Kryfo hat keine Konten, also gibt es nichts, woran Daten hängen könnten. Es fragt nie nach deiner Telefonnummer, deiner E-Mail-Adresse oder deinem Namen. Es liest deine Kontakte nicht. Es hat keine Analyse, keine Werbung und kein Tracking irgendeiner Art. Deine Nachrichten werden auf deinem Handy verschlüsselt und können nur von der Person gelesen werden, an die du sie geschickt hast.
Was auf deinem Handy bleibt
Alles, was zählt. Deine Identität, deine Nachrichten, deine Kontakte, deine Medien und deine Einstellungen liegen in einer verschlüsselten Datenbank auf deinem Gerät und werden nirgendwohin hochgeladen.
Deine Identität sind drei Wörter, die beim ersten Öffnen der App auf dem Handy erzeugt werden. Nichts wird bei irgendwem registriert. Wenn du die App löschst, ist diese Identität weg.
Was unsere Server sehen können
Kryfo betreibt zwei Relais, die Nachrichten transportieren, bei zwei verschiedenen Hosting-Firmen, damit Nachrichten auch ein Handy erreichen, das offline war. Was sie sehen, hängt davon ab, welchen Weg du in der App wählst, und die App sagt dir das, bevor du wählst.
- Privat. Der Standard. Nachrichten reisen durch Tor zu unseren beiden Relais, jedes über seine eigene Onion, und zu einigen öffentlichen Nostr-Relais. Kein Relais erfährt deine Adresse. Auch sonst niemand.
- Schnell. Lässt Tor aus, um schneller zu sein. Es verbindet sich direkt mit unseren beiden Relais, die die Adresse, von der aus du dich verbindest, sehen, solange du verbunden bist, und sie nicht aufschreiben. Jede Nachricht geht an beide, so kann eines ausfallen, ohne dass Nachrichten stocken. Solange das erste ausgefallen ist, nutzt Schnell auch einige öffentliche Nostr-Relais, nur über Tor, sodass sie deine Adresse nie sehen.
Auf beiden Wegen ist verschlüsselt, was die Relais transportieren, und kein Relais kann eine Nachricht lesen. Jede Unterhaltung hat ihre eigene Postfachadresse, die weder deine Identität ist noch die von jemand anderem. Nachrichten werden auf eine von fünf Größen aufgefüllt, so sieht ein Relais ungefähr, wie groß eine Nachricht ist, nicht wie lang, wobei sichtbar bleibt, wie viele du sendest und wann. Auf Schnell sieht jedes unserer Relais, welche Postfächer eine IP-Adresse liest und beschreibt, und wenn beide Personen in einem Chat Schnell nutzen, dass sich zwei IP-Adressen ein Postfach teilen. Wegwerf-Räume, Kopplungscodes und die Adresse in deiner Einladung gehen auf beiden Wegen über Tor. Mit einem Benutzernamen auf Schnell könnte unser Relais den Benutzernamen trotzdem mit deiner IP-Adresse verbinden, über die Zeiten der ersten Nachrichten eines neuen Chats. Unsere Relais behalten verschlüsselte Nachrichten 14 Tage, damit ein Handy, das offline war, aufholen kann, und löschen sie dann.
Unsere Relais schreiben keine Verbindungsprotokolle auf Datenträger.
Brücken beim Tor-Projekt anzufordern ist freiwillig, und Kryfo tut das erst, wenn du Ja sagst. Die Anfrage geht nicht über Tor, da Tor dort, wo du bist, blockiert sein kann. Sie läuft über ein Content Delivery Network, also sieht dein Internetanbieter eine Verbindung zu diesem Netz, nicht zum Tor-Projekt. Dieses Netz und das Tor-Projekt sehen die Adresse, von der aus du dich verbindest, und dass jemand Brücken angefragt hat. Nichts über deine Chats. Unabhängig davon prüft Kryfo, sobald Tor verbunden ist, etwa einmal pro Woche, ob sich die mitgebrachten Brücken geändert haben. Diese Prüfung läuft über Tor, zeigt also niemandem deine Adresse, und braucht kein Ja. Mehr dazu unter Wenn Tor blockiert ist.
