سیکورٹی

faast آپ کے پیغامات کی حفاظت کیسے کرتی ہے، ہمارے سرورز کیا رکھتے ہیں اور کتنی دیر تک، اور حدود کہاں ہیں۔ یہ صفحہ ایپ کو ویسے ہی بیان کرتا ہے جیسے وہ آج، 21 اکتوبر 2026 کو، کام کرتی ہے۔

#اینڈ ٹو اینڈ انکرپشن

faast میں ہر چیٹ، چاہے ون ٹو ون ہو یا گروپ میں، MLS (Messaging Layer Security، RFC 9420) کے ساتھ اینڈ ٹو اینڈ انکرپٹڈ ہے، جو گروپ میسجنگ کا IETF معیار ہے۔ faast اوپن سورس OpenMLS لائبریری استعمال کرتی ہے۔

آپ کی ہر ڈیوائس گفتگو کی الگ رکن ہے، اپنی کلیدوں کے ساتھ۔ پیغامات بھیجنے والے کی ڈیوائس پر انکرپٹ ہوتے ہیں اور وصول کنندہ کی ہر ڈیوائس پر ڈی کرپٹ ہوتے ہیں۔ ہمارے سرورز صرف سربمہر لفافے ہی سنبھالتے ہیں۔

#پوسٹ کوانٹم

faast پوسٹ کوانٹم کلیدی تبادلہ استعمال کرتی ہے۔ لوگوں کے درمیان چیٹس اوپر والے سوئٹ پر چلتی ہیں: ML-KEM-768، NIST کا پوسٹ کوانٹم معیار (FIPS 203)، دوسرے تالے کے طور پر X25519 کے ساتھ۔ حملہ آور کو دونوں توڑنے ہوں گے، اور آج ریکارڈ کیے گئے پیغامات بند ہی رہیں گے، چاہے بعد میں کوئی بڑا کوانٹم کمپیوٹر آ جائے۔ موجودہ چیٹس خود بخود اس پر منتقل کر دی گئیں۔

ابھی تک کلاسک سوئٹ پر (MLS_128_DHKEMX25519_AES128GCM_SHA256_Ed25519، جو آج کے کمپیوٹرز کے مقابلے میں مضبوط ہے): چینلز اور اپنے ساتھ چیٹ، جو اگلے مرحلے میں منتقل ہوں گے، اور ان چند ڈیوائسز کے ساتھ چیٹس جو ابھی اپ ڈیٹ نہیں ہوئیں۔ IETF مسودے میں اس سوئٹ کا نمبر ابھی عارضی ہے؛ جب حتمی نمبر مقرر ہو جائے گا تو گروپس اسی کے ساتھ دوبارہ بنائے جائیں گے۔

#ریئل ٹائم ٹائپنگ

جب لائیو ٹائپنگ آن ہو، تو آپ جو متن لکھ رہے ہیں وہ انکرپٹڈ MLS پیغامات کی صورت میں جاتا ہے، بالکل بھیجے گئے پیغام کی طرح۔ سرور پیغامات کی طرح مسودے بھی نہیں پڑھ سکتا۔ کسی چیٹ کے لیے اسے ⚡ بٹن سے بند کریں۔

#ہمارے سرورز کیا محفوظ کرتے ہیں

#اطلاعات

پیغام کا مواد کبھی Google یا Apple سے نہیں گزرتا۔ Android پر Firebase Cloud Messaging صرف لفافے کی id اور ایک ہیش لے جاتا ہے، ایک خاموش ویک اپ کے طور پر۔ iPhone پر Apple کی پش سروس "New message" کے الفاظ اور لفافے کی id لے جاتی ہے۔ دونوں صورتوں میں فون پھر ہمارے سرور سے سربمہر لفافہ ڈاؤن لوڈ کرتا ہے اور اسے ڈیوائس پر ہی ڈی کرپٹ کرتا ہے۔

#بیک اپس

ہسٹری کا بیک اپ بطورِ طے شدہ آن ہے۔ یہ دو طریقوں سے کام کر سکتا ہے:

• پاس ورڈ کے بغیر۔ بیک اپ انکرپٹڈ ہوتا ہے، لیکن اس کی کلید ہم اپنی امانت میں رکھتے ہیں، جو خود ایک سرور کلید سے انکرپٹڈ ہوتی ہے۔ اسی وجہ سے ایک SMS کوڈ نئے فون پر آپ کی ہسٹری بحال کر سکتا ہے۔ اس کا مطلب یہ بھی ہے کہ ہم اسے کھول سکتے ہیں۔
• پاس ورڈ کے ساتھ۔ کلید آپ کے پاس ورڈ سے اخذ کی جاتی ہے (PBKDF2-SHA256، 310,000 تکرارات) اور بیک اپ AES-256-GCM سے انکرپٹ ہوتا ہے۔ ہم پاس ورڈ کبھی نہیں دیکھتے۔ اگر وہ کھو جائے تو کوئی بھی وہ ہسٹری نہیں کھول سکتا، ہم بھی نہیں۔

ہم پاس ورڈ کا مشورہ دیتے ہیں، لیکن زبردستی نہیں کرتے۔

#Tor

Android، iPhone اور Windows ایپس میں Tor (Arti کلائنٹ) شامل ہے۔ اسے آن کریں تو آپ کی ٹریفک ہماری onion سروس تک پورا راستہ Tor نیٹ ورک کے اندر سفر کرتی ہے، درمیان میں کوئی ایگزٹ نوڈ نہیں۔ تب ہمارے سرورز ایک Tor کنکشن دیکھتے ہیں، آپ کا IP ایڈریس نہیں۔

Tor آپ کو گمنام نہیں بناتا: آپ کا اکاؤنٹ آپ کا فون نمبر ہے۔ وائس اور ویڈیو کالز Tor سے نہیں گزرتیں۔

#Dana، اسسٹنٹ

Dana اس کے ساتھ آپ کی چیٹ کی رکن ہے، اس لیے وہ چیٹ اس تک اینڈ ٹو اینڈ انکرپٹڈ ہے، اور جواب دینے کے لیے وہ اسے ہمارے سرور پر ڈی کرپٹ کرتی ہے۔ وہ آپ کی دوسری چیٹس نہیں دیکھ سکتی، سوائے اس چیٹ کے جس کا خلاصہ آپ اس سے مانگیں۔

اس کا بلٹ اِن دماغ یورپ میں ہماری اپنی مشین پر چلنے والا ایک اوپن ماڈل ہے۔ اگر آپ کسی دوسرے AI فراہم کنندہ کی اپنی کلید شامل کریں، تو آپ Dana کو جو متن دیتے ہیں وہ اسی فراہم کنندہ کے پاس جاتے ہیں اور اس کے قواعد لاگو ہوتے ہیں۔

#آپ کی ڈیوائسز

Windows پر faast اپنی MLS حالت ڈسک پر سربمہر کر کے رکھتی ہے۔ Android، iPhone اور ویب پر آپ کی چیٹس کی مقامی کاپی ڈیوائس اور براؤزر کے تحفظ پر انحصار کرتی ہے: اسکرین لاک استعمال کریں اور سسٹم کی اسٹوریج انکرپشن آن رکھیں۔

#ہمارے سرورز

ہمارے سرورز امریکا میں Interserver پر ہوسٹ ہیں۔ API تک رسائی Cloudflare کے ذریعے ہوتی ہے، جو TLS کنکشن کو ختم کرتا ہے: وہ درخواستیں اور سربمہر لفافے دیکھتا ہے، پیغامات کا مواد کبھی نہیں۔ انکرپٹڈ اٹیچمنٹس Cloudflare R2 میں محفوظ کیے جاتے ہیں۔

#مسئلے کی اطلاع دینا

کوئی سیکورٹی مسئلہ ملا؟ براہِ کرم دنیا کو بتانے سے پہلے ہمیں بتائیں، تاکہ ہم پہلے اسے ٹھیک کر سکیں۔ رابطے کا پتا رابطہ صفحے پر ہے۔