Qlavis Citadel, опубликованная спецификация криптографии Qlavis · Messenger.

Смена ключей каждые 10 сообщений или 24 часа.

Рэтчет Диффи-Хеллмана на X25519, симметричные цепочечные рэтчеты (ключи цепочек продвигаются HMAC-SHA512 (усечение до 32 байт) с константами доменного разделения) и независимый рэтчет ML-KEM-1024, обновляющий пост-квантовый корень каждые 10 сообщений или 24 часа, что наступит раньше.

Каждый ключ сообщения требует слома обеих осей.

Каждый ключ сообщения выводится сразу из классической и пост-квантовой оси, поэтому forward secrecy и post-compromise security держатся против классического противника сегодня и квантового, завтра. Signal и Apple ради экономии трафика выбрали в своих рэтчетах KEM с параметром 768; QTR-1024 несёт ML-KEM-1024 (категория 5), меняя примерно 3 КБ на ротацию на высший стандартизованный уровень.

Потерянные и переставленные сообщения не ломают сессию.

KEM-инкапсуляция, в отличие от DH-значения, не идемпотентна, в прежних пост-квантовых рэтчетах потеря единственного сообщения с материалом новой эпохи ломает сессию. QTR-1024 повторно включает тот же ожидающий KEM-ciphertext в каждый исходящий заголовок, пока пир не подтвердит; получатель держит ограниченную SHA-256-историю обработанных ciphertext’ов и декапсулирует каждый отличный ciphertext ровно один раз, пропуская дубликаты без продвижения состояния; подтверждение объявляется в ограниченном числе последующих сообщений.

Запечатано, аутентифицировано, длина скрыта.

Тела сообщений запечатываются AES-256-GCM (свежий случайный 96-битный nonce, 128-битный тег) с заголовком, привязанным как associated data, и дополняются до однородных блоков в 256 байт, короткие сообщения неразличимы по длине на проводе. Перед любой мутацией при расшифровке состояние сессии снимается в снапшот; неудачная аутентификация откатывает к снапшоту, так что подпорченный ciphertext не может испортить сессию.

Каждое изменение состава это подпись, проверяемая на каждом устройстве.

Каждое добавление, удаление, выход, передача владения и назначение админа подписаны ML-DSA-87 устройством того, кто действует, поверх канонического сообщения, в котором названы комната, текущая эпоха, актор, цель и, для добавлений и назначений, ключ личности цели. Сервер проверяет подпись до того, как действовать, и хранит её в журнале событий комнаты; устройство каждого участника воспроизводит этот журнал и перепроверяет каждую операцию под ключами, которые оно само закрепило, никогда под ключами, полученными по сети. Добавления и назначения при ошибке не проходят: операция, которая не проверилась, никогда не попадает в множество участников, получающих ключи. Удаления проходят всегда, даже непроверенные, потому что отказ это безопасное направление. Удаление или выход двигает эпоху комнаты. Участник, которого ни одно наше устройство никогда не закрепляло, закрепляется самой комнатой через маршрут личности под его собственными аттестованными ключами, и журнал перепроверяется с первого события, как только пин появился. Транскрипт новичка начинается с момента его добавления; полная история состава остаётся доступной в разделе Security в Room Info.

Ключи отправителя: одна цепочка на отправляющее устройство, только проверенным участникам.

Каждое отправляющее устройство ведёт свою одностороннюю цепочку: ключ сообщения и следующий ключ цепочки выводятся через HMAC из текущего ключа цепочки, поэтому ключ, утёкший позже, не раскрывает более ранние сообщения. Ключ цепочки доставляется каждому проверенному устройству участника отдельно. Отправитель инкапсулирует ML-KEM-1024 на ротируемый ключ обёртки устройства получателя, подписанный этим устройством и обновляемый каждые 30 дней, а если полученный ключ не проверяется, то на сертифицированный ключ личности устройства, поэтому злонамеренный сервер может укоротить свежесть, но не может перенаправить ключ себе. Ключ цепочки едет запечатанным AES-256-GCM, привязанным к комнате, эпохе, устройству отправителя и устройству получателя, и несёт внутри запечатанных данных подпись ML-DSA-87 устройства отправителя, так что ни участник, ни сервер не могут подложить цепочку от чужого имени. Когда эпоха меняется, каждый отправитель начинает новую цепочку, и удалённое устройство не получает ни одной. Устройство, добавленное позже, начинает с текущей позиции каждой цепочки и не может вывести то, что было раньше. Отправители также перевыпускают ключ после 1000 сообщений или 7 дней.

Запечатано под цепочкой, подписано устройством: авторство в группе с общим ключом.

