ሐቀኛ ግልጽነት

🔒 Friendstime ምን ይጠብቃል — ምንስ አይጠብቅም?

„ሁሉም ነገር 100 % የተመሰጠረ ነው" ብለን አንናገርም — ይህ ሐቀኝነት አይሆንም። የትኞቹ ውሂቦች ከጫፍ እስከ ጫፍ እንደተመሰጠሩ፣ አገልጋዩ የትኞቹን ማንበብ እንደሚችል፣ እና ምስጠራ በቴክኒክ ምን መደበቅ እንደማይችል በትክክል እንነግርዎታለን።

🛡️ምን ተጠብቋል?

አጭር፣ ሐቀኛ አጠቃላይ እይታ። ዝርዝሮች ከታች አሉ።

ውሂብ	ሁኔታ
የግል ውይይቶች ጽሑፍ ሁለቱም ቁልፍ ባላቸው ሁለት መለያዎች መካከል የሚላኩ የጽሑፍ መልዕክቶች (ML-KEM-768 + AES-256-GCM)፤ ሌላኛው ሰው ቁልፍ ከሌለው ጽሑፉ ሳይመሰጠር ይላካል	✅ ከጫፍ እስከ ጫፍ
የቡድን ውይይቶች ጽሑፍ በድኅረ-ኳንተም ዘዴ ML-KEM-768 ከጫፍ እስከ ጫፍ የተመሰጠረ፣ ሁሉም አባላት ወቅታዊ መተግበሪያ ወይም የድር መልዕክት መላላኪያ ሲጠቀሙ — እስከዚያ ድረስ ያልተመሰጠረ	✅ በቅድመ ሁኔታ
በአንድ ለአንድ ውይይቶች ውስጥ የድምፅ መልዕክቶች፣ ምስሎች፣ ቪዲዮዎች፣ ፋይሎች ሁለቱም መለያዎች ቁልፍ ሲኖራቸው እና ወቅታዊ መተግበሪያ ወይም የድር መልዕክተኛውን ሲጠቀሙ ከጫፍ እስከ ጫፍ የተመሰጠረ (ML-KEM-768 + AES-256-GCM)። አገልጋዩ ላኪን፣ ተቀባይን፣ ጊዜን፣ መጠንን እና ዓይነትን ያያል፣ ይዘቱን አያይም። ለቡድን ውይይቶች እንዲህ ያለ ቃል አንገባም	✅ በሁኔታ
ጥሪዎች (ምስል እና ድምፅ) ጥሪዎች በአሁኑ ጊዜ በመተላለፊያ መንገድ ላይ ብቻ የተመሰጠሩ ናቸው (በመተግበሪያውም ውስጥ)። መተግበሪያው በአንድ ለአንድ ጥሪዎች ከML-KEM-768 ቁልፍ አስቀድሞ ይደራደራል፣ ነገር ግን ለንዑስ ርዕሶች ብቻ ይጠቀምበታል። ለምስል እና ድምፅ ከጫፍ እስከ ጫፍ ምስጠራ ተገንብቷል እና በሙከራ ደረጃ ላይ ነው። ቀጥታ ስርጭቶች ያለ ከጫፍ እስከ ጫፍ ምስጠራ ይቆያሉ።	❌ በመተላለፊያ ላይ ብቻ
በአንድ ለአንድ ውይይቶች ውስጥ የቀጥታ አካባቢ ሁለቱም መለያዎች ቁልፍ ሲኖራቸው አቀማመጦች ከጫፍ እስከ ጫፍ ይመሰጠራሉ (ML-KEM-768 + AES-256-GCM)፤ አለበለዚያ በአገልጋዩ ላይ በግልጽ ጽሑፍ ይቀመጣሉ። አገልጋዩ ማን ከማን ጋር እና መቼ እንደሚያጋራ ያያል	✅ በሁኔታ
የካዝና ፋይሎች (አገናኝ) በአሳሹ ውስጥ በAES-256-GCM ይመሰጠራሉ፤ ቁልፉ አሳሹ ወደ አገልጋዩ በማይልከው ከ# በኋላ ባለው የአገናኙ ክፍል ውስጥ ነው። ሙሉ አገናኙ ያለው ማንኛውም ሰው ፋይሉን መክፈት ይችላል	✅ ከጫፍ እስከ ጫፍ
ሜታዳታ ማን ለማን፣ መቼ እንደሚጽፍ (ለማድረስ አስፈላጊ)	⚠️ ለአገልጋዩ የሚታይ
ይፋዊ ይዘቶች ልጥፎች፣ መገለጫዎች፣ ቡድኖች፣ አስተያየቶች	❌ E2EE የለም
ስለ እውቂያዎች የግል ማስታወሻዎች በአገልጋዩ ላይ ሊነበብ በሚችል መልኩ ይቀመጣሉ፤ የእርስዎ መለያ ብቻ ሊያወጣቸው ይችላል	❌ E2EE የለም
የIP አድራሻ በTor (.onion) ሲደርሱ አገልጋያችን አያውቀውም — ካልሆነ ግን ያውቀዋል	✅ አማራጭ (Tor)
የይለፍ ቃላት በግልጽ ጽሑፍ ሳይሆን እንደ ሃሽ ይቀመጣሉ (Argon2id፣ በከፊል ከተጨማሪ ምስጢራዊ የአገልጋይ እሴት ጋር)፤ የቆዩ bcrypt ሃሾች በሚቀጥለው መግቢያ ላይ ይሻሻላሉ	✅ ሃሽ የተደረገ

