🔒 Friendstime нені қорғайды — және нені қорғамайды?
Біз саған «бәрі 100 % шифрланған» деп уәде бермейміз — бұл адал болмас еді. Қандай деректер ұштан ұшқа шифрланғанын, қайсысын сервер оқи алатынын және шифрлау техникалық тұрғыда нені жасыра алмайтынын нақты айтамыз.
🛡️Не қорғалған?
Қысқа әрі адал шолу. Толығырақ төменде.
| Деректер | Күйі |
|---|---|
|
Жеке чаттардың мәтіні
Екеуінде де кілт бар екі аккаунт арасындағы мәтіндік хабарламалар (ML-KEM-768 + AES-256-GCM); әңгімелесушіде кілт болмаса, мәтін шифрланбай жіберіледі
|
✅ Ұштан ұшқа |
|
Топтық чаттар мәтіні
Барлық мүшелер өзекті қолданбаны немесе веб-мессенджерді қолданғанда ML-KEM-768 посткванттық әдісімен ұштан ұшқа шифрланады — оған дейін шифрланбаған
|
✅ шартты |
|
Жеке чаттардағы дауыстық хабарламалар, суреттер, бейнелер, файлдар
Екі аккаунтта да кілт болса және жаңа қолданба немесе веб-мессенджер пайдаланылса, ұштан ұшқа шифрланады (ML-KEM-768 + AES-256-GCM). Сервер жіберушіні, алушыны, уақытты, көлемді және түрін көреді, мазмұнын көрмейді. Топтық чаттар үшін біз мұны уәде етпейміз
|
✅ шартты түрде |
|
Қоңыраулар (бейне және дыбыс)
Қоңыраулар қазіргі уақытта тек тасымалдау кезінде шифрланады (қолданбада да). Қолданба 1:1 қоңырауларда ML-KEM-768-ден алынған кілтті келісіп қояды, бірақ оны тек субтитрлер үшін пайдаланады. Кескін мен дыбысты ұштан ұшқа шифрлау жасалған және сынақ кезеңінде. Тікелей эфирлер ұштан ұшқа шифрлаусыз қалады.
|
❌ тек тасымалдау |
|
Жеке чаттағы тікелей орналасу
Екі аккаунтта да кілт болса, орналасу деректері ұштан ұшқа шифрланады (ML-KEM-768 + AES-256-GCM); әйтпесе олар серверде ашық мәтін түрінде сақталады. Сервер кімнің кіммен және қашан бөлісетінін көреді
|
✅ шартты түрде |
|
Сейф файлдары (сілтеме)
Браузерде AES-256-GCM арқылы шифрланады; кілт сілтеменің # белгісінен кейінгі бөлігінде тұрады, браузер оны серверге жібермейді. Толық сілтемесі бар кез келген адам файлды аша алады
|
✅ ұштан ұшқа |
|
Метадеректер
Кім кімге және қашан жазады (жеткізу үшін қажет)
|
⚠️ серверге көрінеді |
|
Жария мазмұн
Жазбалар, профильдер, топтар, пікірлер
|
❌ E2EE жоқ |
|
Контактілер туралы жеке жазбалар
Серверде оқылатын түрде сақталады; оларды тек сіздің аккаунтыңыз ала алады
|
❌ E2EE жоқ |
|
IP-мекенжай
Tor (.onion) арқылы кіргенде біздің сервер оны білмейді — әйтпесе біледі
|
✅ қалауыңша (Tor) |
|
Құпиясөздер
Ашық мәтін түрінде емес, хэш түрінде сақталады (Argon2id, ішінара сервердің қосымша құпия мәнімен); ескі bcrypt хэштері келесі кіру кезінде жаңартылады
|
✅ хэштелген |
🔒 Жеке чаттар — мәтіні ұштан ұшқа шифрланған
Жеке хабарларыңның мәтіні құрылғыңда шифрланады және тек алушыда қайта оқылатын болады; сервер сонда тек шифрмәтінді сақтайды. Жеке кілтің серверде шифрланған күйде тұрады және құрылғыңда құпиясөзіңнен алынған кілтпен ашылады — сондықтан чаттарыңның қауіпсіздігі құпиясөзіңнің беріктігіне байланысты. Әңгімелесушіңде әлі кілт болмаса немесе құрылғыдағы шифрлау сәтсіз болса, мәтіндік хабар да шифрланбай кетеді.
