Prawo i prywatność

Nie — i to nie z powodu odwagi czy ideologicznego przekonania, lecz z powodu architektury systemu. Służby mogą naciskać na podmiot, który posiada dane. Phantom nie posiada żadnych danych, bo nie posiada żadnych serwerów.

W tradycyjnych komunikatorach (WhatsApp, Telegram, Signal) wiadomości przechodzą przez serwery firmy. Nawet jeśli treść jest zaszyfrowana, serwer widzi metadane: kto rozmawia z kim, kiedy, jak często, z jakich adresów IP. Służby mogą wymusić przekazanie tych metadanych — i regularnie to robią.

Phantom nie ma żadnego z tych elementów. Nie ma serwerów, nie ma bazy danych użytkowników, nie ma logów połączeń, nie ma rejestracji kont. Wiadomości podróżują bezpośrednio między urządzeniami przez sieć Tor. Twórcy Phantom fizycznie nie są w posiadaniu żadnych danych o użytkownikach, nie dlatego że nie chcą ich zbierać — lecz dlatego że architektura P2P uniemożliwia ich istnienie w centralnym punkcie.

Nawet gdyby twórcy Phantom chcieli współpracować ze służbami — nie mają technicznej możliwości dostarczenia danych, których nie posiadają. Nacisk bez przedmiotu nacisku jest bezprzedmiotowy.

Sąd może wydać taki nakaz — ale nie ma czego na jego podstawie wykonać. Nakaz sądowy wymaga istnienia danych. Phantom nie przechowuje żadnych danych o użytkownikach na żadnym serwerze, w żadnej bazie danych, w żadnej jurysdykcji.

To nie jest kwestia odmowy wykonania nakazu. To kwestia technicznej niemożliwości. Sąd może nakazać firmie przekazanie nagrań z kamery — ale jeśli kamera nie istnieje, nakaz jest niewykonalny. Analogicznie: sąd może nakazać przekazanie logów komunikacji — ale jeśli logi nie istnieją i nigdy nie istniały, nakaz jest niewykonalny.

Porównanie z precedensami: gdy Apple otrzymuje nakaz odblokowania iPhone'a, ma techniczną możliwość pomocy — bo kontroluje system operacyjny. Gdy Signal otrzymuje nakaz przekazania danych, odpowiada że posiada tylko datę rejestracji i datę ostatniego połączenia — bo tyle rzeczywiście przechowuje. Phantom w analogicznej sytuacji nie ma nawet tych dwóch punktów danych, bo użytkownicy się nie rejestrują.

Nikt poza samym użytkownikiem — a ściślej: poza urządzeniem, na którym działa Phantom. Dane użytkownika (wiadomości, kontakty, klucze szyfrujące) istnieją wyłącznie na jego telefonie, zaszyfrowane kluczem, który nigdy nie opuszcza tego urządzenia.

Architektura Phantom eliminuje wszystkie centralne punkty dostępu. Nie ma serwera do zhackowania, nie ma bazy danych do wycieku, nie ma firmy do nakłonienia. Jedyny wektor ataku to samo urządzenie użytkownika — i to jest granica, której żaden komunikator nie przekroczy (ale zobacz jak to sprytnie rozwiązaliśmy: Separacja urządzeń). Odseparowaliśmy urządzenie, na którym działa Phantom, od karty SIM — dzięki temu nawet Pegasus i inne narzędzia tego typu nie mają jak dostać się na urządzenie.

Nie — Phantom nie otwiera żadnych nowych wektorów ataku na urządzenie. Instalacja Phantom na telefonie nie czyni go bardziej podatnym na włamanie niż był wcześniej.

Phantom nie wymaga uprawnień root, nie modyfikuje systemu operacyjnego, nie instaluje żadnych usług systemowych działających w tle, nie otwiera portów sieciowych widocznych z zewnątrz (Hidden Service Tor jest dostępny wyłącznie przez sieć Tor, nie przez publiczny internet), nie zbiera danych z innych aplikacji na urządzeniu.

