🔒 Friendstime nimani himoya qiladi — va nimani yoʻq?
Biz sizga “hamma narsa 100 % shifrlangan” deb vaʼda bermaymiz — bu halol boʻlmasdi. Qaysi maʼlumotlar end-to-end shifrlanganini, qaysilarini server oʻqiy olishini va shifrlash texnik jihatdan nimani yashira olmasligini aniq aytamiz.
🛡️Nima himoyalangan?
Qisqa, halol sharh. Tafsilotlar quyida.
| Maʼlumot | Holat |
|---|---|
|
Shaxsiy suhbatlar matni
Ikkalasida ham kalit bo'lgan ikki hisob o'rtasidagi matnli xabarlar (ML-KEM-768 + AES-256-GCM); suhbatdoshda kalit bo'lmasa, matn shifrlanmasdan yuboriladi
|
✅ End-to-end |
|
Guruh suhbatlari matni
ML-KEM-768 post-kvant usuli bilan end-to-end shifrlangan, barcha aʼzolar joriy ilova yoki veb-messenjerdan foydalangach — shunga qadar shifrlanmagan
|
✅ shartli |
|
Yakkama-yakka chatlardagi ovozli xabarlar, rasmlar, videolar, fayllar
Ikkala hisobda ham kalit bo'lsa va joriy ilova yoki veb-messenjer ishlatilsa, uchdan-uchiga shifrlanadi (ML-KEM-768 + AES-256-GCM). Server jo'natuvchi, qabul qiluvchi, vaqt, hajm va turni ko'radi, mazmunni emas. Guruh chatlari uchun bunday va'da bermaymiz
|
✅ shartli |
|
Qo'ng'iroqlar (video va audio)
Qo'ng'iroqlar hozircha faqat uzatish paytida shifrlanadi (ilovada ham). Ilova yakkama-yakka qo'ng'iroqlarda ML-KEM-768 dan kalitni allaqachon kelishadi, lekin uni faqat taglavhalar uchun ishlatadi. Tasvir va tovush uchun uchdan-uchiga shifrlash tayyorlangan va sinov bosqichida. Jonli efirlar uchdan-uchiga shifrlashsiz qoladi.
|
❌ faqat uzatish |
|
Yakkama-yakka chatlardagi jonli joylashuv
Ikkala hisobda ham kalit bo'lsa, joylashuvlar uchdan-uchiga shifrlanadi (ML-KEM-768 + AES-256-GCM); aks holda ular serverda ochiq matn ko'rinishida saqlanadi. Server kim kim bilan va qachon ulashayotganini ko'radi
|
✅ shartli |
|
Seyf fayllari (havola)
Brauzerda AES-256-GCM bilan shifrlanadi; kalit havolaning # belgisidan keyingi qismida joylashgan bo'lib, brauzer uni serverga yubormaydi. To'liq havolaga ega bo'lgan har kim faylni ochishi mumkin
|
✅ Uchdan-uchiga |
|
Metamaʼlumotlar
Kim kimga qachon yozadi (yetkazish uchun zarur)
|
⚠️ serverga koʻrinadi |
|
Ochiq kontent
Postlar, profillar, guruhlar, izohlar
|
❌ E2EE yoʻq |
|
Kontaktlar haqidagi shaxsiy eslatmalar
Serverda o'qiladigan ko'rinishda saqlanadi; ularni faqat sizning hisobingiz olishi mumkin
|
❌ E2EE yo'q |
|
IP manzil
Tor (.onion) orqali kirganingizda serverimiz uni bilmaydi — aks holda biladi
|
✅ ixtiyoriy (Tor) |
|
Parollar
Ochiq matn sifatida emas, xesh sifatida saqlanadi (Argon2id, qisman qo'shimcha server tomonidagi maxfiy qiymat bilan); eski bcrypt xeshlari keyingi kirishda yangilanadi
|
✅ xeshlangan |
🔒 Shaxsiy suhbatlar — matn end-to-end shifrlangan
Shaxsiy xabarlaringiz matni qurilmangizda shifrlanadi va faqat qabul qiluvchida qayta oʻqiladigan boʻladi; server bunda faqat shifrlangan matnni saqlaydi. Shaxsiy kalitingiz serverda shifrlangan holda saqlanadi va qurilmangizda parolingizdan hosil qilingan kalit bilan ochiladi — shuning uchun suhbatlaringiz xavfsizligi parolingiz mustahkamligiga bogʻliq. Suhbatdoshingizda hali kalit boʻlmasa yoki qurilmada shifrlash muvaffaqiyatsiz boʻlsa, matnli xabar ham shifrlanmagan holda yuboriladi.
Shifrlangan xabar haqidagi bildirishnomada matndan parcha emas, faqat 🔒 Shifrlangan xabar kabi eslatma boʻladi — server parcha hosil qila olmaydi, chunki unda faqat shifrlangan matn bor.
