Часто задаваемые вопросы

Три уровня, одна философия. Приватность не должна требовать модели угроз, но инструменты, которые её защищают, всё же можно подобрать под неё.

• Arpokrat Messenger — для всех. Бесплатный, без номера телефона, без аккаунта и без обучения. Если вы пишете сообщения, это для вас: Arpokrat Messenger
• ArpokratOS Essential — для тех, кто заботится о приватности. Де-гуголизированный, усиленный Android для тех, кому нужна серьёзная приватность без отказа от GPS, банковских приложений и повседневного удобства. Ещё не выпущен: ArpokratOS Essential
• ArpokratOS Hardened — для специалистов высокого риска, когда скомпрометированное устройство — не неудобство, а критический отказ. GPS, Bluetooth и NFC отключены в ядре, а лицензия разовая, за $349: ArpokratOS Hardened

Hardened ставит изоляцию выше интеграции. Если вам нужна экосистема Google Play, привычные соцсети или облачные резервные копии, Essential — или совсем другое устройство — подойдёт вам лучше. Какой уровень подходит в какой ситуации, разобрано на странице для кого создан Arpokrat

Arpokrat — частная компания, базирующаяся в Цуге, Швейцария. Мы финансируемся независимо, не берём денег у Big Tech и не ведём рекламного бизнеса. Каждый наш продукт запрашивает тот минимум сведений, на котором он вообще способен работать, потому что данные, которые мы никогда не собираем, — это данные, которые мы никогда не сможем потерять, продать или быть принуждёнными выдать.

Почему именно так, изложено на нашей странице философии

География — часть модели безопасности. Швейцария даёт:

• Защита: строгий закон о защите данных FADP; вне ЕС и ЕЭП, поэтому страна устанавливает собственные правила.
• Хранение логов: нет общего требования хранить данные для услуг простой передачи (релеев).

Чем Швейцария не является, так это страной без правоохранительных органов, и мы не утверждаем обратного: режим законного перехвата здесь есть, как и в любой другой юрисдикции. Именно поэтому мы публикуем подписанный warrant canary

Потому что интернет по умолчанию работает на слежке. За большинство «бесплатных» сервисов платят поведенческими данными — местоположением, контактами, разговорами, привычками, — которые собирают, чтобы составить профиль и перепродать его.

Мы считаем, что приватность должна быть состоянием устройства по умолчанию, а не настройкой, которую ещё нужно найти. Arpokrat существует для того, чтобы вы могли общаться, не превращаясь в профиль.

Нет — и не должно быть нужно. «Доверьтесь нам» — это не свойство безопасности. Arpokrat построен как архитектура нулевого доверия: система спроектирована так, что мы не можем ни прочитать ваши сообщения, ни добраться до ваших ключей, чего бы нам ни хотелось.

Там, где вам не нужно верить нам на слово, не верьте. Протокол открыт и описан на странице протокола

Наш warrant canary тоже подписан PGP, поэтому вы можете сами проверить нашу операционную честность

Сервису могут по закону запретить сообщать вам, что он получил секретное государственное предписание, — но его нельзя заставить продолжать публиковать подписанное заявление о том, что он его никогда не получал. Поэтому мы публикуем такое заявление, подписанное PGP и датированное, и переподписываем его в пределах 60-дневного окна.

Сигналом становится само отсутствие. Если страница canary когда-либо будет удалена, не будет обновлена до указанного срока или подпись PGP не пройдёт проверку, вы должны исходить из того, что Arpokrat скомпрометирован.

Текущее заявление, команды для его проверки и отпечаток ключа находятся на странице warrant canary

Четыре вещи, которые можно проверить, ничего у нас не спрашивая:

• Warrant canary. Скачайте подписанное заявление и открытый ключ, которым оно подписано, а затем проверьте подпись. Точные команды и ожидаемый вывод приведены на странице warrant canary
• Отпечаток PGP. Тот же ключ подписывает canary и опубликован вместе со своим отпечатком на нашей странице контактов
• Исходный код. Клиенты Arpokrat открыты, как и программное обеспечение релеев, поэтому вы можете прочитать ровно то, что мы публикуем, на github.com/Arpokrat
• Прошиваемое ПО. Веб-установщик сверяет криптографически подписанный список релизов прямо в вашем браузере и проверяет каждый образ по опубликованной контрольной сумме, прежде чем что-либо будет записано на телефон.

