Prawie nie ma o czym mówić.

Co zostaje na twoim telefonie

Wszystko, co ważne. Twoja tożsamość, wiadomości, kontakty, multimedia i ustawienia są w zaszyfrowanej bazie danych na twoim urządzeniu i nigdy nie są nigdzie wysyłane.

Twoja tożsamość to trzy słowa wygenerowane na telefonie przy pierwszym otwarciu aplikacji. Nic nie jest u nikogo rejestrowane. Jeśli usuniesz aplikację, ta tożsamość przepada.

Co widzą nasze serwery

Kryfo prowadzi dwa przekaźniki, które przenoszą wiadomości, u dwóch różnych firm hostingowych, żeby wiadomości docierały też do telefonu, który był offline. To, co widzą, zależy od trasy, którą wybierzesz w aplikacji, a aplikacja mówi ci to, zanim wybierzesz.

• Prywatny. Domyślny. Wiadomości idą przez Tor do obu naszych przekaźników, każdy przez własny adres onion, i do kilku publicznych przekaźników Nostr. Żaden przekaźnik ani nikt inny nie poznaje twojego adresu.
• Szybki. Pomija Tor, żeby było szybciej. Łączy się prosto z naszymi dwoma przekaźnikami, które widzą adres, z którego się łączysz, w trakcie połączenia, i go nie zapisują. Każda wiadomość idzie do obu, więc jeden może przestać działać, a wiadomości nie przestaną płynąć. Gdy pierwszy nie działa, Szybki używa też kilku publicznych przekaźników Nostr, tylko przez Tor, więc nigdy nie widzą twojego adresu.

Na obu trasach to, co przenoszą przekaźniki, jest zaszyfrowane i żaden przekaźnik nie może przeczytać wiadomości. Każda rozmowa ma własny adres skrzynki, który nie jest twoją tożsamością ani niczyją inną. Wiadomości są dopełniane do jednego z pięciu rozmiarów, więc przekaźnik widzi z grubsza, jak duża jest wiadomość, a nie jak długa, choć to, ile wysyłasz i kiedy, nadal widać. Na trasie Szybki każdy z naszych przekaźników widzi, które skrzynki dany adres IP odczytuje i zapisuje, a gdy obie osoby w czacie używają trasy Szybki, także to, że dwa adresy IP dzielą skrzynkę. Pokoje jednorazowe, kody parowania i adres w twoim zaproszeniu idą przez Tor na obu trasach. Z nazwą użytkownika na trasie Szybki nasz przekaźnik mógłby nadal powiązać ją z twoim adresem IP po czasie pierwszych wiadomości nowego czatu. Nasze przekaźniki przechowują zaszyfrowane wiadomości przez 14 dni, żeby telefon offline mógł je nadrobić, a potem je usuwają.

Nasze przekaźniki nie zapisują logów połączeń na dysku.

Pytanie Tor Project o mostki jest opcjonalne i Kryfo robi to dopiero, gdy się zgodzisz. Pytanie idzie poza Torem, bo tam, gdzie jesteś, Tor może być zablokowany. Przechodzi przez sieć dostarczania treści (CDN), więc twój dostawca internetu widzi połączenie z tą siecią, a nie z Tor Project. Ta sieć i Tor Project widzą adres, z którego się łączysz, i to, że ktoś poprosił o mostki. Nic o twoich czatach. Niezależnie od tego, gdy Tor jest połączony, Kryfo mniej więcej raz w tygodniu sprawdza zmiany w mostkach, które ma wbudowane. To sprawdzenie idzie przez Tor, więc nikomu nie pokazuje twojego adresu, i nie wymaga zgody. Więcej jest na stronie Gdy Tor jest zablokowany.

Nazwy użytkownika

Jeśli zajmiesz publiczną nazwę użytkownika, nasza usługa nazw przechowuje tę nazwę, zaproszenie, na które wskazuje, twój krótki opis i klucz, który ją zajął. Nie zapisuje, kiedy nazwa została zajęta. Jeśli włączysz „Pokazuj mnie w wyszukiwaniu”, przechowuje też imię wybrane do wyszukiwania i to, że twoja nazwa jest na liście. Czas twojej ostatniej zmiany oraz ostatniego włączenia lub wyłączenia wyszukiwania jest trzymany około 20 minut, żeby odrzucić powtórzoną zmianę, a potem kasowany. Nie zapisuje, kto cię wyszukiwał. To, co wpisujesz w wyszukiwarkę, trafia do niej, żeby znaleźć nazwy, i nie jest przechowywane.

