🔒 რას იცავს Friendstime — და რას არა?
ჩვენ არ გპირდებით, რომ „ყველაფერი 100 %-ით დაშიფრულია“ — ეს არაგულწრფელი იქნებოდა. ზუსტად გეუბნებით, რომელი მონაცემებია ბოლოდან ბოლომდე დაშიფრული, რომელის წაკითხვაც სერვერს შეუძლია და რის დამალვასაც დაშიფვრა ტექნიკურად ვერ ახერხებს.
🛡️რა არის დაცული?
მოკლე, გულწრფელი მიმოხილვა. დეტალები ქვემოთაა.
| მონაცემები | სტატუსი |
|---|---|
|
კერძო ჩატების ტექსტი
ტექსტური შეტყობინებები ორ ანგარიშს შორის, რომელთაც ორივეს აქვს გასაღები (ML-KEM-768 + AES-256-GCM); თუ თანამოსაუბრეს გასაღები არ აქვს, ტექსტი იგზავნება დაუშიფრავად
|
✅ ბოლოდან ბოლომდე |
|
ჯგუფური ჩატების ტექსტი
ბოლოდან ბოლომდე დაშიფრულია პოსტკვანტური მეთოდით ML-KEM-768, როგორც კი ყველა წევრი განახლებულ აპლიკაციას ან ვებ-მესენჯერს იყენებს — მანამდე დაუშიფრავია
|
✅ პირობითად |
|
ხმოვანი შეტყობინებები, სურათები, ვიდეოები, ფაილები პირად ჩატებში
ბოლოდან ბოლომდე დაშიფრულია (ML-KEM-768 + AES-256-GCM), როდესაც ორივე ანგარიშს აქვს გასაღები და იყენებს განახლებულ აპს ან ვებ-მესენჯერს. სერვერი ხედავს გამგზავნს, მიმღებს, დროს, ზომასა და ტიპს, მაგრამ არა შინაარსს. ჯგუფური ჩატებისთვის ამას არ ვპირდებით
|
✅ პირობითად |
|
ზარები (ვიდეო და აუდიო)
ზარები ამჟამად დაშიფრულია მხოლოდ გადაცემისას (აპშიც). აპი 1:1 ზარებისას უკვე თანხმდება ML-KEM-768-დან მიღებულ გასაღებზე, თუმცა მას მხოლოდ სუბტიტრებისთვის იყენებს. ბოლოდან ბოლომდე დაშიფვრა ვიდეოსა და ხმისთვის შექმნილია და საცდელ ფაზაშია. პირდაპირი ეთერები კვლავ რჩება ბოლოდან ბოლომდე დაშიფვრის გარეშე.
|
❌ მხოლოდ გადაცემა |
|
ცოცხალი მდებარეობა პირად ჩატში
პოზიციები ბოლოდან ბოლომდე იშიფრება (ML-KEM-768 + AES-256-GCM), როდესაც ორივე ანგარიშს აქვს გასაღები; წინააღმდეგ შემთხვევაში ისინი სერვერზე ღია ტექსტად ინახება. სერვერი ხედავს, ვინ ვისთან და როდის აზიარებს
|
✅ პირობითად |
|
სეიფის ფაილები (ბმული)
ბრაუზერში იშიფრება AES-256-GCM-ით; გასაღები ბმულის # ნიშნის შემდეგ ნაწილშია, რომელსაც ბრაუზერი სერვერს არ უგზავნის. ვისაც სრული ბმული აქვს, შეუძლია ფაილის გახსნა
|
✅ ბოლოდან ბოლომდე |
|
მეტამონაცემები
ვინ ვის როდის წერს (მიწოდებისთვის აუცილებელია)
|
⚠️ სერვერისთვის ხილულია |
|
საჯარო კონტენტი
პოსტები, პროფილები, ჯგუფები, კომენტარები
|
❌ ბოლოდან ბოლომდე დაშიფვრის გარეშე |
|
პირადი შენიშვნები კონტაქტების შესახებ
სერვერზე წაკითხვადი სახით ინახება; მათი მიღება მხოლოდ შენს ანგარიშს შეუძლია
|
❌ E2EE არ არის |
|
IP-მისამართი
Tor-ით (.onion) შესვლისას ჩვენი სერვერი მას არ იგებს — სხვა შემთხვევაში იგებს
|
✅ არასავალდებულო (Tor) |
|
პაროლები
ინახება არა ღია ტექსტად, არამედ ჰეშის სახით (Argon2id, ნაწილობრივ დამატებითი საიდუმლო სერვერული მნიშვნელობით); ძველი bcrypt ჰეშები მომდევნო შესვლისას გადაიყვანება
|
✅ ჰეშირებული |
🔒 კერძო ჩატები — ტექსტი ბოლოდან ბოლომდე დაშიფრული
შენი კერძო შეტყობინებების ტექსტი იშიფრება შენს მოწყობილობაზე და მხოლოდ მიმღებთან ხდება ისევ წაკითხვადი; სერვერი მაშინ მხოლოდ შიფრტექსტს ინახავს. შენი პირადი გასაღები სერვერზე დაშიფრული სახით ინახება და შენს მოწყობილობაზე იხსნება გასაღებით, რომელიც შენი პაროლიდან მიიღება — ამიტომ შენი ჩატების უსაფრთხოება შენი პაროლის სიძლიერეზეა დამოკიდებული. თუ მეორე მხარეს ჯერ გასაღები არ აქვს ან მოწყობილობაზე დაშიფვრა ვერ ხერხდება, ტექსტური შეტყობინებაც დაუშიფრავად გადის.
