Как это устроено

Коротко и без терминов: что защищает твою переписку.

Шифрование

Личные чаты, группы и закрытые комнаты шифруются на телефоне. Ключи есть только у собеседников, поэтому прочитать переписку не может никто посередине: ни мы, ни хостинг, ни тот, кто перехватит трафик.

Звонки шифруются так же: звук и видео открываются только на телефонах собеседников. Фото, видео, голосовые и файлы в этих чатах — тоже.

blesk работает на протоколе Signal через официальную библиотеку libsignal, своей криптографии в нём нет. Ключи меняются с каждым сообщением, поэтому ключ, украденный сегодня, не откроет вчерашнюю переписку. Собеседника можно проверить: сравните номер безопасности или отсканируйте QR-код друг друга.

Что видит сервер

Только то, без чего сообщение не доставить: имя пользователя, публичные ключи и кому и когда адресовано зашифрованное сообщение. Первые 30 дней после регистрации — ещё и кто тебя пригласил: так проще останавливать спам.

Номера телефона и почты у blesk нет, адресную книгу телефона он не читает. Подробно — в политике конфиденциальности.

Каналы и открытые комнаты

Их может читать любой, кто вступил, поэтому сквозного шифрования там нет. В шапке таких чатов нет замка, а сами они матовые и подписаны. Чаты с ботами тоже без сквозного шифрования: бот должен прочитать сообщение.

Вход без номера

Аккаунт держится на фразе из 12 слов. Её знаешь только ты, и восстановить её за тебя мы не сможем, поэтому сохрани её на бумаге.

Проверка сборки

Открой в blesk Настройки → О приложении → Подлинность.
Сравни отпечаток с тем, что указан ниже.
Если они не совпадают, это чужая сборка. Удали её и скачай blesk с этого сайта.

Версия: 1.0.0-rc3 · сборка 217
Отпечаток ключа подписи: BD:7E:78:02:4E:A4:7C:A7:E7:DE:70:C0:2C:39:BE:FF:5A:28:55:BE:35:56:02:88:CD:D4:77:E5:7F:9D:78:BD
SHA-256 файла: 9cf85112dc1e610feda9fc86a61ae5338160120c0de0274a4c02485760b7911e
Исходный код: коммит b51ce4d
Релиз: build-217 на GitHub

Сейчас сборки подписаны тестовым ключом. Он лежит в открытом репозитории, и подписать им может кто угодно, поэтому один отпечаток ключа подлинность не доказывает. Сверяй SHA-256 файла и скачивай blesk только с blesk.su и со страницы релизов на GitHub.

SHA-256 скачанного файла

Windows, в PowerShell:

Get-FileHash blesk.apk

macOS: shasum -a 256 blesk.apk, Linux: sha256sum blesk.apk. Отпечаток ключа подписи покажет apksigner verify --print-certs blesk.apk из Android SDK.

Встроенное обновление проверяет всё это само: ставит только сборку, подписанную тем же ключом, что и установленное приложение, и сверяет SHA-256 с описанием релиза.

Открытый код

Код приложения и сервера открыт на GitHub под лицензией AGPL-3.0: любое утверждение на этом сайте можно проверить. Сервер blesk можно поставить и у себя — инструкция в файле docs/SERVER.md.

На этом сайте нет счётчиков, аналитики и cookies, всё загружается с blesk.su. Шрифт Onest распространяется по лицензии SIL Open Font License.