ברוב הטלפונים אין קוד מצוקה, אז בנינו מחיקת חירום ל-Morse Messenger

קוד מצוקה (באנגלית duress PIN) הוא קוד פתיחה שני. מגדירים אותו לצד הקוד הרגיל. אם מישהו אי פעם יפעיל עליכם לחץ לפתוח את הטלפון, אתם מקלידים את קוד המצוקה במקום, והטלפון מוחק את עצמו במקום להיפתח.

הרעיון פשוט. הצפנה מקצה לקצה מגינה על ההודעות שלכם בדרך, וטלפון נעול מגן עליהן כשהן שמורות בו. אף אחד מהם לא עוזר ברגע שמישהו מכריח אתכם לפתוח אותו. באותו רגע, המחיקה היא ההגנה היחידה שנשארה.

וזה לא נוגע רק לכם. בצ'אטים שלכם יש גם מילים של אנשים אחרים: החבר שסיפר לכם משהו בסוד, המשפחה שלכם, האנשים שאתם עובדים איתם. המחיקה מגינה גם עליהם.

כמה רגעים שבהם זה משנה:

• מישהו חוטף לכם את הטלפון כשהוא פתוח, או מכריח אתכם לפתוח אותו.
• בן או בת זוג שבודקים לכם את הטלפון. למי שנמצא במערכת יחסים שולטנית, צ'אט עם חבר או עם מישהו שעוזר לו יכול להיות מסוכן אם הוא נמצא בטלפון.
• עיתונאים, פעילים וכל מי שמפקידים בידיו משהו רגיש. אם אתם עובדים עם מקורות, המדריך שלנו על אפליקציית מסרים לעיתונאים מכסה את השאר.

כמעט בוודאות לא. GrapheneOS, מערכת Android חלופית לטלפוני Pixel, הוסיפה קוד כזה ב-2024. כשמקלידים אותו בכל מקום שבו הטלפון מבקש את קוד ה-PIN שלו, הוא "מוחק את המכשיר באופן בלתי הפיך", כלשונה של GrapheneOS.

למכשירי iPhone, לטלפונים של Samsung ולמכשירי Pixel עם התוכנה של Google עצמה אין שום דבר דומה. הדבר הכי קרוב ב-iPhone הוא הגדרה שמוחקת אותו אחרי 10 ניסיונות כושלים להזין את קוד הגישה, וזה לא עוזר כשמישהו מכריח אתכם להקליד את הקוד הנכון. ומחיקה של טלפון שלם לוקחת איתה הכול: התמונות שלכם, שאר האפליקציות, הכול.

גם אפליקציות המסרים ברובן לא סוגרות את הפער. רובן מאפשרות רק למחוק את החשבון או לנקות את הצ'אטים מתוך האפליקציה, והאנשים שדיברתם איתם בדרך כלל נשארים עם העותק שלהם.

אז בנינו את זה לתוך Morse. מחיקת החירום כבויה כברירת מחדל, כי לחצן שמוחק הכול לא אמור להיות כזה שלוחצים עליו בטעות. כדי להפעיל אותה:

1. 1פתחו את לשונית אתה, ואז את פרטיות & אבטחה.
2. 2הקישו על לחצן מצוקה. בעדכון הבא שלנו הוא יקבל את השם החדש שלו: מחיקת חירום.
3. 3הפעילו את האפשרות הצג את לחצן החירום. אם תרצו, הפעילו גם את האפשרות מחק גם תמונות וסרטונים שמורים.

מאותו רגע מופיע לחצן מחיקה באפליקציה ובמסך הנעילה של Morse. שתי הקשות מוחקות הכול: הלחצן, ואז מחק הכול. לא צריך לפתוח את Morse קודם.

Morse זמין ל-iPhone. מחיקת החירום נמצאת גם באפליקציית Android, שתגיע בקרוב.

בתוך כמה שניות:

1. 1Morse מבקש מהשרת שלנו למחוק את החשבון שלכם, כל עוד יש לטלפון חיבור.
2. 2הוא משמיד את המפתח שפותח את מסד הנתונים של Morse. כל הודעה וכל איש קשר בו הופכים בבת אחת לבלתי קריאים.
3. 3הוא מוחק את קובצי מסד הנתונים ואת כל מה שהמפתח לא מכסה: תמונות וסרטונים שפתחתם, הקלטות קול ומצלמה, קבצים זמניים, התראות על המסך, המספר על סמל האפליקציה, ואת לוח ההעתקה אם עדיין שמור בו משהו שהעתקתם ב-Morse.
4. 4הוא בודק שלא נשאר כלום, ועובר שוב על כל מה ששרד.
5. 5הטלפונים של אנשי הקשר שלכם מסירים את הצ'אט אחד על אחד שלהם איתכם, ואתכם מאנשי הקשר שלהם.

