Szybkie odpowiedzi na najczęściej zadawane pytania. Jeśli Twojego tu nie ma, napisz na info@hongi.io.
W przypadku Twoich kontaktów osobistych Hongi działa w Twoim telefonie. Po sparowaniu hasła kodowe są obliczane na obu telefonach bez połączenia z internetem, a wspólny sekret jest wyprowadzany na sparowanych telefonach i nigdy nie trafia na nasze serwery. Niektóre funkcje korzystają jednak z naszych serwerów; najważniejsze opisujemy poniżej.
Gdy parujesz się z kimś, kogo nie ma obok, nasz serwer pośredniczący przez krótki czas przechowuje sesję parowania: identyfikatory, tymczasowe klucze publiczne i nazwę, którą udostępniasz, zaszyfrowaną między dwoma telefonami. Serwer pośredniczący nie może odczytać tej nazwy ani ustalić Waszego wspólnego sekretu. Sesje wygasają automatycznie, standardowo po 30 minutach.
Przy cichej weryfikacji nasza usługa powiadomień wiąże pseudonimowy identyfikator skrzynki z tokenem push Twojej aplikacji i przekazuje zaszyfrowaną wiadomość przez Expo do Apple lub Google. Widzą one informacje o trasowaniu, a nie Twoje hasła kodowe.
Gdy dodajesz organizację z katalogu, Hongi przechowuje zapis parowania i zaszyfrowaną kopię sekretu po stronie organizacji, aby jej pracownicy mogli Cię zweryfikować. Jeśli pracodawca da Ci konto służbowe, Hongi przechowuje Twój adres e-mail, rolę i przynależność; w Hongi Work także certyfikat Twojego telefonu z zatwierdzonym imieniem i nazwiskiem oraz rolą, a także sprawdzenia statusu online, zapisywane bez nazwisk.
Nasze serwery przetwarzają jednak niektóre dane, na przykład adresy IP w logach usług i zapisy opisane powyżej. Polityka prywatności wymienia je wszystkie i podaje, jak długo je przechowujemy.
Cztery krótkie schematy pokazujące, jak naprawdę działają parowanie, hasła i ciche weryfikacje. Te same rysunki, które zobaczyłbyś na security-whiteboardzie, z prymitywem kryptograficznym przy każdym kroku.
Oba telefony generują efemeryczną parę kluczy X25519. QR niesie połowę publiczną. Każda strona łączy klucz publiczny drugiej z własnym kluczem prywatnym (ECDH) i lokalnie wyprowadza ten sam wspólny sekret. Żaden serwer go nie widzi.
Relay Hongi przekazuje zaszyfrowane end-to-end zaproszenie z jednego telefonu na drugi. Relay nie potrafi rozszyfrować zawartości. Po dostarczeniu oba telefony lokalnie wyprowadzają ten sam wspólny sekret przez X25519, dokładnie tak jak przy parowaniu osobistym.
Co 30 sekund oba telefony liczą HMAC-SHA512 nad wspólnym sekretem i bieżącym slotem czasowym, otrzymując dwa różne hasła. Jedno ty mówisz, drugie słyszysz. Bez wspólnego sekretu oszust nie wyprodukuje żadnego.
Aby wysłać cichą weryfikację, Twój telefon szyfruje wiadomość i wysyła ją przez naszą usługę powiadomień i Expo do Apple lub Google, które dostarczają ją na telefon Twojego kontaktu. Nasza usługa powiadomień kieruje ją za pomocą pseudonimowego identyfikatora skrzynki i nie może jej odczytać.
Osobiście: otwórz Hongi, dotknij Pair i zeskanuj kod QR na drugim telefonie. Zdalnie: dotknij Pair > Link zaproszenia i wyślij link dowolnym kanałem; zaproszenie przechodzi przez nasz serwer pośredniczący, ale sekret Twoich haseł kodowych nigdy. Oba telefony wyprowadzają lokalnie wspólny sekret z X25519. Żaden serwer nie widzi tego sekretu.
Haseł kodowych nie da się odzyskać bez urządzenia i tak ma być: wspólne sekrety są tylko na sparowanych telefonach. Aby przywrócić ochronę z danym kontaktem, sparuj się z tą osobą ponownie na nowym telefonie.
Po sparowaniu tak. Osobiście parujesz się kodem QR; zdalnie zaproszenie przechodzi przez nasz serwer pośredniczący. Potem hasła kodowe są obliczane w telefonie ze wspólnego sekretu i aktualnego czasu, więc sprawdzenie hasła nie wymaga internetu. Cicha weryfikacja wymaga natomiast połączenia na obu telefonach.
Jeśli rozmówca brzmi podejrzanie, a nie możesz zapytać o hasło na głos, dotknij Wyślij cichą weryfikację. Telefon Twojego prawdziwego kontaktu pokazuje powiadomienie, że kontakt prosi o weryfikację tożsamości; dopiero w Hongi widać, kto pyta, i można odpowiedzieć „Tak, to ja” lub „Nie, nie rozmawiam z …”. Rozmówca nic nie słyszy. Oba telefony potrzebują połączenia z internetem.
Dotknij Pair, aby rozpocząć nowe parowanie. Zeskanuj albo wyślij link zaproszenia. Po sparowaniu kontakt pojawia się na ekranie głównym z hasłem kodowym dla bieżącego okna czasowego.
W aplikacji otwórz Ustawienia i dotknij Usuń wszystkie dane na samym dole: Twoje sparowane kontakty, ich sekrety i ustawienia Hongi zostaną usunięte z telefonu, a każde konto służbowe wylogowane. Jeśli nie masz już telefonu, strona hongi.io/delete wyjaśnia, co możesz zrobić, także jak napisać do privacy@hongi.io w sprawie danych na naszych serwerach.
Aplikacja jest obecnie dostępna w językach: niderlandzkim, angielskim, francuskim, niemieckim, tureckim, hiszpańskim, włoskim, portugalskim, polskim, arabskim, hindi, indonezyjskim, japońskim, koreańskim i chińskim. Strona internetowa odpowiada tej samej liście.
Parowanie używa wymiany kluczy na krzywej eliptycznej X25519 (RFC 7748). Hasła kodowe są wyprowadzane przez HMAC-SHA512 (RFC 4231) ze wspólnego sekretu i bieżącego 30-sekundowego okna czasowego. W przypadku parowań osobistych sekrety są przechowywane wyłącznie w chronionej pamięci obu sparowanych telefonów (pęku kluczy iOS lub pamięci opartej na Android Keystore); żaden serwer ich nie przechowuje.
Hongi to tradycyjne powitanie Māori, w którym dwie osoby stykają się nosami i czołami, dzieląc jeden oddech, ha. Wyznacza moment, w którym dwie osoby przestają być sobie obce. Wybraliśmy tę nazwę, bo aplikacja robi to samo w inny sposób: dwie osoby, raz sparowane, od tego momentu sobie ufają.
Wyślij wiadomość na info@hongi.io. Podaj system operacyjny (iOS lub Android), wersję aplikacji (Ustawienia > O aplikacji) i co próbowałeś zrobić. Im szybciej odtworzymy, tym szybciej naprawimy.
Hongi jest darmowe i bez reklam, a do użytku osobistego nie potrzebujesz konta. Jeśli aplikacja pomogła Ci uniknąć oszustwa albo po prostu dała Ci spokój ducha, możesz zostawić napiwek.
Zostaw napiwek →