Запираем на телефоне,
открываем на телефоне.

На сервере только шифротекст

Посты, ответы, фото, видео и превью ссылок заперты ещё до того, как попадут на наш сервер.

Конверт для каждого читателя

Ключ к посту кладётся в отдельный конверт для каждого читателя, и открыть его может только телефон этого читателя.

Новый ключ для каждого поста

У каждого поста и каждого ответа свой ключ. Ключ от одного не откроет другой.

Кому доставить, решает ваш телефон

Ваш телефон запечатывает пост для списка Fam, который хранит сам. В этот список попадают только те, кто принял запрос или связался с вами через QR-код или ссылку Fam. Ваша ссылка Fam срабатывает один раз в течение 24 часов: первый, кто её откроет, становится вашим Fam без вашего подтверждения. Отправка ссылки и есть согласие.

Посты запираются XChaCha20-Poly1305. Каждый конверт запечатывается X25519 и вкладывается в общий секрет пары, который устанавливается сразу X25519 и ML-KEM-768.

Секрет, который знают только два телефона

Когда двое становятся Fam, их телефоны получают общий секрет, которого наш сервер не видит. По нему находит дорогу всё, что идёт между ними.

Почтовые ящики, а не аккаунты

Посты, чаты и визитки попадают в почтовые ящики, не привязанные ни к одному аккаунту, а номера ящиков меняются каждые 30 дней.

Отправитель указан внутри печати

Кто отправил, запечатано внутри вместе с подписью, и телефон получателя эту подпись проверяет.

Приглашения, которых нет в записях

Участники получают приглашения, которые наш сервер выдаёт, не видя их. Когда кто-то вступает, сервер проверяет только, что приглашение настоящее. В сохранённых записях нет того, кто кого привёл, но журналы подключений и запросы в момент вступления могут это показать.

Общие секреты пары запечатываются сразу X25519 и ML-KEM-768, ключи почтовых ящиков выводятся через HKDF-SHA256, а отправители подписывают Ed25519.

Слова хранятся только на бумаге

Мы показываем 18 слов один раз, когда вы их создаёте, и просим повторить некоторые из них. Создать их можно при вступлении или позже в настройках. Слова не хранятся ни на нашем сервере, ни в облаке, ни на телефоне, и больше мы их не показываем.

И слова, и PIN-код

Ни слова, ни PIN-код по отдельности ничего не открывают. После нескольких неверных попыток PIN-код блокируется, а наш сервер находит аккаунт не по самим словам, а по хешу одностороннего значения, полученного из них.

Время, чтобы остановить

Восстановление завершается после 48 часов ожидания. За это время старый телефон видит запрос и может его отменить.

Того, что есть у сервера, недостаточно

Секрет, который открывает резервную копию, состоит из двух половин: одна на нашем сервере, а другая в словах на вашей бумаге. Даже если забрать весь наш сервер, без слов копию не открыть.

Это 18 слов стандарта BIP39, 192 бита. Даже квантовому компьютеру понадобится 2⁹⁶ попыток. Две половины объединяются через HKDF и открывают резервную копию.

Позвонить может только ваш Fam

Вызов приходит запечатанным через почтовый ящик, который есть только у вас двоих. Наш сервер не записывает, кто кому звонит.

Кто звонит, знает только принимающий телефон

Кто звонит, принимающий телефон расшифровывает сам и показывает на экране вызова. Наш сервер имени звонящего не знает.

Ретранслятор скрывает ваш IP-адрес

Обычно звонки идут через ретранслятор. Он видит IP-адреса обоих телефонов, но не может открыть зашифрованный звук, а собеседник не видит ваш IP-адрес. Если телефон не получил данные ретранслятора, телефоны соединяются напрямую, и тогда каждый может увидеть IP-адрес другого.

Соединение подписано обоими телефонами

Каждый телефон подписывает данные соединения своим ключом. Если что-то подменить по пути, звонок не состоится.

Данные соединения подписываются ключом аккаунта Ed25519 каждого из собеседников.

