У большинства телефонов нет PIN-кода принуждения, поэтому мы встроили экстренное удаление в Morse Messenger

PIN-код принуждения (по-английски duress PIN) это второй код разблокировки. Вы настраиваете его рядом с обычным. Если кто-то когда-нибудь будет давить на вас, чтобы вы разблокировали телефон, вы вводите вместо обычного кода PIN-код принуждения, и телефон не открывается, а стирает себя.

Идея простая. Сквозное шифрование защищает ваши сообщения в пути, а заблокированный телефон защищает их, пока они на нём хранятся. Ни то ни другое не помогает, если вас заставили его разблокировать. В этот момент удаление остаётся единственной защитой.

И дело не только в вас. В ваших чатах есть и чужие слова: друга, который рассказал вам что-то по секрету, вашей семьи, людей, с которыми вы работаете. Удаление защищает и их.

Несколько ситуаций, когда это важно:

• Кто-то выхватывает ваш телефон, пока он разблокирован, или заставляет вас его разблокировать.
• Партнёр, который проверяет ваш телефон. Если вы в контролирующих отношениях, держать на телефоне чат с другом или с тем, кто вам помогает, может быть опасно.
• Журналисты, активисты и все, кому доверяют что-то важное. Если вы работаете с источниками, обо всём остальном рассказывает наше руководство о сообщениях для журналистов.

Почти наверняка нет. GrapheneOS, альтернативная система Android для телефонов Pixel, добавила его в 2024 году. Если ввести его там, где телефон просит PIN, он «безвозвратно сотрёт устройство», как говорит сама GrapheneOS.

На iPhone, телефонах Samsung и Pixel со стандартной системой Google ничего подобного нет. Самое близкое на iPhone: настройка, которая стирает его после 10 неудачных попыток ввода код-пароля, но она не поможет, если вас заставят ввести правильный. А стирание всего телефона уносит с собой всё: ваши фото, другие приложения, вообще всё.

Мессенджеры в основном тоже не закрывают этот пробел. Большинство позволяют только удалить аккаунт или очистить чаты внутри приложения, а у ваших собеседников обычно остаётся своя копия.

Поэтому мы встроили его в Morse. Экстренное удаление по умолчанию выключено, потому что кнопка, которая удаляет всё, не должна нажиматься случайно. Чтобы его включить:

1. 1Откройте вкладку Вы, затем раздел Конфиденциальность & Безопасность.
2. 2Выберите пункт Тревожная кнопка. В следующем обновлении он получит новое название: Экстренное удаление.
3. 3Включите параметр Показывать тревожную кнопку. Если хотите, включите и параметр Также удалить сохранённые фото и видео.

После этого кнопка удаления появится в приложении и на экране блокировки Morse. Два нажатия удаляют всё: кнопка, затем Удалить всё. Разблокировать Morse перед этим не нужно.

Morse доступен для iPhone. Экстренное удаление есть и в приложении для Android, которое скоро выйдет.

За несколько секунд:

1. 1Morse просит наш сервер удалить ваш аккаунт, пока у телефона ещё есть связь.
2. 2Он уничтожает ключ, которым открывается база данных Morse. Все сообщения и все контакты в ней сразу становятся нечитаемыми.
3. 3Он удаляет файлы базы данных и всё, что ключ не покрывает: открытые вами фото и видео, голосовые записи и записи с камеры, временные файлы, уведомления на экране, счётчик на значке приложения и буфер обмена, если там ещё лежит то, что вы скопировали в Morse.
4. 4Он проверяет, что ничего не осталось, и ещё раз проходится по всему, что уцелело.
5. 5Телефоны ваших контактов удаляют ваш личный чат с ними, а вас удаляют из своих контактов.

После этого Morse снова показывает экран приветствия, как будто его только что установили. И восстанавливать тоже нечего: ключи, которые открывают данные Morse, хранятся только для вашего телефона, поэтому даже его резервную копию нельзя прочитать на другом устройстве.

Зачем уничтожать ключ, а не удалять файлы? На флеш-памяти телефона удаление файла не гарантирует, что он исчезнет. Чип распределяет запись по разным ячейкам, чтобы они изнашивались равномерно, поэтому старые данные могут оставаться там, куда приложению не добраться. Так что Morse не полагается на удаление. Его база данных зашифрована на вашем телефоне ключом, который хранится в защищённом хранилище ключей телефона. Уничтожьте этот ключ, и всё, что осталось на чипе, превращается в шум. Это называется криптографическим стиранием, и с десятью тысячами сообщений оно занимает не больше времени, чем с десятью.

Но разве этот ключ не просто ещё одни данные на том же чипе? Справедливый вопрос, и ответ на него даёт блокировка PIN-кодом. Когда блокировка PIN-кодом в Morse включена, сам ключ базы данных заперт дважды: вашим PIN и ключом, который хранит Secure Enclave на iPhone или Android Keystore на Android и который никогда нельзя скопировать за пределы телефона. При удалении стирается и этот аппаратный ключ. Так что даже если где-то на чипе останется запертая копия ключа базы данных, уже не существует ничего, что могло бы её открыть.

