スマホで封をして、
スマホで開きます。

サーバーにあるのは暗号文だけ

投稿・返信・写真・動画・リンクのプレビューは、サーバーに届く前にもう鍵がかかっています。

読む人ごとに封筒を一通

投稿の鍵は読む人ごとに別の封筒に入り、その封筒を開けられるのはその人のスマホだけです。

投稿ごとに新しい鍵

投稿と返信のたびに新しい鍵をつくります。ひとつの投稿の鍵で、別の投稿は開きません。

受け取る人は自分のスマホが決めます

スマホは、自分で持っているFamの名簿に向けて投稿に封をします。その名簿に入るのは、申し込みを受け入れた人か、QRコード・Famのリンクでつながった人だけです。自分が送ったFamのリンクは24時間以内に一度だけ使え、最初に開いた人が確認なしでFamになります。リンクを送ったことが同意です。

投稿はXChaCha20-Poly1305で鍵をかけ、封筒はX25519で封をしてペアの秘密の中に入れます。ペアの秘密はX25519とML-KEM-768を同時に使って共有します。

二台のスマホだけの秘密

ふたりがFamになると、二台のスマホはサーバーに見えない秘密を分け合います。ふたりの間で行き来するものは、すべてこの秘密で行き先が決まります。

アカウントではなく郵便受け

投稿・会話・名刺は、どのアカウントにも結びつかない郵便受けに入り、その番号は30日ごとに変わります。

送り主は封の中に

誰が送ったかは署名とともに封の中に入っていて、受け取ったスマホがその署名を確かめます。

記録に残らない招待

メンバーは、サーバーが中を見ずに発行した招待券を受け取ります。誰かが入るとき、サーバーはその券が本物かどうかだけを確かめます。保存された記録には誰が誰を招き入れたかはありませんが、接続の記録とその瞬間のリクエストからは分かります。

ふたりの秘密はX25519とML-KEM-768を同時に使って封をし、郵便受けの鍵はHKDF-SHA256で導き、送り主はEd25519で署名します。

紙にだけある単語

18個の単語は作るときに一度だけ表示し、書いた単語をいくつか聞き返して確かめます。登録時でも、あとから設定でも作れます。単語はサーバーにもクラウドにもスマホにも残らず、再表示もしません。

単語と暗証番号の両方

単語だけでも暗証番号だけでも開きません。暗証番号は何度か間違えるとロックされ、サーバーは単語そのものではなく、単語から一方向に作った値のハッシュでアカウントを探します。

止められる時間

取り戻しは48時間待ってから完了します。その間、古いスマホはリクエストを見て取り消せます。

サーバーが持つものだけでは開きません

バックアップを開ける秘密は二つに分かれています。片方はサーバーに、もう片方は紙に書いた単語にあります。サーバーを丸ごと持ち去っても、単語がなければ開きません。

単語はBIP39標準の18語、192ビットです。量子コンピューターで総当たりしても2⁹⁶回が必要です。二つの半分はHKDFで合わせてバックアップを開きます。

かけられるのはFamどうしだけ

着信は封をされ、ふたりだけの郵便受けから鳴ります。サーバーは誰が誰にかけたかを記録しません。

発信者は受けるスマホだけが知ります

誰からの着信かは、受けるスマホが自分で開いて着信画面に表示します。サーバーは発信者の名前を知りません。

中継で隠すIPアドレス

通話はふだん中継サーバーを通ってつながります。中継サーバーはふたつのスマホのIPアドレスを見ますが、暗号化された音声は開けず、相手に自分のIPアドレスは見えません。スマホが中継の情報を受け取れないときはふたつのスマホが直接つながり、そのときはお互いのIPアドレスが見えることがあります。

