Luma/Docs/SECURITY.md

# Безопасность и модель угроз MVP

- Пароль XMPP сохраняется в Keychain и не попадает в `UserDefaults` или
  локальное хранилище истории.
- Проверка сертификата не отключается. Ручной host меняет маршрут подключения,
  но XMPP domain/JID остаётся исходной идентичностью.
- TLS trust оценивается системным Apple Security framework как сертификат
  сервера (`SecPolicyCreateSSL(true, ...)`) для домена из JID; hostname и цепочка
  доверия обязательны даже при ручном адресе подключения.
- Приложение можно заблокировать паролем (хранится в Keychain, выключено по
  умолчанию): блокировка срабатывает при запуске и при уходе в фон, а
  разблокировка возможна по Face ID/Touch ID.
- Пароль для SCRAM нормализуется по RFC 4013 (SASLprep), чтобы совпадать с
  серверной нормализацией; для PLAIN пароль отправляется как введён.
- SCRAM доступен в вариантах SHA-512, SHA-256 и SHA-1 (SHA-512 —
  реализация Luma), а также в PLUS-вариантах с канальной привязкой
  (SCRAM-SHA-512-PLUS > SHA-256-PLUS > SHA-1-PLUS): gs2-заголовок
  «p=tls-exporter,» (RFC 9266) или «p=tls-server-end-point,» доказывает,
  что SASL-обмен идёт по тому же TLS-каналу, который видит клиент, и
  ломает MITM-ретрансляцию. PLUS выбирается только когда сервер
  рекламирует соответствующий channel-binding тип, иначе — обычный SCRAM;
  механизм выбирается по рекламе сервера.
- OMEMO работает в legacy-неймспейсе `eu.siacs.conversations.axolotl` (так
  умеет закреплённая версия MartinOMEMO) и в OMEMO 2 (`urn:xmpp:omemo:2`,
  payload AES-256-CBC + HMAC-SHA-256 в конверте SCE `urn:xmpp:sce:0`). Luma
  публикует omemo:2 bundle и список устройств, делит Double Ratchet-сессии с
  legacy-модулем и помечает протокол каждого ключа на экране шифрования.
- Канал шифруется STARTTLS/direct TLS собственным TLS-процессором Luma на
  OpenSSL 3 (SecureTransport ограничивает потоковый TLS версией 1.2 и не
  имеет keying exporter): минимум TLS 1.2, максимум TLS 1.3, ALPN
  «xmpp-client», SNI по домену XMPP. Сертификат проверяется через
  SecTrust с серверной политикой домена из JID (та же логика
  CertificateTrustEvaluator). Фактическая версия TLS, шифр и выбранный
  SASL-механизм (самый стойкий из рекламируемых сервером, с канальной
  привязкой при её доступности) показываются на экране информации о
  сервере.
- Когда OMEMO включено глобально или для конкретного чата, исходящие сообщения
  не откатываются на plaintext при ошибке: ошибка показывается пользователю.
- Пользователь может осознанно отключить OMEMO глобально или для отдельного
  чата. В этом режиме сервер, MAM-хранилище и участники TLS-терминации видят текст.
- OMEMO доступно и для XEP-0045, но только в неанонимной комнате: клиенту нужны
  реальные bare JID участников, чтобы зашифровать ключ для каждого устройства и
  расшифровать входящее сообщение от правильной Signal identity. Luma проверяет
  режим комнаты, собирает online occupants и доступные списки member/admin/owner,
  а при скрытом JID или отсутствии устройств отменяет отправку без plaintext
  fallback. Новые комнаты Luma создаются members-only и persistent с
  `muc#roomconfig_whois=anyone`.
- Первый увиденный ключ получает доверие TOFU. Изменившийся ключ становится
  undecided и требует ручной проверки отпечатка.
- При включённом OMEMO вложения шифруются до загрузки, а URL с ключом находится
  внутри OMEMO payload. При выключенном OMEMO файл хранится на HTTP Upload
  сервисе в исходном виде; ссылка и метаданные также не имеют E2EE.
- Даже для зашифрованного blob HTTP Upload сервис видит размер и транспортное
  имя файла; у voice/video-note это имя содержит тип и округлённую длительность.
- Клиент принимает только HTTPS `put`/`get` URL от XEP-0363 компонента и не
  понижает транспорт загрузки до обычного HTTP.
- В OMEMO-исправлении новое тело зашифровано, но стандартный XEP-0308
  `<replace>` остаётся метаданными stanza: сервер видит id исправляемого
  сообщения, но не новый текст.
- Ответ содержит id исходного сообщения и JID его автора. В зависимости от
  поведения OMEMO-библиотеки и клиента эти XEP-0461 метаданные могут быть видны
  серверу, даже когда текст ответа зашифрован.
- XEP-0424 не гарантирует стирание: retract может быть проигнорирован сервером
  или клиентом, а получатель мог сохранить исходный текст. Fallback retraction
  намеренно общий и никогда не повторяет удаляемое содержимое.
- Для inline-preview расшифрованные фото, видео, музыка и голосовые временно
  записываются в sandbox `tmp`; Luma очищает известные preview-файлы при смене
  аккаунта, а ОС может удалить их раньше как временные данные.
- Выбранные для пакетной отправки файлы временно копируются в `tmp` для экрана
  предпросмотра и удаляются при отмене либо после завершения отправки.
- Core Location вызывается только из экрана явной отправки точки. Выбранные
  координаты становятся содержимым сообщения и защищены OMEMO лишь тогда, когда
  шифрование включено для этого чата; при plaintext сервер и MAM видят точку.
- Аудио/видео звонка шифруются WebRTC DTLS-SRTP между конечными клиентами.
  Это не OMEMO: XMPP-сервер видит Jingle-сигналинг и адрес собеседника, а
  STUN/TURN-сервис видит сетевые адреса и объём трафика. TURN ретранслирует уже
  зашифрованный медиапоток. Если Prosody не публикует собственный сервис через
  XEP-0215, резервный публичный STUN получает запрос на определение адреса.
- На iOS файл OMEMO-состояния и база локальной истории (SwiftData
  `.store`) получают data-protection `completeUntilFirstUserAuthentication`.

