Ende-zu-Ende-Verschlüsselung mit MLS
Der IETF-Standard RFC 9420: Die Schlüssel liegen nur auf den Handys der Teilnehmenden und werden bei jeder Änderung der Gruppe erneuert. Post-Quanten-Verfahren stehen zur Wahl.
Geschlossenes Netzwerk · Ende-zu-Ende-Verschlüsselung
Der Messenger, dessen Server nichts sieht
Cifrela verschlüsselt jede Nachricht direkt auf deinem Handy mit dem MLS-Protokoll. Der Server leitet nur Chiffretext weiter und hat keine Schlüssel, um ihn zu lesen.
Für Android herunterladen
iPhone – folgt später (über TestFlight)
Signatur
c6328dc3787830c0461a9b33ae2e2cc35a70805ee82285cabd5050ce37bf72f6
Datei
5800c2dbc74a4307377ac67dad7a21bbd6e3102326d7c5262186068441d1649d
SHA-256 des Signaturzertifikats und der Datei. Vergleiche sie mit der Nachricht des Serverbetreibers oder mit softsoledgeit.com – nicht mit dieser Seite.
Geschlossenes Netzwerk
Registrieren kannst du dich per E-Mail oder mit einer Einladung von Freunden oder vom Administrator. Den Schlüssel jedes Teilnehmers beglaubigt der Authentifizierungsdienst – so kann sich niemand unbemerkt als dein Gegenüber ausgeben.
Daten löschen
Ein einziger Schritt löscht dein Konto auf dem Server und alle Daten auf dem Handy – unwiderruflich. Der Server bewahrt Chiffretext höchstens 30 Tage auf.
So installierst du die App auf Android
- Lade die APK über die Schaltfläche oben herunter und warte, bis der Download abgeschlossen ist. Erforderlich ist Android 8.0 oder neuer.
- Öffne die Datei
cifrela.apküber die Benachrichtigung oder im Ordner „Downloads“. - Erlaube die Installation aus unbekannten Quellen, falls Android danach fragt: Einstellungen → Apps → Spezieller App-Zugriff → Unbekannte Apps installieren → dein Browser → „Dieser Quelle vertrauen“.
- Play Protect warnt eventuell vor einem unbekannten Entwickler – das ist eine Testversion: „Weitere Details“ → „Trotzdem installieren“.
- Registriere dich: Wähle einen Benutzernamen in lateinischen Buchstaben, gib deine E-Mail-Adresse und den Code aus unserer Nachricht (oder einen Einladungscode) ein und lege eine PIN fest.
Das Update lässt sich nicht installieren („App nicht installiert“, „Paketkonflikt“)? Deinstalliere die App nicht – sonst sind Schlüssel und Verlauf weg – und schreib dem Serverbetreiber über einen anderen Kanal: Das passiert, wenn die Datei mit einem fremden Schlüssel signiert wurde.
Die alte Testversion „Chopik MLS“ ist eine eigene App: Cifrela wird daneben installiert. Chats und Konto werden nicht übernommen.
Datei prüfen: sha256sum cifrela.apk, Signatur am Computer: apksigner verify --print-certs cifrela.apk. Vergleiche die Werte mit der Nachricht des Serverbetreibers.
Auf dem Handy öffnen
Richte die Kamera deines Handys auf den Code – diese Seite öffnet sich.
https://chopik.softsoledgeit.com/
Mit einer unabhängigen Quelle abgleichen
Diese Seite kommt vom selben Server wie die App und beweist daher nichts: Ein kompromittierter Server würde hier gefälschte Werte anzeigen. Die echten stehen in der Nachricht des Serverbetreibers (über einen anderen Kanal gesendet) und auf softsoledgeit.com:
- SHA-256 des Signaturzertifikats – belegt, dass der Betreiber die APK signiert hat;
- der vollständige Fingerabdruck des Authentifizierungsdienstes (AS) – die App zeigt ihn nach der Registrierung an.
Wenn etwas nicht übereinstimmt, nutze die App nicht und schreib dem Serverbetreiber über einen anderen Kanal.