بیشتر گوشی‌ها PIN اجبار ندارند، پس پاک‌سازی اضطراری را در Morse Messenger ساختیم

PIN اجبار (duress PIN) یک کد دوم برای باز کردن قفل است. آن را کنار کد معمولی‌تان تنظیم می‌کنید. اگر روزی کسی شما را برای باز کردن قفل گوشی تحت فشار بگذارد، به‌جای کد معمولی PIN اجبار را وارد می‌کنید، و گوشی به‌جای باز شدن، خودش را پاک می‌کند.

ایده پشتش ساده است. رمزنگاری سرتاسری از پیام‌های شما در مسیرشان محافظت می‌کند، و گوشی قفل‌شده وقتی پیام‌ها رویش هستند. اما وقتی کسی مجبورتان کند قفل را باز کنید، هیچ‌کدام کمکی نمی‌کند. در آن لحظه، پاک کردن تنها محافظتی است که باقی می‌ماند.

و فقط پای شما در میان نیست. در چت‌هایتان حرف‌های دیگران هم هست: دوستی که رازی را به شما گفته، خانواده‌تان، همکارانتان. پاک کردن از آن‌ها هم محافظت می‌کند.

چند موقعیت که این مهم می‌شود:

• کسی گوشی‌تان را وقتی قفلش باز است از دستتان می‌قاپد، یا مجبورتان می‌کند بازش کنید.
• شریک عاطفی‌ای که گوشی‌تان را چک می‌کند. برای کسی که در یک رابطه کنترل‌گرانه است، یک چت با یک دوست یا یک مددکار می‌تواند روی گوشی خطرناک باشد.
• روزنامه‌نگاران، فعالان و هر کسی که دیگران چیزی حساس را به او می‌سپارند. اگر با منبع خبری کار می‌کنید، راهنمای ما درباره پیام‌رسانی برای روزنامه‌نگاران بقیه‌اش را پوشش می‌دهد.

تقریباً به‌طور قطع نه. GrapheneOS، یک سیستم‌عامل جایگزین Android برای گوشی‌های Pixel، در سال 2024 آن را اضافه کرد. به گفته خود GrapheneOS، اگر این PIN را هر جایی که گوشی PIN می‌خواهد وارد کنید، «دستگاه را به‌طور برگشت‌ناپذیر پاک می‌کند».

iPhoneها، گوشی‌های Samsung و Pixelهایی که نرم‌افزار خود Google رویشان است، چیزی شبیه این ندارند. نزدیک‌ترین چیز روی iPhone تنظیمی است که بعد از 10 بار وارد کردن رمز اشتباه، گوشی را پاک می‌کند، و وقتی کسی مجبورتان کند رمز درست را بزنید، به کاری نمی‌آید. پاک کردن کل گوشی هم همه‌چیز را با خودش می‌برد: عکس‌هایتان، اپلیکیشن‌های دیگرتان، همه را.

پیام‌رسان‌ها هم بیشترشان این خلأ را پر نمی‌کنند. بیشترشان فقط اجازه می‌دهند از داخل اپلیکیشن حسابتان را حذف کنید یا چت‌هایتان را پاک کنید، و کسانی که با آن‌ها حرف زده‌اید معمولاً نسخه خودشان را نگه می‌دارند.

پس خودمان آن را در Morse ساختیم. پاک‌سازی اضطراری به‌طور پیش‌فرض خاموش است، چون دکمه‌ای که همه‌چیز را پاک می‌کند نباید دکمه‌ای باشد که بشود اشتباهی زدش. برای روشن کردنش:

1. 1زبانه «شما» را باز کنید، بعد «حریم خصوصی & امنیت» را.
2. 2روی «دکمهٔ اضطراری» بزنید. در به‌روزرسانی بعدی، نام تازه‌اش «پاک‌سازی اضطراری» می‌شود.
3. 3«نمایش دکمهٔ اضطراری» را روشن کنید. اگر بخواهید، «پاک کردن عکس‌ها و ویدیوهای ذخیره‌شده هم» را هم روشن کنید.

