Arkitektur
Varje komponent, och vad den kan se
Ett integritetslöfte är bara värt det en läsare kan kontrollera. Det här är hela listan över systemets delar, vem som driver var och en och vad var och en kan observera - inklusive den enda maskin vi själva kör.
PrivaMesh har ingen kontodatabas och ingen meddelandelagring. Däremot finns en avgiftstjänst som betalar varje transaktion, en RPC-slutpunkt som drivs av en tredje part och en publik kedja som lagrar chiffertext permanent. Alla tre listas nedan med vad de kan observera.
Hur ett meddelande färdas
01
Din iPhone
Krypterar och fyller ut meddelandet, härleder engångsadressen
02
Avgiftstjänst
Betalar nätverksavgiften, spenderar en blind token
03
RPC-slutpunkt
Skickar in transaktionen till nätverket
04
Solana
Bär den utfyllda chiffertexten till en engångsadress
05
Mottagarens iPhone
Söker efter sina egna engångsadresser och dekrypterar lokalt
Vad varje komponent kan observera
| Komponent | Drivs av | Vad den ser | Vad den lagrar | Utbytbar |
|---|---|---|---|---|
| iOS-klientDet enda stället där klartext och nycklar någonsin finns. Nycklarna ligger i iOS-nyckelringen bakom Face ID och synkas aldrig till iCloud. | Du | Klartext, nycklar, kontakter | Allt, bara på enheten | Ja |
| AvgiftstjänstBetalar nätverksavgiften så att du aldrig behöver hålla SOL - den enda maskin vi kör. Utskick autentiseras med en anonym blind token som inte bär någon identitet, så tjänsten kan inte koppla ett utskick till ett köp, till ett annat utskick eller till ett konto. En äldre kontoväg finns kvar och krävs för att publicera ett offentligt sökbart smeknamn, som av naturen är identifierande. Källkoden är öppen, under relay/ i samma repo som klienten. | PrivaMesh | En giltig, ospenderad blind token och transaktionen som ska betalas - inget konto på den anonyma vägen | Bara driftloggar - ingen klartext, ingen mottagare | Delvis |
| Solana RPCUtbytbar och kan köras själv. Det är den komponent som mest sannolikt ser din aktivitet på nätverksnivå, och den vi har minst kontroll över. | En tredjepartsleverantör | Din IP-adress, tidpunkt för förfrågningar, transaktioner du skickar in | Det leverantören väljer att logga | Ja |
| Solana-nätverketTransporten. Allt som skrivs här är utfylld chiffertext adresserad till en engångsnyckel, men det skrivs för alltid. | Ingen särskild | Chiffertext, engångsadresser, tidpunkt för transaktioner | Permanent, och publikt | Nej |
| StoreKitOundvikligt för köp i appar på iOS. Det är blinda tokens som hindrar att köpet kopplas till din meddelandeaktivitet. | Apple | Ditt köp och ditt Apple-ID | Enligt Apples policy | Nej |
Varför avgiftstjänsten finns
Varje meddelande är en Solana-transaktion, och transaktioner kostar en nätverksavgift. Att låta användare hålla SOL för att skicka ett meddelande vore en sämre produkt och sämre för integriteten, eftersom att fylla på en plånbok i sig är en spårbar handling. Därför betalar en tjänst avgiften i stället.
Det väcker den uppenbara frågan: får den som betalar veta vem som pratar med vem? Nej. Appen bevisar sin prenumeration en gång och får en pool av RSA-blindsignaturer; varje utskick spenderar en token. Tjänsten kan verifiera att en token är giltig och ospenderad men kan inte koppla den till köpet, till någon annan token eller till ett konto - den anonyma vägen skickar inget konto alls. Den äldre kontovägen finns kvar bara för att publicera ett offentligt sökbart smeknamn, som av naturen är identifierande.
Vad den här designen inte löser
RPC-slutpunkten ser din IP och tidpunkten för dina förfrågningar. Kedjan lagrar chiffertext permanent. Inget av ovanstående döljer det, och därför finns båda i tabellen och därför finns sidan med begränsningar. Om din hotmodell inkluderar en observatör på nätverksnivå, använd PrivaMesh tillsammans med VPN eller Tor och kör RPC:n själv.
Vanliga frågor
Kör PrivaMesh några servrar?
En. En avgiftstjänst betalar Solanas nätverksavgift för varje transaktion så att du aldrig behöver hålla SOL. På den anonyma vägen ser den en giltig, ospenderad blind token och transaktionen som ska betalas - inget konto, ingen klartext, ingen mottagare. Det finns ingen kontodatabas och ingen meddelandelagring.
Vad kan RPC-leverantören se?
Din IP-adress, tidpunkten för dina förfrågningar och de transaktioner du skickar in. Det är den komponent som har tydligast insyn i din aktivitet på nätverksnivå, och därför är den utbytbar och kan köras själv.
Vad händer om avgiftstjänsten går ner?
Utskick slutar fungera tills den är tillbaka eller tills du själv betalar transaktionerna. Din identitet, dina kontakter och din meddelandehistorik påverkas inte - de finns på din enhet och beror inte på något vi kör.
Kan Apple se vem jag skriver till?
Apple ser att du köpt en prenumeration och med vilket Apple-ID. Apple ser inte dina meddelanden eller kontakter. Det är blinda tokens som hindrar att köpet kopplas till din sändaktivitet.