Часті запитання

Три рівні, одна філософія. Приватність не має вимагати моделі загроз, але інструменти, які її захищають, усе ж можна дібрати під неї.

• Arpokrat Messenger — для всіх. Безкоштовний, без номера телефону, без облікового запису й без навчання. Якщо ви пишете повідомлення, це для вас: Arpokrat Messenger
• ArpokratOS Essential — для тих, хто дбає про приватність. Де-гуглізований, загартований Android для тих, хто хоче серйозної приватності, не відмовляючись від GPS, банківських застосунків і щоденної зручності. Ще не випущений: ArpokratOS Essential
• ArpokratOS Hardened — для фахівців високого ризику, коли скомпрометований пристрій — не незручність, а критична відмова. GPS, Bluetooth і NFC вимкнено в ядрі, а ліцензія разова, за $349: ArpokratOS Hardened

Hardened ставить ізоляцію вище за інтеграцію. Якщо вам потрібна екосистема Google Play, звичні соцмережі або резервні копії в хмарі, Essential — або зовсім інший пристрій — підійде вам краще. Який рівень до якої ситуації підходить, викладено на сторінці для кого призначено Arpokrat

Arpokrat — приватна компанія, зареєстрована в Цузі, Швейцарія. Ми фінансуємося незалежно, не беремо грошей у великих технологічних компаній і не ведемо рекламного бізнесу. Кожен наш продукт просить мінімум інформації, на якому здатен працювати, бо дані, яких ми ніколи не збирали, — це дані, які ми ніколи не зможемо втратити, продати чи бути змушеними видати.

Міркування, що стоять за цим, викладено на сторінці нашої філософії

Географія — частина моделі безпеки. Швейцарія дає:

• Захист: суворий закон про захист даних FADP; поза межами EU та EEA, тож країна встановлює власні правила.
• Зберігання журналів: немає загального обов’язку зберігати дані для послуг простого передавання (релеїв).

Чим Швейцарія не є, так це країною без правоохоронних органів, і ми не стверджуємо протилежного: тут діє режим законного перехоплення, як і в будь-якій іншій юрисдикції. Саме тому ми публікуємо підписаний warrant canary

Тому що інтернет за замовчуванням працює на стеженні. Більшість «безкоштовних» сервісів оплачуються поведінковими даними — місцем перебування, контактами, розмовами, звичками, — які збирають, щоб скласти профіль і перепродати.

Ми вважаємо, що приватність має бути станом пристрою за замовчуванням, а не налаштуванням, яке треба йти й шукати. Arpokrat існує, щоб ви могли спілкуватися, не стаючи об’єктом профілювання.

Ні — і не мусите. «Довіряйте нам» — це не властивість безпеки. Arpokrat побудовано за архітектурою нульової довіри: система спроєктована так, щоб ми не могли прочитати ваші повідомлення чи дістатися до ваших ключів, хоч би чого нам хотілося.

Там, де вам не потрібно вірити нам на слово, — не вірте. Протокол публічний і задокументований на сторінці протоколу

Наш warrant canary теж підписаний PGP, тож ви можете перевірити нашу операційну доброчесність самостійно

Сервісу можуть законом заборонити повідомляти вам, що він отримав таємний державний припис, — але його не можна змусити й далі публікувати підписану заяву про те, що він ніколи його не отримував. Тому ми публікуємо таку заяву, підписану PGP і датовану, і повторно підписуємо її в межах 60-денного вікна.

Отже, сигналом стає відсутність. Якщо сторінку canary колись буде видалено, не оновлено до зазначеного терміну або якщо підпис PGP не пройде перевірку, ви маєте вважати, що Arpokrat скомпрометовано.

Чинна заява, команди для її перевірки та відбиток ключа — на сторінці warrant canary

Чотири речі, які ви можете перевірити, ні про що нас не питаючи:

• Warrant canary. Завантажте підписану заяву та відкритий ключ, яким її підписано, і перевірте підпис. Точні команди й очікуваний вивід — на сторінці warrant canary
• Відбиток PGP. Той самий ключ підписує canary й опублікований разом зі своїм відбитком на нашій сторінці контактів
• Вихідний код. Клієнти Arpokrat мають відкритий код, як і програмне забезпечення релеїв, тож ви можете прочитати саме те, що ми публікуємо, на github.com/Arpokrat
• Програмне забезпечення, яке ви прошиваєте. Веб-інсталятор перевіряє криптографічно підписаний список релізів у вашому браузері та звіряє кожен образ з опублікованою контрольною сумою, перш ніж щось буде записано на телефон.

