Tre livelli, indipendenti
Tor nasconde il percorso, l'account dice chi sei, la cifratura end-to-end protegge ciò che scrivi. Ciascuno copre cose diverse, e nessuno sostituisce gli altri.
Il percorso di ogni richiesta
Tor gira dentro l'app: nessuna VPN, nessuna app esterna da installare. L'app non conosce un indirizzo IP del server, perché non ne ha uno pubblico: conosce solo il suo indirizzo .onion e la chiave d'accesso.
- Appsul tuo iPhone
- Tor nell'appArti, il Tor del Tor Project
- Rete Tortre relay, cifratura a strati
- Servizio oniontrovabile solo con la chiave
- Servermessaggi e allegati restano cifrati
Configurazione del server: onion, porta, chiave
Informazioni della chat
I tre livelli
Attribuire a un livello le garanzie di un altro è il modo più rapido di lasciare un buco senza vederlo: per questo li descriviamo separati.
Protegge: il server è raggiungibile solo come servizio onion v3, e l'indirizzo è la sua chiave pubblica. Con l'autenticazione del client onion, senza la chiave d'accesso il servizio non si riesce nemmeno a trovare. Il tuo indirizzo IP non arriva mai al server, e la posizione del server resta nascosta.
Non protegge: non dice al server chi sei, e non nasconde il contenuto al server: sono compiti degli altri due livelli.
Protegge: chi sei e che cosa puoi toccare. Un identificativo stabile per ogni account, un accesso che scade dopo 8 ore, un rinnovo revocabile (uscita, blocco, cancellazione dell'account), un secondo fattore TOTP facoltativo, limiti di frequenza per account.
Non protegge: non nasconde il contenuto al server, e non si appoggia a Tor: l'identità viene solo dal gettone dell'account.
Protegge: il contenuto. Il protocollo Signal: accordo di chiavi X25519 e Double Ratchet, con una chiave nuova per ogni messaggio. Nei gruppi la chiave arriva cifrata a ciascun membro. Gli allegati si cifrano sul telefono. I numeri di sicurezza, trenta cifre, ti dicono se qualcuno si è messo in mezzo.
Non protegge: i metadati: chi scrive a chi e quando. Vedi la sezione qui sotto.
Cosa resta visibile
Il server, per consegnare i messaggi, sa chi scrive a chi, quando e quanto pesa un messaggio. Non sa cosa c'è scritto.
Le notifiche passano dai server di Apple. Apple vede il nome di chi scrive, il genere del contenuto (per esempio «Nuovo messaggio» o «Ti ha inviato una foto»), un identificativo della conversazione e, per i gruppi, il nome del gruppo. Mai il testo.
Le chiamate vocali e video non ci sono, per scelta. WebRTC ha bisogno di scambiare gli indirizzi IP diretti dei due dispositivi per stabilire il collegamento: l'esatto opposto di ciò che questa app protegge. Finché non si potrà negoziare tutto dentro Tor senza quella fuga di indirizzi, le chiamate restano fuori.