L'Informativa sulla privacy è sul nostro sito e anche in Impostazioni › Informazioni › Informativa sulla privacy. Dice cosa raccoglie CHANNEL, cosa non raccoglie mai, per quanto tempo si conserva qualcosa e cosa potrebbe ottenere una richiesta legale. È scritta in inglese.
Detto qui una volta invece che su ogni funzione, perché vale per tutte.
Tutto ciò che metti in una conversazione — parole, foto, una posizione, una reazione, il fatto che hai letto qualcosa — arriva alla persona con cui stai parlando. Quella è la funzione, non una falla. È un rischio solo se non sei sicuro di chi sia, ed è a questo che serve il collegamento: Collegamento spiega come verificarlo, e la scheda dice Collegato quando i due telefoni hanno le chiavi l'uno dell'altro.
Quindi il resto di queste pagine non lo ripete. Quello che dicono, in una frase, è dove una funzione espone qualcosa oltre a questo: alla rete su cui ti trovi, al nostro server, ad Apple o Google, o a un'azienda che non siamo noi. Quelle frasi sono brevi di proposito e servono perché niente ti sorprenda dopo, non per dissuaderti.
Prima che una foto o un video lasci il tuo dispositivo, CHANNEL lo ridisegna. La copia inviata contiene l'immagine e nient'altro: nessuna posizione, nessuna data e ora dello scatto, nessun nome o modello del telefono o della fotocamera. Vale per le foto e i video fatti in CHANNEL e per quelli scelti dalla tua libreria. Un file inviato con + > File parte così com'è, con i dati che chi l'ha creato vi ha messo.
CHANNEL non carica mai i contatti. Un contatto esiste in CHANNEL perché l'hai digitato, importato, o ti sei associato con lui. Contatti › Telefono può mostrare la rubrica del tuo dispositivo così puoi trovare qualcuno senza doverlo ridigitare: è di sola lettura finché quella scheda è aperta, non viene mai salvata e non viene mai inviata da nessuna parte, e viene conservata solo la persona che scegli di importare.
Impostazioni › Privacy › Mostra la mia raggiungibilità, e Mostra la mia raggiungibilità a nella pagina di un contatto, decidono se il CHANNEL di quella persona disegna per te lettere e segni di percorso: nascondere cambia solo ciò che mostra la sua app, i messaggi vanno comunque per la via più veloce, e una copia modificata della sua app potrebbe comunque mostrarlo.
Impostazioni › Privacy › Consenti ai telefoni dei miei contatti di riconoscere il mio nelle vicinanze è attivo per impostazione predefinita. I telefoni dei tuoi contatti possono capire via Bluetooth quando il tuo è vicino, finché CHANNEL è aperto, e nulla di ciò va a un server. Il tuo telefono trasmette un breve valore che cambia ogni 15 minuti e non significa nulla per chi non è tuo contatto; chiunque sia vicino vede che c'è un telefono con CHANNEL, ma non di chi. Se è disattivato, i tuoi contatti non hanno modo di saperlo finché non si connette un messaggio o una chiamata.
Impostazioni › Privacy › Suggerisci persone quando condividi mette le persone a cui scrivi in cima al menu Condividi del telefono, e toccandone una si apre CHANNEL con quella persona già scelta. È disattivato finché non lo attivi. Per farlo, il sistema del telefono viene a sapere a chi scrivi e quanto spesso. Non fa nulla finché il blocco app o un PIN dell'app è attivo, e disattivarlo cancella quella registrazione.
Nulla impedisce all'altra persona di fare uno screenshot, una registrazione, o una foto di quello che le invii, e CHANNEL non lo saprebbe. Non c'è un'impostazione per questo, perché un'impostazione qui non proteggerebbe nessuno da nessuno.
Cosa è protetto su questo dispositivo, sempre: un'immagine a vista unica mentre è sullo schermo, il codice QR di associazione, e ogni schermata dove si digita un segreto, che sono la tastiera del PIN, il codice di emergenza, la passphrase di backup e una chiave AI. Una cattura di una di queste è vuota, e la pagina vuota dice perché. Anche la scheda nello switcher delle app è vuota.
Cosa non è protetto: le tue conversazioni e i tuoi contatti. Fare uno screenshot della tua stessa conversazione è normale, e la privacy di questa app si basa su cosa esce dal telefono, non su impedire al proprietario di fotografarla. L'unica eccezione è una conversazione con Privacy avanzata della conversazione attiva, che su un telefono Android viene protetta — vedi Messaggi.
Niente, a meno che tu non lo dica. Senza nulla attivato, una notifica dice CHANNEL e che è arrivato un messaggio o una chiamata, e nient'altro: nessun nome, nessuna parola, nessun nome di gruppo. Impostazioni › Notifiche › Schermata di blocco ha un interruttore per i messaggi, uno per le chiamate e uno per i gruppi, e la pagina di un contatto può Mostra o Nascondi per quella persona qualunque cosa dicano quegli interruttori. Un profilo dietro un proprio blocco, e una conversazione con Privacy avanzata della conversazione attiva, non mostrano nulla qualunque cosa dicano gli interruttori. Anche i messaggi di una persona bloccata non mostrano nulla lì, qualunque cosa dicano gli interruttori. Ciò che mostra una notifica è lo stesso con il telefono bloccato o sbloccato.
Leggi ad alta voce nel menu a tocco lungo di un messaggio usa la voce del telefono stesso, offline. Le parole non vengono inviate da nessuna parte per essere pronunciate.
