Gần như chẳng có gì để kể.

Những gì ở lại trên điện thoại bạn

Mọi thứ quan trọng. Danh tính, tin nhắn, liên hệ, tệp đa phương tiện và cài đặt của bạn nằm trong một cơ sở dữ liệu được mã hóa trên thiết bị của bạn và không bao giờ được tải lên đâu cả.

Danh tính của bạn là ba từ được tạo trên điện thoại vào lần đầu bạn mở ứng dụng. Không có gì được đăng ký với ai cả. Nếu bạn xóa ứng dụng, danh tính đó cũng mất.

Máy chủ của chúng tôi có thể thấy gì

Kryfo vận hành hai relay chuyển tin nhắn, ở hai công ty lưu trữ khác nhau, nhờ vậy tin nhắn cũng đến được một điện thoại đã ngoại tuyến. Những gì chúng thấy tùy thuộc vào đường đi bạn chọn trong ứng dụng, và ứng dụng nói rõ điều này trước khi bạn chọn.

• Riêng tư. Đường đi mặc định. Tin nhắn đi qua Tor đến cả hai relay của chúng tôi, mỗi relay qua onion riêng của nó, và đến vài relay Nostr công cộng. Không relay nào biết địa chỉ của bạn. Không ai khác biết cả.
• Nhanh. Bỏ qua Tor để nhanh hơn. Nó kết nối thẳng đến hai relay của chúng tôi, chúng thấy địa chỉ mà bạn kết nối từ đó trong lúc bạn kết nối và không ghi lại. Mỗi tin nhắn đi đến cả hai, nên một relay có thể dừng mà tin nhắn không dừng. Trong lúc relay đầu tiên ngừng hoạt động, Nhanh cũng dùng vài relay Nostr công cộng, chỉ qua Tor, nên chúng không bao giờ thấy địa chỉ của bạn.

Trên cả hai đường đi, những gì relay chuyển đều được mã hóa, và không relay nào đọc được tin nhắn. Mỗi cuộc trò chuyện có địa chỉ hộp thư riêng, không phải danh tính của bạn hay của ai khác. Tin nhắn được độn thêm cho đủ một trong năm kích cỡ, nên relay thấy đại khái tin nhắn lớn cỡ nào, không thấy dài bao nhiêu, dù vẫn thấy bạn gửi bao nhiêu tin và lúc nào. Trên Nhanh, mỗi relay của chúng tôi thấy một địa chỉ IP đọc và ghi những hộp thư nào, và khi cả hai người trong một cuộc trò chuyện cùng dùng Nhanh, thì thấy hai địa chỉ IP dùng chung một hộp thư. Phòng dùng một lần, mã ghép đôi và địa chỉ trong lời mời của bạn đi qua Tor trên cả hai đường đi. Với một tên người dùng trên Nhanh, relay của chúng tôi vẫn có thể nối tên đó với địa chỉ IP của bạn bằng cách so thời điểm những tin nhắn đầu tiên của một cuộc trò chuyện mới. Các relay của chúng tôi giữ tin nhắn đã mã hóa 14 ngày để một điện thoại ngoại tuyến có thể nhận bù, rồi xóa chúng.

Các relay của chúng tôi không ghi nhật ký kết nối xuống ổ đĩa.

Việc xin cầu nối từ Dự án Tor là tùy chọn, và Kryfo chỉ làm việc đó sau khi bạn đồng ý. Câu hỏi này không đi qua Tor, vì Tor có thể bị chặn ở nơi bạn đang ở. Thay vào đó, câu hỏi đi qua một mạng phân phối nội dung, nên nhà cung cấp internet của bạn thấy một kết nối tới mạng đó, chứ không phải tới Dự án Tor. Mạng này và Dự án Tor thấy địa chỉ mà bạn kết nối từ đó, và biết có ai đó đã xin cầu nối. Không có gì về các cuộc trò chuyện của bạn. Ngoài ra, khi Tor đã kết nối, khoảng mỗi tuần một lần Kryfo kiểm tra xem các cầu nối đi kèm có thay đổi gì không. Việc kiểm tra này đi qua Tor, nên không cho ai thấy địa chỉ của bạn, và không cần bạn đồng ý. Xem thêm ở Khi Tor bị chặn.

Tên người dùng

Nếu bạn đăng ký một tên người dùng công khai, dịch vụ tên người dùng của chúng tôi lưu tên đó, lời mời mà nó trỏ tới, đoạn mô tả ngắn bạn viết, và khóa đã đăng ký nó. Nó không lưu thời điểm tên được đăng ký. Nếu bạn bật “Hiện tôi trong tìm kiếm”, dịch vụ còn lưu cái tên bạn chọn cho tìm kiếm và việc tên người dùng của bạn đang được liệt kê. Thời điểm bạn thay đổi lần cuối, và lần cuối bạn bật hoặc tắt tìm kiếm, được giữ khoảng 20 phút để từ chối một thay đổi bị gửi lại, rồi bị xóa. Nó không lưu lại ai đã tra cứu bạn. Những gì bạn gõ vào tìm kiếm được gửi tới nó để tìm tên người dùng, và không được giữ lại.

