スマホで封をして、
スマホで開きます。

サーバーにあるのは暗号文だけ

投稿・返信・写真・動画・リンクのプレビューは、サーバーに届く前にもう鍵がかかっています。

読む人ごとに封筒を一通

投稿の鍵は読む人ごとに別の封筒に入り、その封筒を開けられるのはその人のスマホだけです。

投稿ごとに新しい鍵

投稿と返信のたびに新しい鍵をつくります。ひとつの投稿の鍵で、別の投稿は開きません。

受け取る人は自分のスマホが決めます

スマホは、自分で持っているFamの名簿に向けて投稿に封をします。その名簿に入るのは、申し込みを受け入れた人か、QRコード・Famのリンクでつながった人だけです。自分が送ったFamのリンクは24時間以内に一度だけ使え、最初に開いた人が確認なしでFamになります — リンクを送ったことが同意です。

投稿はXChaCha20-Poly1305で鍵をかけ、封筒はX25519で封をしてペアの秘密の中に入れます。ペアの秘密はX25519とML-KEM-768を同時に使って共有します。

二台のスマホだけの秘密

ふたりがFamになると、二台のスマホはサーバーに見えない秘密を分け合います。ふたりの間で行き来するものは、すべてこの秘密で行き先が決まります。

アカウントではなく郵便受け

投稿・会話・名刺は、どのアカウントにも結びつかない郵便受けに入り、その番号は30日ごとに変わります。

送り主は封の中に

誰が送ったかは署名とともに封の中に入っていて、受け取ったスマホがその署名を確かめます。

記録に残らない招待

メンバーは、サーバーが中を見ずに発行した招待券を受け取ります。誰かが入るとき、サーバーはその券が本物かどうかだけを確かめます。保存された記録には誰が誰を招き入れたかはありませんが、接続の記録とその瞬間のリクエストからは分かります。

ふたりの秘密はX25519とML-KEM-768を同時に使って封をし、郵便受けの鍵はHKDF-SHA256で導き、送り主はEd25519で署名します。

紙にだけある単語

18個の単語は作るときに一度だけ表示し、書いた単語をいくつか聞き返して確かめます。登録時でも、あとから設定でも作れます。単語はサーバーにもクラウドにもスマホにも残らず、再表示もしません。

単語と暗証番号の両方

単語だけでも暗証番号だけでも開きません。暗証番号は何度か間違えるとロックされ、サーバーは単語そのものではなく、単語から一方向に作った値のハッシュでアカウントを探します。

止められる時間

取り戻しは48時間待ってから完了します。その間、古いスマホはリクエストを見て取り消せます。

サーバーが持つものだけでは開きません

バックアップを開ける秘密は二つに分かれています。片方はサーバーに、もう片方は紙に書いた単語にあります。サーバーを丸ごと持ち去っても、単語がなければ開きません。

単語はBIP39標準の18語、192ビットです。量子コンピューターで総当たりしても2⁹⁶回が必要です。二つの半分はHKDFで合わせてバックアップを開きます。

かけられるのはFamどうしだけ

着信は封をされ、ふたりだけの郵便受けから鳴ります。サーバーは誰が誰にかけたかを記録しません。

発信者は受けるスマホだけが知ります

誰からの着信かは、受けるスマホが自分で開いて着信画面に表示します。サーバーは発信者の名前を知りません。

中継で隠すIPアドレス

通話はふだん中継サーバーを通ってつながります。中継サーバーはふたつのスマホのIPアドレスを見ますが、暗号化された音声は開けず、相手に自分のIPアドレスは見えません。スマホが中継の情報を受け取れないときはふたつのスマホが直接つながり、そのときはお互いのIPアドレスが見えることがあります。

二台のスマホが署名した接続

二台のスマホは接続情報にそれぞれの鍵で署名します。途中で何かが差し替えられれば、通話はつながりません。

接続情報は、それぞれのEd25519のアカウント鍵で署名します。

アプリのロック

スマホの顔認証・指紋認証やパスコードでKryptonをロックします。すぐに、またはアプリを離れて1分・15分・1時間後に。オンのあいだは、アプリの切り替え画面にも中身は映りません。設定はこのスマホにだけ置き、サーバーはロックを使っているかを知りません。

名刺を見る人

名刺は封をしてあります。「Famのみ」か「全体に公開」を選べ、どちらでも元の写真はFamにだけ届きます。範囲を狭めると、スマホが新しい鍵で名刺に封をし直します。

スクリーンショットを防ぎます

Kryptonで見ている画面は、キャプチャも録画もできません。

消える投稿

消える投稿にすると、表示されてから24時間後に、投稿・会話・写真がまとめて消えます。

両方を破らないと開かない

2つの暗号から得た秘密をひとつにまとめて封をします。片方に弱点が見つかっても、もう片方が守ります。SignalやiMessageが選んだのと同じハイブリッド方式です。

外側の層はすべて両方の暗号で

Famの申し込みとペアごとの秘密を共有するメモ、封をしたバックアップ、取り戻す方法、招待のパッケージ、通報など、鍵を渡す外側の層はすべて両方の暗号で封をします。ペアの郵便受けの中の投稿と会話は、こうして共有したペアの256ビットの秘密で包みます。

すり替えられない公開鍵

耐量子の公開鍵もアカウントの署名で結びつけます。サーバーや途中の誰かが別の鍵にすり替えると署名が合わず、スマホが受け取りません。

本文の鍵はそのまま強い

投稿や写真に鍵をかける256ビットのXChaCha20-Poly1305とSHA-256は、量子コンピューターに対しても十分な強さが残るため、変える必要がありません。

外側の層はX25519とML-KEM-768(米国NIST標準FIPS 203)を同時に使って封をし、2つの秘密はSHA3-256でひとつにまとめます。