Сверьте отпечаток по источнику, отличному от этого сайта. Отпечаток, который вы видели только здесь, ничего о нас не доказывает.

Да. Клиенты Arpokrat полностью открыты и распространяются под лицензией AGPLv3. Любой может проверить, что именно делает приложение, — никаких чёрных ящиков, никакой скрытой телеметрии и никаких бэкдоров, которые пришлось бы принимать на веру.

ArpokratOS — это форк GrapheneOS, защищённого Android, который повсеместно считается золотым стандартом мобильной приватности. Мы наследуем годы его аудита безопасности вместо того, чтобы начинать с нуля, а затем добавляем то, чего в нём нет: встроенный мессенджер, системный Tor и блокировку радиомодулей на уровне ядра. GrapheneOS открыт, и специфичные для Arpokrat дополнения тоже открыты. Мы не заявляем, что защищены сильнее, — мы отдаём ему должное.

Arpokrat Messenger построен на открытом протоколе обмена сообщениями, чья спецификация и исходный код являются публичными и доступны для независимой проверки: SimpleX

Наши собственные репозитории — на github.com/Arpokrat

Никаких следящих cookie, никакой аналитики, никакого рекламного кода, никаких сторонних скриптов. Баннера о cookie здесь нет, потому что просить согласия не на что.

Одно функциональное исключение, сформулированное точно, а не как абсолют: при открытии нашей страницы контактов устанавливается строго необходимый сеансовый cookie с CSRF-токеном, который защищает форму от подделанных отправок. Он никого не идентифицирует, не питает никакой аналитики и не требует согласия — поэтому баннера по-прежнему нет. Виджет обмена также держит небольшой объём состояния в сеансовом хранилище вашего браузера, чтобы котировка пережила обновление страницы; это состояние никогда не покидает ваше устройство.

Нет. Мы даём программное обеспечение (ArpokratOS), вы даёте оборудование — Google Pixel, который покупаете сами. Это сделано намеренно.

Если бы мы отправляли вам телефон почтой, его могли бы перехватить и подменить в пути. Покупка запечатанного Pixel на месте и самостоятельная прошивка закрывают эту брешь с нашей стороны. Это не ручается за собственную цепочку поставок оборудования Google; это лишь убирает Arpokrat из цепочки хранения. Полное обоснование приведено на странице ArpokratOS

Всё сводится к одной фразе: мы не можем допустить утечку того, чего не собираем.

Для пользования нашими приложениями личные данные не нужны вообще. Для покупки ArpokratOS требуются имя, адрес электронной почты и страна проживания — только для обработки платежа. Сообщения, ожидающие доставки, находятся только в энергозависимой ОЗУ наших релеев и никогда не попадают на диск; подкачка отключена, поэтому система не может выгрузить эту память в хранилище.

Полный юридический текст — в нашей политике конфиденциальности

Инфраструктура, стоящая за этим утверждением, описана на странице инфраструктуры

Да — Arpokrat Enterprise уже доступен. Это индивидуальное развёртывание защищённых устройств и самостоятельно размещаемой коммуникационной инфраструктуры для организаций с повышенными требованиями к безопасности, включая согласованное управление обновлениями по всему парку устройств и частные релеи. Корпоративные проекты начинаются от 10 устройств.

Объём работ, модель сотрудничества и порядок начала описаны на странице Enterprise

Используйте парольную фразу, а не PIN, и стремитесь к длине не менее 16 символов — это длина по умолчанию в нашем собственном генераторе паролей

У четырёхзначного PIN десять тысяч возможных значений, и он не является серьёзной защитой от того, у кого устройство уже в руках. Длина важнее экзотических символов: длинная парольная фраза из обычных слов легче запоминается и гораздо труднее подбирается, чем короткая строка из смешанных символов.

Это зависит от того, используете ли вы SIM-карту, и различие здесь принципиально — поэтому разберём его полностью.

• Спутниковое позиционирование отключено. Драйвер GNSS (GPS) отключён на уровне ядра, вместе с Bluetooth и NFC, а фоновое сканирование радиоэфира, включая сканирование Wi-Fi, выключено. Нет ни настройки, чтобы включить их обратно, ни драйвера, до которого могло бы дотянуться приложение, — поэтому ни одно приложение на устройстве не может узнать ваше положение по спутникам.
• SIM-карта позволяет мобильной сети определять местоположение телефона. Это не конструктивное решение ArpokratOS, и ни одна операционная система не может это изменить: любой телефон с активной SIM непрерывно регистрируется на ближайших базовых станциях, и оператор связи — а вместе с ним и любой, у кого есть законный или незаконный доступ к оператору, — может определить его положение с точностью до этой соты.

