Ağın artık xox kullandığını bilmiyor
xox mesajları her zaman uçtan uca şifreliydi. Ama şimdiye kadar her bağlantının ilk paketinde açıkta giden bir veri vardı: sitenin adı. Trafiğine bakan biri hiçbir şey okuyamazdı ama xox'ta olduğunu bilirdi. Bugünden itibaren onu da bilemez.
Ağın şimdiye kadar gördüğü
Bir web sitesini açtığında cihazın, şifreleme başlamadan önce hangi ada bağlanmak istediğini söyler. Gerçek sonuçları olan teknik bir ayrıntı: mobil operatörün, bir otelin ya da ofisin Wi-Fi'si ve ada göre engelleyen ülke filtreleri «xox.is»in geçtiğini görürdü. İçeriği değil ama gerçeği. Neredeyse tüm mesajlaşma uygulamalarında olan bir meta veri sızıntısı.
Değişen: ad şifreli yolculuk ediyor
xox artık bu ilk veriyi de şifreleyen yeni bir standart olan Encrypted Client Hello (ECH) kullanıyor. Dışarıdan yalnızca xox ile ilgisi olmayan nötr bir ad görünür; gerçek ad içeride, şifreli gider. Aradaki ağ için xox'u açmak herhangi bir siteyi açmak gibi görünür. Otomatiktir: açman gereken bir şey yok. Güvenli DNS'li Chrome ve Firefox'ta çalışır; çoğu Android telefonda bu zaten açık. Bildiğimiz kadarıyla başka hiçbir mesajlaşma uygulamasında varsayılan olarak açık değil.
1.5.3 uygulamasında da yeni
Android uygulaması ekran görüntüsünü ve ekran kaydını sistem düzeyinde engeller; son uygulamalar görünümü konuşmayı göstermez. Android yedeklemeleri kapalıdır: verilerin buluta gitmez, aktarımda başka bir telefona geçmez. Klavye gizli modda çalışır ve yazdıklarından öğrenmez. Ve kasa anahtarı artık telefonun güvenli çipinde yaşayabilir: Ayarlar → Kasa'dan açılır ve o andan itibaren depolamanın kopyası PIN denemek için işe yaramaz; o telefonun açık olması gerekir.
Neyi korur, neyi korumaz
ECH adı gizler, adresi değil: ağ hangi sunucuya bağlandığını hâlâ görür, ne olduğunu bilmese de. Onu da gizlemek için Tor var; xox bunu tarayıcıda zaten sunuyor, yakında uygulamanın içinde de. Ekran görüntüsü engeli ekranın telefonun kendisinden yakalanmasını önler, birinin başka bir kamerayla çekmesini değil. Ve bu katmanların hiçbiri en önemlisinin yerini tutmaz: zararlı yazılımsız bir telefon ve uzun bir PIN.
Ne yapman gerekiyor
Web'de hiçbir şey: şifreli ad herkes için zaten açık. Android'de Google Play'den ya da xox.is/get'ten 1.5.3'e güncelle ve istersen Ayarlar → Kasa'dan çipi aç. Gerisi her zamanki gibi: hesap yok, numara yok, e-posta yok ve hiçbir yerde hiçbir şey saklanmıyor.