🔒 የግል ውይይቶች — ጽሑፍ ከጫፍ እስከ ጫፍ የተመሰጠረ

የግል መልዕክቶችዎ ጽሑፍ በመሣሪያዎ ላይ ይመሰጠራል እና የሚነበበው ተቀባዩ ጋር ሲደርስ ብቻ ነው፤ አገልጋዩ በዚህ ጊዜ የሚያስቀምጠው የተመሰጠረ ጽሑፍ ብቻ ነው። የግል ቁልፍዎ በአገልጋዩ ላይ የተመሰጠረ ሆኖ ይገኛል፣ በመሣሪያዎ ላይ ደግሞ ከይለፍ ቃልዎ በሚገኝ ቁልፍ ይከፈታል — ስለዚህ የውይይቶችዎ ደህንነት የተመሠረተው በይለፍ ቃልዎ ጥንካሬ ላይ ነው። ተቀባዩ ገና ቁልፍ ከሌለው ወይም በመሣሪያው ላይ ምስጠራው ካልተሳካ፣ የጽሑፍ መልዕክት ሳይመሰጠር ይላካል።

እንዴት እንደሚያዩት

ለተመሰጠረ መልዕክት በሚደርስ ማሳወቂያ ውስጥ የጽሑፉ ቅንጭብ የለም፣ እንደ 🔒 የተመሰጠረ መልዕክት ያለ ማስታወሻ ብቻ አለ — አገልጋዩ ቅንጭብ መፍጠር አይችልም፣ ምክንያቱም ያለው የተመሰጠረ ጽሑፍ ብቻ ነው።

ይዘቱ በAES-256-GCM ይመሰጠራል፤ ለዚህ የሚያገለግለው ቁልፍ በድህረ-ኳንተም ዘዴ ML-KEM-768 ይለዋወጣል — ወይም አንድ መለያ ገና የML-KEM ቁልፍ ከሌለው በRSA-OAEP። ቁልፉ የመለያዎ ነው እንጂ የአንድ መሣሪያ አይደለም፦ በይለፍ ቃልዎ ከገቡ በኋላ እያንዳንዱ መሣሪያዎ ውይይቶችዎን መፍታት ይችላል። ሁሉም አባላት ወቅታዊ መተግበሪያ ወይም የድር መልዕክተኛውን እንደተጠቀሙ የቡድን ውይይቶች ጽሑፍም በML-KEM-768 ከጫፍ እስከ ጫፍ ይመሰጠራል። በአንድ ለአንድ ውይይቶች ውስጥ የድምፅ መልዕክቶች፣ ምስሎች፣ ቪዲዮዎች እና ፋይሎችም ሁለቱም መለያዎች ቁልፍ ሲኖራቸው ከጫፍ እስከ ጫፍ ይመሰጠራሉ። ጥሪዎች በአሁኑ ጊዜ በመተላለፊያ መንገድ ላይ ብቻ ይመሰጠራሉ፤ ለምስል እና ድምፅ ከጫፍ እስከ ጫፍ ምስጠራ በሙከራ ደረጃ ላይ ነው። እስካሁን የምስጠራው ገለልተኛ ኦዲት አልተደረገም።