Итак: со вставленной SIM для звонков и SMS ваше местоположение определяется на уровне сети — ровно так же, как и с любым другим телефоном. Если это часть вашей модели угроз, используйте устройство без SIM, только по Wi-Fi, и общайтесь через Arpokrat Messenger

По воздуху. ArpokratOS получает обновления «по воздуху» (OTA) прямо на устройстве — чтобы оставаться в актуальной версии, не нужны ни компьютер, ни повторная прошивка. Ваша разовая лицензия включает пожизненные обновления для этого устройства.

Манифесты релизов ArpokratOS подписываются на выделенной, физически изолированной (air-gapped) машине, которая никогда не подключалась к интернету, — как описано на странице инфраструктуры

Технически да — установив APK (Android Package Kit, установочный формат Android) напрямую. Google Play Store на устройстве нет.

Мы этого не советуем: каждое стороннее приложение расширяет поверхность атаки, и многие несут в себе ровно те трекеры, ради удаления которых существует вся остальная система.

Да — обычные звонки GSM и SMS работают, если вставить SIM-карту. Из этого следуют две вещи, и обе — свойства сотовых сетей, а не ArpokratOS:

• Звонки и SMS не защищены сквозным шифрованием и могут быть перехвачены или переданы оператором связи.
• Активная SIM позволяет мобильной сети определять местоположение телефона, как объяснено в ответе об отслеживании выше.

Для общения, свободного и от того, и от другого, используйте Arpokrat Messenger

Пока не встроенными средствами. В ArpokratOS нет встроенного почтового клиента — защищённый клиент с минимизацией метаданных находится в разработке, а до тех пор устройство сосредоточено на мгновенном общении.

Пока же вы можете установить почтовое приложение на свой выбор через APK — так же, как любое другое стороннее приложение. Действует та же оговорка: каждое стороннее приложение расширяет поверхность атаки, и многие несут в себе ровно те трекеры, ради удаления которых существует вся остальная система.

На Android — да. ArpokratOS работает только на Pixel, но приложение Arpokrat Messenger запускается на любом современном Android-телефоне: установите его из Google Play Store или скачайте APK напрямую.

Версия для iOS скоро появится, как и сборки для Windows, macOS и Linux. Текущий статус каждой платформы показан в панели загрузки внизу этой страницы и на странице Messenger

Современная криптография с открытым ключом опирается на математику, которую достаточно мощный квантовый компьютер в конечном счёте сможет взломать, — а противник уже сегодня может записывать зашифрованный трафик, чтобы расшифровать его позже; эту угрозу называют «Harvest Now, Decrypt Later» — «собери сейчас, расшифруй потом».

Обмен ключами в Arpokrat Messenger добавляет постквантовый уровень наряду с уже используемым классическим шифрованием, а не заменяет его. Этот обмен ключами использует Streamlined NTRU Prime — сознательный выбор в пользу этого алгоритма вместо стандартизированного NIST Kyber, которого инженеры SimpleX избегали из-за конкретных криптографических опасений, возникших в ходе его стандартизации.

Мы намеренно избегаем громких заявлений: постквантовая криптография — это нынешняя лучшая практика защиты, а не постоянная гарантия. Уже сегодня она значительно поднимает планку, а по мере развития стандартов предусмотрен чёткий путь для перехода. Полное объяснение — на странице протокола

Настолько мало, насколько позволяет протокол. Arpokrat Messenger построен на SimpleX, где идентификаторов пользователей нет вообще — ни номеров телефонов, ни адресов почты, ни даже случайных пользовательских ID.

Релей видит, как зашифрованный пакет поступает в анонимную очередь и позже забирается оттуда, и ничто не связывает ни одно из этих событий с конкретным человеком. Каждый релей обслуживает лишь одно звено намеренно разделённого пути, поэтому ни один отдельный сервер не располагает обеими половинами, нужными для соединения двух сторон. Как это устроено в деталях, описано на странице протокола

Да. Arpokrat Swap — это некастодиальный агрегатор: он показывает актуальные предложения независимых провайдеров, каждое из которых получает оценку A–D по объёму требуемой проверки личности, а сам обмен проходит напрямую между вами и выбранным провайдером. Ваши средства никогда не проходят через нашу инфраструктуру.