Сообщение комнаты запечатано AES-256-GCM под ключом сообщения, с комнатой, эпохой, устройством отправителя и позицией в цепочке в качестве связанных данных. Поскольку каждый участник держит ключ цепочки отправителя, одна конфиденциальность не может доказать, кто написал сообщение; поэтому каждый конверт несёт подпись ML-DSA-87 устройства отправителя поверх комнаты, эпохи, идентификатора сообщения, позиции и дайджеста шифртекста. Сервер проверяет эту подпись и текущую эпоху до того, как принять конверт, и, как и в личных чатах, удаляет конверт, когда устройство каждого участника подтвердило получение, с потолком 14 дней для тех, кто так и не вернулся. Принимающее устройство проверяет подпись до того, как трогает состояние цепочки, и в приложении, и в процессе уведомлений.

Сервер видит размер и время комнаты, но никогда её имя, фото или файлы.

Имя комнаты, описание и ключ фото запечатаны вместе в одном блобе под ключом метаданных комнаты, которого у сервера никогда нет. Ключ доходит до каждого устройства участника через ту же подписанную передачу в обёртке ML-KEM-1024, что и ключи цепочек, и ротируется при каждом изменении, поэтому ушедший участник не может прочитать более позднее имя. Фото, видео, голосовая заметка или файл, отправленные в комнату, шифруются на устройстве под свежим случайным ключом, и этот ключ едет внутри запечатанного тела сообщения; обёртки ключей файлов для каждого получателя нет, а сервер записывает только, кто загрузил блоб и когда он истекает, но никогда, к какой комнате или сообщению он относится. Фото комнаты живёт столько же, сколько комната; любой другой блоб комнаты удаляется по тому же потолку 14 дней, что и сообщения.

Один код, который каждое устройство считает само, и три ограничения, названные прямо.

Room Seal это 12-значный код и символ, выведенные через SHA-512 (канон печати v2, под кодом подпись SEAL V2 · SHA-512) из закреплённых ключей личности ML-DSA-87 каждого проверенного участника и эпохи комнаты. Каждое устройство считает его само; два участника с одинаковой печатью держат один и тот же проверенный состав в одной и той же эпохе, поэтому подложенный или скрытый участник виден как расхождение печатей. Три ограничения управляемого сервером состава это часть дизайна, они смоделированы, а не спрятаны: сервер может утаить событие от части участников, и печать это выявляет; ключ метаданных не ротируется при удалении участника, потому что уже прочитанное имя нельзя забыть, а следующее изменение его ротирует; удалённый участник сохраняет сообщения и файлы, полученные, пока он был участником, как в любом групповом мессенджере. Что сервер узнаёт о комнате: состав, роли, эпохи, количество и время сообщений, идентификаторы устройств, существование и размер блобов.

Классический звонок отклоняется до того, как телефон зазвонит.

В принуждающем production-режиме сигнальный релей валидирует каждый offer звонка до оповещения вызываемого и отклоняет его, если тот не несёт пост-квантовую версию протокола, требуемую capability пост-квантового набора, корректный материал ciphertext ML-KEM-1024 и утвердительный флаг пост-квантовых медиа. Answer проходит симметричные проверки. Устройство вызываемого, как эшелон обороны, само отклоняет offer без KEM-материала ещё до звонка.

Звонящий и вызываемый выводят одинаковые ключи из зеркальных инкапсуляций.

Звонящий инкапсулирует к публичному ключу ML-KEM-1024 вызываемого и шлёт ciphertext в offer; вызываемый декапсулирует, инкапсулирует к ключу звонящего и отвечает. Обе стороны выводят одно и то же, ключи привязаны солью к единственному звонку, ключи сигналинга и медиа разделены по домену; релей видит только непрозрачные ciphertext’ы:

master   = HKDF-SHA512( salt = callId, IKM = ss1 ‖ ss2 )
sigKey   = PRF( master, "call:sig" )    , метаданные сигналинга
mediaKey = PRF( master, "call:media" )  , шифрование кадров

Ключи ротируются посреди звонка, без щелчка и без пересогласования.

Каждый аудио- и видеокадр запечатывается AES-256-GCM под медиа-ключом. Таймер продвигает ограниченный индекс ключа каждые пять минут; ключ кадра для индекса i выводится детерминированно из медиа-ключа и i, а индекс едет в метаданных кадра, приёмники перекатываются вперёд, не прерывая поток.

Сервер, подменяющий ключи, убивает звонок.

Каждая сторона подписывает свой идентификатор звонка и KEM-ciphertext ключом идентичности ML-DSA-87; подпись едет вместе с пост-квантовым публичным ключом подписанта и его Ed25519-кросс-аттестацией внутри непрозрачного сигнального поля, которое релей пересылает как есть. Приёмник проверяет аттестацию под запиненным корнем доверия, привязку, под доказанным ключом, и пинит пост-квантовую идентичность с первого взгляда прямо из звонка. Подпорченный ciphertext, отсутствующая аттестация, понижение до классического набора от способного пира или несовпадение пина завершают звонок, сравнение safety-строк не требуется; звонок наследует уже запиненную идентичность переписки.

Если звонок нельзя запечатать пост-квантово, он не соединяется.

