架構
每個元件及其能看到的內容
隱私承諾的價值只取決於讀者能核實多少。這是系統所有組成部分的完整清單：誰營運每一部分，每一部分能觀察到什麼——包括我們自己執行的那一台機器。
PrivaMesh 沒有帳號資料庫，也沒有訊息儲存。但它確實有一個為每筆交易支付費用的手續費服務、一個由第三方營運的 RPC 端點，以及一條永久儲存密文的公鏈。三者都列在下面，並註明各自能觀察到什麼。
訊息如何傳遞
01
你的 iPhone
加密並填充訊息，推導出一次性地址
02
手續費服務
支付網路手續費，消耗一個盲權杖
03
RPC 端點
將交易提交到網路
04
Solana
把填充後的密文送到一次性地址
05
對方的 iPhone
掃描屬於自己的一次性地址並在本機解密
每個元件能觀察到什麼
| 元件 | 營運方 | 能看到什麼 | 儲存什麼 | 可替換 |
|---|---|---|---|---|
| iOS 用戶端明文和金鑰唯一存在的地方。金鑰保存在受 Face ID 保護的 iOS 鑰匙圈中，從不同步到 iCloud。 | 你 | 明文、金鑰、聯絡人 | 全部，僅在裝置上 | 是 |
| 手續費服務代付網路手續費，讓你永遠不必持有 SOL——這是我們執行的唯一一台機器。傳送透過不含身分資訊的匿名盲權杖驗證，因此該服務無法將一次傳送與購買、與另一次傳送或與帳號連結起來。舊的帳號路徑仍然存在，用於發布公開可搜尋的暱稱，而暱稱本身就具有識別性。其原始碼公開，位於與用戶端同一儲存庫的 relay/ 目錄下。 | PrivaMesh | 一個有效且未使用的盲權杖，以及要代付的交易——匿名路徑上沒有帳號 | 僅營運日誌——沒有明文，沒有收件人 | 部分 |
| Solana RPC可替換，也可自行架設。這是最有可能看到你網路層活動的元件，也是我們最難控制的部分。 | 第三方供應商 | 你的 IP 位址、請求時間、你提交的交易 | 取決於該供應商選擇記錄什麼 | 是 |
| Solana 網路傳輸層。寫入這裡的一切都是發往一次性金鑰的填充密文，但會被永久寫入。 | 沒有特定的人 | 密文、一次性地址、交易時間 | 永久且公開 | 否 |
| StoreKitiOS App 內購買無法繞開。正是盲權杖讓購買無法與你的訊息活動連結起來。 | Apple | 你的購買紀錄和 Apple ID | 依照 Apple 的政策 | 否 |
為什麼要有手續費服務
每則訊息都是一筆 Solana 交易，而交易需要支付網路手續費。讓使用者為了傳訊息而持有 SOL，產品會更差，隱私也更差，因為替錢包儲值本身就是可被連結的行為。所以由一個服務代付手續費。
這就引出一個顯而易見的問題：付費方會知道誰在和誰說話嗎？不會。App 只需證明一次訂閱，就會取得一批 RSA 盲簽章；每次傳送消耗一個權杖。服務可以驗證權杖有效且未被使用，但無法將它與購買、與其他權杖或與帳號連結起來——匿名路徑根本不傳送帳號。舊的帳號路徑只保留用於發布公開可搜尋的暱稱，而暱稱本身就具有識別性。
這個設計解決不了什麼
RPC 端點能看到你的 IP 和請求時間。鏈會永久儲存密文。上面的任何機制都無法隱藏這些，所以兩者都列在表中，這也是限制頁面存在的原因。如果你的威脅模型包括網路層面的觀察者，請將 PrivaMesh 與 VPN 或 Tor 搭配使用，並自行架設 RPC。
常見問題
PrivaMesh 執行伺服器嗎？
一台。手續費服務為每筆交易代付 Solana 網路手續費，讓你永遠不必持有 SOL。在匿名路徑上，它只看到一個有效且未使用的盲權杖和要代付的交易——沒有帳號、沒有明文、沒有收件人。沒有帳號資料庫，也沒有訊息儲存。
RPC 供應商能看到什麼？
你的 IP 位址、請求時間以及你提交的交易。它是對你網路層活動看得最清楚的元件，因此可以替換，也可以自行架設。
如果手續費服務停擺會怎樣？
在它恢復或你自己支付交易費用之前，傳送將無法進行。你的身分、聯絡人和訊息歷史不受影響——它們都在你的裝置上，不依賴我們執行的任何東西。
Apple 能看到我在傳訊息給誰嗎？
Apple 能看到你購買了訂閱以及使用的是哪個 Apple ID。它看不到你的訊息或聯絡人。正是盲權杖讓購買無法與你的傳送活動連結起來。