Impostazioni › Privacy › Nascondi CHANNEL quando la lasci rende la scheda nello switcher delle app una pagina granata vuota invece delle tue conversazioni. È attivo finché non lo disattivi. Su un telefono Android lo stesso interruttore rifiuta anche gli screenshot dentro CHANNEL, perché lì è una sola impostazione e non due. Una fotocamera puntata sullo schermo vede comunque tutto.
Il blocco dell'app è il tuo PIN dell'app, qui sotto. Viene chiesto quando CHANNEL si apre, e di nuovo dopo che è stato in background per un po'.
Impostazioni › Privacy › Blocchi › PIN dell'app imposta un codice tuo: da sei a 64 caratteri, qualsiasi carattere visibile, e le maiuscole contano. Più lungo è più forte. Funziona anche su un telefono senza alcun blocco, e viene chiesto prima di tutto. CHANNEL non si apre con il volto, con l'impronta o con il codice del telefono: il blocco è il PIN. Richiedi il PIN dopo imposta per quanto tempo CHANNEL può restare fuori vista prima che il PIN venga chiesto di nuovo: Subito, 1, 5, 10 o 30 minuti, oppure 1 ora. Ogni profilo con un PIN proprio segue la stessa attesa.
È voluto. Qualcuno può metterti un telefono davanti al viso o premerci sopra il tuo dito; nessuno può costringerti a dire un PIN che tieni per te. Per questo CHANNEL non offre mai Face ID, Touch ID o impronta, e l'app non chiede nemmeno il permesso di usarli.
Ogni campo PIN ha un occhio. Toccalo per vedere ciò che hai digitato e toccalo di nuovo per nasconderlo; un PIN con lettere e punteggiatura è difficile da digitare alla cieca.
Il PIN non viene mai salvato. Quando lo imposti, CHANNEL crea una chiave per lui dentro il chip di sicurezza di questo dispositivo (il Secure Enclave su un iPhone, l'hardware sicuro del Keystore su Android) e verifica subito che sia davvero il chip a fare il controllo. Se la prova riesce, è il chip a verificare ogni PIN che digiti, quindi una copia della memoria del telefono non serve a provare tentativi altrove. Se il telefono non ha un chip del genere o la prova fallisce, CHANNEL conserva invece un calcolo lento a senso unico del PIN (PBKDF2-SHA256, 210.000 cicli) e confronta con quello.
Due tentativi sbagliati non costano nulla. Dal terzo, ogni tentativo sbagliato avvia un'attesa di 5 secondi che raddoppia ogni volta, fino a 5 minuti, e chiudere l'app non la interrompe.
Nessuno può recuperare questo PIN. Non tu, non noi. Non lo conserviamo mai, e il chip che lo verifica non può rivelarlo. Non c'è un account, nessuna email registrata e nessuno a cui rivolgersi. Se lo dimentichi, i messaggi su questo dispositivo sono persi.
Quindi scegline uno che ricorderai ancora tra sei mesi, e fai un backup prima di impostarlo (Impostazioni › Backup), conservato in un posto che raggiungi senza questa app.
Tre tipi di codice vengono rifiutati, ognuno con una frase che dice perché:
Il motivo di un rifiuto compare sotto il campo mentre scrivi, prima di salvare.
Un PIN di meno di sei caratteri apre CHANNEL, che poi ne chiede uno nuovo una sola volta.
Il tempo per provare ogni codice possibile, calcolato dall'attesa descritta sopra e dal numero di codici. Vale per un codice scelto a caso: una data, una parola o uno schema si trovano molto prima. Le quattro cifre sono qui per confronto: CHANNEL rifiuta un PIN nuovo di meno di sei caratteri.
| Il PIN | Codici possibili | Indovinare attraverso l'app | Indovinare offline, una scheda grafica (stima) |
|---|---|---|---|
| 4 cifre | 10.000 | circa 5 settimane | meno di un secondo |
| 6 cifre | 1.000.000 | da 9 a 10 anni | circa 25 secondi |
| 6 lettere e cifre, le maiuscole contano (62 simboli) | circa 57 miliardi | circa 520.000 anni | circa 16 giorni |
| 6 caratteri qualsiasi della tastiera (94 simboli) | circa 690 miliardi | circa 6,4 milioni di anni | circa 7 mesi |
| 8 caratteri qualsiasi della tastiera (94 simboli) | circa 6 milioni di miliardi | circa 56 miliardi di anni | circa 4.800 anni |
Attraverso l'app è qualcuno che digita tentativi in CHANNEL sul tuo dispositivo. Quando l'attesa arriva a 5 minuti, sono circa 300 tentativi al giorno. Cambiare l'orologio del telefono non cambia un'attesa. Chi può anche sbloccare il telefono stesso e riavviarlo potrebbe accorciare le attese, quindi questa colonna è il caso migliore.
Offline è qualcuno che ha copiato la verifica del PIN fuori dal telefono e prova tentativi sul proprio computer, senza attesa. Vale solo su un telefono dove è il calcolo lento a verificare il PIN. La velocità, circa 40.000 tentativi al secondo su una scheda grafica moderna, è una stima basata su benchmark pubblicati per quel calcolo, non una nostra misura, e dieci schede vanno dieci volte più veloci. Dove è il chip di sicurezza a verificare il PIN, questa colonna non vale: la chiave che verifica il PIN non lascia mai il chip, quindi una copia della memoria del telefono non può provare nemmeno un tentativo.
