A maioria dos celulares não tem PIN de coação, então criamos o apagamento de emergência no Morse Messenger

Um PIN de coação (em inglês, duress PIN) é um segundo código de desbloqueio. Você o configura ao lado do seu código normal. Se um dia alguém pressionar você a desbloquear o celular, você digita o PIN de coação no lugar, e o celular se apaga em vez de abrir.

A ideia por trás disso é simples. A criptografia de ponta a ponta protege suas mensagens no caminho, e um celular bloqueado as protege enquanto estão guardadas nele. Nenhuma das duas ajuda quando alguém obriga você a desbloquear. Nesse momento, apagar é a única proteção que sobra.

E não se trata só de você. Suas conversas também guardam as palavras de outras pessoas: o amigo que contou algo em confiança, sua família, as pessoas com quem você trabalha. Apagar também protege essas pessoas.

Alguns momentos em que isso faz diferença:

• Alguém pega seu celular enquanto ele está aberto, ou obriga você a abri-lo.
• Um parceiro que fiscaliza seu celular. Para quem vive um relacionamento controlador, ter ali uma conversa com um amigo ou com alguém que está ajudando pode ser perigoso.
• Jornalistas, ativistas e qualquer pessoa a quem confiam algo sensível. Se você trabalha com fontes, nosso guia de mensagens para jornalistas cobre o resto.

Quase certamente não. O GrapheneOS, um sistema Android alternativo para celulares Pixel, ganhou um em 2024. Digitado em qualquer lugar onde o celular pede o PIN, ele vai “apagar o dispositivo de forma irreversível”, nas palavras do próprio GrapheneOS.

iPhones, celulares Samsung e Pixels com o software do próprio Google não têm nada parecido. O mais próximo disso no iPhone é um ajuste que apaga o aparelho depois de 10 tentativas erradas de código, o que não ajuda quando alguém obriga você a digitar o código certo. E apagar o celular inteiro leva tudo junto: suas fotos, seus outros apps, tudo.

Os apps de mensagens também quase nunca preenchem essa lacuna. A maioria só deixa você excluir a conta ou limpar as conversas de dentro do app, e as pessoas com quem você conversou normalmente ficam com a cópia delas.

Então criamos isso no Morse. O apagamento de emergência vem desativado, porque um botão que apaga tudo não deveria ser apertado sem querer. Para ativar:

1. 1Abra a aba Você e depois Privacidade & Segurança.
2. 2Toque em Botão de pânico. Na nossa próxima atualização, ele ganha o novo nome: Apagamento de emergência.
3. 3Ative Mostrar botão de pânico. Se quiser, ative além disso a opção Apagar também as fotos e vídeos salvos.

A partir daí, um botão de apagar aparece no app e na tela de bloqueio do Morse. Dois toques apagam tudo: o botão e depois Apagar Tudo. Você não precisa desbloquear o Morse antes.

O Morse está disponível para iPhone. O apagamento de emergência também está no app para Android, que chega em breve.

Em poucos segundos:

1. 1O Morse pede ao nosso servidor que exclua sua conta, enquanto seu celular ainda tem conexão.
2. 2Ele destrói a chave que abre o banco de dados do Morse. Todas as mensagens e todos os contatos nele ficam ilegíveis na hora.
3. 3Ele exclui os arquivos do banco de dados e tudo o que a chave não cobre: fotos e vídeos que você abriu, gravações de voz e da câmera, arquivos temporários, notificações na sua tela, o indicador no ícone do app e sua área de transferência, se ela ainda tiver algo que você copiou no Morse.
4. 4Ele confere se não sobrou nada e passa de novo por tudo o que tiver resistido.
5. 5Os celulares dos seus contatos removem a sua conversa individual com eles, e removem você dos contatos deles.

Depois, o Morse volta à tela de boas-vindas, como se tivesse acabado de ser instalado. E também não há nada para recuperar: as chaves que abrem os dados do Morse ficam guardadas só para o seu celular, então nem um backup dele pode ser lido em outro aparelho.

Por que destruir uma chave em vez de excluir arquivos? No armazenamento flash de um celular, excluir um arquivo não o remove de forma confiável. O chip espalha as gravações para se desgastar por igual, então dados antigos podem ficar em lugares que um app não alcança. Por isso o Morse não depende de excluir. O banco de dados dele é criptografado no seu celular com uma chave guardada no armazenamento protegido de chaves do celular. Destrua essa chave, e o que sobrar no chip é ruído. Isso se chama apagamento criptográfico, e leva o mesmo tempo com dez mil mensagens ou com dez.

Mas essa chave não é só mais um dado no mesmo chip? Boa pergunta, e a resposta é o bloqueio por PIN. Com o bloqueio por PIN do Morse ativado, a própria chave do banco de dados fica trancada duas vezes: com o seu PIN e com uma chave guardada pelo Secure Enclave no iPhone ou pelo Android Keystore no Android, que nunca pode ser copiada para fora do celular. O apagamento também exclui essa chave de hardware. Então, mesmo que uma cópia trancada da chave do banco de dados fique em algum lugar do chip, não existe mais nada que consiga abri-la.