Benutzernamen
Wenn du dir einen öffentlichen Benutzernamen sicherst, speichert unser Benutzernamen-Dienst diesen Namen, die Einladung, auf die er verweist, die kurze Beschreibung, die du geschrieben hast, und den Schlüssel, mit dem er gesichert wurde. Wann er gesichert wurde, speichert er nicht. Wenn du „In der Suche zeigen“ einschaltest, speichert er außerdem den Namen, den du für die Suche gewählt hast, und dass dein Benutzername gelistet ist. Die Zeit deiner letzten Änderung und wann du die Suche zuletzt ein- oder ausgeschaltet hast, bleiben etwa 20 Minuten, um eine wiederholte Änderung abzuwehren, und werden dann gelöscht. Er führt kein Protokoll darüber, wer dich nachgeschlagen hat. Was du in die Suche tippst, wird an ihn geschickt, um Benutzernamen zu finden, und nicht aufbewahrt.
Einen Benutzernamen zu sichern ist freiwillig und bleibt aus, solange du es nicht tust, und dasselbe gilt dafür, in der Suche zu erscheinen. Du kannst deinen Benutzernamen jederzeit freigeben. Damit wird sein Eintrag sofort gelöscht. Der Server behält eine Sicherungskopie pro Tag und löscht jede Kopie, sobald sie eine Woche alt ist, sodass nach 8 Tagen keine Kopie eines freigegebenen Benutzernamens mehr übrig ist.
Es erscheinen nur Benutzernamen, deren Inhaber „In der Suche zeigen“ eingeschaltet haben, neben einem Namen, falls sie einen gewählt haben, und Ausschalten nimmt dich sofort wieder heraus. Alles, was die App den Benutzernamen-Dienst und den Abzeichen-Dienst fragt, geht auf jedem Weg über Tor, auch auf Schnell, sodass keiner der beiden je deine IP-Adresse sieht.
Der Entwickler-Chat
Ab Kryfo 0.5.0 geht der Chat „Marios · hat Kryfo gebaut“ oben in deiner Chatliste an die Person, die die App baut. Der Schlüssel von Marios ist fest in Kryfo eingebaut, so kann niemand sonst darin antworten. Es wird keine Verbindung aufgebaut und nichts gesendet, bevor du die erste Nachricht schreibst: kein Hallo, keine App-Version, keine Protokolle.
Marios kann lesen, was du dort sendest und wann, und dir antworten, wie jeder Kontakt. Deine drei Wörter gehen mit; das Gesicht, das du gewählt hast, deine Onion-Adresse und ein etwaiges Unterstützer-Abzeichen nicht. „Anonym schreiben“ macht stattdessen einen neuen Namen und neue Schlüssel nur für diesen Chat, die auf deinem Handy bleiben, nicht ins Backup kommen und nirgends sonst benutzt werden. Es verbirgt deine drei Wörter, aber weder deinen Schreibstil noch das, was du dort schreibst, noch die Adresse, von der aus du dich auf dem Weg Schnell verbindest.
Sprachnachrichten in einem anonymen Chat laufen immer durch die Stimmverfremdung. Wenn du den Chat löschst, wird er auf deinem Handy gelöscht, und was du geschickt hast, wird vom Handy von Marios zurückgeholt, genauso wie beim Zurückholen einer einzelnen Nachricht. Wenn sein Handy innerhalb einer halben Minute nicht erreicht werden kann, sagt dir die App, wie viele Nachrichten nicht zurückgeholt werden konnten. Eine Nachricht, die er schon gelesen hat, ist gelesen.
Link-Vorschauen
Aus, solange du sie nicht einschaltest. Wenn sie an sind, ruft dein eigenes Handy den Titel über Tor ab und schickt ihn in der verschlüsselten Nachricht mit. Die verlinkte Website sieht eine Anfrage aus dem Tor-Netzwerk und sonst nichts. Wer die Nachricht empfängt, berührt den Link nie.
GIF-Suche
Aus, solange du sie nicht einschaltest. Wenn sie an ist, gehen die Wörter, nach denen du suchst, an unseren Server, der für dich bei GIPHY oder Klipy anfragt. Auch die GIFs kommen über unseren Server zurück. Wie sie reisen, hängt von deinem Weg ab:
- Privat. Über Tor, auf einem eigenen Pfad. Unser Server sieht eine Anfrage aus dem Tor-Netzwerk, nie deine Adresse.
- Schnell. Direkt an unseren Server, ohne Tor, so wie deine Nachrichten auf diesem Weg. Unser Server sieht die Adresse, von der aus du dich verbindest, und die Wörter, nach denen du suchst, und schreibt keins von beiden auf. Es ist kein öffentliches Relais beteiligt.