Звірте відбиток із джерелом, яке не є цим сайтом. Відбиток, який ви бачили лише тут, нічого про нас не доводить.

Так. Клієнти Arpokrat повністю відкриті й ліцензовані під AGPLv3. Будь-хто може перевірити, що саме робить застосунок, — жодних чорних скриньок, прихованої телеметрії чи бекдорів, які треба брати на віру.

ArpokratOS — це форк GrapheneOS, загартованого Android, який широко вважають золотим стандартом мобільної приватності. Ми успадковуємо роки перевірок безпеки замість того, щоб починати з нуля, а потім додаємо те, чого йому бракує: вбудований месенджер, системний Tor і блокування радіомодулів на рівні ядра. GrapheneOS має відкритий код, і специфічні доповнення Arpokrat теж мають відкритий код. Ми не стверджуємо, що загартували краще за нього, — ми віддаємо йому належне.

Arpokrat Messenger побудовано на відкритому протоколі обміну повідомленнями, специфікація та вихідний код якого є публічними й доступними для незалежної перевірки: SimpleX

Наші власні репозиторії — на github.com/Arpokrat

Жодних відстежувальних cookie, жодної аналітики, жодних рекламних технологій, жодних сторонніх скриптів. Тут немає банера про cookie, бо немає нічого, на що просити вашу згоду.

Один функціональний виняток, названий точно, а не як абсолют: відкриття нашої сторінки контактів встановлює строго необхідний сеансовий cookie з токеном CSRF, який захищає форму від підроблених надсилань. Він нікого не ідентифікує, не живить жодної аналітики й звільнений від вимоги згоди — саме тому банера все одно немає. Віджет обміну так само тримає невеликий обсяг стану в сеансовому сховищі вашого браузера, щоб котирування пережило оновлення сторінки; воно ніколи не залишає ваш пристрій.

Ні. Ми надаємо програмне забезпечення (ArpokratOS); апаратне забезпечення ви надаєте самі — Google Pixel, який купуєте власноруч. Це зроблено свідомо.

Якби ми надіслали вам телефон поштою, його могли б перехопити й підмінити дорогою. Купівля запечатаного Pixel у себе та самостійне прошивання закриває цю вразливість з нашого боку. Це не може поручитися за апаратний ланцюг постачання самого Google; це лише прибирає Arpokrat із ланцюга відповідальності. Повне обґрунтування — на сторінці ArpokratOS

Усе зводиться до одного речення: ми не можемо злити те, чого не збираємо.

Користування нашими застосунками не вимагає жодної персональної інформації. Купівля ArpokratOS вимагає імені, адреси електронної пошти та країни проживання — виключно для обробки платежу. Повідомлення, що очікують доставки, зберігаються лише в енергозалежній RAM на наших релеях, ніколи на диску, а swap вимкнено, тож система не може вивантажити цю пам’ять на накопичувач.

Повний юридичний текст — у нашій політиці конфіденційності

Інфраструктура, що стоїть за цим твердженням, описана на сторінці інфраструктури

Так — Arpokrat Enterprise доступний уже зараз. Він охоплює індивідуальне розгортання захищених пристроїв і власної інфраструктури зв’язку для організацій із підвищеними вимогами до безпеки, зокрема узгоджене керування оновленнями для всього парку пристроїв і власні релеї. Корпоративні проєкти починаються від 10 пристроїв.

Обсяг, модель співпраці та те, як почати, — на сторінці Enterprise

Використовуйте парольну фразу, а не PIN, і орієнтуйтеся на щонайменше 16 символів — це стандартна довжина в нашому власному генераторі паролів

Чотирицифровий PIN має десять тисяч можливих значень і не є серйозним захистом від того, хто тримає пристрій у руках. Довжина важить більше за екзотичні символи: довга парольна фраза зі звичайних слів легша для запам’ятовування й набагато важча для вгадування, ніж короткий рядок зі змішаних символів.

Це залежить від того, чи користуєтеся ви SIM-картою, і різниця тут суттєва — тож ось вона повністю.

• Супутникове позиціонування вимкнено. Драйвер GNSS (GPS) вимкнено на рівні ядра, разом із Bluetooth і NFC, а фонове сканування радіо, зокрема сканування Wi-Fi, вимкнено. Немає ані налаштування, щоб увімкнути їх назад, ані драйвера, до якого міг би дістатися застосунок, тож жоден застосунок на пристрої не може зчитати ваше положення із супутників.
• SIM-карта робить телефон таким, що його можна локалізувати через мобільну мережу. Це не проєктне рішення ArpokratOS, і жодна операційна система не може цього змінити: будь-який телефон з активною SIM-картою безперервно реєструється на найближчих базових станціях, і оператор — разом із будь-ким, хто має законний чи незаконний доступ до оператора, — може визначити його місцезнаходження з точністю до зони покриття цієї станції.

