Início / Segurança
Uma encriptação que se consegue explicar
As mensagens são encriptadas no teu dispositivo e só voltam a ser legíveis no dispositivo do destinatário. Aqui explicamos como funciona – e onde estão os limites.
O caminho de uma mensagem
De dispositivo para dispositivo
- A chave nasce no dispositivoNo primeiro arranque, cada telemóvel, cada PC e cada navegador gera o seu próprio par de chaves. A parte privada fica no dispositivo.
- A chave pública é depositadaSó a parte pública vai para o servidor, para que outros te possam escrever de forma encriptada.
- Encriptar antes de enviarA tua mensagem é encriptada separadamente para cada dispositivo do destinatário – e como cópia para os teus outros dispositivos.
- O servidor só entregaGuarda e distribui as mensagens de chat apenas como texto cifrado. Não as consegue ler.
- Desencriptar no destinatárioSó o dispositivo de destino consegue abrir a mensagem com a sua chave privada.
Tecnologia
Os componentes em pormenor
O Android, o Windows e o navegador usam o mesmo método. A versão para navegador foi testada com a biblioteca do Android, para que todos os dispositivos se consigam ler entre si.
- Mensagens: HPKE segundo o RFC 9180, compatível com o Google Tink
- Fotos, vídeos, mensagens de voz e ficheiros: uma chave aleatória de 256 bits por ficheiro (AES-256-GCM). Essa chave viaja, também ela encriptada, dentro da mensagem.
- O que uma conta pode ler na base de dados é definido por permissões por linha (Row Level Security).
- As ligações ao servidor são feitas por HTTPS.
KDF HKDF-SHA256
AEAD AES-128-GCM
Modo HPKE Base · Tink-Format
Ficheiros AES-256-GCM · chave por ficheiro
Chaves por dispositivo, fica no dispositivo
O HPKE (Hybrid Public Key Encryption) é uma norma aberta do IETF.
Em cada dispositivo
Proteção que tu próprio defines
Bloqueio da app
PIN de quatro dígitos, opcionalmente impressão digital ou rosto. Desativado por predefinição.
Mensagens que se autoeliminam
Ao fim de uma hora, um dia, sete dias, um mês ou 90 dias – para todas as conversas ou só para uma.
Ver uma vez
Fotos e vídeos que se apagam depois de vistos. As apps para Android e para Windows impedem capturas de ecrã destes conteúdos.
Apagar multimédia antigo
Remover do dispositivo fotos, vídeos e mensagens de voz recebidos após um prazo; o texto fica.
Visibilidade
Tu decides se os outros te podem encontrar no diretório de utilizadores – ou só quem souber o teu nome de utilizador exato.
Atualizações verificadas
A app para Windows só instala atualizações com uma assinatura digital válida.
Com franqueza
O que a encriptação ponto a ponto não cobre
Segurança também é conhecer os limites. Estas áreas têm outro tipo de proteção:
Chamadas e diretos
São encriptados durante a transmissão (WebRTC com DTLS-SRTP) e passam pelo servidor próprio.
E-mails
O e-mail funciona como em qualquer fornecedor de e-mail. Os e-mails não têm encriptação ponto a ponto – nem sequer entre dois endereços @messenger-mail.de.
Calendário, notas e listas
São guardados encriptados (AES-256-GCM), mas com uma chave da app em vez da chave do teu dispositivo.
Telegram, Signal e WhatsApp
A ponte no servidor próprio desencripta estas mensagens e volta a encriptá-las para os teus dispositivos. Não têm encriptação ponto a ponto entre ti e o teu interlocutor.
Tradução e reconhecimento de voz
Se ligares a tradução automática, o servidor próprio envia o texto para o DeepL para ser traduzido. Os comandos falados são reconhecidos pelo telemóvel ou pelo navegador – no navegador, por exemplo, através da Google ou da Apple.
Dispositivo novo
Um dispositivo com sessão iniciada há pouco não consegue ler mensagens recebidas antes de ter iniciado sessão – exceto através de uma cópia de segurança restaurada. Se os dados do site forem apagados no navegador, este passa a contar como dispositivo novo.
Estados e chat do direto
As fotos e os vídeos dos estados ficam encriptados no servidor, mas a respetiva chave também. As legendas e o chat do direto não são encriptados.