از آن به بعد، یک دکمه پاک کردن در اپلیکیشن و روی صفحه قفل Morse نشان داده می‌شود. دو ضربه همه‌چیز را پاک می‌کند: اول همین دکمه، بعد «پاک کردن همه‌چیز». لازم نیست اول قفل Morse را باز کنید.

Morse برای iPhone در دسترس است. پاک‌سازی اضطراری در اپلیکیشن Android هم هست که به‌زودی می‌آید.

در چند ثانیه:

1. 1Morse از سرور ما می‌خواهد حسابتان را حذف کند، تا وقتی گوشی‌تان هنوز اتصال دارد.
2. 2کلیدی را که پایگاه داده Morse را باز می‌کند از بین می‌برد. هر پیام و هر مخاطبی که در آن است، یک‌باره غیرقابل‌خواندن می‌شود.
3. 3فایل‌های پایگاه داده و هر چیزی را که کلید پوشش نمی‌دهد حذف می‌کند: عکس‌ها و ویدیوهایی که باز کرده‌اید، ضبط‌های صدا و دوربین، فایل‌های موقت، اعلان‌های روی صفحه‌تان، عدد روی آیکون اپلیکیشن، و کلیپ‌بوردتان اگر هنوز چیزی را که در Morse کپی کرده‌اید در خود دارد.
4. 4بررسی می‌کند که چیزی باقی نمانده باشد، و هر چیزی را که مانده باشد دوباره پاک می‌کند.
5. 5گوشی مخاطبانتان چت دونفره‌شان با شما را حذف می‌کند، و شما را هم از فهرست مخاطبانشان.

بعد Morse به صفحه خوشامد برمی‌گردد، انگار تازه نصب شده است. چیزی هم برای برگرداندن نمی‌ماند: کلیدهایی که داده‌های Morse را باز می‌کنند فقط برای گوشی شما ذخیره می‌شوند، پس حتی نسخه پشتیبان آن هم روی دستگاه دیگری قابل خواندن نیست.

چرا به‌جای حذف فایل‌ها، یک کلید را از بین ببریم؟ روی حافظه فلش گوشی، حذف یک فایل آن را با اطمینان پاک نمی‌کند. تراشه نوشتن‌هایش را در جاهای مختلف پخش می‌کند تا یکنواخت فرسوده شود، پس داده‌های قدیمی ممکن است در جاهایی بمانند که دست هیچ اپلیکیشنی به آن‌ها نمی‌رسد. برای همین Morse به حذف کردن تکیه نمی‌کند. پایگاه داده‌اش روی گوشی شما رمزنگاری می‌شود، با کلیدی که در حافظه امن کلیدهای گوشی نگه داشته می‌شود. آن کلید را از بین ببرید، و هر چه روی تراشه مانده فقط نویز است. به این کار پاک‌سازی رمزنگارانه (crypto-erase) می‌گویند، و با ده هزار پیام بیشتر از ده پیام طول نمی‌کشد.

اما مگر خود آن کلید هم فقط داده‌ای دیگر روی همان تراشه نیست؟ پرسش بجایی است، و پاسخش قفل PIN است. وقتی قفل PIN در Morse روشن باشد، خود کلید پایگاه داده دو بار قفل می‌شود: یک بار با PIN شما، و یک بار با کلیدی که Secure Enclave روی iPhone یا Android Keystore روی Android نگه می‌دارد و هیچ‌وقت نمی‌شود آن را از گوشی بیرون کپی کرد. پاک‌سازی آن کلید سخت‌افزاری را هم حذف می‌کند. پس حتی اگر نسخه‌ای قفل‌شده از کلید پایگاه داده جایی روی تراشه مانده باشد، دیگر چیزی وجود ندارد که بتواند آن را باز کند.