Отже: зі вставленою SIM-картою для дзвінків і SMS вас можна локалізувати на рівні мережі, точно так само, як і з будь-яким іншим телефоном. Якщо це частина вашої моделі загроз, користуйтеся пристроєм без SIM-карти, лише через Wi-Fi, і спілкуйтеся через Arpokrat Messenger

По повітрю. ArpokratOS отримує оновлення «по повітрю» (OTA) просто на самому пристрої — щоб залишатися актуальним, вам не потрібен ані комп’ютер, ані повторне прошивання. Ваша разова ліцензія включає довічні оновлення для цього пристрою.

Маніфести релізів для ArpokratOS підписуються на виділеній, ізольованій (air-gapped) машині, яка ніколи не підключалася до інтернету, як описано на сторінці інфраструктури

Технічно так — встановивши APK (Android Package Kit — інсталяційний формат Android) напряму. Google Play Store на пристрої немає.

Ми радимо цього не робити: кожен сторонній застосунок розширює поверхню атаки, а багато з них несуть саме ті трекери, які решта системи існує, щоб прибрати.

Так — звичайні GSM-дзвінки та SMS працюють, якщо вставити SIM-карту. З цього випливають дві речі, і обидві є властивостями стільникових мереж, а не ArpokratOS:

• Дзвінки та SMS не мають наскрізного шифрування, і оператор може їх перехопити або передати.
• Активна SIM-карта робить телефон таким, що його можна локалізувати через мобільну мережу, як пояснено у відповіді про відстеження вище.

Для спілкування, яке уникає обох цих проблем, користуйтеся Arpokrat Messenger

Поки що не вбудовано. ArpokratOS не містить власного поштового клієнта — безпечний клієнт із мінімізацією метаданих у розробці, а доти пристрій зосереджений на миттєвому спілкуванні.

Тим часом ви можете встановити поштовий застосунок на свій вибір через APK, так само як будь-який інший сторонній застосунок. Діє те саме застереження: кожен сторонній застосунок розширює поверхню атаки, а багато з них несуть саме ті трекери, які решта системи існує, щоб прибрати.

На Android — так. ArpokratOS працює лише на Pixel, але застосунок Arpokrat Messenger працює на будь-якому сучасному Android-телефоні — встановіть його з Google Play Store або завантажте APK напряму.

Версія для iOS незабаром, як і десктопні збірки для Windows, macOS і Linux. Поточний статус кожної платформи показано на панелі завантаження внизу цієї сторінки та на сторінці Messenger

Сучасна криптографія з відкритим ключем спирається на математику, яку достатньо потужний квантовий комп’ютер зрештою міг би зламати, — а супротивник може записувати зашифрований трафік уже сьогодні, щоб розшифрувати його пізніше; цю загрозу називають “Harvest Now, Decrypt Later”.

Обмін ключами в Arpokrat Messenger додає постквантовий рівень поряд із уже наявним класичним шифруванням, а не замінює його. Цей обмін ключами використовує Streamlined NTRU Prime — свідомий вибір на противагу стандартизованому NIST алгоритму Kyber, якого інженери SimpleX уникли через конкретні криптографічні застереження, висловлені під час його стандартизації.

Ми свідомо стримані в цьому питанні: постквантова криптографія — це сучасний найкращий стандарт захисту, а не постійна гарантія. Вже сьогодні вона суттєво підвищує планку, а з розвитком стандартів передбачений чіткий шлях для оновлення. Повне пояснення — на сторінці протоколу

Настільки мало, наскільки дозволяє протокол. Arpokrat Messenger побудовано на SimpleX, який узагалі не має ідентифікаторів користувачів — ні номерів телефонів, ні адрес електронної пошти, ні навіть випадкових ID користувачів.

Релей бачить, як зашифрований пакет надходить в анонімну чергу й пізніше його забирають, і ніщо не пов’язує жодну з цих подій із людиною. Кожен релей передає лише одну ділянку навмисно розділеного шляху, тож жоден окремий сервер не тримає обох половин, потрібних, щоб пов’язати двох співрозмовників. Як це працює докладно — на сторінці протоколу

Так. Arpokrat Swap — це некастодіальний агрегатор: він показує актуальні пропозиції незалежних провайдерів, кожен з яких оцінений A–D за тим, скільки перевірки особи він вимагає, а обмін відбувається безпосередньо між вами й обраним провайдером. Ваші кошти ніколи не проходять через нашу інфраструктуру.