Questi sono i tempi per provare tutto. Un codice può essere trovato prima, in media a metà strada, e un codice che la gente sceglie spesso molto prima, perché viene provato per primo.
Chi tenta di indovinare non scorre i codici in ordine. Un programma prova prima quelli probabili: parole, nomi, date e anni, sequenze della tastiera come qwerty e 123456, ripetizioni come aaaaaa, una maiuscola solo all'inizio, una cifra o un ! solo alla fine, e lettere sostituite da cifre simili. Quindi la forza di un codice sta in quanto è lontano da ciò che la gente sceglie di solito, non in quanti caratteri ha.
Il PIN non viene copiato su un dispositivo collegato. Ognuno ha il proprio, così sbloccare qui non sblocca mai lì, e un dispositivo che perdi non consegna gli altri.
Entrambi sono disattivati finché non li attivi, in Impostazioni › Privacy › Blocchi, ed entrambi sono per un dispositivo che qualcun altro potrebbe tenere in mano.
Chiedi il PIN per cambiare profilo. Il selettore di profilo è un elenco di identità che tieni apposta separate, e senza questo se ne apre una qualsiasi con un tocco. Attivalo e cambiare chiede prima il PIN dell'app — anche verso un profilo che non ha un proprio blocco, perché quello che viene protetto è il cambio, non la destinazione.
Questo è il caso del tablet prestato. Sotto un unico accesso, il telefono o il tablet non dà a CHANNEL modo di distinguere due persone, quindi il PIN è l'unica separazione che c'è.
Chiedi il PIN prima di eliminare. Eliminare un contatto, una conversazione o un profilo chiede prima il PIN dell'app, e poi chiede comunque se intendevi proprio quello. Due domande diverse: se sei autorizzato a farlo, e se lo intendevi davvero.
Mescola il tastierino del PIN. Il tastierino numerico della schermata di blocco mostra le cifre in un ordine nuovo a ogni apparizione, così un'impronta sul vetro, o uno sguardo a dove è andato il pollice, non dice nulla sul tuo PIN. Vale solo per un PIN di sole cifre; un PIN con lettere o simboli usa la tastiera, che non si può mescolare.
Non c'è nessun periodo di tolleranza su nessuno dei due. Il blocco dell'app aspetta quanto imposti in Richiedi il PIN dopo prima di chiedere di nuovo, così uscire per copiare un codice non ti costa uno sblocco; quel ragionamento non si applica a qualcosa che nulla può annullare. Un'eliminazione qui è reale — il record se ne va, non un semplice contrassegno — quindi essere avvisati è l'unica protezione.
Nessuno dei due usa il tuo volto o la tua impronta. Su un dispositivo condiviso quelli sono spesso disponibili a chiunque lo tenga in mano; il PIN è la parte che non lo è.
Un profilo può avere un codice tutto suo, separato da quello dell'app. In Impostazioni › Privacy › Blocchi, tocca Imposta PIN del profilo. Una volta impostato, la riga diventa Cambia PIN del profilo, e Rimuovi PIN del profilo compare sotto. Il PIN si chiede solo finché Blocca questo profilo è attivo: puoi tenere un PIN con il blocco spento e riattivare il blocco senza. Disattivare il blocco chiede il PIN.
Finché il profilo è condiviso, Rimuovi PIN del profilo non compare: un profilo condiviso ha sempre un PIN e si può solo cambiare. Cancella questo profilo dopo 10 PIN errati, sotto le stesse righe, è un'opzione che attivi tu; vedi Impostazioni.
È davvero un secondo codice: il suo sale, il suo conteggio di tentativi sbagliati, il suo ritardo. Tentare la porta di un profilo non blocca l'app, e conoscere il PIN dell'app non apre il profilo. Il senso di avere più profili è che siano separati, e un solo codice per tutti farebbe sembrare quella separazione reale solo a chi ti ha visto digitare una volta.
L'ordine segue quello dell'app. Aprire l'app chiede il PIN dell'app. Aprire un profilo con il blocco attivo chiede il PIN del profilo.
Una differenza rispetto al blocco dell'app è voluta: la schermata d'accesso del profilo nomina il profilo, cosa che la schermata di blocco dell'app non fa mai.
Un profilo con un PIN proprio viene chiesto ovunque un altro profilo possa raggiungerlo, non solo nel selettore dei profili:
Il profilo in cui sei è già stato aperto, quindi niente di tutto questo vale per lui.
Un profilo con un PIN proprio può avere un suo codice di emergenza: Codice di emergenza del profilo, sotto Rimuovi PIN del profilo. Come ogni codice in CHANNEL è facoltativo, e niente ti chiede di impostarlo. Una volta impostato, la riga diventa Cambia il codice di emergenza del profilo.
Digitato dove quel profilo chiede il suo PIN, apre il profilo esattamente come il PIN. Quando si apre, le conversazioni e i contatti di quel profilo non ci sono più: ogni messaggio, ogni scheda tranne quella del profilo stesso, le loro immagini, gli allegati e gli inviti in sospeso. Una chiamata a lui viene chiusa. Il profilo resta, con il suo nome, il suo PIN e la sua scheda, e ogni altro profilo sul telefono resta intatto. Nulla sullo schermo dice cosa è successo, e non viene inviato nulla a nessuno.
Il codice di emergenza dell'app è quello che svuota l'intero telefono.
Eliminare un profilo porta via anche il suo PIN e il suo codice di emergenza.
