O seu cofre local: tudo cifrado sob o seu PIN

Cifrar as mensagens em trânsito já não chega. O que o compromete está quase sempre no próprio telemóvel: um aparelho perdido, uma cópia de segurança, uma revista, alguém que lho pede por um minuto. Hoje ativamos o cofre local do xox: tudo o que a app guarda no seu dispositivo fica cifrado com uma chave que só o seu PIN abre. Sem PIN não há chats, nem contactos, nem chaves. Só ruído.

O que é cifrado exatamente

Tudo. Chats, contactos, grupos, identidades, licença, definições: cada dado que o xox escreve no armazenamento do navegador ou da app passa por AES-256-GCM com uma chave aleatória de 256 bits. Essa chave fica, por sua vez, envolvida por outra derivada do seu PIN com PBKDF2-SHA256 e 600.000 voltas. Nem os nomes das entradas se veem: também vão cifrados. Quem copiar o armazenamento leva ruído.

Como funciona no dia a dia

Ao abrir a sua área pela primeira vez, o xox pede-lhe para criar um PIN de 6 a 12 dígitos (recomendamos de 8 a 12). Depois, sempre que abrir a app após a fechar, escreve o PIN num teclado próprio do xox: o teclado do sistema não o vê, não o aprende e não o sugere. Com o cofre aberto, a app é exatamente a de sempre; com o cofre fechado, nem sequer o código da app é carregado.

Bloqueio automático e bloqueio imediato

Escolha quando se fecha sozinho: ao sair da app, ao fim de 1, 5, 15 ou 60 minutos, ou nunca. Em Definições → Cofre tem ainda 'Bloquear agora' para o fechar de imediato. Se alguém tentar PIN ao acaso, as tentativas são travadas: após três falhas a espera duplica, até um minuto por tentativa.

PIN de pânico

Pode definir um segundo PIN. Se o escrever no ecrã de bloqueio, o xox apaga tudo o que está no dispositivo (chats, chaves, identidades, cache) e arranca limpo, como acabado de instalar. Não há aviso, não há animação e não há forma de o distinguir de um telemóvel que nunca teve xox. É a saída para quando o obrigam a abrir a app.

Teclado sem aprendizagem

Os teclados dos telemóveis e os corretores 'melhorados' de alguns navegadores enviam o que escreve para servidores alheios para lhe sugerir palavras. O xox força em todos os seus campos de texto o modo sem corretor, sem preenchimento automático e sem aprendizagem, e volta a forçá-lo sempre que o ecrã muda. E o PIN nunca passa pelo teclado do sistema.

O que não podemos fazer, e o que vem a seguir

Um PIN de 6 dígitos não resiste a um ataque de força bruta com uma cópia do seu armazenamento e uma placa gráfica: por isso recomendamos de 8 a 12. Se esquecer o PIN, ninguém, nem nós, consegue recuperar os dados: não existe cópia da chave em lado nenhum. Na app nativa a chave ficará ligada à impressão digital ou ao chip seguro do telemóvel, e chegarão o Tor, o ratchet pós-quântico e o preenchimento de tráfego, dentro do plano xox Shield.