Zajęcie nazwy użytkownika jest opcjonalne i wyłączone, dopóki tego nie zrobisz, tak samo jak pokazywanie się w wyszukiwaniu. W każdej chwili możesz wycofać swoją nazwę. To od razu usuwa jej wpis. Serwer robi jedną kopię zapasową dziennie i usuwa każdą kopię, gdy ma tydzień, więc po 8 dniach nie zostaje żadna kopia wycofanej nazwy.

Pojawiają się tylko nazwy, których właściciel włączył „Pokazuj mnie w wyszukiwaniu”, obok imienia, jeśli je wybrał, a wyłączenie tego od razu cię usuwa. Wszystko, o co aplikacja pyta usługę nazw i usługę odznak, idzie przez Tor na każdej trasie, także na trasie Szybki, więc żadna z nich nigdy nie widzi twojego adresu IP.

Czat z twórcą

Od Kryfo 0.5.0 czat „Marios · twórca Kryfo” na górze listy czatów trafia do osoby, która tworzy aplikację. Klucz Mariosa jest wbudowany w Kryfo, więc nikt inny nie może w nim odpowiadać. Nic się nie łączy i nic nie jest wysyłane, dopóki nie napiszesz pierwszej wiadomości: żadnego powitania, wersji aplikacji ani logów.

Marios może przeczytać, co tam wysyłasz i kiedy, i odpisać jak każdy kontakt. Twoje trzy słowa idą razem z wiadomością; wybrana twarz, twój adres onion i ewentualna odznaka wspierającego nie. „Pisz anonimowo” tworzy zamiast tego nowe imię i klucze tylko dla tego czatu, które zostają na twoim telefonie, są pomijane w kopiach zapasowych i nie są używane nigdzie indziej. Ukrywa twoje trzy słowa, ale nie twój styl pisania, nie to, co tam piszesz, ani nie adres, z którego łączysz się na trasie Szybki.

Notatki głosowe w anonimowym czacie zawsze przechodzą przez zmianę głosu. Usunięcie czatu usuwa go z twojego telefonu i cofa twoje wiadomości z telefonu Mariosa, tak samo jak cofnięcie pojedynczej wiadomości. Jeśli jego telefon nie odpowie w ciągu pół minuty, aplikacja powie ci, ilu wiadomości nie udało się cofnąć. Wiadomość, którą już przeczytał, została przeczytana.

Podglądy linków

Wyłączone, dopóki ich nie włączysz. Gdy są włączone, twój własny telefon pobiera tytuł przez Tor i wysyła go w zaszyfrowanej wiadomości. Strona z linku widzi zapytanie z sieci Tor i nic więcej. Osoba, która odbiera wiadomość, w ogóle nie dotyka linku.

Wyszukiwanie GIF-ów

Wyłączone, dopóki go nie włączysz. Gdy jest włączone, słowa, których szukasz, trafiają do naszego serwera, który pyta za ciebie GIPHY lub Klipy. GIF-y też wracają przez nasz serwer. Jak to podróżuje, zależy od twojej trasy:

• Prywatny. Przez Tor, własnym obwodem. Nasz serwer widzi zapytanie z sieci Tor, nigdy twój adres.
• Szybki. Prosto do naszego serwera, bez Tor, tak jak twoje wiadomości na tej trasie. Nasz serwer widzi adres, z którego się łączysz, i wyszukiwane słowa i nie zapisuje ani jednego, ani drugiego. Żaden publiczny przekaźnik nie bierze w tym udziału.