Blocca conversazione, nel menu di una conversazione, mette quella conversazione dietro un proprio PIN, distinto dal PIN dell’app e da ogni PIN di profilo. Una conversazione bloccata mostra solo il suo nome nell’elenco dei Messaggi, non compare mai in una ricerca tra le conversazioni e le sue notifiche dicono solo Nuovo messaggio. Chiede il PIN ogni volta che la apri dopo averla lasciata o aver lasciato l’app. Non c’è Face ID né impronta per lei. Se dimentichi il PIN, il blocco si può comunque rimuovere, ma così si eliminano i messaggi della conversazione da questo dispositivo. Nella conversazione bloccata, PIN dimenticato? chiede prima conferma, e Elimina messaggi e rimuovi blocco toglie il blocco ed elimina i messaggi della conversazione da questo dispositivo. Rimuovi blocco conversazione nel menu della conversazione toglie il blocco.
Una scheda appartiene al profilo in cui è stata creata. Chi ti scrive su un profilo viene aggiunto lì e in nessun altro posto, e un contatto che digiti tu a mano è uguale: due profili sullo stesso telefono non condividono nulla a meno che tu non lo dica.
La scheda stessa dice a quale appartiene, sotto Mostra in, e puoi cambiarlo lì senza aprire l'editor. Chiede conferma prima, perché quell'impostazione decide chi può vedere la scheda di quella persona e un tocco sbagliato non dovrebbe ampliarla in silenzio. In ogni caso i suoi messaggi restano nel profilo in cui sono arrivati; una conversazione non è mai condivisa fra profili, solo la scheda.
Con tre o più profili, la schermata Modifica della scheda offre anche Scegli i profili, per indicare esattamente quali la mostrano. Il profilo in cui sei la tiene sempre. Se è impostato un PIN dell'app, l'elenco chiede il PIN prima di nominare gli altri profili, perché nominarli dice che esistono.
Una scheda vive in un solo profilo. Se vuoi scrivere a quella persona da un altro, apri lì la sua scheda e scegli Scrivi da questo profilo.
Copia quello che è scritto sulla scheda — il nome, i numeri, gli indirizzi — e nulla più. Le chiavi non vengono mai copiate, e nemmeno quanto l'app è sicura della sua identità, perché entrambe sono fatti sull'associazione che quel profilo ha fatto e non sulla persona. Quindi il nuovo profilo inizia un primo contatto normale: all'altra persona viene chiesto, come a una sconosciuta, e non le viene detto nulla sul fatto che sei di nuovo tu.
Quel costo è la funzione che lavora bene. Un profilo che ereditasse l'associazione dell'altro direbbe all'altra persona che due profili sono una sola persona, che è esattamente l'unica cosa per cui i profili esistono.
Cambia il nome in cima alla sua scheda con quello che vuoi. Questo profilo mostra quel nome, una scheda che la persona invia non sostituisce mai un nome che hai scelto tu, e nessun altro profilo ne risente.
Cambia un nome in un elenco e nulla più. Una notifica può ancora citare il messaggio, uno screenshot mostra ancora la conversazione, e chi apre questo profilo legge tutto. Protegge un'occhiata a un elenco di conversazioni, che è una cosa reale da volere, e non è una serratura.
Se è l'occhiata a preoccuparti, imposta anche Schermata di blocco su Nascondi sulla sua scheda, perché un altro nome su una schermata di blocco che mostra i nomi è proprio la trappola che questo sarebbe altrimenti.
Tutto ciò che CHANNEL conserva su un dispositivo sta prima dietro il blocco del dispositivo stesso, quindi come è configurato il dispositivo conta quanto qualsiasi cosa nell'app. Prima che un profilo importante vada su un dispositivo:
Quando un dispositivo non c'è più, da un altro tuo dispositivo:
Ciò che un dispositivo perso ha mostrato prima di essere inizializzato non si può riprendere, per questo il codice viene per primo.
La pagina completa su questo è Se perdi il controllo di un dispositivo.
Sotto un unico accesso, il sistema operativo non separa due persone. Tutto ciò che CHANNEL conserva è raggiungibile da chiunque tenga in mano il dispositivo. Il PIN qui non è una comodità; è l'intera separazione.
Attiva Altre persone usano il dispositivo in Impostazioni › Privacy › Blocchi. Quell'unico interruttore fa ciò che altrimenti richiederebbe tre impostazioni: l'app si blocca nel momento in cui lascia lo schermo senza periodo di tolleranza, e ogni cambio di profilo chiede il PIN. È un solo interruttore di proposito — passare un tablet in giro non dovrebbe richiedere di capire quali impostazioni insieme danno la protezione che vuoi.
Poi dai a ogni profilo di ogni persona un proprio PIN, in Impostazioni › Privacy con Questo profilo selezionato. Quell'unica impostazione fa tre cose:
Attiva Chiedi il PIN prima di eliminare sulla stessa pagina. Eliminare qui è reale — il record se ne va, e nulla lo ripristina — quindi essere avvisati è l'unica protezione.
I tuoi contatti e le tue conversazioni sono già separati fra i profili, che tu metta un PIN o no: ogni profilo tiene i propri. Il PIN riguarda chi può aprire un profilo, non il tenere separati gli elenchi.
Il limite onesto. Niente di tutto questo rende privato un dispositivo condiviso. Chiunque lo tenga in mano può comunque vedere che CHANNEL è installato, che esistono profili, e che arrivano messaggi. Un profilo che conta davvero non appartiene a un dispositivo usato da altre persone, e nessuna impostazione in questa pagina lo cambia.
