معظم الهواتف بلا رمز PIN للإكراه، لذلك بنينا محو الطوارئ في Morse Messenger

رمز PIN للإكراه (duress PIN) هو رمز فتح ثانٍ تضبطه إلى جانب رمزك العادي. فإن ضغط عليك أحدهم يوماً لتفتح هاتفك، تكتب رمز PIN للإكراه بدلاً منه، فيمحو الهاتف نفسه بدلاً من أن يُفتح.

الفكرة بسيطة. التشفير من طرف إلى طرف يحمي رسائلك في طريقها، والهاتف المقفل يحميها وهي محفوظة عليه. ولا يفيد أيٌّ منهما حين يجبرك أحدهم على فتحه. في تلك اللحظة، يصبح المحو آخر ما تبقّى من حماية.

والأمر لا يخصّك وحدك. فمحادثاتك تحمل كلام أشخاص آخرين أيضاً: الصديق الذي أسرّ إليك بشيء، وعائلتك، والأشخاص الذين تعمل معهم. والمحو يحميهم هم أيضاً.

بعض اللحظات التي يهمّ فيها ذلك:

• يخطف أحدهم هاتفك وهو مفتوح، أو يجبرك على فتحه.
• شريك يفتّش هاتفك. فلمن يعيش في علاقة يتحكّم فيها الطرف الآخر، قد يكون وجود محادثة مع صديق أو مع جهة مساعدة على الهاتف أمراً خطيراً.
• الصحفيون والناشطون وكل من يأتمنه الناس على شيء حساس. وإن كنت تعمل مع مصادر، فدليلنا عن المراسلة للصحفيين يغطي الباقي.

يكاد يكون مؤكداً أن لا. فقد أضاف GrapheneOS، وهو نظام Android بديل لهواتف Pixel، رمزاً كهذا في 2024. وحين يُكتب في أي مكان يطلب فيه الهاتف رمز PIN، فإنه «يمحو الجهاز بشكل لا رجعة فيه»، بتعبير GrapheneOS نفسه.

أما هواتف iPhone وSamsung وPixel التي تعمل بنظام Google نفسه فليس فيها شيء كهذا. وأقرب ما في iPhone إعداد يمحوه بعد 10 محاولات فاشلة لإدخال رمز الدخول، وهذا لا يفيد حين يجبرك أحدهم على كتابة الرمز الصحيح. ثم إن محو الهاتف كله يأخذ معه كل شيء: صورك، وتطبيقاتك الأخرى، وكل ما عليه.

ولا تسدّ تطبيقات المراسلة هذه الثغرة في الغالب. فمعظمها لا يتيح لك إلا حذف حسابك أو مسح محادثاتك من داخل التطبيق، ويحتفظ من تحدّثت معهم عادةً بنسختهم.

لذلك بنيناه في Morse. محو الطوارئ متوقف افتراضياً، لأن الزر الذي يمحو كل شيء لا ينبغي أن يكون زراً تضغطه بالخطأ. لتفعيله:

1. 1افتح تبويب أنت، ثم الخصوصية & الأمان.
2. 2اضغط على زر الطوارئ. سيحمل اسمه الجديد، محو الطوارئ، في تحديثنا القادم.
3. 3فعّل إظهار زر الطوارئ. وإن شئت، فعّل خيار محو الصور ومقاطع الفيديو المحفوظة أيضًا.

ومن تلك اللحظة، يظهر زر للمحو داخل التطبيق وعلى شاشة القفل في Morse. نقرتان تمحوان كل شيء: الزر، ثم محو كل شيء. ولا تحتاج إلى فتح Morse أولاً.

يتوفر Morse على iPhone. ومحو الطوارئ موجود في تطبيق Android أيضاً، وهو قادم قريباً.

في بضع ثوانٍ:

1. 1يطلب Morse من خادمنا حذف حسابك، ما دام هاتفك لا يزال متصلاً.
2. 2يُتلف المفتاح الذي يفتح قاعدة بيانات Morse. فتصبح كل رسالة وكل جهة اتصال فيها غير قابلة للقراءة في الحال.
3. 3يحذف ملفات قاعدة البيانات وكل ما لا يغطيه المفتاح: الصور ومقاطع الفيديو التي فتحتها، والتسجيلات الصوتية وتسجيلات الكاميرا، والملفات المؤقتة، والإشعارات الظاهرة على شاشتك، وشارة التطبيق، والحافظة إن كانت لا تزال تحمل شيئاً نسخته في Morse.
4. 4يتحقق من أنه لم يبقَ شيء، ويعود مرة أخرى إلى أي شيء نجا.
5. 5تزيل هواتف جهات اتصالك محادثتك الفردية معهم، وتزيلك من جهات اتصالهم.

