Kebanyakan ponsel tidak punya duress PIN, jadi kami membuat fitur hapus darurat di Morse Messenger

Duress PIN (PIN paksaan) adalah kode buka kunci kedua. Anda mengaturnya di samping kode yang biasa. Jika suatu saat ada yang menekan Anda untuk membuka kunci ponsel, Anda mengetik duress PIN itu, dan ponsel menghapus dirinya sendiri alih-alih terbuka.

Idenya sederhana. Enkripsi ujung ke ujung melindungi pesan Anda selama dalam perjalanan, dan ponsel yang terkunci melindunginya selama tersimpan di sana. Keduanya tidak membantu begitu ada yang memaksa Anda membuka kuncinya. Pada saat itu, menghapus adalah satu-satunya perlindungan yang tersisa.

Dan ini bukan hanya soal Anda. Obrolan Anda juga menyimpan kata-kata orang lain: teman yang menceritakan rahasia kepada Anda, keluarga Anda, orang-orang yang bekerja dengan Anda. Menghapus juga melindungi mereka.

Beberapa saat ketika ini penting:

• Seseorang merebut ponsel Anda saat sedang terbuka, atau memaksa Anda membukanya.
• Pasangan yang suka memeriksa ponsel Anda. Bagi orang yang berada dalam hubungan yang mengekang, obrolan dengan teman atau pendamping bisa berbahaya jika ada di ponselnya.
• Jurnalis, aktivis, dan siapa pun yang dipercaya orang untuk menyimpan hal sensitif. Jika Anda bekerja dengan narasumber, panduan kami tentang berkirim pesan untuk jurnalis membahas sisanya.

Hampir pasti tidak. GrapheneOS, sistem Android alternatif untuk ponsel Pixel, menambahkannya pada 2024. Bila diketik di mana pun ponsel meminta PIN-nya, PIN itu akan “menghapus perangkat tanpa bisa dipulihkan”, menurut kata-kata GrapheneOS sendiri.

iPhone, ponsel Samsung, dan Pixel dengan perangkat lunak asli Google tidak punya yang seperti itu. Yang paling mendekati di iPhone adalah setelan yang menghapus isinya setelah 10 kali gagal memasukkan kode sandi, dan itu tidak membantu ketika ada yang memaksa Anda mengetik kode yang benar. Lagi pula, menghapus seluruh ponsel berarti semuanya ikut hilang: foto Anda, aplikasi Anda yang lain, semuanya.

Aplikasi pesan pun kebanyakan tidak menutup celah ini. Sebagian besar hanya memungkinkan Anda menghapus akun atau membersihkan obrolan dari dalam aplikasi, dan orang yang Anda ajak bicara biasanya tetap menyimpan salinannya.

Karena itu kami membangunnya di Morse. Hapus darurat nonaktif secara default, karena tombol yang menghapus semuanya tidak boleh jadi tombol yang bisa tertekan tanpa sengaja. Untuk menyalakannya:

1. 1Buka tab Anda, lalu Privasi & Keamanan.
2. 2Ketuk Tombol panik. Namanya berganti menjadi Hapus darurat di pembaruan kami berikutnya.
3. 3Nyalakan Tampilkan tombol panik. Jika mau, nyalakan Hapus juga foto & video yang tersimpan.

Sejak itu, tombol hapus muncul di aplikasi dan di layar kunci Morse. Dua ketukan menghapus semuanya: tombolnya, lalu Hapus Semua. Anda tidak perlu membuka kunci Morse lebih dulu.

Morse tersedia untuk iPhone. Hapus darurat juga ada di aplikasi Android, yang akan segera hadir.

Dalam beberapa detik:

1. 1Morse meminta server kami menghapus akun Anda, selagi ponsel Anda masih tersambung.
2. 2Morse menghancurkan kunci yang membuka database Morse. Setiap pesan dan setiap kontak di dalamnya langsung tidak bisa dibaca.
3. 3Morse menghapus file database dan semua yang tidak dicakup kunci itu: foto dan video yang Anda buka, rekaman suara dan kamera, file sementara, notifikasi di layar Anda, lencana aplikasi, dan papan klip Anda jika masih menyimpan sesuatu yang Anda salin di Morse.
4. 4Morse memeriksa bahwa tidak ada yang tersisa, dan mengulang untuk apa pun yang masih bertahan.
5. 5Ponsel kontak Anda menghapus obrolan pribadi Anda dengan mereka, dan menghapus Anda dari kontak mereka.