Anche il codice di emergenza dell'app appartiene qui: distrugge tutto ciò che CHANNEL conserva sul dispositivo, quindi su uno condiviso distrugge quello di tutti. Il codice di emergenza di un profilo raggiunge solo quel profilo.
Codice di emergenza, sotto lo stesso titolo, è un secondo codice, e compare solo una volta impostato un PIN. Digitato al posto del tuo PIN, sullo schermo fa esattamente quello che fa il tuo PIN: l'app si apre. Quello che è cambiato quando si apre è che tutto ciò che CHANNEL conservava su questo dispositivo non c'è più -- prima la chiave che sigilla gli archivi, poi le identità, poi ogni file -- e l'app che stai guardando è vuota. Fuori dalla Modalità sicura, il profilo che era aperto mantiene il suo nome. Dopo, CHANNEL si blocca come prima: il codice che hai digitato è il suo PIN da quel momento, le impostazioni del blocco restano com'erano e il codice di emergenza stesso viene eliminato. Nulla dice che c'è stata una cancellazione, e non c'è altro da toccare. Non c'è un passaggio di conferma, ed è proprio questo il punto: un secondo tocco è una cosa che chi ti sta accanto può vedere e interrompere, e farebbe sembrare il distress code diverso da quello vero. In cambio, digitarlo è immediato e non si può tornare indietro. Una copia conservata altrove, come un backup o un altro telefono, resta intatta. Una volta impostato, la riga diventa Cambia codice di emergenza.
Il codice di emergenza è per chi non ha alcuna autorità legale per pretendere il tuo PIN. Dove la legge ti obbliga a sbloccare, usarlo può essere di per sé un reato.
La modalità sicura appartiene a un profilo: il profilo che usi per il lavoro riservato può essere in modalità sicura mentre quello che usi con la famiglia no. Attiva Impostazioni › Anteprime › Modalità sicura (anteprima), e ogni profilo offre Impostazioni › Privacy › Blocchi › Modalità sicura. Richiede un PIN per quel profilo che il chip di sicurezza di questo dispositivo verifica (Imposta PIN del profilo, nella stessa pagina). Su un Mac un profilo non può attivarla finché ha attiva l'API locale, perché un'IA con accesso può leggere tutto ciò che la modalità sicura protegge. Prima di cambiare qualcosa offre Backup dei messaggi, che puoi saltare, e poi chiede il PIN del profilo. La scelta resta solo su questo dispositivo.
Con questa attiva, le notifiche di quel profilo dicono solo Nuovo messaggio, CHANNEL è nascosto nel selettore delle app mentre il profilo è sullo schermo e le anteprime dei link sono disattivate al suo interno, qualunque cosa dicano quegli interruttori da soli. Gli altri tuoi profili non ne sono toccati.
Mentre il profilo è bloccato, la sua chiave esiste solo nel chip di sicurezza di questo dispositivo e si apre solo con il suo PIN. Allora nulla sul dispositivo può leggere le sue conversazioni, e i messaggi che arrivano per lui aspettano, ancora sigillati, finché non lo apri; una notifica dice solo Nuovo messaggio. Una chiamata che arriva per lui mentre è bloccato compare dopo come chiamata persa. Gli altri tuoi profili continuano a funzionare come sempre. Il profilo si blocca quando tocchi Blocca ora, quando il dispositivo si blocca e poco dopo che lasci CHANNEL; aprirlo chiede il suo PIN. La copertina di un profilo bloccato offre Usa un altro profilo per passare a un altro profilo.
Le sue opzioni: Solo badge aumenta il numero sull'icona senza banner e senza suono. Cancella il testo copiato dopo un minuto toglie dagli appunti ciò che copi in quel profilo. Chiedi il PIN prima di salvare contenuti chiede il PIN del profilo prima che una foto, un video o un file ne esca.
Foto, video e file delle conversazioni del profilo sono sigillati con la stessa chiave, come le sue foto dei contatti, gli sfondi delle conversazioni e i messaggi vocali di persone che non sono tra i tuoi contatti, quindi un profilo bloccato non ne conserva nessuno leggibile. Il blocco elimina anche le copie aperte per riprodurli, vederli o condividerli, e ciò che è stato scelto o registrato nel campo del messaggio senza inviarlo.
Un profilo può aprirsi con il PIN dell'app invece che con un PIN proprio, e la sua pagina della modalità sicura lo dice; dargli un PIN proprio lo sposta su quel PIN. Un profilo in modalità sicura che condividi con un altro dei tuoi dispositivi arriva anche lì in modalità sicura e si apre con lo stesso PIN del profilo; ogni dispositivo tiene la propria chiave, creata dal proprio chip di sicurezza, e la chiave non lo lascia mai. Quando il suo PIN viene cambiato su un altro dei tuoi dispositivi, la prima volta che lo apri qui con il nuovo PIN chiede anche, una volta, il PIN che aveva su questo dispositivo, e la sua chiave passa allora al nuovo PIN.
Un profilo in modalità sicura non può dare accesso a un'IA, perché un'IA che può leggere il profilo può leggere tutto ciò che la modalità sicura protegge. Finché un profilo è in modalità sicura, il suo PIN non si può rimuovere, e un backup chiede di aprirlo prima.
Disattivando la modalità sicura, con il PIN del profilo, finiscono lei e la cancellazione dopo inattività per quel profilo, e le sue opzioni tornano com'erano. Ciò che ha sigillato resta sigillato e si apre come sempre, e CHANNEL mantiene la chiave del profilo protetta dal chip di sicurezza di questo dispositivo. Modalità sicura (anteprima) si può disattivare quando nessun profilo è in modalità sicura.