ואז Morse חוזר למסך הברוכים הבאים, כאילו הותקן הרגע. וגם אין מה לשחזר: המפתחות שפותחים את הנתונים של Morse שמורים רק עבור הטלפון שלכם, כך שאפילו גיבוי שלו לא ניתן לקריאה במכשיר אחר.

למה להשמיד מפתח במקום למחוק קבצים? בזיכרון הפלאש של טלפון, מחיקת קובץ לא מסירה אותו באופן אמין. השבב מפזר את הכתיבות שלו כדי להישחק באופן אחיד, כך שנתונים ישנים יכולים להישאר במקומות שאפליקציה לא מגיעה אליהם. לכן Morse לא סומך על מחיקה. מסד הנתונים שלו מוצפן בטלפון שלכם במפתח שנשמר באחסון המפתחות המוגן של הטלפון. משמידים את המפתח, ומה שנשאר על השבב הוא רעש. זה נקרא מחיקה קריפטוגרפית (crypto-erase), והיא לא לוקחת יותר זמן עם עשרת אלפים הודעות מאשר עם עשר.

אבל האם המפתח הזה הוא לא בסך הכול עוד נתונים על אותו שבב? שאלה הוגנת, והתשובה היא נעילת ה-PIN. כשנעילת ה-PIN של Morse פועלת, מפתח מסד הנתונים עצמו נעול פעמיים: פעם בקוד ה-PIN שלכם, ופעם במפתח שמוחזק ב-Secure Enclave ב-iPhone או ב-Android Keystore ב-Android, מפתח שאי אפשר אף פעם להעתיק אל מחוץ לטלפון. המחיקה מוחקת גם את מפתח החומרה הזה. כך שגם אם עותק נעול של מפתח מסד הנתונים נשאר איפשהו על השבב, כבר לא קיים שום דבר שיכול לפתוח אותו.

למה זה יכול לפעול במסך הנעילה? כי לא צריך מפתח כדי להשמיד אותו. המחיקה אף פעם לא פותחת את מסד הנתונים, כך ש-Morse יכול לבצע אותה בלי קוד ה-PIN שלכם. הדבר היחיד שהמחיקה צריכה בזמן ש-Morse נעול הוא הרשאה למחוק את החשבון שלכם בשרת שלנו. בשביל זה Morse שומר אסימון מחיקה שאפשר לקרוא גם כשהוא נעול. האסימון טוב רק למחיקת החשבון: הוא לא יכול לקרוא או לשלוח שום דבר.

למה השרת קודם: הטלפונים של אנשי הקשר שלכם יודעים שנעלמתם רק מהשרת שלנו. לכן Morse פונה קודם לשרת, כל עוד הטלפון שלכם עדיין מחובר, ומחכה רק זמן קצר. רשת איטית אף פעם לא מעכבת את המחיקה בטלפון שלכם: אם לא מגיעה תשובה, הטלפון נמחק בכל מקרה.

לפני כל זה, Morse עוצר את כל מה שהוא מריץ ברקע, כך ששום דבר לא כותב נתונים חדשים באמצע המחיקה. אחר כך הולך החשבון, אחר כך המפתח, אחר כך הקבצים, ואז הבדיקה.

התמונות השמורות היו החלק המסובך. iPhone לא יכול להציג רשימה של "התמונות שהאפליקציה הזו שמרה", אז Morse מנהל רשימה משלו בכל פעם שהוא שומר תמונה, ומשתמש בה כדי למחוק אותן. iOS מבקש מכם לאשר מחיקת תמונות, זה הכלל של Apple, ולכן Morse מוחק קודם את הצ'אטים שלכם, כך שהשאלה הזו לא יכולה לעכב שום דבר. ב-Android 10 ומעלה, Morse מוחק את התמונות והסרטונים ששמר בתיקיות שלו.

אם אתם רוצים את התמונה המלאה של איך Morse שומר ומגן על הנתונים שלכם, היא נמצאת במסמך האבטחה הטכני שלנו (באנגלית).