Mazmun AES-256-GCM bilan shifrlanadi; buning kaliti postkvant usuli ML-KEM-768 orqali almashiladi — yoki hisobda hali ML-KEM kaliti bo'lmasa, RSA-OAEP bilan. Kalit alohida bir qurilmaga emas, hisobingizga tegishli: parolingiz bilan kirganingizdan so'ng har bir qurilmangiz chatlaringizni deshifrlay oladi. Guruh chatlarining matni ham, barcha a'zolar joriy ilova yoki veb-messenjerdan foydalanishi bilanoq, ML-KEM-768 bilan uchdan-uchiga shifrlanadi. Yakkama-yakka chatlardagi ovozli xabarlar, rasmlar, videolar va fayllar ham ikkala hisobda kalit bo'lsa uchdan-uchiga shifrlanadi. Qo'ng'iroqlar hozircha faqat uzatish paytida shifrlanadi; tasvir va tovush uchun uchdan-uchiga shifrlash sinov bosqichida. Shifrlashning mustaqil auditi hozircha o'tkazilmagan.
🌐 Ochiq kontent — ataylab E2EE emas
Postlar, profillar, guruhlar va izohlar ochiq boʻlishi nazarda tutilgan va serverda oʻqiladigan holda saqlanadi. Bu end-to-end shifrlash emas — va biz buni halol shunday deymiz. Lenta, qidiruv va moderatsiya umuman ishlashi uchun bu texnik jihatdan zarur.
Qoidasi: boshqalar koʻrishi kerak boʻlgan narsani server ham koʻra oladi. Haqiqatan maxfiy qolishi kerak boʻlgan narsa matn sifatida ikki kishilik shaxsiy suhbatga tegishli.
🧾 Metamaʼlumotlar — E2EE yashirmaydigan narsa
End-to-end shifrlash mazmunni himoya qiladi, lekin marshrutlash metamaʼlumotlarini emas. Xabarni yetkazish uchun server kim kim bilan qachon aloqa qilayotganini bilishi kerak. Bu “kim-kim bilan-qachon” maʼlumoti texnik jihatdan oldini olib boʻlmaydi — biz uni yashirmaymiz.
End-to-end shifrlangan xabarlarda mazmun serverda faqat shifrlangan matn sifatida mavjud. Yuboruvchi, qabul qiluvchi, vaqt va xabar turini server oʻqiladigan holda saqlaydi.
🧅 Tarmoq maxfiyligi — Tor (.onion)
Foydalanishni istaganlar uchun Friendstime qoʻshimcha ravishda Tor tarmogʻidagi Onion xizmati (.onion) sifatida ham mavjud. Onion manzil orqali kirganingizda Friendstime IP manzilingizni bilmaydi, internet provayderingiz esa qaysi sahifaga kirganingizni koʻrmaydi. Baʼzi funksiyalar boshqa serverlarga murojaat qiladi — masalan, karta toʻlovlari, joylashtirilgan videolar, qoʻngʻiroqlar va jonli efirlar; bu ulanishlar Onion xizmatidan tashqariga chiqadi.
Bu faqat Friendstime-ga Tor brauzerida kirganingizda amal qiladi. Oddiy ulanishda server IP manzilingizni biladi — har qanday veb-sayt kabi. Tor qayerdan kelganingizni yashiradi — akkauntingiz bilan kirganingizdan keyin kim ekaningizni emas. Android-ilovada oʻrnatilgan Tor rejimi yoʻq.
🐞Xavfsizlik zaifligi topildimi?
Agar Friendstimeʼda zaiflik topsangiz, iltimos, bu haqda bizga xabar berish shakli orqali maxfiy tarzda xabar bering — akkauntsiz ham mumkin. U yerda xabarlar bilan qanday ishlashimiz ham yozilgan.
❓Frequently asked questions
Is Friendstime end-to-end encrypted?
In part, and this page says exactly what is. End-to-end encrypted: the text of private chats, plus voice messages, images, videos and files in one-to-one chats (each when both accounts have a key), the text of group chats (once all members use a current app or the web messenger). Not end-to-end encrypted: public content, metadata, calls (currently encrypted in transit only; end-to-end encryption for picture and sound is in a test phase) and live streams.
Which methods are used?
Key exchange uses ML-KEM-768 (NIST FIPS 203, a post-quantum method) and content is encrypted with AES-256-GCM. If an account has no ML-KEM key yet, RSA-OAEP is used.
Where are the servers?
According to the privacy policy, web hosting, database and e-mail are run by php-friends GmbH (Germany). The media, storage and routing server is operated by netcup GmbH in its Nuremberg data centre.
Has the encryption been audited independently?
No. There has been no independent audit of the encryption so far.
How are passwords stored?
Not in plain text but as a hash (Argon2id, partly with an additional secret server value). Older bcrypt hashes are converted at the next login.
How do I report a security vulnerability?
Via the form at https://friendsti.me/sicherheit-melden.php, no account needed.