Lalu Morse kembali ke layar sambutannya, seolah baru saja dipasang. Tidak ada pula yang bisa dikembalikan: kunci yang membuka data Morse disimpan khusus untuk ponsel Anda, jadi cadangannya pun tidak bisa dibaca di perangkat lain.

Mengapa menghancurkan kunci, bukan menghapus file? Di penyimpanan flash ponsel, menghapus file tidak menghilangkannya secara andal. Cip menyebar penulisannya ke berbagai tempat agar ausnya merata, sehingga data lama bisa tertinggal di tempat yang tidak terjangkau aplikasi. Jadi Morse tidak mengandalkan penghapusan. Databasenya terenkripsi di ponsel Anda dengan kunci yang disimpan di penyimpanan kunci terlindungi milik ponsel. Hancurkan kunci itu, dan apa pun yang tersisa di cip hanyalah data acak. Itu disebut crypto-erase, dan prosesnya tidak lebih lama untuk sepuluh ribu pesan dibanding untuk sepuluh.

Tetapi bukankah kunci itu juga sekadar data lain di cip yang sama? Pertanyaan yang wajar, dan jawabannya adalah kunci PIN. Saat kunci PIN Morse dinyalakan, kunci database itu sendiri dikunci dua kali: dengan PIN Anda, dan dengan kunci yang dipegang Secure Enclave di iPhone atau Android Keystore di Android, yang tidak pernah bisa disalin keluar dari ponsel. Penghapusan juga menghapus kunci perangkat keras itu. Jadi, meskipun salinan terkunci dari kunci database masih tertinggal di suatu tempat di cip, sudah tidak ada lagi yang bisa membukanya.

Mengapa bisa berjalan di layar kunci? Karena Anda tidak butuh kunci untuk menghancurkan kunci. Penghapusan tidak pernah membuka database, jadi Morse bisa melakukannya tanpa PIN Anda. Satu-satunya yang dibutuhkan penghapusan saat Morse terkunci adalah izin untuk menghapus akun Anda di server kami. Untuk itu Morse menyimpan token penghapusan yang bisa dibaca saat terkunci. Token itu hanya berguna untuk menghapus akun: tidak bisa membaca atau mengirim apa pun.

Mengapa server didahulukan: ponsel kontak Anda hanya tahu Anda sudah pergi dari server kami. Jadi Morse menghubungi server lebih dulu, selagi ponsel Anda masih tersambung, dan hanya menunggu sebentar. Jaringan yang lambat tidak pernah menahan penghapusan di ponsel Anda: jika tidak ada jawaban, ponsel Anda tetap dihapus.

Sebelum semua itu, Morse menghentikan semua yang dijalankannya di latar belakang, agar tidak ada yang menulis data baru di tengah penghapusan. Lalu akun dihapus, lalu kunci, lalu file, lalu pemeriksaan.

Foto yang tersimpan adalah bagian yang rumit. iPhone tidak bisa menampilkan daftar “foto yang disimpan aplikasi ini”, jadi Morse membuat daftarnya sendiri setiap kali menyimpan foto, dan memakai daftar itu untuk menghapusnya. iOS meminta Anda mengonfirmasi penghapusan foto, itu aturan Apple, jadi Morse menghapus obrolan Anda lebih dulu dan pertanyaan itu tidak bisa menahan apa pun. Di Android 10 dan yang lebih baru, Morse menghapus foto dan video yang disimpannya di foldernya sendiri.

Jika Anda ingin gambaran lengkap tentang cara Morse menyimpan dan melindungi data Anda, semuanya ada di white paper keamanan kami (dalam bahasa Inggris).

