Telefon to nie sejf
Od inżynierów, którzy go zaprojektowali, przez włamywaczy wykorzystujących jego luki, aż po państwa, które wolą inwigilować swoich obywateli, niż ich chronić: to, co powierzasz telefonowi, niekoniecznie zostaje między wami.
PGP ID na Androida
Udowodnij, kim jesteś.
Wiedz, z kim rozmawiasz.
foodjis zamienia twój telefon i mały klucz bezpieczeństwa NFC w tożsamość cyfrową, której nikt ci nie odbierze: podpisywać, szyfrować, rozpoznawać się nawzajem, bez konta i bez żadnej platformy pośrodku.
Wolne oprogramowanie · Bez konta · Bez reklam
Co poszło nie tak
Każdy może mówić w imieniu każdego
Wiadomość, zrzut ekranu, film: nic nie wskazuje, kto naprawdę je stworzył. Fałszywki rozchodzą się szybciej niż sprostowania, a zaufanie słabnie.
Twoja tożsamość należy do innych
Twoje konta należą do tych, którzy je utrzymują. Wystarczy, że zmienią warunki albo zamkną drzwi, a twoja tożsamość cyfrowa zniknie razem z nimi.
Jeden klucz. Twoja tożsamość. Twoje zasady.
PGP ID to zdecentralizowana tożsamość cyfrowa oparta na otwartym standardzie OpenPGP. Jej tajna część mieszka w kluczu bezpieczeństwa, YubiKey lub NitroKey, który nosisz przy sobie: klucz podpisuje i odszyfrowuje, ale nie wypuszcza swojego sekretu. Za twoją tożsamość nie ręczy regulamin jakiejś firmy, lecz ludzie, którzy cię znają i ją poświadczyli.
Co robi foodjis
Powołać tożsamość do życia
Twój identyfikator oblicza się z miejsca i chwili urodzenia, a nie z numeru, który ktoś ci nadaje. Sekrety drukuje się na papierze, we fragmentach: twoja kopia zapasowa nie zależy od żadnej usługi.
Zapisać ją w kluczu
Przyłóż klucz do tylnej części telefonu: tożsamość zapisuje się przez radio samego klucza, z pominięciem sieci. Telefon nie przechowuje żadnego sekretu.
Odczytywać i utrzymywać swój certyfikat
To, co nosi twój klucz, wyłożone wprost: imię i nazwisko, zdjęcie, adresy, odcisk, ważność, otrzymane poświadczenia. Każdą zmianę podpisuje klucz, czyli ty, a następnie jest ona publikowana.
Poświadczać osoby, które znasz
Gest, z którego tka się sieć zaufania: potwierdzenie, że certyfikat rzeczywiście należy do osoby, którą wskazuje. Żadnego centralnego urzędu: każdy podpisuje, każdy sprawdza.
Kontakty, które możesz zweryfikować
Wyszukaj certyfikat na serwerach kluczy, wymień się nim przez kod QR, sortuj według stanu: poświadczony, niepoświadczony, wygasły, unieważniony.
Podpisana i szyfrowana poczta
Thunderbird na Androida czyta, podpisuje, szyfruje i odszyfrowuje twoje wiadomości przez foodjis, gdy w potrzebnej chwili przyłożysz klucz do telefonu.
Szyfrować tekst, skądkolwiek pochodzi
Zaznacz tekst w dowolnej aplikacji albo go udostępnij: foodjis go odszyfruje, sprawdzi jego podpis lub zaszyfruje go dla twoich kontaktów.
SSH i git bez klucza prywatnego w telefonie
Dla bardziej zaawansowanych: twoje sesje zdalne i commity git uwierzytelniają się i podpisują tym samym kluczem bezpieczeństwa.
Pierwsze kroki
Klucz bezpieczeństwa
YubiKey 5 NFC lub Nitrokey 3A NFC. Stowarzyszenie foopgp zapewnia je swoim członkom. Zobacz ofertę kluczy →
foodjis w twoim telefonie
Telefon z systemem Android 7 lub nowszym, z czytnikiem NFC, oraz aplikacja z Google Play.
Twoja tożsamość, potem tożsamość innych
Utwórz swoją tożsamość albo przyłóż klucz, który jest już skonfigurowany. Potem, przy spotkaniu, poświadczcie się nawzajem.
Na filmie: klucz bezpieczeństwa otwiera sesję zdalną
Z poziomu Termux połączenie SSH uwierzytelnia się kluczem bezpieczeństwa, bez żadnego klucza prywatnego w telefonie.
Agent SSH w szczegółach →Dla dociekliwych i sceptycznych
foodjis nie prosi, by wierzyć mu na słowo. Oto co robi i jak.
- Nic egzotycznego: po prostu PGP. Certyfikaty, podpisy i zaszyfrowane wiadomości są zgodne ze wspólnymi specyfikacjami OpenPGP i LibrePGP. Odczyta je GnuPG, tak jak każde narzędzie, które implementuje ten standard.
- Klucz prywatny nie opuszcza karty. Sekrety mieszkają w karcie OpenPGP (YubiKey, NitroKey). Przez NFC telefon przekazuje jej to, co ma zostać podpisane lub odszyfrowane, i odbiera wynik; sam klucz prywatny nigdy do telefonu nie trafia.
- PIN nigdzie niezapisany. Pozostaje w pamięci operacyjnej przez wybrany przez ciebie czas i nigdy nie jest zapisywany w telefonie.
- Sieć zaufania obliczana u ciebie. Telefon sam ją oblicza na podstawie poświadczeń i poziomów wiarygodności, które przyznajesz.
- Systemowy dostawca OpenPGP. Aplikacje pocztowe zwracają się do foodjis tak, jak zwracały się do OpenKeychain, a w telefonie nie przebywa żaden sekret.
- Agent SSH, który nie podpisuje byle czego. Podpisuje wyłącznie logowania SSH i commity git, jedno żądanie naraz, i pokazuje na ekranie, co zamierza podpisać.
- Z kim aplikacja się komunikuje. Oszczędnie, z serwerami certyfikatów, które skonfigurowałeś. Z OpenStreetMap, przy tworzeniu EID u5. I, jeśli istnieją, z usługami WKD twoich kontaktów. Bez konta, bez reklam, bez śledzenia.
- Wolne oprogramowanie na licencji GPL-3.0. foodjis opiera się na PGPainless i Bouncy Castle; jego kod źródłowy jest przekazywany każdemu, kto ma aplikację i o niego poprosi, a nasze narzędzia towarzyszące są publikowane na Codeberg.
- Weryfikowalne. Każdej wersji rozpowszechnianej przez foopgp.org towarzyszy jej odcisk i odłączony podpis PGP.
Agent SSH w szczegółach → Artykuł wprowadzający → Nasze narzędzia na Codeberg →
Kto stoi za foodjis?
foopgp to stowarzyszenie non-profit, które promuje zastosowania technologii PGP wśród osób prywatnych, firm i decydentów politycznych. foodjis powstaje dla jego członków oraz dla wszystkich, którzy chcą odzyskać kontrolę nad swoją tożsamością cyfrową.
Poznaj foopgp →
Zainstaluj foodjis
Android 7 lub nowszy, czytnik NFC, zbliżeniowy klucz bezpieczeństwa OpenPGP.
Wolisz uniknąć inwigilacji lub innych usterek Google Play? Pobierz aplikację:
foodjis_1.3.4.apk
Sprawdź odcisk i podpis aplikacji:
SHA-256 · podpis PGP