بعدها يعود Morse إلى شاشة الترحيب، كأنه ثُبّت للتو. ولا يوجد ما يمكن استعادته أيضاً: فالمفاتيح التي تفتح بيانات Morse مخزّنة لهاتفك وحده، فلا يمكن قراءة حتى نسخة احتياطية منه على جهاز آخر.

لماذا إتلاف مفتاح بدلاً من حذف الملفات؟ في ذاكرة الفلاش في الهاتف، لا يزيل حذف الملف أثره بشكل موثوق. فالشريحة توزّع عمليات الكتابة على أماكن مختلفة حتى تتآكل بالتساوي، لذا قد تبقى البيانات القديمة في أماكن لا يصل إليها أي تطبيق. ولهذا لا يعتمد Morse على الحذف. فقاعدة بياناته مشفّرة على هاتفك بمفتاح محفوظ في مخزن المفاتيح المحمي في الهاتف. أتلِف ذلك المفتاح، فيصبح كل ما يتبقى على الشريحة ضجيجاً. ويُسمّى ذلك المحو التشفيري، ولا يستغرق مع عشرة آلاف رسالة وقتاً أطول مما يستغرقه مع عشر.

لكن أليس ذلك المفتاح مجرد بيانات أخرى على الشريحة نفسها؟ سؤال في محله، والقفل برمز PIN هو الجواب. فحين يكون القفل برمز PIN في Morse مفعّلاً، يكون مفتاح قاعدة البيانات نفسه مقفلاً مرتين: برمز PIN الخاص بك، وبمفتاح يحتفظ به Secure Enclave على iPhone أو Android Keystore على Android، ولا يمكن نسخه إلى خارج الهاتف أبداً. ويحذف المحو مفتاح العتاد هذا أيضاً. فحتى لو بقيت نسخة مقفلة من مفتاح قاعدة البيانات في مكان ما على الشريحة، لم يعد هناك ما يمكنه فتحها.

لماذا يمكنه العمل من شاشة القفل؟ لأنك لا تحتاج إلى مفتاح لكي تُتلف المفتاح. فالمحو لا يفتح قاعدة البيانات أبداً، لذا يستطيع Morse تنفيذه دون رمز PIN الخاص بك. والشيء الوحيد الذي يحتاجه المحو وMorse مقفل هو إذن بحذف حسابك على خادمنا. ولهذا يحتفظ Morse برمز مميّز للحذف يمكن قراءته وهو مقفل. ولا يصلح إلا لحذف الحساب: لا يستطيع قراءة أي شيء ولا إرساله.

لماذا يأتي الخادم أولاً: لا تعرف هواتف جهات اتصالك أنك رحلت إلا من خادمنا. لذا يطلب Morse ذلك من الخادم أولاً، ما دام هاتفك متصلاً، ولا ينتظر إلا قليلاً. والشبكة البطيئة لا تؤخّر المحو على هاتفك أبداً: إن لم يصل رد، يُمحى هاتفك على أي حال.

وقبل كل ذلك، يوقف Morse كل ما يشغّله في الخلفية، حتى لا يكتب أي شيء بيانات جديدة في منتصف المحو. ثم يذهب الحساب، ثم المفتاح، ثم الملفات، ثم يأتي التحقق.

كانت الصور المحفوظة هي الجزء الصعب. فلا يستطيع iPhone أن يعرض قائمة «الصور التي حفظها هذا التطبيق»، لذا يحتفظ Morse بقائمته الخاصة وهو يحفظ كل صورة، ويستخدم تلك القائمة لحذفها. ويطلب منك iOS تأكيد حذف الصور، وهذه قاعدة Apple، لذا يمحو Morse محادثاتك أولاً، فلا يستطيع ذلك السؤال أن يؤخّر أي شيء. وعلى Android 10 وما بعده، يحذف Morse الصور ومقاطع الفيديو التي حفظها في مجلداته الخاصة.

وإن أردت الصورة الكاملة عن كيفية تخزين Morse لبياناتك وحمايتها، فستجدها في ورقتنا البيضاء عن الأمان (باللغة الإنجليزية).