Đăng ký tên người dùng là tùy chọn, và sẽ tắt trừ khi bạn tự làm; xuất hiện trong tìm kiếm cũng vậy. Bạn có thể nhả tên của mình bất cứ lúc nào. Khi đó mục của nó bị xóa ngay. Máy chủ giữ một bản sao lưu mỗi ngày và xóa mỗi bản khi nó đủ một tuần, nên sau 8 ngày không còn bản sao nào của tên đã nhả.

Chỉ những tên người dùng mà chủ nhân đã bật “Hiện tôi trong tìm kiếm” mới hiện ra, cạnh một cái tên nếu họ có chọn, và tắt nó đi sẽ đưa bạn ra khỏi tìm kiếm ngay lập tức. Mọi thứ ứng dụng hỏi dịch vụ tên người dùng và dịch vụ huy hiệu đều đi qua Tor trên mọi đường đi, kể cả Nhanh, nên cả hai đều không bao giờ thấy địa chỉ IP của bạn.

Cuộc trò chuyện với nhà phát triển

Từ Kryfo 0.5.0, cuộc trò chuyện “Marios · người làm ra Kryfo” ở đầu danh sách trò chuyện sẽ đến với người làm ra ứng dụng. Khóa của Marios được gắn sẵn trong Kryfo, nên không ai khác có thể trả lời trong đó. Không có kết nối nào và không có gì được gửi cho đến khi bạn viết tin nhắn đầu tiên: không lời chào, không phiên bản ứng dụng, không nhật ký.

Marios có thể đọc những gì bạn gửi ở đó, thấy bạn gửi khi nào, và trả lời bạn như mọi liên hệ. Ba từ của bạn được gửi kèm; khuôn mặt bạn chọn, địa chỉ onion của bạn và huy hiệu người ủng hộ nếu có thì không. “Viết ẩn danh” thay vào đó tạo một cái tên và các khóa mới chỉ cho cuộc trò chuyện đó; chúng ở lại trên điện thoại của bạn, không nằm trong các bản sao lưu và không được dùng ở nơi nào khác. Nó che ba từ của bạn, nhưng không che giấu cách viết của bạn, những gì bạn viết ở đó, hay địa chỉ mà bạn kết nối từ đó trên đường đi Nhanh.

Tin nhắn thoại trong cuộc trò chuyện ẩn danh luôn được đổi giọng. Xóa cuộc trò chuyện sẽ xóa nó trên điện thoại của bạn, và thu hồi những gì bạn đã gửi khỏi điện thoại của Marios, giống như khi thu hồi một tin nhắn. Nếu không liên lạc được với điện thoại của anh ấy trong vòng nửa phút, ứng dụng sẽ cho bạn biết có bao nhiêu tin nhắn không thu hồi được. Tin nhắn anh ấy đã đọc thì đã được đọc rồi.

Xem trước liên kết

Tắt, trừ khi bạn bật lên. Khi bật, chính điện thoại của bạn lấy tiêu đề qua Tor và gửi nó bên trong tin nhắn được mã hóa. Trang web bạn dẫn liên kết thấy một yêu cầu từ mạng Tor và không gì khác. Người nhận tin nhắn không bao giờ chạm vào liên kết.

Tìm GIF

Tắt, trừ khi bạn bật lên. Khi bật, những từ bạn tìm sẽ được gửi tới máy chủ của chúng tôi, và máy chủ sẽ hỏi GIPHY hoặc Klipy thay cho bạn. Các GIF cũng quay về qua máy chủ của chúng tôi. Cách chúng đi tùy thuộc vào đường đi của bạn:

• Riêng tư. Qua Tor, trên một mạch riêng. Máy chủ của chúng tôi thấy một yêu cầu từ mạng Tor, không bao giờ thấy địa chỉ của bạn.
• Nhanh. Thẳng đến máy chủ của chúng tôi, không qua Tor, như tin nhắn của bạn trên đường đi này. Máy chủ của chúng tôi thấy địa chỉ mà bạn kết nối từ đó và những từ bạn tìm, và không ghi lại cái nào. Không có relay công cộng nào tham gia.

