Güvenlik

Mektup cihazında şifrelenir

Mektup, yazdığın cihazdan şifreli çıkar. Sunucuda ve bizde okunamaz bir blok olarak durur. Alıcı için de koşul gerçekleşene kadar öyle kalır.

Uygulama mektubun metnini ve adını telefonda, alıcının açık anahtarıyla mühürler. Sunucuya yalnızca şifreli blok gider. Sunucu bloğu saklar ve açamaz.

Parola sunucuya gitmez

Uygulama paroladan cihazda iki ayrı gizli değer türetir. Biri giriş için sunucuya gider. Öteki anahtar yedeğini şifreler ve cihazdan hiç çıkmaz. Parolasını unutan kişinin yedeğini biz de açamayız.

Anahtarlar ilk görüşte sabitlenir

Uygulama mektup yazdığın her kişinin anahtarını ilk görüşte cihazında sabitler. Sonraki mektuplarda sunucunun verdiği anahtarı bununla karşılaştırır. Anahtar değişmişse mektubu göndermez ve seni uyarır. Sebep çoğu zaman karşı tarafın cihaz ya da parola değiştirmesidir. Kararı sen verirsin.

Adres ve telefon özet olarak saklanır

Sunucu başkasının e-posta adresini ve telefon numarasını düz metin olarak tutmaz. Anahtarlı bir özet (HMAC-SHA256) saklar ve özetten adrese geri dönülemez. Telefon numarası bir kötüye kullanım önlemidir. Uygulama onu, tanımadığın birine koşula bağlı mektup yazmadan önce ister ve yalnızca özetini tutar. Şikâyet eşiğine ulaşan bir hesabın numara özeti on iki ay kalır. Böylece aynı numarayla yeni hesap açılıp aynı şey yapılamaz.

Hesabı olmayan adrese yazmak

Alıcının henüz hesabı yoksa mektup, adresin özetiyle bekler. Adresin kendisi sunucuda durmaz. Mektubun anahtarı senin cihazında ve şifreli yedeğinde bekler. Alıcı hesap açınca cihazın anahtarı ona mühürleyip teslim eder.

Doğrulama bağlantısı kendiliğinden çalışmaz

Hesap silmede adresine bir bağlantı gider. Bağlantı seni bu sitedeki bir sayfaya getirir. Doğrulama ancak o sayfadaki düğmeye bastığında olur. E-posta sunucuları ve güvenlik tarayıcıları gelen bağlantıları senden önce açar. Düğme, bu açılışın senin onayın sayılmasını önler.

Birine ilk kez yazdığında uygulama mektubu ayrıca bir kodla kilitler. Kod bizim sunucumuzdan geçmez, bağlantıyla birlikte alıcıya senin seçtiğin yoldan gider. Sunucu kodu bilmediği için ilk mektubu açamaz. Alıcının hesabı varsa uygulama onun anahtarını iki ayrı kaynaktan alır ve ikisi çelişirse mektubu göndermez. İkinci mektuptan sonra anahtar cihazında kayıtlı kalır, kod gerekmez ve her değişiklik sana gösterilir.

Kendine yazdığın mektubu açacak anahtar zaten senin cihazında durur, bu yüzden onu koşula kadar kapalı tutan şey şifre değil, sunucunun mektubu o güne kadar sana da vermemesidir.

Gördükleri

Sunucu kimin kime yazdığını bilir. Koşulun türünü ve ayarlarını da bilir. Bunlar bir tarih, seçilen bir nokta ve yarıçap ya da bir şehirdir. Mektubun durumunu ve ne zaman açıldığını tutar. Koşulu izlemek için bunlar gerekli.

Görmedikleri

• Mektubun metnini ve adını.
• Parolanı ve anahtar yedeğinin içini.
• Alıcının konumunu. Yere bağlı mektupta varışı alıcının cihazı doğrular ve sunucuya yalnızca "vardı" gider.
• Doğum tarihini ve gün sayısını. "Bir yaşa girdiğinde" ve "belirli bir gün sayısı sonra" koşullarında cihaz yalnızca açılacağı günü gönderir. Kanıt mührüne de yazılmazlar, çünkü mühür sunucunun bildiğini yazar.
• Adres aramasının sonuçlarını. Kaydedilen tek şey dokunduğun nokta. Yerin adı yalnızca senin cihazında kalır ve mektuba girmez.

Alıcının hareketleri

Gönderen, mektubunun okunup okunmadığını ve alıcının uygulamayı ne zaman açtığını göremez. Bu alanlar veritabanı düzeyinde gönderene kapalıdır. Mektup açıldığında gönderene giden haber 6 ile 24 saat arasında rastgele bir gecikmeyle ulaşır. Böylece haber, alıcının o dakika nerede olduğunu söylemez. Seçilen nokta ve yarıçap alıcıya gösterilmez. Alıcı yalnızca mektubun "bir yere gittiğinde" açılacağını bilir.