يبدو المحو بسيطاً: احذف كل شيء. وقد ذهب معظم العمل إلى الأماكن التي يختبئ فيها «كل شيء»، وإلى الأشياء التي قد تعترض الطريق:

• قد تصل رسالة في منتصف المحو. فعلى iPhone، تُعالَج الإشعارات في عملية صغيرة منفصلة يمكن أن تستيقظ في أي لحظة، ورسالة تحفظها هذه العملية بينما تُتلَف قاعدة البيانات قد تنجو. لذا، قبل حذف أي شيء، يطلب المحو من تلك العملية أن تتوقف عن الكتابة.
• يمرّ جزء من التنظيف عبر خدمات الهاتف نفسه: مسح شارة التطبيق، والإشعارات الظاهرة على شاشتك، والاقتراحات التي تعلّمها هاتفك من محادثاتك. وقد تتأخر هذه الخدمات في الرد. ولا يُسمح لأي منها بأن يؤخّر المحو: فلكل منها مهلة قصيرة، ثم يمضي المحو قُدماً.
• لا يزول الملف ما دام هناك شيء يشير إليه. فلتشغيل مقاطع الفيديو، ينشئ التطبيق روابط إضافية إلى ملفات فُكّ تشفيرها، ولو اكتفينا بحذف مجلد الوسائط لبقيت تلك المقاطع على الهاتف. لذا يُفرغ المحو المجلد المؤقت كله بدلاً من ذلك، أياً كان ما فيه.
• يحتاج محو الصور التي حفظها Morse إلى وصول كامل إلى مكتبة صورك على iPhone، وهو ما لا يطلبه Morse في غير ذلك أبداً. ولهذا هو خيار منفصل: لا تمنح ذلك الوصول إلا إن أردت أن تُمحى تلك الصور أيضاً.

المحو جيد بقدر ما تكون قائمته جيدة. فتطبيق المراسلة يحفظ الأشياء في أماكن أكثر مما تظن: قاعدة البيانات، ومخزن المفاتيح في الهاتف، والإعدادات، وذاكرات التخزين المؤقت، والملفات المؤقتة، وأجزاء التطبيق التي تعمل في الخلفية. وكل واحد منها مُدرَج في قائمة واحدة، على iPhone وعلى Android، ومعها اختبارات.

ولا يمكن أن تتخلّف هذه القائمة عن التطبيق إلا حين يكبر، لذا جعلنا النسيان صعباً: فهناك قاعدة في شيفرتنا البرمجية تنص على ألا يُطلَق أي مكان جديد لتخزين البيانات دون أن يُضاف إلى المحو، مع اختبار، في التغيير نفسه.

ولا يفترض المحو أبداً أنه نجح. فحين ينتهي، يتحقق من كل بند في القائمة، ويعود مرة أخرى إلى أي شيء لا يزال موجوداً.

من جهتنا، يحذف المحو حسابك وكل ما يرتبط به: مفاتيحك، وأي رسائل لا تزال تنتظر أن تُسلَّم إليك، وتسجيلك لإشعارات الدفع، وملفك الشخصي وصورتك المشفّرين، وطلبات التواصل المعلّقة لديك، وملفاتك الشخصية في المجموعات. ثم يُبلغ الخادم هواتف جهات اتصالك بأنك رحلت.

ويبقى سجل اشتراكك في App Store، موسوماً بأنه مُستخدَم ولم يعد مرتبطاً بمعرّف Morse ID الخاص بك، فلا يمكن نقله إلى حساب جديد. ولم تكن رسائلك قابلة للقراءة على خادمنا من الأساس: فهو لا يمرّر إلا رسائل مشفّرة.

من الأفضل أن تعرف حدوده الآن بدلاً من أن تكتشفها في أسوأ لحظة:

لا تراجع. يذهب الحساب، وستحتاج إلى حساب جديد.

محو الطوارئ يغطي اللحظة التي تسبق. أما رمز PIN للإكراه فيغطي اللحظة نفسها: رمز PIN ثانٍ لشاشة القفل في Morse، تكتبه حين يجبرك أحدهم على فتح التطبيق، فيمحو كل شيء بدلاً من أن يفتحه. وهو قادم في تحديث مستقبلي.

وحتى ذلك الحين، هناك أمران يُبقيان ما قد تخسره قليلاً. فعّل الرسائل المختفية للمحادثات المهمة، ليكون على هاتفك أقل من البداية. وليس في Morse أجهزة مرتبطة، فلا يستطيع أحد أن يقرأ رسائلك من هاتف آخر بإضافة جهاز خلسة وهاتفك في يده.