מחיקה נשמעת פשוטה: למחוק הכול. רוב העבודה הלכה על המקומות שבהם "הכול" מסתתר, ועל הדברים שיכולים להפריע:

• הודעה יכולה להגיע באמצע מחיקה. ב-iPhone, ההתראות מטופלות בידי תהליך קטן ונפרד שיכול להתעורר בכל רגע, והודעה שהוא שמר בזמן שמסד הנתונים הושמד הייתה יכולה לשרוד. לכן, לפני שמשהו נמחק, המחיקה אומרת לתהליך הזה להפסיק לכתוב.
• חלק מהניקוי עובר דרך השירותים של הטלפון עצמו: ניקוי המספר על סמל האפליקציה, ההתראות על המסך, וההצעות שהטלפון שלכם למד מהצ'אטים שלכם. השירותים האלה יכולים להתעכב בתשובה. אף אחד מהם לא יכול לעכב את המחיקה: כל אחד מקבל זמן קצוב קצר, ואז המחיקה ממשיכה הלאה.
• קובץ לא נעלם כל עוד משהו עדיין מצביע עליו. כדי לנגן סרטונים, האפליקציה יוצרת קישורים נוספים לקבצים מפוענחים, כך שמחיקה של תיקיית המדיה לבדה הייתה משאירה את הסרטונים האלה בטלפון. לכן המחיקה מרוקנת במקום זאת את כל התיקייה הזמנית, לא משנה מה יש בה.
• מחיקת התמונות ש-Morse שמר דורשת ב-iPhone גישה מלאה לספריית התמונות שלכם, גישה ש-Morse לא מבקש בשום מצב אחר. לכן זו אפשרות נפרדת: אתם נותנים את הגישה הזו רק אם אתם רוצים שגם התמונות האלה יימחקו.

מחיקה טובה רק כמו הרשימה שלה. אפליקציית מסרים שומרת דברים ביותר מקומות ממה שהייתם חושבים: מסד הנתונים, אחסון המפתחות של הטלפון, הגדרות, מטמונים, קבצים זמניים, החלקים של האפליקציה שרצים ברקע. כל אחד מהם נמצא ברשימה אחת, גם ב-iPhone וגם ב-Android, עם בדיקות.

הרשימה הזו יכולה להתיישן רק כשהאפליקציה גדלה, אז דאגנו שיהיה קשה לשכוח: כלל בבסיס הקוד שלנו קובע ששום מקום חדש לשמירת נתונים לא משוחרר בלי שנוסף למחיקה, עם בדיקה, באותו שינוי.

והמחיקה אף פעם לא מניחה שהיא הצליחה. כשהיא מסיימת, היא בודקת כל פריט ברשימה ועוברת שוב על כל מה שעדיין שם.

אצלנו, המחיקה מוחקת את החשבון שלכם ואת כל מה שקשור אליו: המפתחות שלכם, הודעות שעדיין ממתינות למסירה אליכם, הרישום שלכם להתראות פוש, הפרופיל והתמונה המוצפנים שלכם, בקשות קשר ממתינות שלכם והפרופילים שלכם בקבוצות. אחר כך השרת מודיע לטלפונים של אנשי הקשר שלכם שנעלמתם.

רשומת המנוי שלכם ב-App Store נשארת, מסומנת כמנוצלת וכבר לא קשורה ל-Morse ID שלכם, כך שאי אפשר להעביר אותה לחשבון חדש. ההודעות שלכם מלכתחילה מעולם לא היו קריאות בשרת שלנו: הוא רק מעביר הלאה הודעות מוצפנות.

עדיף להכיר את הגבולות עכשיו מאשר לגלות אותם ברגע הכי גרוע:

אין ביטול. החשבון נעלם, ותצטרכו חשבון חדש.

מחיקת החירום מכסה את הרגע שלפני. קוד מצוקה מכסה את הרגע עצמו: קוד PIN שני למסך הנעילה של Morse, שאפשר להקליד כשמישהו מכריח אתכם לפתוח את האפליקציה, ושמוחק הכול במקום לפתוח אותה. הוא יגיע בעדכון עתידי.

עד אז, שני דברים שומרים על הסיכון קטן. הפעילו הודעות נעלמות בצ'אטים החשובים, כך שמלכתחילה יהיה פחות בטלפון שלכם. ול-Morse אין מכשירים מקושרים, כך שאף אחד לא יכול לקרוא את ההודעות שלכם מטלפון אחר על ידי הוספה שקטה של מכשיר בזמן שהטלפון שלכם בידיים שלו.