Блокировка приложения

Заблокируйте Krypton Ø распознаванием лица, отпечатком пальца или паролем телефона. Блокировка срабатывает сразу или через 1, 15 или 60 минут после выхода из приложения. Пока блокировка включена, в переключателе приложений содержимое не видно. Настройка хранится только на вашем телефоне, и наш сервер не знает, пользуетесь ли вы ею.

Кто видит вашу визитку

Ваша визитка запечатана. Выберите «Только Fam» или «Для всех». В любом случае фото в оригинале получает только ваш Fam. Если сузить круг, телефон снова запечатает визитку новым ключом.

Без скриншотов

Экраны в Krypton Ø нельзя снять скриншотом или записать на видео.

Исчезающие посты

Сделайте пост исчезающим, и через 24 часа после появления исчезнут сам пост, его чат и фото.

Взломать придётся оба

Секреты из обоих алгоритмов перед запечатыванием объединяются в один. Если в одном найдётся слабость, второй всё равно защитит. Это тот же гибридный подход, который выбрали Signal и iMessage.

Каждый внешний слой запечатан обоими алгоритмами

Каждый внешний слой, передающий ключи, запечатан обоими алгоритмами: запросы в Fam и сообщения, которыми пара договаривается об общем секрете, запечатанные резервные копии, восстановление, пакеты приглашений и жалобы. Посты и чаты в почтовых ящиках пары обёрнуты 256-битным общим секретом пары, полученным так же.

Открытые ключи, которые нельзя подменить

Постквантовый открытый ключ тоже привязан к подписи вашего аккаунта. Если наш сервер или кто-то по пути подменит ключ, подпись не сойдётся, и телефон его не примет.

Шифрование содержимого остаётся надёжным

256-битный XChaCha20-Poly1305, которым запираются посты и фото, и SHA-256 сохраняют достаточную стойкость и против квантовых компьютеров, так что менять их не нужно.

Внешний слой запечатывается сразу X25519 и ML-KEM-768 (стандарт NIST США FIPS 203), а два секрета объединяются через SHA3-256.

Ключи создаются на телефоне владельца

Ядро безопасности сразу записывает ключи бота в файл ключа. Владелец экспортирует его, и копия на телефоне удаляется. На нашем сервере есть только открытые ключи бота, а собственных ключей владельца в файле нет.

Сервер не знает, чей это бот

Бот создаётся без входа в аккаунт, по анонимному талону KryptonØ+, а ключ для управления ботом не связан с ключом аккаунта владельца. Сервер знает, сколько всего ботов, их открытые ключи, когда создан каждый и сколько сообщений каждый отправляет за день. Приложение получает талон заранее, чтобы сервер не мог связать его с новым ботом по времени, но в первый раз это ещё возможно.

Только в чатах владельца и с меткой

Бот попадает только в групповые чаты, где есть его владелец, и только после того, как владелец один раз подтвердит. Бота, которого добавил кто-то другой, принимающие телефоны отбрасывают. Везде, где видно его имя, стоит метка «Бот», и боту нельзя позвонить или отправить запрос в Fam. Когда владелец выходит, бот выходит вместе с ним. Чтобы считать дневной лимит, сообщения бота идут с его собственным сеансом, поэтому наш сервер видит, в какую метку чата (случайный номер) пишет бот, но не знает, чей это бот и что он пишет.

Владелец может читать эти чаты

Тот, кто запускает бота, хранит секрет каждого чата, где есть бот, как и любой участник этого чата. Наша программа для запуска ботов не забирает сообщения, но изменённая могла бы их читать. Поэтому бот попадает только в чаты, где есть его владелец, и носит метку, чтобы все знали, что он там.

У бота такие же ключи, как у участника: Ed25519 и ML-DSA-65 для личности, X25519 и ML-KEM-768 для запечатывания. У каждого бота есть сертификат, подписанный ключом аккаунта владельца Ed25519, а на нашем сервере его сообщения выглядят как любые другие.

Руководство для разработчиков: как запустить бота и подключить свой код