Máy chủ của chúng tôi không lưu lại những gì đã được tìm hay ai đã tìm, và không chuyển địa chỉ nào đi tiếp. GIPHY và Klipy chỉ thấy máy chủ của chúng tôi hỏi, kèm các từ tìm kiếm và ngôn ngữ của ứng dụng. Họ không bao giờ thấy địa chỉ của bạn, điện thoại của bạn, hay người bạn gửi GIF tới. GIF bạn chọn được gửi bên trong tin nhắn được mã hóa, như một bức ảnh.

Ảnh và tệp

Ảnh chụp trong Kryfo được xóa vị trí, thông tin thiết bị và dấu thời gian trước mọi việc khác, và không bao giờ xuất hiện trong thư viện ảnh của bạn trừ khi bạn chọn lưu một bản. Ảnh, video, tin nhắn thoại và tệp lớn hơn một tin nhắn đi qua dịch vụ tệp của chúng tôi khi mọi người trong cuộc trò chuyện đều có phiên bản dùng nó. Điện thoại của bạn niêm phong mỗi tệp bằng một khóa riêng, và khóa chỉ đi bên trong tin nhắn đã mã hóa, nên dịch vụ giữ những byte mà nó không mở được. Nó được truy cập qua Tor trên cả hai đường đi và không bao giờ thấy địa chỉ của bạn. Nó biết ID ngẫu nhiên của một tệp, kích cỡ đã làm tròn lên, số người nhận, và lúc tệp được tải lên và tải xuống. Một tệp bị xóa khi mọi người nhận đã có nó, và không gì ở lại quá một tuần.

Thông báo

Theo mặc định, Kryfo không dùng dịch vụ thông báo đẩy nào. Ứng dụng tự kiểm tra tin nhắn, qua cùng đường đi mà nó dùng để gửi, và không ai bên ngoài ứng dụng được báo rằng có tin nhắn đang chờ bạn. Trong Thông báo, bạn có thể chọn một trong hai cách khác thay vào đó.

• Qua ứng dụng trợ giúp. Tắt theo mặc định, và chỉ có trên Riêng tư. Một ứng dụng trợ giúp UnifiedPush, như ntfy, giữ một kết nối cho mọi ứng dụng của bạn, và relay của chúng tôi gõ cửa nó khi có gì đến cho bạn, bằng một yêu cầu rỗng: không người gửi, không số lượng, không nội dung. Sau đó Kryfo lấy tin qua Tor như mọi khi. Relay của chúng tôi giữ cho bạn mười sáu địa chỉ trên máy chủ của ứng dụng trợ giúp, tối đa 30 ngày. Máy chủ của ứng dụng trợ giúp thấy địa chỉ IP điện thoại của bạn, rằng bạn dùng Kryfo, và lúc nó được gõ cửa, có lẫn các lần gõ giả. Nó không bao giờ biết tin nhắn nói gì, ai gửi hay có bao nhiêu tin.
• Thông báo đẩy Google. Chỉ có trong phiên bản Google Play, trên điện thoại có dịch vụ Google Play. Không gì của Google chạy trước khi bạn chọn nó. Chọn nó sẽ xin Google một token cho điện thoại này. Relay của chúng tôi giữ token trong mười sáu lớp niêm phong riêng biệt mà nó không mở được và không nối được với nhau. Dịch vụ thông báo đẩy mở chúng chạy trên máy chủ thứ hai của chúng tôi. Hai máy chủ cùng nhau có thể nối mười sáu lớp đó lại và thấy token, mà Google có thể khớp với điện thoại và tài khoản Google của bạn. Thu giữ một máy chủ thôi là không đủ, nhưng cả hai đều do chúng tôi vận hành, nên chúng tôi có thể. Nếu điều đó quan trọng với bạn, hãy chọn cách khác. Google thấy điện thoại này dùng Kryfo, lúc nó được đánh thức, có lẫn các lần đánh thức giả, và địa chỉ IP điện thoại của bạn, như mọi khi với dịch vụ Play. Google không bao giờ thấy ai viết, nói gì hay bao nhiêu. Dịch vụ thông báo đẩy không lưu gì xuống ổ đĩa và không ghi gì theo từng điện thoại, và phân tích, ID quảng cáo và số liệu gửi của Firebase đều bị tắt trong ứng dụng.

Bản sao lưu

Bản sao lưu là một tệp trên điện thoại của bạn, được mã hóa bằng một cụm mật khẩu chỉ bạn biết. Nó không bao giờ được gửi tới chúng tôi. Từ Kryfo 0.5.1, nó còn mang theo các cài đặt quyền riêng tư của bạn: chặn chụp màn hình, đổi giọng, ẩn xem trước, lá chắn chống lừa đảo, lời giới thiệu, cách nhận tin nhắn, giao diện và ngôn ngữ bạn đã chọn. Nó không bao giờ mang theo mã PIN.