چرا روی صفحه قفل هم کار می‌کند؟ چون برای از بین بردن یک کلید، به خود کلید نیازی نیست. پاک‌سازی هیچ‌وقت پایگاه داده را باز نمی‌کند، پس Morse می‌تواند بدون PIN شما انجامش دهد. تنها چیزی که پاک‌سازی وقتی Morse قفل است لازم دارد، اجازه حذف حساب شما روی سرور ماست. Morse برای این کار یک توکن حذف نگه می‌دارد که وقتی قفل است هم خواندنی است. این توکن فقط به درد حذف حساب می‌خورد: نمی‌تواند چیزی را بخواند یا بفرستد.

چرا اول سرور: گوشی مخاطبانتان فقط از سرور ما می‌فهمند که شما رفته‌اید. پس Morse اول از سرور درخواست می‌کند، تا وقتی گوشی‌تان هنوز وصل است، و فقط کمی منتظر می‌ماند. شبکه کند هیچ‌وقت پاک‌سازی گوشی شما را معطل نمی‌کند: اگر جوابی نیاید، گوشی‌تان در هر صورت پاک می‌شود.

پیش از همه این‌ها، Morse هر کاری را که در پس‌زمینه انجام می‌دهد متوقف می‌کند تا وسط پاک‌سازی هیچ چیزی داده تازه ننویسد. بعد نوبت حساب است، بعد کلید، بعد فایل‌ها، بعد بررسی.

بخش دردسرساز، عکس‌های ذخیره‌شده بود. iPhone نمی‌تواند فهرست «عکس‌هایی که این اپلیکیشن ذخیره کرده» را بدهد، پس Morse هر بار که عکسی ذخیره می‌کند آن را در فهرست خودش ثبت می‌کند و با همین فهرست آن‌ها را حذف می‌کند. iOS برای حذف عکس‌ها از شما تأیید می‌خواهد، که قانون Apple است، پس Morse اول چت‌هایتان را پاک می‌کند تا آن پرسش نتواند چیزی را معطل کند. روی Android 10 و جدیدتر، Morse عکس‌ها و ویدیوهایی را که در پوشه‌های خودش ذخیره کرده حذف می‌کند.

اگر تصویر کامل را می‌خواهید که Morse داده‌هایتان را چطور ذخیره می‌کند و از آن‌ها محافظت می‌کند، در وایت‌پیپر امنیتی ما (به زبان انگلیسی) آمده است.

پاک‌سازی ساده به نظر می‌رسد: همه‌چیز را حذف کن. بیشتر کار صرف جاهایی شد که «همه‌چیز» در آن‌ها پنهان می‌شود، و چیزهایی که ممکن است سد راه شوند:

• ممکن است وسط پاک‌سازی پیامی برسد. روی iPhone، اعلان‌ها را یک فرایند کوچک و جداگانه مدیریت می‌کند که هر لحظه ممکن است بیدار شود، و پیامی که این فرایند در حین از بین رفتن پایگاه داده ذخیره کرده باشد، ممکن است باقی بماند. برای همین، پیش از آنکه چیزی حذف شود، پاک‌سازی به آن فرایند می‌گوید دیگر چیزی ننویسد.
• بخشی از پاک‌سازی از راه سرویس‌های خود گوشی انجام می‌شود: پاک کردن عدد روی آیکون اپلیکیشن، اعلان‌های روی صفحه‌تان و پیشنهادهایی که گوشی‌تان از چت‌هایتان یاد گرفته است. این سرویس‌ها ممکن است دیر جواب بدهند. هیچ‌کدامشان اجازه ندارد پاک‌سازی را معطل کند: هر کدام مهلت کوتاهی دارد، و پاک‌سازی به کارش ادامه می‌دهد.
• تا وقتی چیزی هنوز به فایلی اشاره می‌کند، آن فایل از بین نرفته است. اپلیکیشن برای پخش ویدیوها، پیوندهای اضافه‌ای به فایل‌های رمزگشایی‌شده می‌سازد، پس اگر فقط پوشه رسانه‌ها حذف می‌شد، آن ویدیوها روی گوشی می‌ماندند. پاک‌سازی به‌جای آن کل پوشه موقت را خالی می‌کند، هر چه در آن باشد.
• پاک کردن عکس‌هایی که Morse ذخیره کرده، روی iPhone به دسترسی کامل به کتابخانه عکس‌هایتان نیاز دارد، که Morse در غیر این صورت هیچ‌وقت آن را نمی‌خواهد. برای همین این یک گزینه جداگانه است: این دسترسی را فقط وقتی می‌دهید که بخواهید آن عکس‌ها هم پاک شوند.