Он встроен в приложение Messenger и также работает в вашем браузере: Arpokrat Swap

Arpokrat — нет. Здесь нет аккаунта, нет проверки документов и нечего нам проверять.

Провайдеры обмена — независимые компании со своими политиками, поэтому каждое предложение несёт оценку KYC от A (без KYC) до D (KYC обязателен), показанную до подтверждения. Компромисс между ценой и приватностью вы выбираете в каждой сделке сами.

Arpokrat берёт 1,5% с обменов. Это единственная комиссия, которую мы взимаем: за переводы с кошелька на кошелёк комиссии нет, платы за аккаунт нет и подписки нет.

В сумме, которую вам показывают до подтверждения обмена, комиссии сети и провайдера уже учтены, поэтому показанная цифра — это то, что вы получите. Именно эти 1,5% финансируют экосистему Arpokrat — инфраструктуру, разработку приложений и ArpokratOS, — включая бесплатное приложение Messenger.

Как предложения сравниваются бок о бок: Arpokrat Swap

Вместо того чтобы пропускать каждый разговор через серверы одной компании, Arpokrat держит слепые релеи в пяти независимых юрисдикциях.

Эти релеи управляются самим Arpokrat, и мы не утверждаем обратного. Распределены именно правовые риски — процедура ни одной отдельной юрисдикции не дотягивается до всей сети. Карта — на странице инфраструктуры

Слепой релей — это тайник для передачи данных. Он принимает криптографически запечатанный пакет, помещает его во временную анонимную очередь и выдаёт, когда владелец очереди его забирает.

• Нулевое знание личностей: релей видит лишь поступление и получение пакета — ничего, что связывало бы любое из этих событий с конкретным человеком.
• Ни один отдельный релей не связывает отправителя с получателем: каждый обслуживает лишь одно звено намеренно разделённого пути, поэтому ни один отдельный сервер не располагает обеими половинами.
• Эфемерность по замыслу: сообщения хранятся в оперативной памяти и удаляются сразу после доставки.

Архитектура полностью описана на странице протокола

У каждой есть применимая к нам правовая база защиты данных и нет общего требования хранить данные для транзитных или релейных сервисов. Малайзия и Маврикий находятся вне разведывательных альянсов «14 глаз»; Швейцария находится вне ЕС и ЕЭП и устанавливает собственные правила; исландская инициатива IMMI — свод законов, созданный для защиты источников и свободы слова; панамский Law 81 юридически независим и от американской, и от европейской правовых систем.

Смысл такого разброса — в правовом разнообразии: процедура ни одного отдельного государства не дотягивается до всех релеев. Обоснование по каждой стране — на странице инфраструктуры

Наши релеи не ведут журнал соединений. Логирование на уровне демона отключено, а ожидающие сообщения находятся в ОЗУ и удаляются сразу после доставки, поэтому нет ни истории маршрутизации, ни записи о соединении, которую можно было бы хранить, предъявить или потерять.

Одно точное исключение на стороне сайта, потому что непроверяемый абсолют стоит меньше, чем ограниченное утверждение, которое проверить можно: форма обратной связи и виджет обмена используют ваш IP-адрес кратковременно, чтобы применять ограничения по частоте запросов и блокировать злоупотребления. Счётчик находится в эфемерном хранилище в памяти, никогда не записывается в журнал и очищается при перезагрузке. Адрес используется, но не хранится. Полная формулировка — в нашей политике конфиденциальности

Да, и путей здесь два.

Программное обеспечение релеев Arpokrat открыто, и развернуть его у себя можно бесплатно. Если вы предпочитаете не полагаться на наши, запустите собственный — подключите его к сети и направляйте свой трафик через инфраструктуру, которую контролируете только вы. Руководство по настройке скоро появится в нашем блоге.

Организациям, которым нужны выделенные, управляемые релеи внутри собственной инфраструктуры, их могут развернуть в рамках корпоративного проекта. Объём работ и порядок описаны на странице Enterprise

Enterprise — это индивидуальное развёртывание, а не продукт, который покупают прямо со страницы. Каждый проект прорабатывается под вашу среду, вашу модель угроз и ваши обязательства по соответствию требованиям и начинается от 10 устройств.

