Introdução à Criptografia

O X Chat é criptografado de ponta a ponta: as mensagens de um usuário, em texto simples, existem apenas em seus dispositivos. Esta página explica como isso funciona.

---

​

O panorama geral

Vamos examinar todo o fluxo, desde a criação da conta até o envio e recebimento de mensagens.

---

​

Juntando tudo

O X Chat combina três ferramentas criptográficas padrão, cada uma fazendo a única tarefa que faz bem:

1. Uma chave de conversa criptografa mensagens: simétrica, rápida o suficiente para todo o tráfego de mensagens e mídia.
2. Um par de chaves de identidade entrega chaves de conversa a cada participante sem que mais ninguém (incluindo o X) as veja.
3. Um par de chaves de assinatura prova autoria: cada mensagem carrega uma assinatura que os destinatários verificam.

O X transporta e armazena apenas texto cifrado e chaves encapsuladas, nada que ele possa abrir. O XDK faz a criptografia; a Chat API registra chaves e movimenta payloads criptografados (Primeiros passos). O elenco completo:

---

​

Um exemplo prático

Vamos percorrer o que realmente acontece quando você cria um grupo com Bob e Carol. Essa é a configuração única. A partir daqui, cada mensagem segue os mesmos dois fluxos: Envio. O XDK criptografa sua mensagem com a chave de conversa atual, assina-a, e seu app envia via POST ambas ao endpoint send message. O X armazena e entrega bytes que ele não pode ler. Recebimento. O texto cifrado chega via webhooks ou um stream de atividades, ou lendo os eventos da conversa para obter o histórico. O XDK verifica primeiro a assinatura do remetente e então descriptografa com sua chave de conversa armazenada (se a chave foi rotacionada, um evento key change entrega sua nova cópia encapsulada). Se a verificação falhar, a mensagem é rejeitada. A implementação está em Primeiros passos e na referência do Chat XDK.

---

​

Backup seguro de chaves: armazenamento distribuído de chaves

Dissemos anteriormente que suas chaves privadas são salvas no backup seguro de chaves, recuperáveis somente com seu código de acesso. Vamos ver como isso funciona, porque é a parte sobre a qual as pessoas mais se mostram céticas: como podem chaves ser copiadas em backup sem que o X seja capaz de lê-las?

​

O problema com o armazenamento tradicional de chaves

​

Como o backup seguro de chaves resolve isso

O X Chat utiliza o protocolo open-source Juicebox, que combina compartilhamento de segredo com limiar (threshold secret sharing) com proteção por código de acesso. O protocolo completo está especificado lá; a versão resumida: Armazenando (uma vez, na criação da conta). O XDK divide suas chaves privadas em partes (shares) e as distribui a três realms, serviços separados isolados uns dos outros. Todos os três são operados pelo X, então o isolamento por si só não significaria muito. É aí que entra o hardware: dois dos realms residem dentro de hardware security modules (HSMs), hardware resistente a violações que não entregará sua parte a ninguém, nem mesmo a um administrador do X com acesso total ao servidor. Uma parte sozinha não revela nada, e a recuperação requer partes de dois dos três realms, então toda recuperação possível passa por pelo menos um HSM: não há caminho apenas por software até suas chaves. O software do HSM e a key ceremony que o provisionou são publicamente documentados. Recuperando (novo dispositivo). Você digita seu código de acesso, e o XDK prova a cada realm que você o conhece. O protocolo Juicebox torna isso possível sem que o código de acesso jamais saia do seu dispositivo. Cada realm que verifica você libera sua parte de suas chaves e, quando dois dos três respondem, o XDK reconstrói suas chaves no seu dispositivo. Limites de tentativas. Cada realm permite no máximo 20 tentativas incorretas de código de acesso. Na 20ª tentativa incorreta, sua parte da chave é excluída do realm. Isso é imposto por hardware pelos HSMs e protege contra qualquer ataque de força bruta. O resultado: você pode recuperar suas chaves em um novo dispositivo com apenas seu código de acesso, nenhum realm sozinho detém o segredo inteiro, e os realms apoiados em hardware impõem seus limites até mesmo contra o próprio X.

---

​

Assinaturas explicadas

A assinatura de cada mensagem oferece aos destinatários duas garantias:

1. Autenticidade: produzida pelo detentor da chave privada de assinatura do remetente
2. Integridade: o conteúdo criptografado não foi modificado após a assinatura

Se qualquer coisa no conteúdo assinado mudar, a verificação falha. Claro, essa garantia é forte apenas na medida em que a chave de assinatura permaneça secreta, e é por isso que o armazenamento de chaves importa tanto. No seu app. O XDK assina quando você criptografa e verifica quando você descriptografa. A rejeição acontece em ambas as extremidades: o próprio X Chat rejeita eventos que não consegue verificar, e o XDK faz o mesmo no recebimento, obrigatório por padrão (desabilitar isso não é recomendado). Detalhes: Chat XDK. As assinaturas também cobrem conteúdo citado. Uma resposta embute a mensagem original assinada em bruto que ela cita; quando o Chat XDK descriptografa a resposta, ele verifica essa original embutida e compara a citação com ela, reportando o resultado como reply_preview_validation (Valid / Invalid). Um resultado Invalid significa que a citação não corresponde à original assinada — trate o material citado como não confiável, mesmo que a própria resposta seja verificada separadamente — para que nenhum participante possa atribuir palavras fabricadas a outro.

​

Mudanças de estado assinadas (assinaturas de ação)

Mensagens não são a única coisa assinada. Toda mudança em uma conversa (criar um grupo, adicionar membros, rotacionar uma chave) também deve carregar assinaturas de ação: o remetente assina um payload descrevendo exatamente o que a mudança faz, e a API rejeita solicitações onde estas estejam ausentes ou malformadas. O XDK as produz para você. Por que o servidor não pode verificar totalmente uma mudança de chave. O servidor nunca detém a chave de conversa em bruto (esse é o ponto), então ele não pode verificar uma assinatura sobre material que ele não pode ver. Ele verifica o que pode, que a descrição assinada corresponde à solicitação, e os destinatários fazem a verificação criptográfica de verdade quando desencapsulam a mudança de chave. Os eventos são imutáveis: um que falhe na verificação é permanentemente inválido. Veja Solução de problemas.

---

​

Propriedades de segurança

Aqui está do que o X Chat protege e, tão importante quanto, do que ele não protege.

​

Do que o X Chat protege

​

Do que o X Chat não protege, e por quê

---

​

Glossário

---

​

Próximos passos