Він вбудований у застосунок Messenger, а також працює у вашому браузері: Arpokrat Swap

Не Arpokrat. Немає ні облікового запису, ні перевірки документів, і нам нічого перевіряти.

Провайдери обміну — незалежні компанії з власними політиками, тому кожна пропозиція має оцінку KYC від A (Без KYC) до D (KYC обов’язковий), показану до підтвердження. Ви самі обираєте компроміс між ціною та приватністю в кожній угоді.

Arpokrat стягує 1,5% з обмінів. Це єдина комісія, яку ми беремо: немає комісії за перекази між гаманцями, немає плати за обліковий запис і немає підписки.

Сума, яку вам показують перед підтвердженням обміну, вже враховує мережеві комісії та комісії провайдера, тож показана цифра — це те, що ви отримаєте. Ці 1,5% і фінансують екосистему Arpokrat — інфраструктуру, розробку застосунків та ArpokratOS, — включно з безкоштовним застосунком Messenger.

Як пропозиції порівнюються пліч-о-пліч: Arpokrat Swap

Замість того щоб маршрутизувати кожну розмову через сервери однієї компанії, Arpokrat тримає сліпі релеї в п’яти незалежних юрисдикціях.

Релеї експлуатує Arpokrat, і ми не стверджуємо протилежного. Розподіленою є правова вразливість — процесуальні дії жодної окремої юрисдикції не дістають усієї мережі. Карта — на сторінці інфраструктури

Сліпий релей — це мертва скринька. Він приймає криптографічно запечатаний пакет, кладе його в тимчасову анонімну чергу й передає, коли власник черги його забирає.

• Нульове знання про особи: релей бачить, як пакет надходить і як його забирають, — і нічого, що пов’язувало б будь-яку з цих подій із людиною.
• Жоден окремий релей не пов’язує відправника з отримувачем: кожен передає лише одну ділянку навмисно розділеного шляху, тож жоден окремий сервер не тримає обох половин.
• Ефемерні за задумом: повідомлення зберігаються в RAM і очищаються після доставки.

Архітектуру повністю задокументовано на сторінці протоколу

Кожна має правову базу захисту даних, яка поширюється на нас, і не має загального обов’язку зберігати дані для транзитних чи релейних послуг. Малайзія та Маврикій перебувають поза розвідувальними альянсами «14 Eyes»; Швейцарія перебуває поза межами EU та EEA й встановлює власні правила; ісландська ініціатива IMMI створена, щоб захищати джерела та свободу вираження; панамський Law 81 юридично незалежний і від правової системи США, і від EU.

Сенс цього розподілу — правова різноманітність: процесуальні дії жодного окремого уряду не дістають кожного релея. Обґрунтування по кожній країні — на сторінці інфраструктури

Наші релеї не журналюють з’єднань. Журналювання на рівні демона вимкнено, а повідомлення в очікуванні зберігаються в RAM і очищаються після доставки, тож не існує ні історії маршрутизації, ні запису про з’єднання, які можна було б зберігати, надавати чи втратити.

Один точний виняток на боці вебсайту, бо абсолют, який неможливо перевірити, вартий менше за обмежене твердження, яке перевірити можна: форма контактів і віджет обміну використовують вашу IP-адресу тимчасово, щоб застосувати обмеження частоти запитів і блокувати зловживання. Лічильник живе в ефемерному сховищі в пам’яті, ніколи не записується в журнал і очищається під час перезавантаження. Адресу використовують, а не зберігають. Повне формулювання — у нашій політиці конфіденційності

Так, і є два шляхи.

Програмне забезпечення релеїв Arpokrat має відкритий код, і його можна безкоштовно розмістити самостійно. Якщо не хочете покладатися на наші — запустіть власний: підключіть його до мережі й спрямовуйте свій трафік через інфраструктуру, яку контролюєте лише ви. Посібник з налаштування незабаром з’явиться в нашому блозі.

Організації, яким потрібні виділені керовані релеї всередині власної інфраструктури, можуть отримати їх у межах корпоративного проєкту. Обсяг і процес — на сторінці Enterprise

Enterprise — це індивідуальне розгортання, а не продукт, який купують просто зі сторінки. Кожен проєкт формується під ваше середовище, вашу модель загроз і ваші зобов’язання щодо відповідності та починається від 10 пристроїв.

