Do que o Obleevo protege você, e do que não protege
Um relato claro daquilo a que o Obleevo foi feito para resistir e de onde termina a sua proteção. Nada aqui promete que ele resiste a tudo: é o que o projeto faz, e o que ele deixa com você.
1. Do que ele protege
O servidor ler o que você compartilha. Mensagens, arquivos, voz, telas e notas são criptografados de ponta a ponta entre os navegadores pelo WebRTC e, depois, uma segunda vez com chaves pós-quânticas (um híbrido de X25519 e ML-KEM-768, com AES-256-GCM). O servidor só apresenta os navegadores um ao outro; ele nunca tem uma chave.
Quem observa a rede. Seu Wi-Fi, seu provedor de internet e o relay que carrega uma conexão quando uma direta não é possível veem bytes criptografados que não conseguem ler.
Gravado hoje, decifrado amanhã. A camada pós-quântica existe para que o tráfego capturado hoje continue selado mesmo diante de um futuro computador quântico.
Um servidor roubado ou apreendido. Não há contas, nem banco de dados, nem arquivos ou mensagens guardados: uma sala vive na memória e some quando termina. Levar o servidor rende o código — que todo navegador recebe de qualquer forma — e contagens por dia. Um servidor levado em funcionamento também contém, na memória, as salas e os endereços abertos naquele momento, além dos registros do sistema.
Metadados, reduzidos ao mínimo. Nenhum registro de acesso, nenhum cookie; um endereço IP só fica na memória enquanto sua conexão está aberta, e um código de sala só enquanto a sala existe. O aviso de privacidade lista tudo.
2. Do que ele não protege
Um dispositivo comprometido. Um malware, uma extensão de navegador hostil ou alguém com o seu celular desbloqueado vê o que você vê. O Obleevo avisa quando algo altera a página dele, mas o que apenas a lê não deixa rastro.
As pessoas com quem você compartilha. Um destinatário pode tirar uma captura de tela, fotografar a tela, guardar um arquivo ou repassá-lo. A visualização única e queimar limitam o que fica na tela dele, não o que ele decide guardar.
Uma primeira visita servida por um servidor hostil. O código que criptografa vem do servidor. Se o servidor for hostil na primeira vez que um navegador abre o Obleevo, não há nenhuma cópia mais antiga para conferi-lo.
Uma versão feita para uma única pessoa que nunca teve o app. Um servidor pode entregar a um visitante um código diferente. A página Verificar, e comparar a impressão digital dela com a de outra pessoa, podem revelar isso depois; não podem impedir.
Momento e tamanho. O servidor e os relays veem quando você se conecta, de qual endereço (Esconder meu IP o troca pelo do relay), por quanto tempo e, aproximadamente, quantos dados passam — não o que são.
Ainda sem auditoria independente. Todas as revisões da página Auditorias de segurança foram feitas internamente, por nós, assim como os nossos testes. Nenhuma empresa externa auditou o Obleevo.
3. Não é uma ferramenta de anonimato
O Obleevo coloca o que você compartilha fora de alcance, inclusive do nosso. Ele não esconde que você o usou e não foi feito para escapar da lei; os Termos proíbem usos ilegais.
O que continua rastreável. O servidor e os relays veem o seu endereço IP enquanto você está conectado. A Cloudflare, o provedor de hospedagem e outros provedores mantêm seus próprios registros. Seu provedor de internet vê que você se conecta a obleevo.com. As pessoas da sala podem guardar o que você envia e testemunhar. Um dispositivo apreendido ou comprometido pode conter rastros. A polícia tem outros meios de investigação.
O que não existe do nosso lado. Nenhuma conta, nenhum conteúdo em nossos servidores, nenhum registro de quem falou com quem e nada sobre uma sala encerrada. A seção 20 do aviso de privacidade dá a lista completa, nos dois sentidos.
4. Atualizações assinadas, e seus limites
Desde a v1.41.0, a declaração publicada para cada versão — a impressão digital de cada arquivo que ela serve — é assinada com uma chave que o proprietário guarda offline. O servidor nunca tem essa chave, então um servidor invadido não consegue assinar o código que serve.
Depois que o Obleevo foi aberto em um navegador, o app guarda o seu código ali e o executa dali. Código novo só chega como uma nova versão, e a cópia que você já tem a confere antes de confiar nela: assinada com a chave embutida no app, mais nova que a sua, com os arquivos que a assinatura cobre. Então ela diz “Nova versão verificada”. Caso contrário, pede que você feche o Obleevo, não recarrega a página e remove a nova versão do navegador até onde uma página consegue. Quando o servidor não responde à verificação, ela diz que não conseguiu verificar — não que algo está errado.
A pré-visualização segura (v1.42.0) segue a mesma regra. O iframe onde um arquivo recebido é mostrado não aceita nada do servidor só porque ele diz: o aplicativo escreve ele mesmo todo o documento do iframe, e cada script que o iframe carrega - e o worker do pdf.js, que o aplicativo verifica antes de passá-lo - tem de corresponder a um hash SHA-384 que o aplicativo guarda. Todo o resto é recusado e nunca executado, com uma mensagem que diz por quê. O limite é o do próprio aplicativo: esses hashes valem o que vale a cópia do aplicativo que os guarda, então uma primeira visita servida por um servidor hostil também não está protegida aqui.
Os limites. Um navegador instala uma nova versão não importa o que a página ache: uma página pode detectá-la e desfazê-la, não bloqueá-la. Um servidor que respondesse ao pedido do navegador de um jeito diferente do que responde à verificação da página, enquanto existe uma versão autêntica mais nova, poderia passar despercebido; isso exige um trabalho deliberado contra uma pessoa, e a página Verificar confere de novo. A primeira visita em um navegador, uma janela anônima, ou uma visita depois de queimar uma sala ou apagar os dados do site (as duas coisas apagam de propósito a cópia instalada) começam sem nada com que conferir. E uma assinatura diz quem publicou o código, não que o código não tem falhas.
A chave embutida no app só muda por meio de uma versão assinada com a chave anterior. Nada do que o servidor envia — um arquivo, um cabeçalho, um endereço — pode mudá-la.
5. Confira você mesmo
A página Verificar calcula no seu navegador a impressão digital de cada arquivo e a compara com a lista publicada, confere essa lista com a declaração da versão, com carimbo de tempo no Bitcoin pelo OpenTimestamps, e desde a v1.41.0 confere a assinatura da declaração — com o comando ssh-keygen para conferi-la no seu próprio computador. Comparar a impressão digital que ela mostra com alguém em outro dispositivo e outra rede diz se vocês receberam o mesmo código.
Encontrou um jeito de contornar algo disso? Conte para nós primeiro.
Última revisão:
Sobre · Vamos trabalhar juntos · Tutoriais · Por que o Obleevo · Perguntas frequentes · Termos · Privacidade · Acessibilidade · Cookies · Segurança · Auditorias de segurança · Formato do cofre · Contato · Novidades
O Obleevo é desenvolvido pela The House of Brendrof. Software proprietário, de uso gratuito.