Por que ele funciona na tela de bloqueio? Porque não é preciso ter uma chave para destruí-la. O apagamento nunca abre o banco de dados, então o Morse consegue fazer isso sem o seu PIN. A única coisa de que o apagamento precisa com o Morse bloqueado é permissão para excluir sua conta no nosso servidor. Para isso, o Morse guarda um token de exclusão, que pode ser lido com o app bloqueado. Ele só serve para excluir a conta: não consegue ler nem enviar nada.

Por que o servidor vem primeiro: os celulares dos seus contatos só ficam sabendo que você saiu pelo nosso servidor. Então o Morse faz o pedido ao servidor primeiro, enquanto seu celular ainda está conectado, e espera só um pouco. Uma rede lenta nunca atrasa o apagamento no seu celular: se não vier resposta, seu celular é apagado mesmo assim.

Antes de tudo isso, o Morse interrompe tudo o que roda em segundo plano, para que nada grave dados novos no meio do apagamento. Depois vai a conta, depois a chave, depois os arquivos e, por fim, a verificação.

As fotos salvas foram a parte difícil. O iPhone não consegue listar “as fotos que este app salvou”, então o Morse mantém a própria lista conforme salva cada uma e usa essa lista para excluí-las. O iOS pede que você confirme a exclusão de fotos, que é uma regra da Apple, então o Morse apaga suas conversas primeiro, e essa pergunta não consegue atrasar nada. No Android 10 e versões mais recentes, o Morse exclui as fotos e os vídeos que salvou nas próprias pastas.

Se você quer o quadro completo de como o Morse guarda e protege seus dados, ele está no nosso white paper de segurança (em inglês).

Um apagamento parece simples: excluir tudo. A maior parte do trabalho foi nos lugares onde esse “tudo” se esconde, e nas coisas que podem atrapalhar:

• Uma mensagem pode chegar no meio de um apagamento. No iPhone, as notificações são tratadas por um pequeno processo separado que pode acordar a qualquer momento, e uma mensagem que ele salvasse enquanto o banco de dados estava sendo destruído poderia sobreviver. Por isso, antes que qualquer coisa seja excluída, o apagamento manda esse processo parar de gravar.
• Parte da limpeza passa pelos serviços do próprio celular: limpar o indicador no ícone do app, as notificações na sua tela, as sugestões que o celular aprendeu com as suas conversas. Esses serviços podem demorar a responder. Nenhum deles pode atrasar o apagamento: cada um tem um limite de tempo curto, e o apagamento segue em frente.
• Um arquivo não some enquanto algo ainda aponta para ele. Para reproduzir vídeos, o app cria links extras para arquivos descriptografados, então excluir só a pasta de mídia teria deixado esses vídeos no celular. Em vez disso, o apagamento esvazia a pasta temporária inteira, seja o que for que houver nela.
• Apagar as fotos que o Morse salvou exige acesso total à sua fototeca no iPhone, que o Morse nunca pede em nenhum outro caso. Por isso é uma opção separada: você só dá esse acesso se quiser que essas fotos também sejam apagadas.

Um apagamento só é tão bom quanto a lista dele. Um app de mensagens guarda coisas em mais lugares do que você imagina: o banco de dados, o armazenamento de chaves do celular, ajustes, caches, arquivos temporários, as partes do app que rodam em segundo plano. Cada um deles está em uma única lista, tanto no iPhone quanto no Android, com testes.

Essa lista só pode ficar para trás quando o app cresce, então fizemos com que fosse difícil esquecer algo: uma regra no nosso código diz que nenhum lugar novo para guardar dados é lançado sem ser adicionado ao apagamento, com um teste, na mesma alteração.

E o apagamento nunca supõe que deu certo. Quando termina, ele confere cada item da lista e passa de novo por tudo o que ainda estiver lá.

Do nosso lado, o apagamento exclui sua conta e tudo o que está ligado a ela: suas chaves, as mensagens que ainda esperavam para ser entregues a você, seu registro de notificações push, seu perfil e sua foto criptografados, suas solicitações de contato pendentes e seus perfis em grupos. Depois, o servidor avisa os celulares dos seus contatos de que você saiu.

O registro da sua assinatura da App Store permanece, marcado como usado e sem vínculo com o seu Morse ID, então não pode ser transferido para uma conta nova. Para começar, suas mensagens nunca puderam ser lidas no nosso servidor: ele só repassa mensagens criptografadas.

Melhor conhecer os limites agora do que descobri-los na pior hora:

Não dá para desfazer. A conta deixa de existir, e você vai precisar de uma nova.

O apagamento de emergência cobre o momento anterior. Um PIN de coação cobre o próprio momento: um segundo PIN para a tela de bloqueio do Morse que você pode digitar quando alguém obriga você a abrir o app, e que apaga tudo em vez de abrir. Ele chega em uma atualização futura.

Até lá, duas coisas deixam menos em jogo. Ative as mensagens temporárias nas conversas que importam, para que já exista menos coisa no seu celular. E o Morse não tem dispositivos conectados, então ninguém consegue ler suas mensagens de outro celular conectando um escondido enquanto está com o seu.