Но разработка пока секретная, попробовать нельзя, потому что украдут враги и продадут Роскомнадзору. А тот быстренько хлопнет продукт. Хотя бы за то, что он неубиваемый. А это просто вызов какой-то.
Главный ответ на все вопросы про анонимность, почту и «белые списки»:
Ребят, вижу много дельных вопросов и здорового скепсиса. Давайте разберем архитектуру проекта по фактам, чтобы закрыть тему «экструзии проблем»:
1. Почему регистрация по почте ОБЯЗАТЕЛЬНА? Без SIM-карты мессенджер превращается в рай для спам-ботов. Почта здесь — это входной фильтр. Мой внутренний сервис (Validator) на лету отсекает временные «десятиминутки» и мусорные домены. Мы принимаем только почты с репутацией (Proton, Gmail и т.д.), что делает создание миллиона ботов слишком дорогим и сложным занятием.
2. Где хранятся ключи? Почта — это только транспорт для восстановления. Ваши реальные ключи шифрования генерируются локально в Hardware-backed Keystore (TEE/Secure Enclave) вашего смартфона. Даже если хакер взломает вашу почту — вашей переписки там нет. Ключи живут в железе телефона, и достать их оттуда удаленно невозможно.
3. Про «экструзию» и привязку почты к номеру: Да, почта часто привязана к SIM. Но в классических мессенджерах номер — это ваш ID. У нас ID — это публичный ключ. Если вашу почту «угонят» через дубликат симки, в дело вступает мой ИИ-агент (Gatekeeper). Он анализирует контекст запроса: IP, заголовки, поведение. Если система видит, что почту «штормит» или запрос идет из подозрительной локации — код восстановления просто не отправится. Мы защищаем слабое звено (почту) слоем антифрода.
4. Почему это будет работать в «белых списках»? Белые списки блокируют централизованные сервисы авторизации (SMS-шлюзы). У нас авторизация — это чистая математика. Пока у вас есть любой доступ в сеть, вы в системе. Трафик маскируется под стандартные HTTPS-запросы (порт 443), которые нельзя выключить, не положив при этом банковский сектор и госуслуги.
Итог: Я не строю «идеальную анонимность для всех». Я создаю инструмент выживания для тех, кому важен баланс между безопасностью ключей (в железе) и возможностью не потерять аккаунт (через защищенную ИИ почту).
Всем привет! Продолжаю серию постов о создании своего проекта — защищенного мессенджера с упором на приватность. Прошлый пост про UI вызвал много вопросов, поэтому сегодня уходим в «хардкор»: поговорим о том, как сделать регистрацию без номера телефона и почему классическое восстановление пароля — это дыра, которую я решил закрыть с помощью ИИ.
Никаких скриншотов (чтобы не сочли за рекламу) и ссылок. Только архитектура и мой личный опыт борьбы с «граблями».
1. Смерть SIM-карт как идентификаторов
Почти все мессенджеры сегодня привязаны к номеру. Это удобно для корпораций, но плохо для приватности. Номер привязан к паспорту, его можно перехватить через SMS-дубликат или подменить симку у оператора.
В моем проекте идентификация идет через асимметричное шифрование. При первом входе генерируется пара ключей. Публичный ключ — это ваш ID на сервере, приватный — хранится только в зашифрованном виде на вашем устройстве. Нет номера — нет возможности «пробить» владельца через базы операторов.
2. Aegis Gatekeeper: Умный ИИ-фильтр на страже почты
Раз мы отказались от SIM, почта становится важным звеном. Но обычный «код в письме» — это слабое место. Я внедрил систему Aegis Gatekeeper, которая работает как умный антифрод:
Защищенные порты: Авторизация идет по кастомным протоколам, которые игнорируют стандартные попытки перехвата сессии.
AI Link Scanner: Встроенный ИИ-агент в реальном времени анализирует все ссылки и действия. Если вы перешли по подозрительной фишинговой ссылке или ваша почта внезапно сменила адрес — код подтверждения просто не отправится.
Блокировка угона: ИИ видит аномалии. Если кто-то пытается резко сменить ваш ID или пароль после странного редиректа, система блокирует действие и присылает уведомление: «Вас пытаются взломать». Это «умный фильтр», который понимает разницу между вами и хакером.
3. Aegis Validator: Война с «мусорными» регистрациями и ботами
Без SIM-карт мессенджер мог бы стать раем для спамеров, но я внедрил двойную защиту:
Proof-of-Work (PoW): Смартфон должен решить математическую задачу при регистрации. Это занимает 5–10 секунд, что незаметно для человека, но делает создание миллионов ботов экономически невыгодным.
Валидация доменов: Система автоматически отсекает сервисы «временных почт» и одноразовых доменов. Aegis Validator проверяет почту на валидность и репутацию. Если сервис подозрительный или находится в черном списке — регистрация не пройдет. Только реальные почтовые сервисы, только живые пользователи.
4. Технический стек и текущие задачи
Проект на стадии закрытой альфы. Стек: Node.js + PostgreSQL. Стараюсь использовать минимум сторонних библиотек — чем меньше чужого кода, тем меньше скрытых бэкдоров.
Сейчас борюсь с мелкими багами парсинга (иногда вместо текста сообщения в превью вылетает сырой JSON) и калибрую ИИ-агента, чтобы исключить ложные срабатывания на нормальные действия пользователя.
Вопрос к сообществу: Как вы считаете, ИИ-контроль над безопасностью — это будущее или «цифровая нянька», которая будет только мешать? Доверили бы вы нейронке решать, отправлять вам код восстановления или нет?
Буду рад конструктивной критике и советам от коллег по цеху. Ссылок не даю, пост исключительно для обмена опытом.
