | Kjøpet ditt og Apple-ID-en din | Etter Apples retningslinjer | Nei |
Hvorfor gebyrtjenesten finnes
Hver melding er en Solana-transaksjon, og transaksjoner koster et nettverksgebyr. Å få brukere til å holde SOL for å sende en melding ville vært et dårligere produkt og dårligere for personvernet, fordi det å fylle på en lommebok i seg selv er en sporbar handling. Derfor betaler en tjeneste gebyret i stedet.
Det reiser det åpenbare spørsmålet: får den som betaler vite hvem som snakker med hvem? Nei. Appen beviser abonnementet sitt én gang og mottar en pott med RSA-blindsignaturer; hver sending bruker én token. Tjenesten kan bekrefte at en token er gyldig og ubrukt, men kan ikke knytte den til kjøpet, til en annen token eller til en konto - den anonyme veien sender ingen konto i det hele tatt. Den eldre kontoveien er igjen bare for å publisere et offentlig søkbart kallenavn, som av natur er identifiserende.
Hva dette designet ikke løser
RPC-endepunktet ser IP-en din og tidspunktet for forespørslene dine. Kjeden lagrer chiffertekst permanent. Ingenting over skjuler det, og derfor står begge i tabellen og derfor finnes siden med begrensninger. Hvis trusselmodellen din inkluderer en observatør på nettverksnivå, bruk PrivaMesh sammen med VPN eller Tor og drift RPC-en selv.
Vanlige spørsmål
Kjører PrivaMesh noen servere?
Én. En gebyrtjeneste betaler Solanas nettverksgebyr for hver transaksjon slik at du aldri trenger å holde SOL. På den anonyme veien ser den en gyldig, ubrukt blind token og transaksjonen som skal betales - ingen konto, ingen klartekst, ingen mottaker. Det finnes ingen kontodatabase og ingen meldingslagring.
Hva kan RPC-leverandøren se?
IP-adressen din, tidspunktet for forespørslene dine og transaksjonene du sender inn. Det er komponenten med klarest innsyn i aktiviteten din på nettverksnivå, og derfor er den utskiftbar og kan driftes selv.
Hva skjer hvis gebyrtjenesten går ned?
Sending slutter å virke til den er tilbake eller til du betaler transaksjonene selv. Identiteten, kontaktene og meldingshistorikken din påvirkes ikke - de ligger på enheten din og avhenger ikke av noe vi kjører.
Kan Apple se hvem jeg skriver til?
Apple ser at du har kjøpt et abonnement og med hvilken Apple-ID. Apple ser ikke meldingene eller kontaktene dine. Det er blinde tokens som hindrer at kjøpet kan knyttes til sendeaktiviteten din.