Architectuur
Elk onderdeel, en wat het kan zien
Een privacybelofte is maar zoveel waard als een lezer kan controleren. Dit is de volledige lijst van onderdelen van het systeem, wie elk onderdeel beheert en wat elk kan waarnemen - inclusief de ene machine die we zelf draaien.
PrivaMesh heeft geen accountdatabase en geen berichtenopslag. Wel is er een kostendienst die elke transactie betaalt, een RPC-eindpunt dat door een derde wordt beheerd en een openbare chain die versleutelde tekst permanent opslaat. Alle drie staan hieronder, met wat ze kunnen waarnemen.
Hoe een bericht reist
01
Jouw iPhone
Versleutelt en vult het bericht op, leidt het eenmalige adres af
02
Kostendienst
Betaalt de netwerkkosten, besteedt één blind token
03
RPC-eindpunt
Dient de transactie in bij het netwerk
04
Solana
Brengt de opgevulde versleutelde tekst naar een eenmalig adres
05
Hun iPhone
Zoekt naar eigen eenmalige adressen en ontsleutelt lokaal
Wat elk onderdeel kan waarnemen
| Onderdeel | Beheerd door | Wat het ziet | Wat het opslaat | Vervangbaar |
|---|---|---|---|---|
| iOS-clientDe enige plek waar leesbare tekst en sleutels ooit bestaan. Sleutels staan in de iOS-sleutelhanger achter Face ID en synchroniseren nooit met iCloud. | Jij | Leesbare tekst, sleutels, contacten | Alles, alleen op het apparaat | Ja |
| KostendienstBetaalt de netwerkkosten zodat je nooit SOL hoeft te bezitten - de ene machine die we draaien. Verzendingen authenticeren met een anoniem blind token zonder identiteit, zodat de dienst een verzending niet kan koppelen aan een aankoop, aan een andere verzending of aan een account. Er bestaat nog een ouder accountpad, nodig om een openbare zoeknaam te publiceren, die van nature identificeert. De broncode is openbaar, onder relay/ in dezelfde repository als de client. | PrivaMesh | Een geldig, onbesteed blind token en de te betalen transactie - geen account op het anonieme pad | Alleen operationele logs - geen leesbare tekst, geen ontvanger | Deels |
| Solana RPCVervangbaar en zelf te hosten. Dit is het onderdeel dat het meest waarschijnlijk je activiteit op netwerkniveau ziet, en waarover we de minste controle hebben. | Een externe provider | Je IP-adres, tijdstip van verzoeken, transacties die je indient | Wat die provider besluit te loggen | Ja |
| Solana-netwerkHet transport. Alles wat hier wordt geschreven is opgevulde versleutelde tekst gericht aan een eenmalige sleutel, maar het wordt voor altijd geschreven. | Niemand in het bijzonder | Versleutelde tekst, eenmalige adressen, tijdstip van transacties | Permanent, en openbaar | Nee |
| StoreKitOnvermijdelijk voor in-app-aankopen op iOS. Blinde tokens zorgen ervoor dat de aankoop niet aan je berichtenactiviteit te koppelen is. | Apple | Je aankoop en je Apple ID | Volgens het beleid van Apple | Nee |
Waarom de kostendienst bestaat
Elk bericht is een Solana-transactie, en transacties kosten netwerkkosten. Gebruikers SOL laten bezitten om een bericht te sturen zou een slechter product zijn en slechter voor de privacy, omdat het opwaarderen van een wallet zelf een koppelbare handeling is. Dus betaalt een dienst de kosten.
Dat roept de voor de hand liggende vraag op: weet de betaler wie met wie praat? Nee. De app bewijst één keer zijn abonnement en krijgt een voorraad RSA-blinde handtekeningen; elke verzending besteedt één token. De dienst kan controleren dat een token geldig en onbesteed is, maar kan het niet koppelen aan de aankoop, aan een ander token of aan een account - het anonieme pad stuurt helemaal geen account. Het oudere accountpad blijft alleen voor het publiceren van een openbare zoeknaam, die van nature identificeert.
Wat dit ontwerp niet oplost
Het RPC-eindpunt ziet je IP en het tijdstip van je verzoeken. De chain slaat versleutelde tekst permanent op. Niets hierboven verbergt dat, daarom staan beide in de tabel en daarom bestaat de pagina met beperkingen. Hoort een waarnemer op netwerkniveau bij je dreigingsmodel, gebruik PrivaMesh dan met een VPN of Tor en host de RPC zelf.
Veelgestelde vragen
Draait PrivaMesh servers?
Eén. Een kostendienst betaalt de Solana-netwerkkosten voor elke transactie, zodat je nooit SOL hoeft te bezitten. Op het anonieme pad ziet hij een geldig, onbesteed blind token en de te betalen transactie - geen account, geen leesbare tekst, geen ontvanger. Er is geen accountdatabase en geen berichtenopslag.
Wat kan de RPC-provider zien?
Je IP-adres, het tijdstip van je verzoeken en de transacties die je indient. Het is het onderdeel met het helderste zicht op je activiteit op netwerkniveau, daarom is het vervangbaar en zelf te hosten.
Wat gebeurt er als de kostendienst uitvalt?
Verzenden werkt niet meer tot hij terug is of tot je transacties zelf betaalt. Je identiteit, contacten en berichtgeschiedenis blijven onaangetast - ze staan op je apparaat en hangen van niets af wat wij draaien.
Kan Apple zien met wie ik berichten stuur?
Apple ziet dat je een abonnement hebt gekocht en met welke Apple ID. Apple ziet je berichten en contacten niet. Blinde tokens zorgen ervoor dat de aankoop niet aan je verzendactiviteit te koppelen is.