Engelleme ve ret

Engellenen gönderen, hesabı olmayan birine yazan gönderenle aynı cevabı alır. Bu yüzden engellendiğini anlayamaz. Tanımadığın birinden gelen, henüz açılmamış ilk mektubu reddedebilirsin. Mektup düşer ve gönderene bildirilmez. Kilidi kapatırsan o kişi sana kilitli mektup yazamaz.

Veritabanı ve sunucu işlevleri Frankfurt'ta (Almanya) duruyor. Hata kayıtları Avrupa Birliği'nde tutuluyor. Öteki hizmetlerin adları ve bulundukları yerler aydınlatma metninde yazılı.

Gökyüzü koşulları gönderenin seçtiği şehre göre hesaplanır. Hava koşullarında sunucu o şehre en yakın havalimanı gözlem istasyonunu izler. İkisinde de alıcının konumu istenmez. Bugün ekranındaki hava için seçtiğin şehir hava hizmetine sunucumuz üzerinden gider. Konumun da cihazın da oraya gitmez.

Kapalı test sürümünde uygulama, bir hatanın sebebini tanımadığı zaman Sentry adlı bir hizmete teknik bir hata kaydı gönderiyor. Bu üç yerde olabiliyor. Uygulama beklenmedik biçimde kapanırsa. Ekranda, sonunda kısa bir kod bulunan bir hata cümlesi gösterirse. Ya da arka planda yürüyen bir iş, mektup teslimi gibi, tanımadığı bir hatayla karşılaşırsa; bu son durumda ekranda hiçbir şey görünmüyor. Ağ bağlantısının olmaması ve sunucunun bilinen cevapları (hız sınırı, yanlış parola gibi) hiçbir durumda kayıt üretmiyor.

Ne gönderiliyor

Hatanın yığın izi, yani hangi sınıfta ve hangi satırda durduğu. Bir de cihazın teknik durumu: model ve üretici, Android sürümü, uygulama sürümü, ekran ölçüsü, dil ve saat dilimi, pil düzeyi, boş bellek ve uygulamanın izinleri. Hatanın hangi yolda oluştuğunu söyleyen kısa bir kod da gidiyor.

Ne gönderilmiyor

Mektup metni, mektup kodu, anahtar ve konum hiçbir koşulda gitmiyor. Kullanıcı kimliği, e-posta adresi, kişi adları, cihaz kimliği, ekran görüntüsü ve gezdiğin ekranların listesi de gitmiyor. Uygulama kaydı göndermeden önce içinden kullanıcıyı, gezinme izlerini, istek bilgisini, ek alanları, cihaz kimliğini ve hata mesajının metnini siliyor. Etiketleri de siliyor, yalnız bir tanesi kalıyor: ekranda gösterilen hata kodu. O da yalnızca H harfi ve iki rakamdan oluşuyorsa kalıyor, başka biçimdeyse siliniyor. Uygulama kayda IP adresini koymuyor. Geriye yığın izi, cihazın teknik durumu ve bu kod kalıyor. Bu silme kodun içinde yapılıyor ve her derlemede iki testle sınanıyor.

Nerede saklanıyor, ne kadar

Kişisel veri gönderimi kapalı. Kayıtlar Sentry'nin Avrupa Birliği bölgesinde tutuluyor ve en çok 30 gün sonra siliniyor.

Nasıl kapatılır

Bugün uygulama içinde bir anahtar yok ve kapalı testin süresi boyunca açık. İstemiyorsan beta@untillo.com adresine yaz, sana kapalı bir sürüm gönderelim. Mağaza sürümünde bu hizmetin bulunup bulunmayacağına yayından önce karar verilecek.

Hazine avının bağlantısını açan kişinin uygulamaya ihtiyacı yoktur. Av, av.untillo.com adresinde tarayıcıda oynanır. Konum izni yalnızca bir durağa vardığını göstermek için istenir. Sayfa durağa olan uzaklığı tarayıcının içinde hesaplar ve konum sayfadan çıkmaz. Sunucuya yalnızca "vardı" bilgisi gider. Mektupları açan anahtar bağlantının "#" ile başlayan son parçasında durur. Tarayıcı o parçayı sunucuya göndermez.

Untillo'da bir güvenlik açığı bulduysan info@untillo.com adresine yaz. Bildirimini okuyup sana döneceğiz. Açık düzelene kadar başkasıyla paylaşmamanı rica ediyoruz.