Il nome del profilo compare nel tuo elenco di profili per chi tiene il dispositivo sbloccato; ciò che il profilo conserva no.
Il rischio, in una frase: la modalità sicura è un'anteprima, e un difetto, un PIN dimenticato o un dispositivo perso possono costare ciò che quel profilo conserva su questo dispositivo, quindi tieni un backup altrove.
Per ridurre ciò che gli assistenti e la ricerca del tuo telefono vedono di CHANNEL, vedi Migliori impostazioni di sicurezza.
Dentro la modalità sicura di un profilo, Cancella dopo inattività distrugge la chiave di quel profilo, e con essa tutto ciò che il profilo conserva su questo dispositivo, se il profilo non viene aperto con il suo PIN per il tempo che scegli: 7, 14, 30, 60 o 90 giorni. Conta solo aprire il profilo con il suo PIN; l'arrivo di un messaggio no. Il profilo viene poi rimosso da questo dispositivo; se è l'unico profilo, va via tutto ciò che CHANNEL conserva sul dispositivo.
Nulla sul telefono ti avvisa prima, e nessuno può fermarlo o annullarlo una volta passato il tempo: né tu, né noi. L'unico avviso è questa pagina e la conferma quando lo attivi. Puoi disattivarlo in qualsiasi momento dal profilo aperto, con il suo PIN. Il codice di emergenza è per chi non ha alcuna autorità legale per pretendere il tuo PIN. Dove la legge ti obbliga a sbloccare, usarlo può essere di per sé un reato.
Il tempo è misurato in modo che cambiare la data non lo accorci: spostare indietro la data del telefono di più di due ore conta come tempo scaduto. Il tempo in cui il telefono è spento conta quando il telefono può saperlo.
Se ti è stato detto di conservare informazioni, prevedi una controversia o il tuo lavoro è regolamentato, non attivarlo, e disattivalo finché puoi ancora sbloccare. Questa responsabilità è tua.
Il rischio, in una frase: quando il tempo passa, tutto ciò che quel profilo conserva su questo dispositivo è perso per sempre.
Con la modalità sicura, e soprattutto con la cancellazione dopo inattività, CHANNEL non è il posto della tua unica copia. Una sicurezza quasi assoluta e tenere l'unica copia sul telefono tirano in direzioni opposte. Tieni i backup cifrati che vuoi in un posto che scegli tu, idealmente una copia fuori casa. Vedi Impostazioni › Backup.
Il rischio, in una frase: un backup lo può leggere chi ha sia il file sia la sua passphrase, quindi tienili separati.
Su Android, i file con le tue conversazioni e i tuoi contatti, e ogni foto, video e file che CHANNEL conserva, sono sigillati (AES-256-GCM) con una chiave che sta nel Keystore del telefono e non lo lascia mai.
Su un iPhone, i file con le tue conversazioni e i tuoi contatti sono sigillati (AES-256-GCM) con una chiave conservata nel portachiavi dell'iPhone, solo per questo dispositivo. Foto, video e file sono protetti dalla cifratura dei file dell'iPhone stesso.
Su entrambi, i dati di CHANNEL si aprono solo su questo dispositivo, dopo che è stato sbloccato una volta dall'accensione, e restano fuori dai backup del telefono stesso.
Nient'altro. Nessuna analisi, nessun rapporto di crash, nessun segnale di utilizzo oltre a quel conteggio giornaliero, e la Guida non contatta nessuno a meno che tu non prema Scarica.
CHANNEL chiede ogni permesso nel momento in cui una funzione ne ha bisogno per la prima volta. Fanno eccezione le radio e le notifiche: CHANNEL le chiede al primo avvio, perché ogni messaggio passa da lì. Niente in CHANNEL può vedere tutta la tua libreria foto, la tua posizione in background o qualsiasi cosa sul telefono che tu non abbia scelto. L'ultima colonna riporta il nome usato dalle impostazioni del telefono e dal codice dell'app, per chi vuole verificarlo. Un risveglio inviato a questo dispositivo passa dal servizio push di Apple o di Google e non contiene né un messaggio né un mittente. Prima di chiedere, CHANNEL legge quello che il telefono dice di quel permesso: uno già concesso non viene più richiesto, e una funzione il cui permesso hai rifiutato resta disattivata finché non lo consenti nelle impostazioni del telefono.
