Keamanan

Yang di bawah ini adalah cara Patepang dibangun: fakta rancangan, bukan jaminan. Batasnya ada di bagian berikutnya, dan keadaan audit di bagian Keadaan sekarang.

• Enkripsi ujung ke ujung. Pesan, grup, kabar, momen, foto, suara, dan berkas dienkripsi di HP sebelum dikirim, dengan libsignal (PQXDH dengan ML-KEM-1024 dan triple ratchet). Server hanya meneruskan isi yang tidak bisa dibacanya.
• Pengirim tersegel. Untuk pesan, server Patepang tahu penerimanya, tetapi tidak mencatat pengirimnya. Pengecualiannya: pesan pertama setelah tempel (paling banyak 20 dalam 24 jam) memakai token yang terikat pada tempel itu, jadi server tahu pesan itu dari orang yang kamu tempel.
• Kunci yang bisa diperiksa. Kunci setiap akun tercatat di log transparansi kunci yang publik dan hanya bertambah. HP orang lain memeriksa kuncimu sebelum mempercayainya, sehingga kunci tidak bisa diganti diam-diam. Catatan jangka panjang ditandatangani dua kali, dengan Ed25519 dan ML-DSA-65.
• Tempel yang disaksikan. Kecocokan goyangan diperiksa di enklaf, yaitu lingkungan terisolasi yang kodenya bisa dibuktikan; server sendiri tidak bisa membuat sertifikat tempel.
• Kunci tetap di HP. Kunci pribadi disimpan dengan kunci perangkat keras HP dan tidak pernah dikirim. PIN diperiksa di HP; Patepang tidak pernah menanyakan PIN-mu.
• Sedikit yang tersimpan. Tanpa email, nomor telepon, atau nama di server. Server tidak menyimpan alamat IP, log masuk, atau riwayat pemakaian aplikasi, dan log server, tanpa alamat IP dan id akun, disimpan 7 hari. Yang tetap disimpan: tanggal terakhir aktif, riwayat tempel (dengan siapa dan kapan), dan waktu perubahan kunci, yang publik.
• Notifikasi tersegel. Apple dan Google hanya mengantar 176 byte tersegel; kalimat di layar tidak menyebut nama atau isi.
• Foto tanpa metadata. Foto dikirim tanpa data EXIF dan lokasi, dan ukuran setiap media dibulatkan ke atas sebelum dienkripsi, sehingga server hanya tahu ukuran kira-kira.
• Mode perjalanan dan percakapan terkunci. Dengan enam kata, orang, percakapan, kabar, dan momen bisa disegel sehingga HP hanya menampilkan pengganti. Sampai penguatan berikutnya selesai, orang yang memegang HP yang terbuka masih bisa menghitung jumlah koneksimu (id akun, tanpa nama). Percakapan juga bisa dikunci di balik PIN.
• Pemulihan lewat orang yang kamu temui. Tiga penjaga, dua cukup, dengan masa tunggu 48 jam yang bisa dibatalkan HP lamamu. Ada juga kunci darurat, bila salah satu perangkatmu hilang atau direbut: dari perangkat yang masih kamu pegang, semua perangkat lain dikeluarkan, lalu penautan perangkat, perubahan penjaga, dan pemulihan ditolak selama 72 jam.

Supaya kamu bisa menilai sendiri, ini yang tidak dilindungi rancangan Patepang:

