🔒 Apa sing dilindhungi Friendstime — lan apa sing ora?
Kita ora janji marang kowe “kabeh dienkripsi 100 %” — iku ora jujur. Kita ngandhani kanthi pas data endi sing dienkripsi end-to-end, endi sing bisa diwaca server, lan apa sing sacara teknis ora bisa didhelikake enkripsi.
🛡️Apa sing dilindhungi?
Ringkesan cekak lan jujur. Rinciane ana ing ngisor.
| Data | Status |
|---|---|
|
Teks chat pribadi
Pesen teks antarane rong akun sing padha duwe kunci (ML-KEM-768 + AES-256-GCM); yen lawan guneman ora duwe kunci, teks dikirim tanpa enkripsi
|
✅ End-to-end |
|
Teks chat grup
Dienkripsi end-to-end nganggo cara post-kuantum ML-KEM-768, yen kabeh anggota nggunakake aplikasi sing anyar utawa Web-Messenger — sadurunge iku ora dienkripsi
|
✅ kanthi syarat |
|
Pesen swara, gambar, video, file ing obrolan pribadi
Dienkripsi ujung-ke-ujung (ML-KEM-768 + AES-256-GCM) yen akun loro-lorone duwe kunci lan nggunakake aplikasi paling anyar utawa messenger web. Server weruh pangirim, panampa, wektu, ukuran lan jinis, nanging ora isine. Kanggo obrolan grup kita ora njanjeni iki
|
✅ nganggo syarat |
|
Telpon (video lan swara)
Telpon saiki mung dienkripsi nalika dikirim (uga ing aplikasi). Aplikasi wis negosiasi kunci saka ML-KEM-768 ing telpon 1:1, nanging mung digunakake kanggo subtitle. Enkripsi ujung-ke-ujung kanggo gambar lan swara wis dibangun lan ana ing tahap uji coba. Siaran langsung tetep tanpa enkripsi ujung-ke-ujung.
|
❌ mung nalika dikirim |
|
Lokasi langsung ing obrolan pribadi
Posisi dienkripsi ujung-ke-ujung (ML-KEM-768 + AES-256-GCM) yen akun loro-lorone duwe kunci; yen ora, posisi disimpen minangka teks biasa ing server. Server weruh sapa sing nuduhake karo sapa lan kapan
|
✅ nganggo syarat |
|
File brankas (pranala)
Dienkripsi ing browser nganggo AES-256-GCM; kuncine ana ing bagean pranala sawise tandha #, sing ora dikirim browser menyang server. Sapa wae sing duwe pranala lengkap bisa mbukak file kasebut
|
✅ ujung-ke-ujung |
|
Metadata
Sapa nulis marang sapa, kapan (dibutuhake kanggo ngirim)
|
⚠️ katon kanggo server |
|
Isi umum
Kiriman, profil, grup, komentar
|
❌ ora E2EE |
|
Cathetan pribadi babagan kontak
Disimpen kanthi bisa diwaca ing server; mung akunmu sing bisa njupuk
|
❌ ora ana E2EE |
|
Alamat IP
Yen diakses liwat Tor (.onion), server kita ora ngerti — yen ora, ngerti
|
✅ opsional (Tor) |
|
Tembung sandi
Ora disimpen minangka teks biasa nanging minangka hash (Argon2id, sebagean nganggo nilai rahasia tambahan ing sisih server); hash bcrypt sing lawas dianyari nalika login sabanjure
|
✅ di-hash |
🔒 Chat pribadi — teks dienkripsi end-to-end
Teks pesen pribadimu dienkripsi ing pirantimu lan mung bisa diwaca maneh dening panampa; server banjur mung nyimpen ciphertext (teks sing wis dienkripsi). Kunci pribadimu disimpen ing server kanthi dienkripsi lan dibukak ing pirantimu nganggo kunci sing asale saka tembung sandhimu — mula keamanan chatmu gumantung marang kekuwatan tembung sandhimu. Yen lawan chatmu durung duwe kunci utawa enkripsi ing piranti gagal, pesen teks uga dikirim tanpa enkripsi.
Ing notifikasi pesen sing dienkripsi ora ana cuplikan teks, mung pangeling kaya 🔒 Pesen sing dienkripsi — server ora bisa nggawe cuplikan amarga mung nduwe ciphertext.
Isine dienkripsi nganggo AES-256-GCM; kuncine diijolake nganggo metode pasca-kuantum ML-KEM-768 — utawa nganggo RSA-OAEP yen sawijining akun durung duwe kunci ML-KEM. Kunci kasebut duweke akunmu, dudu duweke siji piranti: sawise mlebu nganggo tembung sandimu, saben pirantimu bisa ndekripsi obrolanmu. Teks obrolan grup uga dienkripsi ujung-ke-ujung nganggo ML-KEM-768 sanalika kabeh anggota nggunakake aplikasi paling anyar utawa messenger web. Pesen swara, gambar, video lan file ing obrolan pribadi uga dienkripsi ujung-ke-ujung yen akun loro-lorone duwe kunci. Telpon saiki mung dienkripsi nalika dikirim; enkripsi ujung-ke-ujung kanggo gambar lan swara ana ing tahap uji coba. Nganti saiki durung ana audit independen tumrap enkripsi iki.
🌐 Isi umum — sengaja ora E2EE
Kiriman, profil, grup, lan komentar dimaksudake umum lan disimpen ing server kanthi bisa diwaca. Iki dudu enkripsi end-to-end — lan kita jujur nyebutake mangkono. Iki perlu sacara teknis supaya feed, panelusuran, lan moderasi bisa mlaku.
Aturan gampang: yen wong liya kudu bisa ndeleng, server uga bisa ndeleng. Apa sing pancen kudu tetep pribadi, panggonane minangka teks ing chat pribadi antarane loro wong.
🧾 Metadata — apa sing ora didhelikake E2EE
Enkripsi end-to-end nglindhungi isi, nanging ora metadata routing. Kanggo ngirim pesen, server kudu ngerti sapa sing komunikasi karo sapa lan kapan. Informasi “sapa-karo-sapa-kapan” iki ora bisa dihindari sacara teknis — kita ora ndhelikake iki.
Kanggo pesen sing dienkripsi end-to-end, isine ing server mung ana minangka ciphertext. Pangirim, panampa, wektu, lan jinis pesen disimpen server kanthi bisa diwaca.
🧅 Privasi jaringan — Tor (.onion)
Kanggo sapa wae sing kepengin nggunakake, Friendstime uga bisa diakses minangka layanan onion ing jaringan Tor (.onion). Yen diakses liwat alamat onion, Friendstime ora ngerti alamat IP-mu, lan panyedhia internetmu ora weruh kaca endi sing kokbukak. Sawetara fitur nyambung menyang server liyane — contone pambayaran nganggo kertu, video sing disematake, telpon, lan livestream; sambungan iki metu saka layanan onion.
Iki mung berlaku yen kowe mbukak Friendstime ing Tor Browser. Liwat sambungan biasa, server ngerti alamat IP-mu — kaya ing situs web apa wae. Tor ndhelikake saka ngendi kowe teka — dudu sapa kowe, yen kowe wis mlebu nganggo akunmu. Aplikasi Android ora duwe mode Tor sing dipasang.
🐞Nemokake celah keamanan?
Yen kowe nemokake kelemahan ing Friendstime, tulung laporake kanthi rahasia liwat formulir laporan kita — uga tanpa akun. Ing kana uga dijlentrehake carane kita nangani laporan.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.