何が暗号化されるのか
現在のプロジェクトでは、メインの入力欄から送る新しい添付ファイル、ボイスメッセージ、動画メッセージは、アップロード前に端末上で暗号化されます。AES-256-GCM と受信者向けの鍵ラッピングを使用します。最新のクライアントとホストが必要です。
古いファイルは自動で再暗号化されません。アバター、外観素材、公開投稿、絵文字、スタンプは設計上公開のままです。すべての Sibrel の会話がエンドツーエンド暗号化だとは考えないでください。
鍵と復元
最初の保護ファイルを送る前に、別のアクセスパスワードを作成します。秘密鍵は端末の IndexedDB に保存され、そのパスワードで暗号化したコピーをサーバーに保存できます。バックアップとパスワードは安全に保管してください。
- 鍵のフィンガープリントが変わった場合は、別の経路で相手と確認してください。
- 正しい鍵を持たない受信者はファイルを読めません。後から鍵を受け取っても古い添付にアクセスできるとは限りません。
- 端末、鍵のバックアップ、パスワードをすべて失うと、アクセスできなくなることがあります。
- メンバーを削除しても、すでに受け取った鍵やファイルは取り消されません。
- 悪意あるクライアントや侵害された端末は、暗号化の前にデータを読むことができます。
アカウントを削除する
設定 → アカウントとセキュリティ → 危険な操作 を開きます。現在のパスワードを確認し、この操作が取り消せないことに同意してください。
- プロフィール、メール、パスワード、セッション、連絡先、参加状況、個人設定が削除されます。
- メッセージ、返信、添付ファイルは残り、投稿者は「削除されたアカウント」と表示されます。
- 所有しているコミュニティは削除前に譲渡するか、個別に削除してください。
- 事前確認で連携先のホストに接続できないと、操作が中止されることがあります。
- 受信者が保存したコピーや運営者のバックアップは自動的には消えません。
データ削除の問い合わせは、所属ホストの運営者へお願いします。Sibrel プロジェクトの連絡先：support@sibrel.net。
ボット、Webhook、第三者
ボットは許可されたチャンネルを読み、イベントを処理できます。開発者は独自のストレージとルールを使うことがあります。最小限の権限を付与し、何を保持するかを確認してください。
ホストの設定によっては、処理に S3、SMTP、LiveKit、Firebase Cloud Messaging、IP ベースの国・都市検索サービスが関与します。運営者のポリシーには実際の受信者を記載してください。
問題を報告する
脆弱性は件名を「Sibrel security」として support@sibrel.net へご報告ください。説明、バージョン、安全な再現例を添えてください。他人のデータや有効なシークレットを公開しないでください。許可なく他のホストを検証しないでください。
利用者の行為は、組み込みの報告機能またはコミュニティのモデレーターへ報告してください。異議申し立ての際は、案件の識別子と事実を添えてください。