پاک‌سازی فقط به اندازه فهرستش خوب است. یک پیام‌رسان چیزها را در جاهایی بیشتر از آنچه فکر می‌کنید نگه می‌دارد: پایگاه داده، حافظه کلیدهای گوشی، تنظیمات، حافظه‌های نهان، فایل‌های موقت، بخش‌هایی از اپلیکیشن که در پس‌زمینه اجرا می‌شوند. همه آن‌ها در یک فهرست واحدند، هم روی iPhone و هم روی Android، همراه با تست.

این فهرست فقط وقتی ممکن است عقب بماند که اپلیکیشن بزرگ‌تر می‌شود، پس کاری کردیم که فراموش کردنش سخت باشد: قاعده‌ای در کد ما می‌گوید هیچ جای تازه‌ای برای ذخیره داده منتشر نمی‌شود، مگر آنکه در همان تغییر، همراه با یک تست، به پاک‌سازی اضافه شده باشد.

و پاک‌سازی هیچ‌وقت فرض نمی‌کند که موفق بوده است. وقتی تمام شد، تک‌تک موارد فهرست را بررسی می‌کند و هر چیزی را که هنوز مانده باشد دوباره پاک می‌کند.

در سمت ما، پاک‌سازی حساب شما و هر چیزی را که به آن وابسته است حذف می‌کند: کلیدهایتان، هر پیامی که هنوز در انتظار تحویل به شماست، ثبت شما برای اعلان‌ها، پروفایل و عکس رمزنگاری‌شده‌تان، درخواست‌های مخاطبی که هنوز در انتظارند و پروفایل‌هایتان در گروه‌ها. بعد سرور به گوشی مخاطبانتان خبر می‌دهد که شما رفته‌اید.

سابقه اشتراک App Store شما باقی می‌ماند، به‌عنوان استفاده‌شده علامت می‌خورد و دیگر به Morse ID شما وصل نیست، پس نمی‌شود آن را به حساب تازه‌ای منتقل کرد. پیام‌هایتان هم از اول روی سرور ما قابل خواندن نبودند: سرور همیشه فقط پیام‌های رمزنگاری‌شده را جابه‌جا می‌کند.

بهتر است محدودیت‌ها را همین حالا بدانید تا اینکه در بدترین لحظه به آن‌ها برخورید:

راه برگشتی نیست. حساب از بین رفته و به یک حساب تازه نیاز دارید.

پاک‌سازی اضطراری برای لحظه قبل است. PIN اجبار برای خود آن لحظه: یک PIN دوم برای صفحه قفل Morse که وقتی کسی مجبورتان می‌کند اپلیکیشن را باز کنید، می‌توانید واردش کنید، و به‌جای باز کردن اپلیکیشن، همه‌چیز را پاک می‌کند. در یکی از به‌روزرسانی‌های آینده می‌آید.

تا آن موقع، دو چیز کمک می‌کند چیز زیادی در خطر نباشد. برای چت‌هایی که مهم‌اند پیام‌های ناپدیدشونده را روشن کنید تا از اول چیز کمتری روی گوشی‌تان باشد. و Morse دستگاه متصل ندارد، پس هیچ‌کس نمی‌تواند وقتی گوشی شما دستش است، با اضافه کردن بی‌سروصدای یک دستگاه پیام‌هایتان را از گوشی دیگری بخواند.