Keine Namen
Der Name eines Teilnehmers steht in einer verschlüsselten Profilkarte, die nur Kreisteilnehmer öffnen können. Der Server sieht den Namen nicht und kann ihn nicht lesbar speichern: Die Datenbank selbst verbietet es.
Serverdaten
Was der Server über Sie weiß.
Ein Kreisserver braucht genug, um zu entscheiden, wer sich verbinden darf und wohin zuzustellen ist. Er ist nicht dafür gebaut zu erfahren, wer Sie sind oder was Sie gesagt haben. Unten steht konkret, was er speichert und was er nicht sehen kann.
Für den Server sind Sie ein öffentlicher Schlüssel
Eine Circlus-Identität ist ein Schlüsselpaar, das auf Ihrem eigenen Gerät entsteht. Der Server erhält die öffentliche Hälfte davon und sonst nichts über die Person, der sie gehört.
Keine Telefonnummer, keine E-Mail
Circlus fragt weder nach dem einen noch nach dem anderen, und das Schema hat keinen Platz dafür. Nichts verbindet eine Kreisidentität mit einem öffentlichen Verzeichnis oder einem Konto anderswo.
Was ein Schlüssel doch verrät
Derselbe öffentliche Schlüssel taucht bei allem auf, was dieser Teilnehmer tut. Ein Administrator sieht also, dass ein Mitglied eine Nachricht gesendet, an einem Anruf teilgenommen und eine neue Verbindung bestätigt hat. Wer dieses Mitglied ist, sagt ihm der Schlüssel nicht.
Rollen sind sichtbar
Der Server weiß, ob eine Identität Inhaber, Mitglied oder Gast ist, denn er setzt durch, was jeder von ihnen darf.
Was der Server sehr wohl speichert
Jeder Punkt hier dient einer von zwei Aufgaben: zu entscheiden, wer sich verbinden darf, und an die richtige Stelle zuzustellen.
- Öffentliche Schlüssel und Kennungen der Teilnehmer und der von ihnen bestätigten Verbindungen — Telefone, Tablets, Browser.
- Die Kreiszusammensetzung: welche Identitäten dazugehören, wer wen eingeladen hat und wann.
- Zugriffsregeln: Inhaber, Mitglied oder Gast, Einladungskontingente, Rechte für Gastlinks.
- Zustellzustand: zwischen welchen Identitäten Nachrichten laufen, zu welcher Zeit, wie viele und wie groß die Anhänge sind.
- Anrufmetadaten: wer wen angerufen hat, wann, wie lange, dazu Aufzeichnungen zur Verbindungsqualität.
- IP-Adresse und Browsersignatur einer Anfrage, eine neue Verbindung hinzuzufügen, damit der Inhaber vor der Bestätigung sieht, woher sie kam.
- Geheimtexte: Nachrichten, Dateien, Namen, Statusmeldungen, Kanaltitel. Gespeichert und zugestellt, nie lesbar.
Wer das Gespeicherte sieht
Alles aus den Listen oben sieht, wer den Server administriert — dazu die IP-Adressen, von denen sich Teilnehmer verbinden, und die Verbindungszeiten, die jeder Server sieht. Deshalb ist die Wahl des Administrators eine Vertrauensentscheidung und keine Formalität.
Auf Ihrem eigenen VPS
Sie sind der Administrator, und Circlus hat keinen Zugriff auf Ihren Server. Der Anbieter, bei dem Sie den VPS mieten, kann technisch jedoch dasselbe sehen: Festplatte und Netz gehören ihm.
Auf dem Server eines Bekannten, einer Firma oder auf unserem
Wer den Server betreibt, sieht alles Aufgeführte, auch in seinen Sicherungen. Ist es unser Server, ist der Administrator der Autor von Circlus — mit genau dieser Sicht und nicht mehr.
Auf Ihrem eigenen VPS, eingerichtet von einer Fachperson
Solange die Fachperson Zugang hat, ist sie Administrator — mit denselben Möglichkeiten, nicht mehr. Schließen Sie nach der Einrichtung ihren Zugang: Ändern Sie SSH-Passwort oder -Schlüssel und das Passwort des Anbieterportals, und prüfen Sie in der Teilnehmerliste, dass Sie der Kreisinhaber sind.