Nasz serwer nie zapisuje, czego szukano ani kto szukał, i nie przekazuje dalej żadnego adresu. GIPHY i Klipy widzą tylko zapytanie od naszego serwera, ze słowami wyszukiwania i językiem aplikacji. Nigdy nie widzą twojego adresu, twojego telefonu ani tego, komu wysyłasz GIF-a. Wybrany GIF jest wysyłany w zaszyfrowanej wiadomości, jak zdjęcie.

Zdjęcia i pliki

Zdjęcia zrobione w Kryfo mają usuwane miejsce, dane urządzenia i znaczniki czasu, zanim stanie się cokolwiek innego, i nigdy nie pojawiają się w twojej galerii, chyba że zdecydujesz się zapisać kopię. Zdjęcia, filmy, notatki głosowe i pliki większe niż jedna wiadomość idą przez naszą usługę plików, gdy każdy w czacie ma wersję, która jej używa. Twój telefon pieczętuje każdy plik osobnym kluczem, a klucz podróżuje tylko w zaszyfrowanej wiadomości, więc usługa przechowuje bajty, których nie może otworzyć. Łączy się z nią przez Tor na obu trasach i nigdy nie widzi twojego adresu. Zna losowy identyfikator pliku, jego rozmiar zaokrąglony w górę, liczbę odbiorców oraz to, kiedy plik został wgrany i pobrany. Plik jest usuwany, gdy mają go wszyscy odbiorcy, a nic nie zostaje dłużej niż tydzień.

Powiadomienia

Domyślnie Kryfo nie używa żadnej usługi push. Aplikacja sama sprawdza wiadomości, tą samą trasą, którą wysyła, i nikt spoza aplikacji nie dowiaduje się, że czeka na ciebie wiadomość. W Powiadomieniach możesz zamiast tego wybrać jeden z dwóch innych sposobów.

• Przez aplikację pomocniczą. Domyślnie wyłączone i tylko na trasie Prywatny. Aplikacja pomocnicza UnifiedPush, na przykład ntfy, utrzymuje jedno połączenie dla wszystkich twoich aplikacji, a nasz przekaźnik puka do niej, gdy coś do ciebie przychodzi, pustym zapytaniem: bez nadawcy, bez liczby, bez treści. Potem Kryfo pobiera wiadomości przez Tor jak zawsze. Nasz przekaźnik przechowuje dla ciebie szesnaście adresów na serwerze aplikacji pomocniczej, najwyżej przez 30 dni. Serwer aplikacji pomocniczej widzi adres IP twojego telefonu, to, że używasz Kryfo, i to, kiedy ktoś do niego puka, z domieszką fałszywych pukań. Nigdy nie dowiaduje się, co mówi wiadomość, kto ją wysłał ani ile ich przyszło.
• Powiadomienia Google. Tylko w wersji z Google Play, na telefonach z usługami Google Play. Nic od Google nie działa, dopóki tego nie wybierzesz. Wybranie tej opcji prosi Google o jeden token dla tego telefonu. Nasz przekaźnik przechowuje go w szesnastu osobnych pieczęciach, których nie może otworzyć ani ze sobą powiązać. Usługa push, która je otwiera, działa na naszym drugim serwerze. Oba serwery razem mogłyby powiązać te szesnaście i zobaczyć token, który Google może dopasować do twojego telefonu i twojego konta Google. Przejęcie jednego nie wystarczy, ale prowadzimy oba, więc moglibyśmy. Jeśli to dla ciebie ważne, wybierz inny sposób. Google widzi, że ten telefon używa Kryfo, kiedy jest budzony, z domieszką fałszywych pobudek, i adres IP twojego telefonu, jak zawsze w przypadku usług Play. Nigdy nie widzi, kto pisał, co powiedziano ani ile. Usługa push nie trzyma niczego na dysku i nie zapisuje niczego w podziale na telefony, a analityka Firebase, identyfikator reklamowy i statystyki dostarczania są w aplikacji wyłączone.

Kopie zapasowe

Kopia zapasowa to plik na twoim telefonie, zaszyfrowany hasłem, które znasz tylko ty. Nigdy nie trafia do nas. Od Kryfo 0.5.1 zawiera też twoje ustawienia prywatności: blokowanie zrzutów ekranu, zmianę głosu, ukryte podglądy, ochronę przed oszustwami, przedstawienia, sposób dostarczania wiadomości, motyw i wybrany język. Nigdy nie zawiera PIN-u.