• Server tahu akun mana pernah tempel dengan akun mana dan kapan, siapa anggota grup mana, dan siapa penjaga siapa. Isinya tidak, tetapi hubungan antarakun ya. Bila kamu memutus koneksi pada hari kalian bertemu, server juga bisa menyimpulkannya.
• Cloudflare, jaringan di depan server, membuka enkripsi koneksi. Ia melihat setiap permintaan kecuali isi yang terenkripsi: alamat IP, waktu, token masuk, id akun, penerima setiap pesan, dan kunci setiap media. Jadi, lewat alamat IP, Cloudflare bisa menghubungkan pengirim dengan penerima, dan pengunggah media dengan pengunduhnya.
• Apple dan Google melihat alamat IP dan waktu notifikasi, pembelian, dan pemeriksaan keaslian aplikasi, dan Cloudflare mencatat alamat IP pengunjung situs patepang.com dan subdomainnya. Aplikasi dari App Store dan Google Play tidak memeriksa pembaruan sendiri; hanya versi uji untuk penguji yang bertanya ke Expo (lihat Kebijakan privasi bagian 4.14).
• Tempel membuktikan bahwa dua HP digoyang bersama, atau bahwa dua orang sengaja bekerja sama dari jauh untuk menirunya, misalnya dengan berlatih irama goyangan lewat telepon. Tuan rumah ruang acara bisa memasukkan orang yang tidak hadir, dan penjaga bisa dibujuk melakukan tempel pemulihan dari jauh oleh orang yang mengaku sebagai kamu.
• Dua penjagamu yang bersekongkol, dengan aplikasi yang diubah, bisa membuka cadangan akunmu tanpa pemulihan dan tanpa kamu tahu. Pilih penjaga yang kamu percaya.
• Salinan di HP penerima ada di tangan penerima. “Hapus untuk semua” dan pesan yang menghilang bergantung pada aplikasi di HP mereka, dan tangkapan layar tetap mungkin.
• HP yang sudah dibobol bisa membaca apa pun yang tampil di layarnya.

Rinciannya ada di Kebijakan privasi.

Patepang belum diluncurkan. Audit keamanan oleh pihak luar adalah syarat sebelum peluncuran publik, dan belum dilakukan. Kode Patepang akan dibuka dengan lisensi AGPL-3.0 saat peluncuran publik, setelah audit, supaya siapa pun bisa memeriksanya (lihat Lisensi).

Tulis ke [email protected] dalam bahasa Indonesia atau Inggris. Ceritakan apa yang kamu temukan, cara mengulanginya, dan apa yang bisa didapat penyerang. Jangan sertakan data orang lain, dan uji hanya dengan akun dan perangkatmu sendiri.

Yang termasuk

Server dan selnya, enklaf dan atestasinya, aplikasi, protokol dan formatnya, dan log transparansi kunci.

Yang tidak termasuk

Serangan penolakan layanan dengan membanjiri lalu lintas, temuan di layanan pihak ketiga (laporkan kepada mereka), rekayasa sosial terhadap orang-orang kami, serangan fisik, dan hasil pemindai otomatis tanpa dampak yang ditunjukkan.

• Mengonfirmasi laporanmu paling lambat 3 hari kerja, dengan nama orang yang menanganinya.
• Menilai paling lambat 10 hari kerja: apakah bisa kami ulangi, seberapa berat, dan apa rencana kami.
• Memperbaiki temuan kritis dan tinggi secepat mungkin, biasanya dalam 30 hari, dan temuan lain dalam 90 hari.
• Memberi kabar paling sedikit setiap dua minggu sampai diperbaiki.
• Menyepakati tanggal pengungkapan bersamamu: biasanya setelah perbaikan sampai ke pengguna, atau 90 hari setelah laporanmu, mana yang lebih dulu, kecuali kita sepakat lain.
• Mencantumkan namamu di catatan rilis dan ucapan terima kasih, bila kamu mau.

Belum berlaku. Bagian ini masih draf yang menunggu tinjauan penasihat hukum. Cara melapor dan tenggat di atas sudah berlaku.

Kami tidak akan menempuh atau mendukung langkah hukum terhadap siapa pun yang, dengan itikad baik, melaporkan kerentanan sesuai kebijakan ini. Itikad baik berarti: hanya menguji yang termasuk cakupan, tidak membaca, menyimpan, mengubah, atau menghapus data orang lain, tidak mengganggu layanan bagi orang lain, dan memberi kami waktu yang wajar sebelum mengungkapkan.

Bila pihak ketiga mengambil langkah hukum terhadapmu atas penelitian seperti itu, kami akan menyatakan bahwa kamu bertindak sesuai kebijakan ini.

Kontak dan kebijakan ini juga tercantum di /.well-known/security.txt, sesuai RFC 9116.