Unser Server führt kein Protokoll darüber, was gesucht wurde oder von wem, und gibt keine Adresse weiter. GIPHY und Klipy sehen nur, dass unser Server fragt, mit den Suchwörtern und der Sprache der App. Sie sehen nie deine Adresse, dein Handy oder an wen du ein GIF schickst. Das GIF, das du auswählst, wird in der verschlüsselten Nachricht mitgeschickt, wie ein Foto.
Fotos und Dateien
Fotos, die in Kryfo aufgenommen werden, verlieren Standort, Gerätedaten und Zeitstempel, bevor irgendetwas anderes passiert, und erscheinen nie in deiner Galerie, außer du speicherst selbst eine Kopie. Fotos, Videos, Sprachnachrichten und Dateien, die größer als eine Nachricht sind, gehen über unseren Dateidienst, sobald alle im Chat eine Version haben, die ihn nutzt. Dein Handy versiegelt jede Datei mit einem eigenen Schlüssel, und der Schlüssel reist nur in der verschlüsselten Nachricht, also hält der Dienst Bytes, die er nicht öffnen kann. Er wird auf beiden Wegen über Tor erreicht und sieht deine Adresse nie. Er kennt die zufällige ID einer Datei, ihre aufgerundete Größe, wie viele Empfänger sie hat und wann sie hoch- und heruntergeladen wurde. Eine Datei wird gelöscht, sobald alle Empfänger sie haben, und nichts bleibt länger als eine Woche.
Benachrichtigungen
Standardmäßig nutzt Kryfo keinen Push-Dienst. Die App sieht selbst nach Nachrichten, über denselben Weg, über den sie sendet, und niemandem außerhalb der App wird gesagt, dass eine Nachricht auf dich wartet. Unter Benachrichtigungen kannst du stattdessen einen von zwei anderen Wegen wählen.
- Über eine Hilfs-App. Standardmäßig aus und nur auf Privat. Eine UnifiedPush-Hilfs-App wie ntfy hält eine Verbindung für all deine Apps, und unser Relais klopft bei ihr an, wenn etwas für dich ankommt, mit einer leeren Anfrage: kein Absender, keine Anzahl, kein Inhalt. Kryfo holt dann wie immer über Tor ab. Unser Relais behält sechzehn Adressen auf dem Server der Hilfs-App für dich, höchstens 30 Tage. Der Server der Hilfs-App sieht die IP-Adresse deines Handys, dass du Kryfo nutzt und wann angeklopft wird, mit falschen Klopfzeichen dazwischen. Er erfährt nie, was eine Nachricht sagt, wer sie geschickt hat oder wie viele kamen.
- Google-Push. Nur in der Version aus Google Play, auf Handys mit Google-Play-Diensten. Nichts von Google läuft, bevor du es wählst. Wenn du es wählst, fragt die App Google nach einem Token für dieses Handy. Unser Relais hält es in sechzehn getrennten Siegeln, die es weder öffnen noch miteinander verbinden kann. Der Push-Dienst, der sie öffnet, läuft auf unserem zweiten Server. Beide Server zusammen könnten die sechzehn verbinden und das Token sehen, das Google deinem Handy und deinem Google-Konto zuordnen kann. Wer nur einen beschlagnahmt, kann das nicht, aber wir betreiben beide, also könnten wir es. Wenn dir das wichtig ist, wähl einen anderen Weg. Google sieht, dass dieses Handy Kryfo nutzt, wann es geweckt wird, mit falschen Weckrufen dazwischen, und die IP-Adresse deines Handys, wie immer bei den Play-Diensten. Es sieht nie, wer geschrieben hat, was gesagt wurde oder wie viel. Der Push-Dienst speichert nichts auf Datenträger und protokolliert nichts pro Handy, und Firebases Analysen, Werbe-ID und Zustellstatistiken sind in der App abgeschaltet.
Backups
Ein Backup ist eine Datei auf deinem Handy, verschlüsselt mit einer Passphrase, die nur du kennst. Es geht nie an uns. Ab Kryfo 0.5.1 enthält es auch deine Privatsphäre-Einstellungen: Screenshots blockieren, Stimmverfremdung, verborgene Vorschauen, Betrugsschutz, Vorstellungen, wie du Nachrichten empfängst, das Design und die Sprache, die du gewählt hast. Eine PIN enthält es nie.