Atak na urządzenie z Phantomem musiałby celować w sam system operacyjny (Android / iOS), nie w Phantom. To jest fundamentalna różnica: Phantom nie dodaje powierzchni ataku, a jego architektura (brak serwera, brak połączeń wychodzących poza Tor) ją ogranicza.

Dla użytkowników o podwyższonych wymaganiach bezpieczeństwa rekomendujemy separację urządzeń: dedykowany telefon bez karty SIM, bez innych aplikacji, bez konta Google/Apple, z włączonym szyfrowaniem dysku.

Twój operator internetowy (ISP) może zobaczyć, że łączysz się z siecią Tor. Nie widzi z kim rozmawiasz ani co piszesz — ale sam fakt połączenia z Tor jest widoczny. W krajach, w których korzystanie z Tor jest legalne (większość Europy, USA, Kanada), to nie stanowi problemu.

W krajach, w których Tor jest blokowany lub podejrzany, sam fakt połączenia z siecią onion może zwrócić uwagę. Phantom adresuje to zagrożenie przez konfigurację VPN na routerze (patrz: Separacja urządzeń — VPN na routerze). VPN ukrywa przed operatorem fakt korzystania z Tor — operator widzi jedynie połączenie z serwerem VPN, co jest powszechną i niealarmującą aktywnością.

Nikt na żadnym etapie nie widzi, że korzystasz konkretnie z Phantom. Ruch Phantom jest nieodrówżnialny od każdego innego ruchu Tor. Obserwator widzi Tor — nie widzi co robisz w sieci Tor.

Cały kod źródłowy Phantom jest publiczny i dostępny na GitHub. Każdy — programista, audytor, badacz bezpieczeństwa, dziennikarz — może go przeczytać, zweryfikować i skompilować samodzielnie.

To nie jest obietnica — to mechanizm weryfikowalny. "Nie musisz nam wierzyć" to nie slogan marketingowy, lecz konsekwencja tego, że kod jest otwarty. Jeśli w kodzie pojawi się backdoor, każdy może go znaleźć i upublicznić.

Dodatkowo: plik instalacyjny .apk ma publikowaną sumę kontrolną SHA-256. Możesz zweryfikować, że pobrany plik jest dokładnie tym samym, który został zbudowany z opublikowanego kodu źródłowego. Instrukcja weryfikacji dostępna na stronie phantom/verify.

Phantom implementuje bezpieczne usuwanie wiadomości. Zwykłe usunięcie pliku w systemie operacyjnym oznacza jedynie odznaczenie miejsca na dysku jako "wolne" — dane fizycznie nadal tam są i mogą zostać odzyskane narzędziami forensycznymi.

Phantom nadpisuje miejsce po usuniętej wiadomości losowymi danymi (trzykrotnie, zgodnie ze standardem DoD 5220.22-M) przed zwolnieniem miejsca. Po tej operacji oryginalne dane nie istnieją — nie ma czego odzyskać.

Wiadomości efemeryczne (z ustawionym TTL: 30 sekund, 5 minut, 1 godzina) są usuwane automatycznie po upływie czasu życia — zarówno u nadawcy jak i u odbiorcy. Klucze sesji użyte do ich zaszyfrowania są również niszczone (nadpisywane zerami w pamięci), co oznacza że nawet gdyby ktoś odzyskał zaszyfrowany blob — nie ma klucza do jego odszyfrowania.

W większości jurysdykcji — tak. Phantom to komunikator z szyfrowaniem end-to-end i routingiem przez Tor. Ani szyfrowanie, ani Tor, ani komunikacja P2P nie są nielegalne w Unii Europejskiej, Stanach Zjednoczonych, Kanadzie, Wielkiej Brytanii ani większości pozostałych krajów.

Istnieją kraje, w których korzystanie z narzędzi szyfrujących lub sieci Tor jest ograniczone lub zakazane (Chiny, Iran, Rosja, Białoruś — lista nie jest wyczerpująca i zmienia się). Phantom nie jest w stanie obejść przepisów prawa obowiązujących w danej jurysdykcji i nie zachęca do ich łamania.