• Безпека парку пристроїв у масштабі — розгортайте захищені пристрої по командах і локаціях, зберігаючи централізований контроль над їхнім налаштуванням, із політиками безпеки, визначеними за командою, роллю чи розгортанням.
• Індивідуальна інфраструктура зв’язку — запускайте обмін повідомленнями вашої організації на власних релеях у межах свого периметра, із сегментацією мережі, що відокремлює цей трафік від ненадійних мереж.
• Прошивання пристроїв на місці — доступно як опція, зазвичай для більших розгортань: наша команда може прошити та перевірити пристрої у вашому приміщенні.

Повний обсяг — на сторінці Enterprise

Так. Перед повним зобов’язанням можна організувати менший пілот або підтвердження концепції — доступно на запит. Розкажіть нам про вимоги вашої організації, і ми сформуємо розгортання під них; усі звернення розглядаються конфіденційно.

Почати розмову можна зі сторінки Enterprise

Так — white-label розгортання є частиною корпоративної пропозиції. Ви можете застосувати власну візуальну ідентичність, назви та мову інтерфейсу і в операційній системі, і в месенджері, вмикати або обмежувати можливості за роллю та середовищем, а також постачати застосунок через власний керований канал, а не через публічний магазин застосунків.

Що можна перебрендувати, а що лишається незмінним, викладено на сторінці Enterprise

Відповідь протягом 12 годин, 24/7/365 — коротше за зобов’язання «менш ніж 24 години», яке йде зі споживчою ліцензією ArpokratOS, і входить у кожен корпоративний проєкт.

Призначена команда відповідає за впровадження, захист і онбординг, а потім залишається на весь термін розгортання: узгоджені, перевірені оновлення для всього парку пристроїв за графіком, що відповідає вашим операціям, і та сама команда доступна для реагування на інциденти безпеки протягом усього часу. Повний опис — на сторінці Enterprise

• Arpokrat Messenger безкоштовний. Без облікового запису, без підписки й без платного тарифу — він фінансується, разом із рештою екосистеми, з тих 1,5%, які ми беремо з обмінів.
• ArpokratOS Hardened — це разова ліцензія за $349 з довічними оновленнями для одного пристрою. Сумісний Google Pixel (від 8 до 10a) ви купуєте окремо — телефон не входить у комплект — і прошиваєте його самі.
• ArpokratOS Essential не має підтвердженої ціни. Він ще не випущений, і немає ні підтвердженої дати виходу, ні остаточного набору функцій.
• Enterprise оцінюється за кожним проєктом окремо, починаючи від 10 пристроїв, відповідно до реальних вимог вашої організації, а не за фіксованим пакетом.

Ліцензія та те, що вона включає, викладено на сторінці ArpokratOS

Щоб придбати: оформлення замовлення

Сьогодні: Bitcoin (BTC) і Monero (XMR). Платежі проходять через нашу власну інфраструктуру, без фінансового посередника між вами й нами.

Оплата карткою та банківський переказ незабаром. Поки що вони недоступні, і ми радше скажемо про це прямо, ніж рекламуватимемо спосіб оплати, яким на оформленні замовлення насправді не скористатися. Якщо вашій організації тим часом потрібно придбати без криптовалюти, зв’яжіться з нашою командою

Якщо ви новачок у криптовалюті, один із регульованих швейцарських варіантів — Mt Pelerin

Він дозволяє купівлю банківським переказом без перевірки особи нижче встановленого денного порога — близько 1 000 CHF на момент написання — і карткою з мінімальною перевіркою вище цього порога. Пороги та правила змінюються, тож перевірте їхні чинні умови, перш ніж на них покладатися. Це вказівка на варіант, а не фінансова порада.

Відповідь протягом 24 годин, 24/7/365. Комерційна підтримка входить у ліцензію ArpokratOS Hardened — це не форум спільноти. Немає ні системи тікетів, ні облікового запису: відповіді приходять електронною поштою, від людини.

Корпоративні проєкти мають коротше зобов’язання — вікно відповіді 12 годин, — описане на сторінці Enterprise

Так — протягом 14 днів, за умови, що ліцензію жодного разу не використовували.

Ліцензію можна повернути протягом 14 днів після придбання за однієї умови: вона не повинна бути прив’язана до пристрою. Прив’язка відбувається під час першого ж використання ліцензійного ключа для прошивання телефону — саме це робить ліцензію дійсною для цього пристрою, і скасувати прив’язку неможливо.

Тож ключ, придбаний помилково й жодного разу не використаний, повернути можна. А ліцензію, яку вже використали для прошивання Pixel, — ні.

Щоб подати запит на повернення, зв’яжіться з нами