Spenden
Wenn du spendest, läuft die Zahlung über eine öffentliche Blockchain, die außerhalb unserer Kontrolle und außerhalb dieser Erklärung liegt. Wir fragen nicht nach deinem Namen oder deiner Adresse, und eine Spende ist nicht mit deiner Kryfo-Identität verbunden, außer du entscheidest dich, beides zu verknüpfen.
Trinkgelder in der Google-Play-Version werden über Google Play bezahlt. Google wickelt die Zahlung ab, und wir sehen deine Kartendaten und deinen Namen nie. Die Verkaufsberichte von Google zeigen uns zu jedem Trinkgeld die Bestellnummer, den Betrag, das Datum und das Land, in manchen Ländern auch die Region, die Stadt oder die Postleitzahl.
Diese Website
Keine Cookies, keine Analyse, keine Skripte von Dritten und keine Schriften, die von anderswo geladen werden. Der Server protokolliert keine Besucher.
Kinder
Kryfo richtet sich nicht an Kinder. Mehr dazu, wie das Design den Kontakt durch Fremde begrenzt, steht in unserem Hinweis zum Kinderschutz.
Deine Daten löschen
Es gibt sehr wenig zu löschen, und das meiste davon kannst du selbst löschen, sofort.
- Auf deinem Handy. Wenn du einen Chat löschst, ist er gelöscht. „Kryfo von diesem Handy löschen“ unter Gefahrenzone in den Einstellungen löscht alles, was Kryfo auf diesem Handy gespeichert hat. Die App zu deinstallieren bewirkt dasselbe.
- Dein Benutzername. Öffne deinen Benutzernamen in der App und wähle „Diesen Benutzernamen löschen“. Der Eintrag wird sofort gelöscht, und die täglichen Sicherungskopien des Servers sind innerhalb von 8 Tagen weg.
- Der Entwickler-Chat. Wenn du ihn löschst, wird das, was du geschickt hast, vom Handy von Marios zurückgeholt. Für alles, was nicht zurückgeholt werden konnte, oder alles, was du per E-Mail geschickt hast, schreib an gnosiworks@proton.me. Es wird gelöscht, und du bekommst eine kurze Bestätigung.
- Nachrichten an andere. Sie sind auf deren Handys, nicht auf unseren. Hol eine Nachricht im Chat zurück, dann verschwindet sie auch von ihrem Handy.
- Relais und Dateien. Unsere Relais behalten verschlüsselte Nachrichten 14 Tage, damit ein Handy, das offline war, sie noch bekommt, und löschen sie dann von selbst. Einige öffentliche Nostr-Relais tragen auch Kopien, jede so markiert, dass sie nach 14 Tagen gelöscht wird. Kein Relais kann sie lesen. Große Dateien auf unserem Dateidienst werden gelöscht, sobald alle Empfänger sie haben, spätestens nach einer Woche.
- Spenden. Eine Zahlung auf einer öffentlichen Blockchain kann niemand löschen.
Anfragen nach Daten
Wenn wir aufgefordert werden, Nutzerdaten herauszugeben, gibt es fast nichts herauszugeben. Wir haben keine Kontaktlisten, keine Telefonnummern, keine E-Mail-Adressen und keine Kontodaten, weil nichts davon erhoben wird, und keine Nachrichteninhalte außer dem, was Leute in den Entwickler-Chat schicken. Die einzige Ausnahme ist Google-Push: was unsere beiden Server zusammen verbinden könnten, wie unter Benachrichtigungen beschrieben.
Änderungen
Wenn sich diese Erklärung ändert, ändert sich das Datum oben mit, und die früheren Fassungen bleiben in der Git-Historie dieser Website.
Wer verantwortlich ist
Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Deutschland. Alle Angaben stehen im Impressum.
Fragen
Schreib an gnosiworks@proton.me oder eröffne ein Issue auf github.com/GnosiWorks/Kryfo.
In den Einstellungen kannst du uns mit „Problem melden“ aus der App heraus schreiben. „In Kryfo schreiben“ schickt es in den oben beschriebenen Entwickler-Chat. „E-Mail senden“ öffnet deine eigene Mail-App, und die E-Mail geht dann über deinen Mail-Anbieter und unseren (Proton), wie jede E-Mail.