🌐 ይፋዊ ይዘቶች — ሆን ተብሎ E2EE አይደሉም

ልጥፎች፣ መገለጫዎች፣ ቡድኖች እና አስተያየቶች ይፋዊ እንዲሆኑ የታሰቡ ናቸው እና በአገልጋዩ ላይ ሊነበቡ በሚችል መልኩ ይገኛሉ። ይህ ከጫፍ እስከ ጫፍ ምስጠራ አይደለም — እናም ይህንን በሐቀኝነት እንገልጻለን። Feed፣ ፍለጋ እና አወያይነት ለመሥራት በቴክኒክ አስፈላጊ ነው።

የአውራ ጣት ደንብ፦ ሌሎች እንዲያዩት ከሆነ፣ አገልጋዩም ሊያየው ይችላል። በእውነት የግል መሆን ያለበት ነገር እንደ ጽሑፍ በሁለት ሰዎች መካከል ባለ የግል ውይይት ውስጥ ይገባል።

🧾 ሜታዳታ — E2EE የማይደብቀው

ከጫፍ እስከ ጫፍ ምስጠራ ይዘቱን ይጠብቃል፣ የመስመር ሜታዳታን ግን አይጠብቅም። መልዕክት ለማድረስ አገልጋዩ ማን ከማን ጋር መቼ እንደሚግባባ ማወቅ አለበት። ይህ „ማን-ከማን-መቼ" መረጃ በቴክኒክ የማይቀር ነው — አንደብቀውም።

ከጫፍ እስከ ጫፍ በተመሰጠሩ መልዕክቶች ይዘቱ በአገልጋዩ ላይ የሚገኘው እንደ የተመሰጠረ ጽሑፍ ብቻ ነው። ላኪውን፣ ተቀባዩን፣ ጊዜውን እና የመልዕክቱን ዓይነት አገልጋዩ ሊነበብ በሚችል መልኩ ያስቀምጣል።

🧅 የአውታረ መረብ ግላዊነት — Tor (.onion)

መጠቀም ለሚፈልጉ ሁሉ Friendstime በተጨማሪ በTor አውታረ መረብ ውስጥ እንደ Onion አገልግሎት (.onion) ይገኛል። በOnion አድራሻ ሲደርሱ Friendstime የIP አድራሻዎን አያውቅም፣ የበይነመረብ አቅራቢዎም የትኛውን ገጽ እንደሚጎበኙ አያይም። አንዳንድ ተግባራት ሌሎች አገልጋዮችን ያነጋግራሉ — ለምሳሌ የካርድ ክፍያዎች፣ የተካተቱ ቪዲዮዎች፣ ጥሪዎች እና የቀጥታ ስርጭቶች፤ እነዚህ ግንኙነቶች የOnion አገልግሎትን ይለቃሉ።

ይህ የሚሠራው Friendstimeን በTor Browser ሲከፍቱ ብቻ ነው። በተለመደ ግንኙነት አገልጋዩ የIP አድራሻዎን ያውቃል — እንደማንኛውም ድር ጣቢያ። Tor ከየት እንደሚመጡ ይደብቃል — በመለያዎ ከገቡ በኋላ ማን እንደሆኑ ግን አይደብቅም። የAndroid መተግበሪያ አብሮ የተሰራ የTor ሁነታ የለውም።

🐞የደህንነት ክፍተት አግኝተዋል?

በFriendstime ውስጥ የደህንነት ድክመት ካገኙ፣ እባክዎ በሪፖርት ቅጻችን በሚስጥር ያሳውቁን — ያለ መለያም ይቻላል። እዚያም ሪፖርቶችን እንዴት እንደምንይዝ ተጽፏል።

የደህንነት ክፍተት ሪፖርት አድርግ

❓Frequently asked questions

Is Friendstime end-to-end encrypted?

In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.

Which methods are used?

Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.

Where are the servers?

According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.

Has the encryption been audited independently?

No. There has been no independent audit of the encryption so far.

How are passwords stored?

Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.

How do I report a security vulnerability?

Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.

ይህ ገጽ ሆን ተብሎ ያለ ማጋነን ተጽፏል። ይፋዊ Feed ባለው ማኅበራዊ አውታረ መረብ ላይ የማይቻል ስለሆነ „100 % የተመሰጠረ" ብለን አንናገርም። በምን ላይ መተማመን እንደሚችሉ በትክክል መንገር እንመርጣለን።