Почему оно работает на экране блокировки? Потому что для уничтожения ключа никакой ключ не нужен. Удаление никогда не открывает базу данных, поэтому Morse может выполнить его без вашего PIN. Единственное, что нужно для удаления, пока Morse заблокирован, это разрешение удалить ваш аккаунт на нашем сервере. Для этого Morse хранит токен удаления, который можно прочитать и при блокировке. Он годится только для удаления аккаунта: ничего прочитать или отправить с ним нельзя.

Почему сначала сервер: телефоны ваших контактов узнают, что вас больше нет, только от нашего сервера. Поэтому Morse сначала обращается к серверу, пока телефон ещё на связи, и ждёт совсем недолго. Медленная сеть никогда не задерживает удаление на вашем телефоне: если ответа нет, телефон всё равно будет очищен.

Перед всем этим Morse останавливает всё, что работает в фоне, чтобы ничто не записало новые данные посреди удаления. Затем удаляется аккаунт, потом ключ, потом файлы, а в конце идёт проверка.

Сложнее всего было с сохранёнными фото. iPhone не умеет выдавать список «фото, которые сохранило это приложение», поэтому Morse сам ведёт такой список, сохраняя каждое фото, и по нему их удаляет. iOS просит вас подтвердить удаление фото, таково правило Apple, поэтому Morse сначала удаляет ваши чаты, и этот вопрос ничего не может задержать. На Android 10 и новее Morse удаляет фото и видео, которые сохранил в свои папки.

Если хотите полную картину того, как Morse хранит и защищает ваши данные, она есть в нашем техническом документе о безопасности (на английском).

Удаление кажется простым делом: удалить всё. Больше всего работы ушло на места, где прячется это «всё», и на то, что может помешать:

• Сообщение может прийти посреди удаления. На iPhone уведомлениями занимается небольшой отдельный процесс, который может проснуться в любой момент, и сообщение, сохранённое им, пока уничтожалась база данных, могло бы уцелеть. Поэтому ещё до того, как что-то будет стёрто, удаление велит этому процессу прекратить запись.
• Часть очистки идёт через службы самого телефона: очистка счётчика на значке приложения, уведомлений на экране и подсказок, которые телефон запомнил из ваших чатов. Они могут отвечать медленно. Ни одна из них не может задержать удаление: каждой даётся короткий лимит времени, и удаление идёт дальше.
• Файл не исчезает, пока на него что-то ссылается. Чтобы воспроизводить видео, приложение создаёт дополнительные ссылки на расшифрованные файлы, поэтому удаление одной только папки с медиафайлами оставило бы эти видео на телефоне. Вместо этого удаление очищает всю временную папку, что бы в ней ни лежало.
• Чтобы удалить фото, сохранённые Morse, на iPhone нужен полный доступ к вашей медиатеке, который Morse больше ни для чего не запрашивает. Поэтому это отдельный параметр: вы даёте такой доступ, только если хотите, чтобы удалились и эти фото.

Удаление хорошо ровно настолько, насколько хорош его список. Мессенджер хранит данные в большем количестве мест, чем можно подумать: база данных, хранилище ключей телефона, настройки, кэши, временные файлы, части приложения, которые работают в фоне. Все они собраны в одном списке, и на iPhone, и на Android, с тестами.

Этот список может отстать, только когда приложение растёт, поэтому мы сделали так, чтобы забыть было трудно: правило в нашей кодовой базе гласит, что ни одно новое место хранения данных не попадает в релиз, пока его не добавят в удаление, с тестом, в том же изменении.

И удаление никогда не полагается на то, что всё получилось. Закончив, оно проверяет каждый пункт списка и ещё раз проходится по всему, что осталось.

На нашей стороне при удалении стирается ваш аккаунт и всё, что с ним связано: ваши ключи, сообщения, которые ещё ждали доставки вам, ваша регистрация для push-уведомлений, ваш зашифрованный профиль и фото, ваши ожидающие ответа запросы на контакт и ваши профили в группах. Затем сервер сообщает телефонам ваших контактов, что вас больше нет.

Запись о вашей подписке App Store остаётся, но помечается как использованная и больше не связана с вашим Morse ID, поэтому её нельзя перенести на новый аккаунт. А ваши сообщения на нашем сервере и так никогда нельзя было прочитать: он только передаёт дальше зашифрованные сообщения.

Лучше знать ограничения сейчас, чем обнаружить их в самый неподходящий момент:

Отменить нельзя. Аккаунт удалён, и вам понадобится новый.

Экстренное удаление выручает до того, как всё случилось. PIN-код принуждения выручает в сам момент: это второй PIN для экрана блокировки Morse, который можно ввести, когда вас заставляют открыть приложение, и который вместо открытия удаляет всё. Он появится в одном из будущих обновлений.

А пока две вещи помогут снизить риски. Включите исчезающие сообщения в важных чатах, чтобы на телефоне изначально хранилось меньше. И у Morse нет связанных устройств, поэтому никто не сможет читать ваши сообщения с другого телефона, незаметно добавив такое устройство, пока ваш телефон у него в руках.