Шифрланған хабар туралы хабарландыруда мәтіннен үзінді болмайды, тек 🔒 Шифрланған хабар сияқты ескерту ғана тұрады — сервер үзінді жасай алмайды, өйткені оның қолында тек шифрмәтін бар.
Мазмұн AES-256-GCM арқылы шифрланады; оның кілті посткванттық ML-KEM-768 әдісімен алмасады — немесе аккаунтта әлі ML-KEM кілті болмаса, RSA-OAEP арқылы. Кілт жеке құрылғыға емес, сіздің аккаунтыңызға тиесілі: құпиясөзбен кіргеннен кейін сіздің әрбір құрылғыңыз чаттарыңыздың шифрын аша алады. Топтық чаттардың мәтіні де барлық мүшелер жаңа қолданбаны немесе веб-мессенджерді пайдаланған сәттен бастап ML-KEM-768 арқылы ұштан ұшқа шифрланады. Жеке чаттардағы дауыстық хабарламалар, суреттер, бейнелер және файлдар да екі аккаунтта да кілт болса, ұштан ұшқа шифрланады. Қоңыраулар қазіргі уақытта тек тасымалдау кезінде шифрланады; кескін мен дыбысты ұштан ұшқа шифрлау сынақ кезеңінде. Шифрлаудың тәуелсіз тексерісі (аудит) әзірге жүргізілген жоқ.
🌐 Жария мазмұн — әдейі E2EE жоқ
Жазбалар, профильдер, топтар және пікірлер жария болуға арналған және серверде оқуға болатын күйде тұрады. Бұл ұштан ұшқа шифрлау емес — біз мұны адал осылай атаймыз. Таспа, іздеу және модерация жұмыс істеуі үшін бұл техникалық тұрғыда қажет.
Қарапайым ереже: басқалар көруі керек нәрсені сервер де көре алады. Шынымен жеке қалуы керек нәрсені екі адамдық жеке чатқа мәтін ретінде жаз.
🧾 Метадеректер — E2EE нені жасырмайды
Ұштан ұшқа шифрлау мазмұнды қорғайды, бірақ бағыттау метадеректерін қорғамайды. Хабарды жеткізу үшін серверге кім кіммен және қашан байланысатынын білу қажет. Бұл «кім кіммен және қашан» ақпараты техникалық тұрғыда сөзсіз — біз оны жасырмаймыз.
Ұштан ұшқа шифрланған хабарларда мазмұн серверде тек шифрмәтін ретінде тұрады. Жіберушіні, алушыны, уақытты және хабар түрін сервер оқуға болатын күйде сақтайды.
🧅 Желі құпиялылығы — Tor (.onion)
Қолданғысы келетіндер үшін Friendstime қосымша Tor желісіндегі onion қызметі (.onion) ретінде де қолжетімді. Onion мекенжайы арқылы кірген кезде Friendstime IP-мекенжайыңды білмейді, ал интернет-провайдерің қай бетке кіргеніңді көрмейді. Кейбір функциялар басқа серверлерге жүгінеді — мысалы, карта арқылы төлемдер, ендірілген бейнелер, қоңыраулар және тікелей эфирлер; бұл қосылымдар onion қызметінен шығады.
Бұл тек Friendstime-ды Tor браузерінде ашқанда қолданылады. Қарапайым байланыс арқылы сервер IP-мекенжайыңды біледі — кез келген веб-сайттағыдай. Tor қайдан екеніңді жасырады — бірақ аккаунтыңа кірген бойда кім екеніңді емес. Android қолданбасында кірістірілген Tor режимі жоқ.
🐞Қауіпсіздік олқылығын таптың ба?
Friendstime-да осалдықты тапсаң, ол туралы хабарлау нысанымыз арқылы бізге құпия түрде хабарла — тіпті аккаунтсыз да. Онда хабарламалармен қалай жұмыс істейтініміз де жазылған.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.