Приватность

Здесь описано, как устроен сервис на самом деле: что защищено, что нет и чем за это приходится платить.

Что защищено

Текст разговора. Каждый пакет шифруется в браузере (AES-256-GCM) ключом из ссылки — из части после #. Браузеры не отправляют эту часть ссылки на сервер, поэтому ключа у сервера нет. Он пересылает зашифрованные пакеты и прочитать их не может.
Когда и сколько ты печатаешь. Каждый пакет весит одинаково (3 КБ) и уходит 4 раза в секунду, пока открыт разговор, — печатаешь ты, стираешь или молчишь. По трафику ритм набора не виден.
История. Её нет. Сервер не пишет пакеты ни на диск, ни в лог, а в памяти держит только тех, кто сейчас подключён. Обновил страницу — у тебя разговор исчез. У собеседника на экране он остаётся, пока тот не закроет вкладку.
Что ты за человек. Почта, телефон и имя не нужны. Сторонних скриптов, шрифтов, аналитики и рекламы нет. Cookie одна — сессия входа.

Что сервер всё-таки знает

На диске: логин, scrypt-хэш пароля с солью, день регистрации (без времени) и хэши токенов входа. Больше ничего.
В памяти, пока вы онлайн: какие логины сейчас подключены к одному разговору. Разговор у сервера — это хэш ключа без названия. Ключ из хэша не восстановить.
IP-адрес виден серверу при подключении. Приложение его не записывает: адрес 10 минут живёт в памяти, чтобы ограничить подбор паролей, и забывается. Журнал запросов отключён и в приложении, и на прокси.

Цена

Пароль не восстановить. Почты нет, значит, и восстанавливать некуда. Забыл пароль — заводи новый аккаунт.
Ссылка и есть ключ. Её получатель (с любым аккаунтом) войдёт в разговор и будет читать. Отправляй её только тому, с кем говоришь, и лучше по каналу, которому доверяешь. Потерял ссылку — в разговор не вернуться: сервер не знает ключа и подсказать его не может.
Собеседник видит всё. Каждую букву, включая стёртые, — в этом смысл сервиса. Сделать скриншот или переписать текст ему никто не помешает.
Код страницы присылает этот же сервер. Это общее ограничение шифрования в вебе: если владельца сервера взломают или принудят, он сможет подменить страницу так, что она будет отправлять ключ. Нативное приложение с проверяемыми сборками от этого защищало бы, сайт — нет.
Трафик. Пока открыт разговор, вкладка отправляет около 16 КБ/с и столько же принимает от каждого собеседника. Это плата за то, что ритм набора не виден.
Собеседников не проверить. Логин в разговоре показывает сервер. Подделать текст или проникнуть без ссылки он не может, но в теории может подставить ложное имя. Если это важно, сверяйтесь с собеседником голосом.
До 8 человек в одном разговоре.

Удаление

Кнопка «Удалить навсегда» на главной (после входа) сразу стирает логин, хэш пароля и все сессии. Сам сервис резервных копий базы не делает.

← На главную