• Безопасность парка устройств в масштабе — разворачивайте защищённые устройства в разных командах и локациях, сохраняя централизованный контроль над их настройкой, с политиками безопасности, заданными по командам, ролям или развёртываниям.
• Индивидуальная коммуникационная инфраструктура — разместите обмен сообщениями организации на собственных релеях внутри своего периметра, с сегментацией сети, отделяющей этот трафик от недоверенных сетей.
• Прошивка устройств на месте — доступна как опция, обычно для крупных развёртываний: наша команда может прошить и проверить устройства на вашей территории.

Полный объём работ описан на странице Enterprise

Да. Перед полным внедрением можно организовать небольшой пилотный проект или демонстрацию концепции — по запросу. Расскажите нам о требованиях вашей организации, и мы проработаем подходящее развёртывание; все обращения обрабатываются конфиденциально.

Начать разговор можно со страницы Enterprise

Да — white-label развёртывание входит в корпоративное предложение. Вы можете применить свой визуальный стиль, названия и внутренний язык интерфейса ко всей операционной системе и мессенджеру, включать или ограничивать возможности в зависимости от роли и среды, а также распространять приложение через собственный управляемый канал, а не через публичный магазин приложений.

Что можно ребрендировать, а что остаётся неизменным, изложено на странице Enterprise

Ответ в течение 12 часов, 24/7/365 — короче, чем обязательство «менее 24 часов», которое идёт с потребительской лицензией ArpokratOS, и включено в каждый корпоративный проект.

Выделенная команда занимается внедрением, усилением защиты и подключением, а затем остаётся с вами на весь срок развёртывания: согласованные, проверенные обновления по всему парку устройств по графику, удобному для ваших операций, и та же команда, доступная при инцидентах безопасности на протяжении всего этого времени. Полное описание — на странице Enterprise

• Arpokrat Messenger бесплатен. Ни аккаунта, ни подписки, ни платного уровня — он финансируется, наряду со всей остальной экосистемой, за счёт 1,5%, которые мы берём с обменов.
• ArpokratOS Hardened — это разовая лицензия за $349 с пожизненными обновлениями для одного устройства. Совместимый Google Pixel (от 8 до 10a) вы покупаете отдельно — телефон не входит в комплект — и прошиваете его сами.
• У ArpokratOS Essential нет подтверждённой цены. Он ещё не выпущен, и подтверждённой даты выхода и окончательного набора функций тоже нет.
• Стоимость Enterprise рассчитывается под каждый проект, от 10 устройств, исходя из реальных требований вашей организации, а не из фиксированного пакета.

Лицензия и то, что в неё входит, описаны на странице ArpokratOS

Чтобы её купить: оформление заказа

Сегодня: Bitcoin (BTC) и Monero (XMR). Платежи проходят через нашу собственную, самостоятельно размещаемую инфраструктуру, без финансового посредника между вами и нами.

Оплата картой и банковским переводом скоро появится. Пока они недоступны, и мы предпочитаем сказать об этом прямо, а не рекламировать способ оплаты, которым при оформлении заказа на самом деле нельзя воспользоваться. Если вашей организации нужно купить без криптовалюты уже сейчас, свяжитесь с нашей командой

Если вы впервые имеете дело с криптовалютой, один из регулируемых швейцарских вариантов — Mt Pelerin

Он позволяет покупать банковским переводом без проверки личности ниже установленного дневного порога — на момент написания это около 1 000 CHF — и картой с минимальной проверкой выше этого порога. Пороги и правила меняются, поэтому сверьтесь с их актуальными условиями, прежде чем на них полагаться. Это подсказка, а не финансовый совет.

Ответ в течение 24 часов, 24/7/365. В лицензию ArpokratOS Hardened входит коммерческая поддержка, а не форум сообщества. Здесь нет тикет-системы и нет аккаунта: ответы приходят по электронной почте, от человека.

У корпоративных проектов обязательство короче — окно ответа 12 часов, — и оно описано на странице Enterprise

Да — в течение 14 дней, при условии, что лицензия ни разу не использовалась.

Лицензию можно вернуть в течение 14 дней после покупки при одном условии: она не должна быть привязана к устройству. Привязка происходит при первом же использовании лицензионного ключа для прошивки телефона — именно это делает лицензию действительной для данного устройства, и отменить привязку невозможно.

Поэтому ключ, купленный по ошибке и ни разу не использованный, вернуть можно. А лицензию, которую уже использовали для прошивки Pixel, — нет.

Чтобы запросить возврат, свяжитесь с нами