Arquitetura
Cada componente e o que ele pode ver
Uma promessa de privacidade só vale o que o leitor pode verificar. Esta é a lista completa das partes do sistema, quem opera cada uma e o que cada uma pode observar - incluindo a única máquina que nós mesmos operamos.
O PrivaMesh não tem banco de dados de contas nem armazenamento de mensagens. Ele tem, sim, um serviço de taxas que paga cada transação, um endpoint RPC operado por terceiros e uma blockchain pública que guarda o texto cifrado para sempre. Os três estão listados abaixo com o que podem observar.
Como uma mensagem viaja
01
Seu iPhone
Cifra e preenche a mensagem, deriva o endereço de uso único
02
Serviço de taxas
Paga a taxa de rede, gasta um token cego
03
Endpoint RPC
Envia a transação para a rede
04
Solana
Leva o texto cifrado preenchido até um endereço de uso único
05
iPhone da outra pessoa
Procura os próprios endereços de uso único e decifra localmente
O que cada componente pode observar
| Componente | Operado por | O que vê | O que guarda | Substituível |
|---|---|---|---|---|
| Cliente iOSO único lugar onde texto puro e chaves existem. As chaves ficam nas Chaves do iOS, protegidas pelo Face ID, e nunca sincronizam com o iCloud. | Você | Texto puro, chaves, contatos | Tudo, só no aparelho | Sim |
| Serviço de taxasPaga a taxa de rede para que você nunca precise ter SOL - a única máquina que operamos. Os envios se autenticam com um token cego anônimo que não carrega identidade, então o serviço não consegue ligar um envio a uma compra, a outro envio ou a uma conta. Ainda existe um caminho antigo com conta, necessário para publicar um apelido público de busca, que identifica por natureza. O código-fonte dele é público, em relay/ no mesmo repositório do cliente. | PrivaMesh | Um token cego válido e não gasto e a transação a pagar - nenhuma conta no caminho anônimo | Só logs operacionais - nem texto puro, nem destinatário | Em parte |
| Solana RPCSubstituível e auto-hospedável. É o componente com mais chance de ver sua atividade de rede, e aquele sobre o qual temos menos controle. | Um provedor terceiro | Seu endereço IP, o horário das requisições, as transações que você envia | O que esse provedor decidir registrar | Sim |
| Rede SolanaO transporte. Tudo o que é gravado ali é texto cifrado preenchido endereçado a uma chave de uso único, mas é gravado para sempre. | Ninguém em particular | Texto cifrado, endereços de uso único, horário das transações | Para sempre, e publicamente | Não |
| StoreKitInevitável para compras dentro do app no iOS. Os tokens cegos são o que impede que a compra seja ligada à sua atividade de mensagens. | Apple | Sua compra e seu ID Apple | Conforme a política da Apple | Não |
Por que o serviço de taxas existe
Cada mensagem é uma transação da Solana, e transações custam uma taxa de rede. Fazer os usuários terem SOL para mandar uma mensagem seria um produto pior e pior para a privacidade, porque abastecer uma carteira já é um ato rastreável. Então um serviço paga a taxa.
Isso levanta a pergunta óbvia: quem paga descobre quem fala com quem? Não. O app comprova a assinatura uma vez e recebe um lote de assinaturas cegas RSA; cada envio gasta um token. O serviço consegue verificar que um token é válido e não foi gasto, mas não consegue ligá-lo à compra, a outro token ou a uma conta - o caminho anônimo não envia conta nenhuma. O caminho antigo com conta só continua existindo para publicar um apelido público de busca, que identifica por natureza.
O que este design não resolve
O endpoint RPC vê seu IP e o horário das suas requisições. A blockchain guarda o texto cifrado para sempre. Nada acima esconde isso, por isso os dois estão na tabela e por isso existe a página de limitações. Se o seu modelo de ameaças inclui um observador no nível da rede, use o PrivaMesh com VPN ou Tor e hospede o RPC você mesmo.
Perguntas frequentes
O PrivaMesh opera algum servidor?
Um. Um serviço de taxas paga a taxa de rede da Solana de cada transação para que você nunca precise ter SOL. No caminho anônimo ele vê um token cego válido e não gasto e a transação a pagar - nenhuma conta, nenhum texto puro, nenhum destinatário. Não há banco de dados de contas nem armazenamento de mensagens.
O que o provedor RPC pode ver?
Seu endereço IP, o horário das suas requisições e as transações que você envia. É o componente com a visão mais clara da sua atividade de rede, por isso ele é substituível e auto-hospedável.
O que acontece se o serviço de taxas cair?
O envio para de funcionar até ele voltar ou até você pagar as transações por conta própria. Sua identidade, contatos e histórico não são afetados - ficam no seu aparelho e não dependem de nada que operamos.
A Apple consegue ver para quem eu escrevo?
A Apple vê que você comprou uma assinatura e com qual ID Apple. Ela não vê suas mensagens nem seus contatos. Os tokens cegos são o que impede que a compra seja ligada à sua atividade de envio.