Su iPhone:
| Cosa | Quando CHANNEL lo chiede | Dopo | Nome di sistema |
|---|---|---|---|
| Bluetooth | Al primo avvio di CHANNEL | Resta concesso, così i messaggi dai telefoni vicini arrivano anche con l'app chiusa | NSBluetoothAlwaysUsageDescription, bluetooth-central, bluetooth-peripheral |
| Rete locale | Quando CHANNEL cerca per la prima volta contatti sulla stessa Wi-Fi | Resta concesso; cerca solo altri telefoni con CHANNEL | NSLocalNetworkUsageDescription |
| Notifiche | Dopo che hai dato un nome al tuo profilo durante la configurazione | Resta concesso; un risveglio non ha contenuto | remote-notification, aps-environment, com.apple.developer.usernotifications.time-sensitive |
| Chiamate in arrivo | Mai: il telefono squilla con la propria schermata di chiamata | Solo per una chiamata | voip |
| Microfono | La tua prima chiamata o il tuo primo messaggio vocale | Solo durante una chiamata o una registrazione; una chiamata mantiene l'audio a schermo spento | NSMicrophoneUsageDescription, audio |
| Fotocamera | La tua prima videochiamata, scansione di un codice o foto scattata nell'app | Solo mentre la fotocamera è sullo schermo | NSCameraUsageDescription |
| Scegliere foto e video | Mai: il selettore di sistema mostra a CHANNEL solo ciò che scegli | Non resta nulla | nessuno |
| Salvare in Foto | La prima volta che salvi un'immagine o tieni copie di ciò che scatti | Solo aggiunta: CHANNEL non può leggere la libreria | NSPhotoLibraryAddUsageDescription |
| Posizione | Quando invii la tua posizione, la condividi in tempo reale o apri una mappa | Solo durante l'uso, mai «Sempre»; la lettura finisce con la condivisione o con la mappa | NSLocationWhenInUseUsageDescription, location |
| Contatti | Quando apri i contatti del telefono dentro CHANNEL e tocchi Continua | Letti mentre quell'elenco è aperto, mai salvati, mai inviati | NSContactsUsageDescription |
| Face ID | Mai: CHANNEL non lo usa | Non resta nulla | NSFaceIDUsageDescription |
| Riconoscimento vocale | Quando chiedi un messaggio vocale come testo | Solo su questo dispositivo | NSSpeechRecognitionUsageDescription |
| Archivio condiviso tra CHANNEL e le sue estensioni per notifiche e condivisione | Mai | L'estensione di condivisione raggiunge solo la chiave di ciò che condividi, mai i tuoi messaggi o la tua identità | com.apple.security.application-groups, keychain-access-groups |
| Un controllo delle immagini di nudo, su questo dispositivo | Mai: segue l'impostazione del telefono sugli avvisi per contenuti sensibili | Niente lascia il telefono | com.apple.developer.sensitivecontentanalysis.client |
Su Android:
| Cosa | Quando CHANNEL lo chiede | Dopo | Nome di sistema |
|---|---|---|---|
| Dispositivi nelle vicinanze (Bluetooth) | Al primo avvio di CHANNEL; su Android 11 e precedenti, concesso all'installazione | Resta concesso; indicato come mai usato per la posizione | BLUETOOTH_SCAN, BLUETOOTH_ADVERTISE, BLUETOOTH_CONNECT, BLUETOOTH, BLUETOOTH_ADMIN |
| Dispositivi Wi-Fi nelle vicinanze | Al primo avvio di CHANNEL, su un telefono con Wi-Fi Aware | Resta concesso; indicato come mai usato per la posizione | NEARBY_WIFI_DEVICES |
| Posizione | Quando invii la tua posizione o la condividi in tempo reale; anche al primo avvio di CHANNEL su Android 11 e precedenti, perché la ricerca di telefoni vicini via Bluetooth ne ha bisogno lì, e fino ad Android 12 su un telefono con Wi-Fi Aware, che ne ha bisogno anch'esso | Nessuna posizione in background; la lettura finisce con la condivisione o con la mappa | ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION |
| Notifiche | Al primo avvio di CHANNEL | Resta concesso; un risveglio non ha contenuto | POST_NOTIFICATIONS, com.google.android.c2dm.permission.RECEIVE |
| Restare connesso in background | Mai: concesso all'installazione di CHANNEL | Mentre è attivo si vede una notifica | FOREGROUND_SERVICE, FOREGROUND_SERVICE_CONNECTED_DEVICE, WAKE_LOCK |
| Un controllo all'avvio del telefono | Mai richiesto: concesso quando si installa CHANNEL | Non legge nulla; esegue i controlli di CHANNEL prima di aprire qualsiasi cosa | RECEIVE_BOOT_COMPLETED |
| Rete | Mai: concesso all'installazione di CHANNEL | Per consegnare i messaggi | INTERNET, ACCESS_NETWORK_STATE, ACCESS_WIFI_STATE, CHANGE_NETWORK_STATE |
| Microfono | La tua prima chiamata o il tuo primo messaggio vocale | Solo durante una chiamata o una registrazione | RECORD_AUDIO, MODIFY_AUDIO_SETTINGS |
| Fotocamera | La tua prima videochiamata, scansione di un codice o foto scattata nell'app | Solo mentre la fotocamera è sullo schermo | CAMERA |
| Scegliere foto e video | Mai: il selettore di foto di Android mostra a CHANNEL solo ciò che scegli | Non resta nulla | nessuno |
| Contatti | Quando apri i contatti del telefono dentro CHANNEL e tocchi Continua | Letti mentre quell'elenco è aperto, mai salvati, mai inviati | READ_CONTACTS |
| Salvare nella galleria | Solo Android 8 e 9, la prima volta che salvi un'immagine o conservi una copia di ciò che scatti; Android 10 e successivi non lo chiedono mai | Usato solo per aggiungere il file che hai scelto di salvare o la copia di ciò che hai scattato | WRITE_EXTERNAL_STORAGE |
| Impronta o volto | Mai: CHANNEL non li usa; li dichiara una libreria inclusa in CHANNEL | Non resta nulla | USE_BIOMETRIC, USE_FINGERPRINT |
| Acquisti | Quando compri qualcosa nell'app | Gestiti da Google Play | com.android.vending.BILLING |
| IA sul dispositivo (Gemini Nano) | Mai chiesto: il servizio di IA di Android, usato solo se attivi l'IA sul dispositivo | Funziona sul telefono; nulla ne esce | com.google.android.apps.aicore.service.BIND_SERVICE |
Una copia leggibile di un'immagine, di un clip o di un file che CHANNEL crea per mostrarlo, riprodurlo o passarlo a un'altra app e che resta sul telefono viene eliminata al successivo avvio di CHANNEL.