- Архивные эхо собственных служебных станз (receipts, chat markers,
  повторно доставленные копии) и собственные сообщения, которые невозможно
  расшифровать обратно (нет encrypt-to-self ключа или self-сессия устарела),
  не превращаются в пузыри «Не удалось расшифровать сообщение»: они
  отбрасываются, как это делают другие клиенты, чтобы не засорять историю
  фантомами, которых нет в виде сообщений на сервере.
- Сохранение медиа выполняется только по явному действию пользователя:
  фото/видео/видеосообщения — в медиатеку, файлы и голосовые — в «Файлы»
  (Загрузки). Расшифрованное содержимое при этом покидает sandbox приложения.

## Известные ограничения

- На macOS история (SwiftData SQLite в Application Support) и OMEMO state
  лежат в sandbox без дополнительного SQLCipher-слоя; защиту обеспечивает
  учётная запись и FileVault пользователя. Для повышенной модели угроз нужна
  зашифрованная база.
- Локальная история содержит уже расшифрованные тексты, как и у большинства
  клиентов. Полное удаление требует выхода с опцией удаления истории.
- «Удалить у меня» удаляет запись только из локального SwiftData-хранилища
  этого устройства и запоминает id против повторной MAM-загрузки; оно не
  удаляет серверный архив, другие собственные устройства или копию собеседника.
- Глобальная политика шифрования хранится в `UserDefaults` отдельно для каждого
  JID, а переопределение чата — в локальном SwiftData-хранилище. Эти значения
  не являются секретами, но прямо влияют на конфиденциальность следующей
  отправки.
- Аватары XEP-0084/vCard не шифруются OMEMO. Их видимость определяется
  настройками PEP и roster на сервере; не используйте аватар как секретное фото.
- Используемая реализация MartinOMEMO поддерживает распространённый legacy
  namespace. Она не должна называться полной реализацией новой редакции
  XEP-0384 без отдельного interoperability test suite.
- В открытой или плохо настроенной сторонней MUC списки офлайн-участников могут
  быть недоступны. Для предсказуемого группового OMEMO используйте members-only
  комнату, разрешающую участникам получать affiliation lists; иначе отключите
  OMEMO именно для этой комнаты осознанно.
- Jailbreak/root, скомпрометированный endpoint и запись экрана находятся вне
  модели угроз MVP.