Metadaten sind keine Kleinigkeit
Wer mit wem wie oft und wann kommuniziert, ist ebenfalls eine Information, und das verschweigen wir nicht. Wir behaupten nur eines: Inhalte und echte Namen sind darin nicht enthalten.
Inhaber und Administrator sind getrennte Rollen, deren Befugnisse sich nicht überschneiden. Der Unterschied steht unter Kreisinhaber und Serveradministrator.
Was ein Administrator nicht kann
Das beruht nicht auf der Ehrlichkeit des Administrators: Die Apps der Teilnehmer prüfen, nicht der Server.
Unterhaltungen lesen
Die Schlüssel zu Nachrichten, Dateien und Anrufen gibt es nur auf den Geräten der Teilnehmer. Auf den Server gelangen sie nur in einer verschlüsselten Profilsicherung, die er nicht öffnen kann.
Die App austauschen
Die offizielle App wird von web.circlus.org oder aus einem App-Store geladen, nicht vom Server des Kreises. Deshalb kann der Serveradministrator den Code, der Nachrichten verschlüsselt, nicht verändern.
Jemanden hinzufügen oder den Kreis übernehmen
Jede Änderung der Mitgliedschaft ist signiert — vom Inhaber oder durch eine Einladung, die ein Teilnehmer ausgestellt hat —, und die Geräte prüfen die Signaturen. Der Server kann nicht unbemerkt Fremde hinzufügen, gesperrte Personen zurückholen oder einen anderen Inhaber einsetzen.
Was er trotzdem kann
Den Server stoppen oder den Kreis löschen. Das merken alle sofort, verhindern lässt es sich aber nicht. Halten Sie deshalb einen anderen Weg bereit, die Teilnehmer zu erreichen, und wählen Sie einen Administrator, dem Sie zumindest darin vertrauen.
Eine Einschränkung: Beim ersten Kontakt mit jemandem, der noch nicht in Ihren Kontakten ist, könnte der Server theoretisch einen fremden Schlüssel unterschieben. Deshalb bittet die App an solchen Stellen, Profildaten zu vergleichen — siehe Profilprüfung.
Ein Kreis ist nicht an seinen Server gebunden
Vertrauen in einen Administrator bleibt widerrufbar, weil der Kreis gehen kann.
Den Umzug startet der Inhaber
Ein Umzug wird vom Kreisinhaber in den Kreiseinstellungen gestartet. Die nötige Erlaubnis erteilt der Administrator des Zielservers. Der Administrator des aktuellen Servers wird nicht um Zustimmung gebeten.
Was das garantiert und was nicht
Ein Administrator kann einen Kreis nicht festhalten, indem er die Erlaubnis verweigert. Der aktuelle Server muss allerdings laufen, um den Datenstand zu exportieren — das schützt Sie also vor einem unwilligen Administrator, nicht vor einer abgeschalteten Maschine.
Der genaue Ablauf und die Daten, die einen Umzug nicht überstehen, stehen in der Anleitung zum Kreisumzug.
Glauben Sie uns nicht aufs Wort
Jede Aussage auf dieser Seite lässt sich prüfen, ohne denen zu vertrauen, die sie geschrieben haben.
Der Server ist quelloffen
Der vollständige Serverquelltext ist veröffentlicht. Jeder kann nachlesen, wie eine Anfrage behandelt wird und was am Ende festgehalten wird.
Das Schema liegt im Repository
Das Verbot, Namen und Status lesbar zu speichern, steht im Datenbankschema selbst, nicht nur im Code. Das Schema wird mit dem Server veröffentlicht.
Circle Inspector
Der Inhaber kann befristeten Zugriff darauf gewähren, welche Einträge zu seinem Kreis tatsächlich vorhanden sind — sich selbst, einem anderen Mitglied oder einem Fachmann, der ihm hilft.
Server-Repository: github.com/circlus-org/circlus-server. Inspector: inspector.circlus.org.