安全

faast 如何保护你的消息，我们的服务器保存什么、保存多久，以及边界在哪里。本页介绍的是应用目前（2026 年 10 月 21 日）的实际工作方式。

#端到端加密

faast 中的每个聊天，无论一对一还是群组，都使用 MLS（Messaging Layer Security，RFC 9420）进行端到端加密，这是 IETF 的群组消息标准。faast 使用开源的 OpenMLS 库。

你使用的每台设备都是对话中独立的成员，拥有自己的密钥。消息在发送者的设备上加密，在每台接收者设备上解密。我们的服务器经手的始终只是密封的信封。

#后量子

faast 使用后量子密钥交换。人与人之间的聊天运行在上面的套件上：ML-KEM-768，即 NIST 后量子标准（FIPS 203），以 X25519 作为第二把锁。攻击者必须同时攻破两者；即使日后出现大型量子计算机，今天被记录下来的消息也依然无法打开。现有的聊天已自动迁移。

仍在使用经典套件（MLS_128_DHKEMX25519_AES128GCM_SHA256_Ed25519，足以抵御如今的计算机）的有：频道和与自己的聊天（接下来迁移），以及与少数尚未更新的设备之间的聊天。该套件的编号在 IETF 草案中仍是临时的；正式编号分配后，群组将用它重建。

#实时输入

开启实时输入后，你正在写的文字会以加密的 MLS 消息传输，与已发送的消息完全一样。服务器读不了草稿，就像读不了消息一样。可以用 ⚡ 按钮为某个聊天关闭它。

#我们的服务器存储什么

#通知

消息内容从不经过 Google 或 Apple。在 Android 上，Firebase Cloud Messaging 只携带信封 ID 和一个哈希值，作为静默唤醒。在 iPhone 上，Apple 的推送服务携带 "New message" 字样和信封 ID。两种情况下，手机随后都会从我们的服务器下载密封的信封，并在设备上解密。

#备份

历史记录备份默认开启。它有两种工作方式：

• 不设密码。 备份是加密的，但其密钥由我们托管，而该密钥本身又用服务器密钥加密。正因如此，在新手机上用短信验证码就能恢复你的历史记录。这也意味着我们有能力打开它。
• 设置密码。 密钥由你的密码派生（PBKDF2-SHA256，310,000 次迭代），备份用 AES-256-GCM 加密。我们永远看不到密码。如果你忘了密码，任何人都打不开那份历史，包括我们。

我们建议设置密码，但不强制。

#Tor

Android、iPhone 和 Windows 应用内置 Tor（Arti 客户端）。开启后，你的流量会在 Tor 网络内部一路直达我们的洋葱服务，中间没有出口节点。我们的服务器看到的是一个 Tor 连接，而不是你的 IP 地址。

Tor 不会让你匿名：你的账户就是你的手机号。语音和视频通话不经过 Tor。

#助手 Dana

Dana 是你与她的聊天中的一名成员，所以这个聊天一直端到端加密到她那里，她在我们的服务器上解密后作答。她看不到你的其他聊天，除非你让她总结其中某一个。

她内置的大脑是一个开放模型，运行在我们自己位于欧洲的机器上。如果你添加了其他 AI 提供商的密钥，你交给 Dana 的文字会发送给该提供商，并适用其规则。

#你的设备

在 Windows 上，faast 会把 MLS 状态密封后存放在磁盘上。在 Android、iPhone 和网页端，聊天的本地副本依赖设备和浏览器自身的保护：请使用屏幕锁，并保持系统存储加密开启。

#我们的服务器

我们的服务器由 Interserver 托管，位于美国。API 通过 Cloudflare 访问，由它终止 TLS 连接：它能看到请求和密封的信封，但永远看不到消息内容。加密的附件存储在 Cloudflare R2 中。

#报告问题

发现了安全问题？请先告诉我们，再公之于众，好让我们先修复。联系地址见联系我们页面。