დაშიფრული შეტყობინების ნოტიფიკაციაში ტექსტის ნაწყვეტი არ ჩანს, მხოლოდ მინიშნება, მაგალითად 🔒 დაშიფრული შეტყობინება — სერვერს ნაწყვეტის შედგენა არ შეუძლია, რადგან მხოლოდ შიფრტექსტი აქვს.
შინაარსი იშიფრება AES-256-GCM-ით; მისი გასაღები იცვლება პოსტკვანტური მეთოდით ML-KEM-768 — ან RSA-OAEP-ით, თუ ანგარიშს ჯერ არ აქვს ML-KEM გასაღები. გასაღები შენს ანგარიშს ეკუთვნის და არა ერთ კონკრეტულ მოწყობილობას: შენი პაროლით შესვლის შემდეგ შენს თითოეულ მოწყობილობას შეუძლია შენი ჩატების გაშიფვრა. ჯგუფური ჩატების ტექსტიც ბოლოდან ბოლომდე იშიფრება ML-KEM-768-ით, როგორც კი ყველა წევრი განახლებულ აპს ან ვებ-მესენჯერს იყენებს. ხმოვანი შეტყობინებები, სურათები, ვიდეოები და ფაილები პირად ჩატებში ასევე ბოლოდან ბოლომდე იშიფრება, როდესაც ორივე ანგარიშს აქვს გასაღები. ზარები ამჟამად დაშიფრულია მხოლოდ გადაცემისას; ბოლოდან ბოლომდე დაშიფვრა ვიდეოსა და ხმისთვის საცდელ ფაზაშია. დაშიფვრის დამოუკიდებელი შემოწმება (აუდიტი) ჯერჯერობით არ ჩატარებულა.
🌐 საჯარო კონტენტი — განზრახ არ არის ბოლოდან ბოლომდე დაშიფრული
პოსტები, პროფილები, ჯგუფები და კომენტარები საჯაროდ არის განკუთვნილი და სერვერზე წაკითხვად სახეშია. ეს არ არის ბოლოდან ბოლომდე დაშიფვრა — და ამას გულწრფელად ვამბობთ. ტექნიკურად ეს აუცილებელია, რომ ფიდმა, ძიებამ და მოდერაციამ საერთოდ იმუშაოს.
ცერის წესი: თუ სხვებმა უნდა ნახონ, სერვერსაც შეუძლია ნახვა. რაც ნამდვილად კერძო უნდა დარჩეს, ტექსტად ორ ადამიანს შორის კერძო ჩატში უნდა გადავიდეს.
🧾 მეტამონაცემები — რას ვერ მალავს ბოლოდან ბოლომდე დაშიფვრა
ბოლოდან ბოლომდე დაშიფვრა იცავს შიგთავსს, მაგრამ არა მარშრუტიზაციის მეტამონაცემებს. შეტყობინების მისაწოდებლად სერვერმა უნდა იცოდეს, ვინ ვისთან და როდის ურთიერთობს. ეს „ვინ-ვისთან-როდის“ ინფორმაცია ტექნიკურად გარდაუვალია — ჩვენ მას არ ვმალავთ.
ბოლოდან ბოლომდე დაშიფრული შეტყობინებების შიგთავსი სერვერზე მხოლოდ შიფრტექსტის სახითაა. გამგზავნს, მიმღებს, დროსა და შეტყობინების ტიპს სერვერი წაკითხვად სახით ინახავს.
🧅 ქსელური კონფიდენციალურობა — Tor (.onion)
მათთვის, ვისაც სურს ამის გამოყენება, Friendstime დამატებით Onion-სერვისად Tor-ქსელში (.onion) არის ხელმისაწვდომი. Onion-მისამართით შესვლისას Friendstime შენს IP-მისამართს არ იგებს, ხოლო შენი ინტერნეტ-პროვაიდერი ვერ ხედავს, რომელ საიტს სტუმრობ. ზოგი ფუნქცია სხვა სერვერებსაც ებმება — მაგალითად ბარათით გადახდები, ჩაშენებული ვიდეოები, ზარები და პირდაპირი ეთერები; ეს კავშირები Onion-სერვისს ტოვებს.
ეს მოქმედებს მხოლოდ მაშინ, თუ Friendstime-ს Tor-ბრაუზერში ხსნი. ჩვეულებრივი კავშირისას სერვერმა იცის შენი IP-მისამართი — როგორც ნებისმიერმა ვებსაიტმა. Tor მალავს, საიდან შემოდიხარ — და არა ვინ ხარ, როცა შენი ანგარიშით შედიხარ. Android-ის აპლიკაციას ჩაშენებული Tor-რეჟიმი არ აქვს.
🐞იპოვე უსაფრთხოების ხარვეზი?
თუ Friendstime-ში მოწყვლადობას აღმოაჩენ, გთხოვ, შეგვატყობინე ამის შესახებ კონფიდენციალურად ჩვენი შეტყობინების ფორმით — ანგარიშის გარეშეც. იქვე წერია, როგორ ვმუშაობთ შეტყობინებებთან.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.