I server di CHANNEL non memorizzano indirizzi IP, né messaggi che possano leggere, né liste di contatti. Quando il tuo dispositivo consulta la chiave pubblicata di qualcuno, un limitatore di frequenza conserva per un massimo di due ore un'impronta con chiave del tuo blocco di rete (non del tuo indirizzo), così nessuno può sondare numeri a migliaia. Alcuni dati esistono al di fuori del controllo di qualsiasi app:
Cosa puoi fare:
CHANNEL non controlla se un telefono Android ha il sistema con cui è stato venduto, se ha i permessi di root o se ci sono i servizi di Google, e non rifiuta nessun telefono per nessuno di questi motivi. Niente al suo interno serve a impedirgli di funzionare su un sistema come GrapheneOS. Gli acquisti tramite Google Play richiedono i servizi di Google sul telefono. I risvegli per chiamate e messaggi arrivano dal servizio push di Google quando quei servizi ci sono; senza, arrivano da un'app UnifiedPush installata sul telefono, il cui server vede che è stato inviato un risveglio e mai un messaggio, un nome o un mittente.
Il recupero automatico delle anteprime non conserva un registro dei link richiesti e non salva su disco la pagina o l'immagine recuperata.
Il modulo di assistenza sul nostro sito, che si apre da Impostazioni › Informazioni › Assistenza, ci invia il tuo messaggio e le eventuali immagini per e-mail, e il sito non li memorizza. Un indirizzo di risposta serve solo per rispondere. Il rischio, in una frase: la pagina del modulo carica il controllo anti-spam da Cloudflare, quindi Cloudflare vede che la pagina è stata aperta. L'app non invia nulla con il link.
Ciò che si fa per trovare gli errori prima che arrivino a te.
Per CHANNEL non è stato fatto alcun audit di sicurezza indipendente da parte di persone. Le revisioni sopra non sono un audit.
L'intera Guida è dentro l'app e funziona senza nulla di connesso, per sempre. Quando esistono pagine più recenti, una riga in cima alla Guida dice Updated help is available e offre Scarica.
Saperlo non costa nulla: l'app lo impara da un sondaggio che fa già per la tua posta, quindi non c'è nessuna connessione in più e nessun nuovo schema da osservare per nessuno. La Guida non controlla all'avvio o a orologio, perché una richiesta su un programma segnalerebbe quando apri l'app, che qualcuno stesse contando oppure no.
Nulla viene scaricato finché non premi il pulsante, e il foglio dice chiaramente cosa fa premerlo. Contatta il nostro sito pubblico, channelmessenger.net, e quel server vede il tuo indirizzo. Nient'altro viene inviato, e la Guida funziona senza. Se questo conta dove ti trovi, fallo su una rete che non è la tua.
Il nostro server non dice mai dove sono le pagine, solo che ce ne sono di più recenti, e l'app le scrive solo una volta che ogni pagina è in mano, così un download che si interrompe a metà lascia la Guida che hai così com'era.
Impostazioni › Funzioni IA prende Il mio server come provider: una macchina che gestisci tu, di solito raggiunta su una rete privata tua. Nulla su di essa raggiunge noi. Non ci viene mai detto l'indirizzo, la richiesta non tocca mai il nostro server, e le parole vanno alla tua macchina e si fermano lì. Vedi Impostazioni.
Se attivi Chatta come contatto per un account AI, quel contatto è una conversazione con il tuo account del provider e nient'altro. Gli viene detto, nelle sue istruzioni, che può vedere solo questa conversazione, che non ha memoria delle tue altre sessioni, nessun accesso ai tuoi contatti, alla tua posizione o al tuo dispositivo, che non può inviare un messaggio o compiere alcuna azione, e che non deve mai chiederti una password, una chiave o un codice. Nient'altro su questo dispositivo gli viene mai inviato. Solo tu puoi scrivergli, e lui non può raggiungere nessuno.
Le richieste sono contate per account, così puoi vedere per cosa è stato usato un account.
Impostazioni › Privacy › Messaggi scritti da una AI sceglie chi può archiviare un messaggio che la app di invio ha segnato come scritto da una AI. Tutti archivia ogni messaggio così. Solo contatti scarta un testo, un testo visibile una volta sola o un messaggio di gruppo quando chi invia non è un contatto. Non viene archiviato e non avvisa. I messaggi dei contatti restano, e resta anche un messaggio senza questo segno. Il segno è una dichiarazione della app che invia.
Quando una funzione invia le parole di un'altra persona a un'AI (Riassumi, Suggerisci risposte, Traduci, o una domanda su un'immagine che ti ha mandato), CHANNEL prima rimuove i caratteri che una persona non vede ma un modello può leggere, e segna le sue parole come citazione, con l'istruzione di non eseguire mai il testo citato. Così è molto più difficile che un messaggio guidi quello che l'AI ti dice, anche se non impossibile. La risposta a quelle funzioni ti viene sempre mostrata prima e non viene mai inviata da sola. Risposte automatiche, attivate su un profilo, sono l'eccezione: inviano le loro risposte senza mostrarle prima.
Il testo inglese è quello di riferimento; ogni traduzione è solo una comodità. L'aiuto è salvato su questo telefono e non contatta nessuno.
CHANNEL