Ủng hộ

Nếu bạn ủng hộ, khoản thanh toán diễn ra trên một blockchain công khai, nằm ngoài tầm kiểm soát của chúng tôi và ngoài chính sách này. Chúng tôi không hỏi tên hay địa chỉ của bạn, và khoản ủng hộ không gắn với danh tính Kryfo của bạn trừ khi bạn chọn liên kết chúng.

Tiền tip trong phiên bản Google Play được trả qua Google Play. Google xử lý khoản thanh toán, và chúng tôi không bao giờ thấy thông tin thẻ hay tên của bạn. Báo cáo bán hàng của Google cho chúng tôi thấy mã đơn hàng, số tiền, ngày và quốc gia của mỗi khoản tip, và ở một số quốc gia còn có vùng, thành phố hoặc mã bưu chính.

Trang web này

Không cookie, không phân tích, không script của bên thứ ba, và không phông chữ nào tải từ nơi khác. Máy chủ không ghi nhật ký người truy cập.

Trẻ em

Kryfo không hướng đến trẻ em. Bạn có thể đọc thêm về cách thiết kế hạn chế liên lạc từ người lạ trong ghi chú về an toàn trẻ em của chúng tôi.

Xóa dữ liệu của bạn

Có rất ít thứ để xóa, và phần lớn bạn có thể tự xóa ngay lập tức.

• Trên điện thoại của bạn. Xóa một cuộc trò chuyện là xóa nó. “Xóa sạch Kryfo khỏi điện thoại này”, trong Vùng nguy hiểm ở Cài đặt, xóa mọi thứ Kryfo lưu trên điện thoại này. Gỡ cài đặt ứng dụng cũng vậy.
• Tên người dùng của bạn. Mở tên người dùng của bạn trong ứng dụng và chọn “Xóa tên người dùng này”. Mục đó bị xóa ngay, và các bản sao lưu hằng ngày của máy chủ sẽ biến mất trong vòng 8 ngày.
• Cuộc trò chuyện với nhà phát triển. Xóa nó sẽ thu hồi những gì bạn đã gửi khỏi điện thoại của Marios. Với những gì không thu hồi được, hoặc những gì bạn đã gửi qua email, hãy viết cho gnosiworks@proton.me. Chúng sẽ được xóa, và bạn sẽ nhận được một xác nhận ngắn.
• Tin nhắn gửi cho người khác. Chúng nằm trên điện thoại của họ, không phải của chúng tôi. Hãy thu hồi tin nhắn trong cuộc trò chuyện, và nó cũng biến mất khỏi điện thoại của họ.
• Relay và tệp. Các relay của chúng tôi giữ tin nhắn đã mã hóa 14 ngày, để một điện thoại đã ngoại tuyến vẫn nhận được, rồi tự xóa chúng. Vài relay Nostr công cộng cũng mang bản sao, mỗi bản được đánh dấu để xóa sau 14 ngày. Không relay nào đọc được chúng. Tệp lớn trên dịch vụ tệp của chúng tôi bị xóa khi mọi người nhận đã có, chậm nhất sau một tuần.
• Ủng hộ. Không ai có thể xóa một khoản thanh toán trên blockchain công khai.

Yêu cầu cung cấp dữ liệu

Nếu chúng tôi được yêu cầu giao nộp dữ liệu người dùng, gần như không có gì để giao. Chúng tôi không giữ danh sách liên hệ, số điện thoại, địa chỉ email hay hồ sơ tài khoản nào, vì không thứ nào trong số đó được thu thập, và cũng không giữ nội dung tin nhắn nào ngoài những gì mọi người gửi vào cuộc trò chuyện với nhà phát triển. Ngoại lệ duy nhất là thông báo đẩy Google: những gì hai máy chủ của chúng tôi cùng nhau có thể nối lại, như mô tả ở mục Thông báo.

Thay đổi

Nếu chính sách này thay đổi, ngày ở đầu trang cũng thay đổi theo, và các phiên bản trước vẫn được giữ trong lịch sử git của trang web này.

Ai chịu trách nhiệm

Marios Staikoglou, Ostender Straße 9, 13353 Berlin, Đức. Thông tin đầy đủ có trong thông tin pháp lý.

Câu hỏi

Viết cho gnosiworks@proton.me, hoặc báo lỗi tại github.com/GnosiWorks/Kryfo.

Trong Cài đặt, “Báo lỗi” cho phép bạn viết cho chúng tôi từ ứng dụng. “Viết trong Kryfo” gửi nó vào cuộc trò chuyện với nhà phát triển đã nói ở trên. “Gửi email” mở ứng dụng email của chính bạn, và email sau đó đi qua nhà cung cấp email của bạn và của chúng tôi (Proton), như mọi email khác.