你嘅密鑰永遠唔會離開你嘅裝置。
密鑰用 libsodium 喺你嘅瀏覽器入面生成。喺儲存前用你揀嘅密碼加密(Argon2id + XSalsa20-Poly1305)。冇 Morphit 服務器睇到佢哋。
安全姿態
我哋承諾乜嘢,呢個對你嚟講意味著乜嘢。
零追蹤,零日誌。
冇 cookie。冇分析。冇第三方腳本。冇 IP 日誌。冇遙測。如果你睇瀏覽器嘅網絡 tab,每個請求都去 Morphit,唔去其他地方。
聊天係端到端加密。
每條訊息用 X25519 密鑰協商加 ChaCha20-Poly1305 認證加密(libsodium 原語),每條訊息都有新嘅臨時密鑰。明文只存在於你嘅瀏覽器同交易夥伴嘅瀏覽器入面。Morphit 嘅服務器、底層鏈同中間任何人都只睇到密文。完整協議 — 包括我哋接受嘅有意權衡(冇逐訊息前向保密)— 喺 docs/adr/0015-chat-crypto.md 入面。
可重現構建。
每個發佈都打 tag;每個資源都有指紋;SRI 保護每個腳本。你可以由源碼重新構建並比較 — 我哋喺每個發佈旁邊發佈 hash。
開源,開放威脅模型。
完整威脅模型喺 repo 嘅 docs/SECURITY.md 入面。我哋明確講保護乜嘢同唔保護乜嘢 — 扮唔知比誠實仲衰。
漏洞賞金計劃
我們運行一個酌情決定的安全識別計劃。每一個可操作的發現都由真實的工程師審查,獲得答覆,並且 — 如果它實質上改善了 Morphit 的安全態勢 — 將在 BLURT(從 @morphit-fees 支付)或 BTC 中獲得獎勵,根據嚴重程度和報告質量進行調整。沒有固定的等級表;按個案裁定。即使沒有付款,名人堂榮譽也可用。完整範圍、嚴重程度指導、付款流程以及我們不會做的事情(沒有保密協議,沒有獨家披露)記錄在 SECURITY.md 中。
搜查令金絲雀
我們發布每週一次的金絲雀,使用營運者的 PGP 密鑰簽名。金絲雀明確聲明沒有收到任何 NSL / FISA / 禁言令 / 後門要求。新鮮度證明包括當前的 Blurt 鏈頭、當前的比特幣鏈頭和當前的新聞標題(證明金絲雀不能預先生成)。如果金絲雀超過 14 天未更新,請視為靜默:營運者可能受到強制壓力,你應該切換到另一個聯邦營運者。