Penghapusan terdengar sederhana: hapus semuanya. Sebagian besar pekerjaan justru tercurah pada tempat-tempat “semuanya” itu bersembunyi, dan pada hal-hal yang bisa menghalangi:

• Sebuah pesan bisa tiba di tengah penghapusan. Di iPhone, notifikasi ditangani oleh proses kecil terpisah yang bisa aktif kapan saja, dan pesan yang disimpannya saat database sedang dihancurkan bisa saja bertahan. Jadi sebelum apa pun dihapus, penghapusan memberi tahu proses itu untuk berhenti menulis.
• Sebagian pembersihan berjalan lewat layanan ponsel itu sendiri: membersihkan lencana aplikasi, notifikasi di layar Anda, saran yang dipelajari ponsel Anda dari obrolan Anda. Layanan itu bisa lambat menjawab. Tidak satu pun boleh menahan penghapusan: masing-masing diberi batas waktu singkat, lalu penghapusan berlanjut.
• File belum hilang selama masih ada sesuatu yang menunjuk ke sana. Untuk memutar video, aplikasi membuat tautan tambahan ke file yang sudah didekripsi, jadi menghapus folder media saja akan meninggalkan video itu di ponsel. Karena itu, penghapusan mengosongkan seluruh folder sementara, apa pun isinya.
• Menghapus foto yang disimpan Morse memerlukan akses penuh ke pustaka foto Anda di iPhone, yang selain itu tidak pernah diminta Morse. Karena itulah ini sakelar terpisah: Anda hanya memberi akses itu jika ingin foto-foto tersebut ikut dihapus.

Penghapusan hanya sebaik daftarnya. Aplikasi pesan menyimpan banyak hal di lebih banyak tempat daripada yang Anda kira: database, penyimpanan kunci ponsel, setelan, cache, file sementara, bagian aplikasi yang berjalan di latar belakang. Semuanya ada dalam satu daftar, di iPhone maupun Android, dengan pengujian.

Daftar itu hanya bisa tertinggal saat aplikasinya berkembang, jadi kami membuatnya sulit dilupakan: sebuah aturan di basis kode kami menyatakan bahwa tidak ada tempat baru untuk menyimpan data yang boleh dirilis tanpa ditambahkan ke penghapusan, dengan pengujian, dalam perubahan yang sama.

Dan penghapusan tidak pernah berasumsi dirinya berhasil. Setelah selesai, penghapusan memeriksa setiap item di daftar dan mengulang untuk apa pun yang masih ada.

Di pihak kami, akun Anda dihapus beserta semua yang terkait dengannya: kunci Anda, pesan yang masih menunggu untuk dikirimkan kepada Anda, pendaftaran notifikasi push Anda, profil dan foto Anda yang terenkripsi, permintaan kontak Anda yang tertunda, dan profil Anda di grup. Lalu server memberi tahu ponsel kontak Anda bahwa Anda sudah pergi.

Catatan langganan App Store Anda tetap ada, ditandai sudah terpakai dan tidak lagi terkait dengan Morse ID Anda, jadi tidak bisa dipindahkan ke akun baru. Sejak awal, pesan Anda memang tidak pernah bisa dibaca di server kami: server hanya meneruskan pesan terenkripsi.

Lebih baik tahu batasannya sekarang daripada baru mengetahuinya di saat terburuk:

Tidak bisa dibatalkan. Akunnya hilang, dan Anda perlu membuat akun baru.

Hapus darurat melindungi saat-saat sebelumnya. Duress PIN melindungi saat itu sendiri: PIN kedua untuk layar kunci Morse yang bisa Anda ketik ketika seseorang memaksa Anda membuka aplikasi, dan yang menghapus semuanya alih-alih membukanya. Fitur ini akan hadir di pembaruan mendatang.

Sampai saat itu, ada dua hal yang membuat risikonya tetap kecil. Nyalakan pesan menghilang untuk obrolan yang penting, agar sejak awal tidak banyak yang tersimpan di ponsel Anda. Dan Morse tidak punya perangkat tertaut, jadi tidak ada yang bisa membaca pesan Anda dari ponsel lain dengan diam-diam menambahkan perangkat saat memegang ponsel Anda.