Protokół Arpokrat
Prywatność wpisana w architekturę.

Zbudowany na SimpleX

Arpokrat Messenger nie wymyśla własnej, tajnej kryptografii — jest zbudowany na SimpleX , pierwszej sieci komunikacyjnej bez identyfikatorów użytkownika.

SimpleX to otwarty protokół komunikacyjny, którego specyfikacja i kod źródłowy są publiczne i podlegają niezależnej weryfikacji. Architektura opisana na tej stronie — brak identyfikatorów użytkownika, jednokierunkowe kolejki, ślepe przekaźniki — jest projektem SimpleX, a Arpokrat obsługuje własne przekaźniki działające na jego bazie.

Bezpieczeństwo, którego nie można zbadać, nie jest bezpieczeństwem. Budowanie na otwartym protokole oznacza, że te deklaracje dotyczące prywatności można zweryfikować względem publicznej specyfikacji, a nie przyjmować na wiarę.

• Otwarta specyfikacja — protokół jest publicznie udokumentowany, a nie zamkniętą, własnościową czarną skrzynką.
• Niezależnie weryfikowalny — kod źródłowy jest publiczny na GitHub , dzięki czemu gwarancje opisane na tej stronie można sprawdzić.
• Przekaźniki obsługiwane przez Arpokrat w niezależnych jurysdykcjach — zobacz stronę Infrastruktury .

Jesteś Kluczem, a Nie Kontem

Większość komunikatorów identyfikuje Cię po numerze telefonu lub koncie. Arpokrat w ogóle Cię nie identyfikuje.

W standardowych komunikatorach masz stały identyfikator użytkownika — zwykle numer telefonu. Nawet gdy treść wiadomości jest zaszyfrowana, serwer nadal mapuje nadawcę na odbiorcę i po cichu buduje graf społeczny tego, kto z kim rozmawia.

Arpokrat całkowicie usuwa koncepcję identyfikatora użytkownika. Nie ma konta ani stałego adresu — istniejesz wyłącznie jako zestaw kluczy kryptograficznych przechowywanych na Twoim urządzeniu. Aby się z Tobą skontaktować, ktoś potrzebuje jednorazowego linku zaproszenia, którym zdecydujesz się podzielić.

• Bez numeru telefonu, e-maila czy konta — niczego, co wiąże rozmowę z Twoją tożsamością prawną.
• Bez centralnego katalogu użytkowników do przekazania, wycieku czy zeskrobania.
• Jednorazowe linki zaproszeń zastępują stały, podatny na spam adres.

Serwery Zaprojektowane, By Niczego Nie Wiedzieć

Tradycyjne serwery są „inteligentne” — wiedzą, kim jesteś, i kierują ruch na podstawie bazy danych. Przekaźniki Arpokrat są celowo przeciwieństwem tego.

Ślepy przekaźnik to martwa skrzynka kontaktowa. Przyjmuje zaszyfrowany pakiet, przechowuje go w kolejce i przekazuje, gdy właściciel kolejki go odbiera. Nie wie, kto zdeponował pakiet ani kto go odbierze.

• Zerowa wiedza o tożsamościach: przekaźnik widzi jedynie nadejście i odebranie zaszyfrowanego ładunku — nic, co łączyłoby go z konkretną osobą.
• Żaden pojedynczy przekaźnik nie może połączyć nadawcy z odbiorcą: każdy przekaźnik obsługuje tylko jedną stronę celowo rozdzielonej ścieżki, więc żaden indywidualny serwer nigdy nie posiada obu połówek potrzebnych do połączenia dwóch stron.
• Ulotne z założenia: wiadomości są przechowywane w pamięci RAM i usuwane po dostarczeniu — nigdy nie są zapisywane na dysku, nawet tymczasowo.

Szyfrowanie z Myślą o Erze Kwantowej

Poza szyfrowaniem end-to-end oferowanym przez SimpleX, wymiana kluczy dodaje ochronę postkwantową.

Dzisiejsza kryptografia klucza publicznego opiera się na matematyce, którą wystarczająco duży komputer kwantowy mógłby w końcu złamać. Postkwantowa wymiana kluczy dodaje drugą warstwę zaprojektowaną, by przeciwstawić się temu typowi ataku, działającą obok już stosowanego szyfrowania klasycznego, a nie zamiast niego. Ta wymiana kluczy wykorzystuje Streamlined NTRU Prime — celowy wybór zamiast standaryzowanego przez NIST Kyber, którego inżynierowie SimpleX unikali ze względu na konkretne obawy kryptograficzne zgłoszone podczas jego standaryzacji.

Podchodzimy do tego celowo z umiarem: kryptografia postkwantowa to obecnie najlepsza praktyka obronna, a nie trwała gwarancja. Znacząco podnosi dziś poprzeczkę, z wyraźną ścieżką rozwoju w miarę ewolucji standardów.

• Podejście hybrydowe — postkwantowa wymiana kluczy nałożona na sprawdzone szyfrowanie klasyczne, a nie ryzykowna zamiana.
• Uczciwe podejście — najlepsza praktyka obronna, która podnosi poprzeczkę, nigdy deklaracja trwałej niełamliwości.
• Możliwość aktualizacji — zaprojektowane, by przyjmować silniejsze prymitywy w miarę dojrzewania standardów postkwantowych.

Dlaczego To Ważne: Harvest Now, Decrypt Later

Inwestycja w postkwantowość odpowiada na konkretne, dzisiejsze zagrożenie — nie hipotetyczne.

Dobrze wyposażony przeciwnik może już dziś rejestrować zaszyfrowany ruch i po prostu go przechowywać, czekając na dzień, w którym komputery kwantowe będą w stanie złamać szyfrowanie. Wszystko, co zostanie przechwycone teraz, może zostać odszyfrowane lata później. Badacze bezpieczeństwa nazywają to „Harvest Now, Decrypt Later”.

Tutaj pomaga też projekt minimalizujący metadane: im mniej przechwycony strumień ujawnia o tym, kto z kim rozmawia, tym mniej wartościowa staje się jego zapisana kopia — jeszcze zanim weźmiesz pod uwagę samą treść.

• Nagrane dziś, złamane jutro — przechwycone dane mają długą żywotność dla cierpliwego napastnika.
• Postkwantowa wymiana kluczy podnosi koszt tego zakładu przeciwko Tobie.
• Brak identyfikatorów użytkownika, rozdzielone ścieżki — przechwycony strumień od razu niesie ze sobą znacznie mniej do skorelowania.