二台のスマホが署名した接続

二台のスマホは接続情報にそれぞれの鍵で署名します。途中で何かが差し替えられれば、通話はつながりません。

接続情報は、それぞれのEd25519のアカウント鍵で署名します。

アプリのロック

スマホの顔認証・指紋認証やパスコードでKrypton Øをロックします。すぐに、またはアプリを離れて1分・15分・1時間後に。オンのあいだは、アプリの切り替え画面にも中身は映りません。設定はこのスマホにだけ置き、サーバーはロックを使っているかを知りません。

名刺を見る人

名刺は封をしてあります。「Famのみ」か「全体に公開」を選べ、どちらでも元の写真はFamにだけ届きます。範囲を狭めると、スマホが新しい鍵で名刺に封をし直します。

スクリーンショットを防ぎます

Krypton Øで見ている画面は、キャプチャも録画もできません。

消える投稿

消える投稿にすると、表示されてから24時間後に、投稿・会話・写真がまとめて消えます。

両方を破らないと開かない

2つの暗号から得た秘密をひとつにまとめて封をします。片方に弱点が見つかっても、もう片方が守ります。SignalやiMessageが選んだのと同じハイブリッド方式です。

外側の層はすべて両方の暗号で

Famの申し込みとペアごとの秘密を共有するメモ、封をしたバックアップ、取り戻す方法、招待のパッケージ、通報など、鍵を渡す外側の層はすべて両方の暗号で封をします。ペアの郵便受けの中の投稿と会話は、こうして共有したペアの256ビットの秘密で包みます。

すり替えられない公開鍵

耐量子の公開鍵もアカウントの署名で結びつけます。サーバーや途中の誰かが別の鍵にすり替えると署名が合わず、スマホが受け取りません。

本文の鍵はそのまま強い

投稿や写真に鍵をかける256ビットのXChaCha20-Poly1305とSHA-256は、量子コンピューターに対しても十分な強さが残るため、変える必要がありません。

外側の層はX25519とML-KEM-768(米国NIST標準FIPS 203)を同時に使って封をし、2つの秘密はSHA3-256でひとつにまとめます。

持ち主のスマホで作る鍵

セキュリティコアがボットの鍵を直接鍵ファイルに書き込みます。持ち主が書き出すと、スマホの写しは消されます。サーバーにあるのはボットの公開鍵だけで、ファイルに持ち主の鍵は入りません。

誰のボットかサーバーは知りません

ボットはログインせずに、匿名のKryptonØ+チケットで作ります。ボットを管理する鍵も、持ち主のアカウントの鍵とは結びつきません。サーバーが知っているのは、ボットの数、その公開鍵、作った日時、ボットごとの1日のメッセージ数です。アプリはチケットを前もって受け取り、サーバーが時刻でチケットと新しいボットを結びつけられないようにしますが、最初の1回は結びつくことがあります。

持ち主がいる会話だけに、表示つきで

ボットが入れるのは持ち主がいるグループの会話だけで、持ち主が一度確認してから入ります。ほかの人が追加したボットは、受け取るスマホが捨てます。名前が出るところには必ず「ボット」と表示され、ボットとは通話もFamの申し込みもできません。持ち主が抜けると、ボットも一緒に抜けます。1日の上限を数えるため、ボットのメッセージにはボット自身のセッションが付きます。そのためサーバーは、ボットがどの会話の札(ランダムな番号)に送るかは見えますが、誰のボットか、何を送ったかは分かりません。

持ち主はその会話を読めます

ボットを動かす人は、ボットがいる会話ごとにその会話の秘密を持ちます。その会話にいる人と同じ立場です。私たちが提供するボット実行プログラムはメッセージを取ってきませんが、改造したものなら読めます。だからボットは持ち主がいる会話にだけ入り、表示でみんなに知らせます。

ボットの鍵はメンバーと同じ構成です。身元はEd25519とML-DSA-65、封はX25519とML-KEM-768。ボットには持ち主がEd25519のアカウント鍵で署名した証明書が付き、サーバーの上ではボットのメッセージもほかのメッセージと同じ形です。

開発者ガイド：ボットを動かしてコードをつなぐ