Нет ни состояния «небезопасный звонок», ни закрываемого предупреждения: любой пост-квантовый сбой на пути звонка означает, что звонок не устанавливается или рвётся. Опциональная политика Hidden IP для конкретного звонка ограничивает соединение relay-only-кандидатами (TURN), скрывая адрес устройства от собеседника, с логируемой best-effort-деградацией, если за ограниченное окно не собран ни один relay-кандидат.

Сервер хранит непрозрачный blob, который не может прочитать, а затем удаляет его.

Каждый файл шифруется на устройстве под свежим случайным 32-байтовым ключом AES-256-GCM и загружается как непрозрачный blob; ключ файла, никогда не сам файл, заворачивается каждому получателю через ML-KEM-1024 внутри сквозно-зашифрованного сообщения, которое на него ссылается. Сервер удаляет blob, как только устройство получателя подтверждает надёжное получение (успешную расшифровку и запись в шифрованное хранилище устройства), с короткой льготной паузой и независимым потолком в 14 дней для так и не скачанных blob’ов; запись о доставке намеренно не несёт идентичности получателя. Пересылка перешифровывает под свежим ключом и загружает новый blob, на сервере форвард не связать с оригиналом.

Одно зашифрованное фото, независимый криптографический грант на каждого зрителя.

Фото профиля шифруется один раз под свежим симметричным ключом; для каждого допущенного зрителя устройство владельца инкапсулирует к его ключу ML-KEM-1024 и запечатывает ключ аватара под результатом с AES-256-GCM, помечая каждую обёртку её AEAD-набором, никакого единого общего ключа профиля. Ротация аватара удаляет вытесненный blob и все старые обёртки. Зрители без обёртки ставят запрос в очередь, которую устройство владельца отрабатывает при следующем выходе в сеть, и на каждом запуске сверяет покрытие по зрителям, никто не остаётся пропущенным навсегда. Сервер пересылает и индексирует обёртки, которые никогда не может открыть.

Идентичность отправителя едет внутри шифрованного тела.

Идентичность отправителя встроена внутрь зашифрованного тела сообщения, это укрепляет её против любого пути, срывающего или переписывающего транспортный конверт. Скажем честно: релей всё же видит маршрут отправитель-получатель, пока существует строка сообщения, но контент не обнажается ни на одном слое, никогда.

Полезная нагрузка пуша, только метаданные маршрутизации.

Нагрузка несёт идентификаторы разговора и сообщения и handle отправителя для отрисовки; зашифрованное тело скачивает и расшифровывает notification-расширение на устройстве. Локальная настройка устройства полностью скрывает отправителя на экране блокировки. Пуш-токены хранятся зашифрованными AES-256-GCM под внутренним ключом сервера и расшифровываются мимолётно, в памяти, только в момент отправки пуша.

Всё, что лежит на устройстве, зашифровано.

Вся локальная база зашифрована постранично SQLCipher; таблица рэтчет-сессий несёт дополнительный AEAD-слой на строку. База кошелька отдельна и ключуется независимо. Медиа-история, переполнение тредов и кэши отрисовки шифруются AES-256-GCM под ключами из Keychain; все хранилища несут файловую защиту iOS и исключены из бэкапа iCloud. Вход в приложение закрыт Face ID / Touch ID с резервным PIN; подпись кошелька переспрашивает аутентификацию на каждой транзакции.

На сервере не существует ключа, расшифровывающего пользовательский контент.

Приватные ключи пользователей существуют только на их устройствах, в Keychain и Secure Enclave. Сервер держит публичные ключи, Ed25519, ML-DSA-87, X25519, ML-KEM-1024, prekey, материал, который нужен любому пиру для старта сессии. Его единственный внутренний симметричный ключ шифрует пуш-токены. Транспорт клиент-сервер идёт по TLS с пиннингом сертификатов, второй конверт вокруг контента, который уже зашифрован сквозно.

Контент вычищается по подтверждённой доставке, на всех планах.

Контент доставленного сообщения стирается в момент доставки (для статуса доставки остаётся бесконтентная заглушка); доставленные медиа-blob’ы удаляются по надёжному получению; сигнальная строка звонка удаляется в момент его окончания, долгая история звонков существует только на устройстве пользователя. Потолок в 14 дней страхует всё недоставленное. Списки контактов никогда не попадают на сервер. Удаление аккаунта уведомляет каждого бывшего собеседника по отдельности и не оставляет глобального реестра удалённых аккаунтов.

Мы публикуем остаточную поверхность, а не отрицаем её.

Как транспортный посредник, релей видит маршрутизацию, пока существует строка сообщения, временные метки событий, размеры ciphertext’ов (тела дополнены до блоков в 256 байт), огрублённое присутствие (размытый флаг «в сети»; last-seen, округлённый до пяти минут) и состав чатов. Поза нулевого plaintext структурна и непрерывно проверяема, квалифицированным ревьюерам доступен read-only-доступ к production-базе под NDA.