Blink

Messenger end-to-end criptat — Android. Azi rulează printr-un releu unic (Cloudflare) care nu poate citi nimic; descentralizarea reală (multi-releu / mesh) e pe roadmap. Estetică cypherpunk dark-first. React Native + Expo.

Blink criptează conținutul mesajelor cap-la-cap cu libsignal (motorul oficial Signal): X3DH + Double Ratchet + PQXDH post-quantum (Kyber / ML-KEM). Identitatea ta e o cheie care trăiește doar pe dispozitiv — fără număr de telefon, fără email. Mesajele trec printr-un releu minimal care nu le poate citi (sealed sender: nu vede nici cine trimite).

Fluxul complet (handshake → mesaje text/media/voce → bife → persistență → reconectare) e validat E2E pe device (telefon arm64 ↔ emulator x86_64) prin releul live.

Ce e și ce NU e Livrat & validat pe device Amânat explicit (scope v1 înghețat) libsignal real: X3DH + Double Ratchet + PQXDH/Kyber post-quantum Apeluri audio/video WebRTC (cod prezent, netestat fizic) Sealed sender (releul nu vede expeditorul) Grupuri MLS Releu Cloudflare orb + auth challenge-response (Ed25519) Desktop (Electron) — parcat, fără libsignal nativ At-rest (Android): SQLite cu conținut criptat per-mesaj (ChaCha20-Poly1305), chei în Keystore; SQLCipher pe tot fișierul = planificat iOS (necesită cont Apple + tuning CocoaPods) Identitate DID:key + frază de recuperare BIP39 + safety number anti-MITM Transport peste Tor / I2P / Reticulum Text, poze, video, fișiere, note vocale; edit/delete; teme; app-lock + parolă per-conv F-Droid / push fără Google

Protejăm:

Conținutul mesajelor — E2EE prin libsignal (X3DH + PQXDH + Double Ratchet). Releul nu citește. Identitate fără PII — cheie pe dispozitiv (DID:key), fără telefon/email. Recuperare BIP39. Anti-MITM — safety number (SHA-256 peste ambele chei reale) + verificare QR + alertă la schimbare de cheie + binding DID↔cheie. Sealed sender — releul nu vede CINE trimite (doar destinatarul, pentru rutare). La repaus (Android) — chei în Keystore; mesaje în SQLite cu conținut criptat per-mesaj (ChaCha20-Poly1305). SQLCipher pe tot fișierul = planificat; timestamp-ul de index rămâne în clar.

NU protejăm (limitări asumate):

Metadate de rețea — releul (Cloudflare) vede IP, timing, volum. Sealed sender ascunde DID-ul expeditorului, NU calea de rețea. Tor/I2P = pe roadmap, nelivrat. Impersonare pe contacte NEVERIFICATE — plicul sealed nu autentifică expeditorul la nivel exterior (sd auto-declarat); autenticitatea reală vine din interior (mesajul libsignal se decriptează doar sub sesiunea corectă) + safety number. Pe un contact nou, verifică safety number-ul. Dispozitiv compromis — root/keylogger/malware înfrânge orice messenger. Neauditat independent — primitivele sunt auditate, integrarea Blink nu. Doar Android — desktopul (Electron) e parcat; pe el secretele ar sta în localStorage necriptat. Calea sigură e Android.