Darowizny

Jeśli przekazujesz darowiznę, płatność odbywa się na publicznym blockchainie, który jest poza naszą kontrolą i poza tą polityką. Nie pytamy o twoje imię ani adres, a darowizna nie jest powiązana z twoją tożsamością w Kryfo, chyba że zdecydujesz się je połączyć.

Napiwki w wersji z Google Play są płacone przez Google Play. Płatność obsługuje Google, a my nigdy nie widzimy danych twojej karty ani twojego imienia. Raporty sprzedaży Google pokazują nam numer zamówienia, kwotę, datę i kraj każdego napiwku, a w niektórych krajach także region, miasto lub kod pocztowy.

Ta strona

Bez ciasteczek, bez analityki, bez skryptów firm trzecich i bez czcionek ładowanych z innych miejsc. Serwer nie zapisuje odwiedzających.

Dzieci

Kryfo nie jest skierowane do dzieci. Więcej o tym, jak konstrukcja aplikacji ogranicza kontakt z obcymi, jest w naszej notce o bezpieczeństwie dzieci.

Usuń swoje dane

Jest bardzo mało do usunięcia, a większość możesz usunąć samodzielnie, od razu.

• Na twoim telefonie. Usunięcie czatu go usuwa. „Wymaż Kryfo z tego telefonu”, w Strefie ryzyka w Ustawieniach, usuwa wszystko, co Kryfo przechowuje na tym telefonie. Odinstalowanie aplikacji robi to samo.
• Twoja nazwa użytkownika. Otwórz swoją nazwę w aplikacji i wybierz „Usuń tę nazwę użytkownika”. Wpis jest usuwany od razu, a dzienne kopie serwera znikają w ciągu 8 dni.
• Czat z twórcą. Usunięcie go cofa twoje wiadomości z telefonu Mariosa. W sprawie wszystkiego, czego nie dało się cofnąć, i wszystkiego, co zostało wysłane e-mailem, napisz na gnosiworks@proton.me. Zostanie to usunięte, a ty dostaniesz krótkie potwierdzenie.
• Wiadomości do innych osób. Są na ich telefonach, nie u nas. Cofnij wiadomość w czacie, a zniknie też z ich telefonu.
• Przekaźniki i pliki. Nasze przekaźniki przechowują zaszyfrowane wiadomości przez 14 dni, żeby telefon, który był offline, nadal mógł je odebrać, a potem same je usuwają. Kilka publicznych przekaźników Nostr też przenosi kopie, każda oznaczona do usunięcia po 14 dniach. Żaden przekaźnik nie może ich przeczytać. Duże pliki w naszej usłudze plików są usuwane, gdy mają je wszyscy odbiorcy, najpóźniej po tygodniu.
• Darowizny. Płatności na publicznym blockchainie nie może usunąć nikt.

Wnioski o dane

Jeśli ktoś poprosi nas o wydanie danych użytkowników, prawie nie ma czego wydać. Nie mamy list kontaktów, numerów telefonów, adresów e-mail ani danych kont, bo nic z tego nie jest zbierane, ani treści wiadomości poza tym, co ludzie wysyłają na czat z twórcą. Jedynym wyjątkiem są powiadomienia Google: to, co nasze dwa serwery razem mogłyby powiązać, jak opisano w części Powiadomienia.

Zmiany

Jeśli ta polityka się zmieni, data na górze zmieni się razem z nią, a poprzednie wersje zostaną w historii git tej strony.

Kto odpowiada

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Niemcy. Pełne dane są w nocie prawnej.

Pytania

Napisz na gnosiworks@proton.me albo zgłoś sprawę na github.com/GnosiWorks/Kryfo.

W Ustawieniach „Zgłoś problem” pozwala napisać do nas z aplikacji. „Napisz w Kryfo” wysyła to na czat z twórcą, opisany wyżej. „Wyślij e-mail” otwiera twoją własną aplikację pocztową, a e-mail idzie wtedy przez twojego dostawcę poczty i naszego (Proton), jak każdy e-mail.