Nós

Nós est une messagerie sans serveurs, pour Android et iPhone. Les discussions, les groupes, les photos, les messages vocaux, les fichiers et les appels sont chiffrés de bout en bout et transitent par des boîtes aux lettres hébergées sur des nœuds que n’importe qui peut faire tourner, y compris votre propre ordinateur. Pas de numéro de téléphone, pas de compte et pas d’entreprise au milieu. En portugais, « Nós » veut dire « nous » et « nœuds » : les gens, et le réseau qu’ils forment.

#Premiers pas

Le premier écran propose Créer un compte, Importer un compte et Explorer sans compte.

• Créer un compte : un nom, un nom d’utilisateur et une photo facultatifs, et une couleur d’accent. « Votre identité, ce sont vos clés. Aucun numéro de téléphone requis. » Rien n’est enregistré nulle part : le profil voyage seulement à l’intérieur de votre carte, jusqu’à vos contacts.
• Conservez votre phrase de récupération : douze mots qui sont votre compte. Touchez Afficher les mots, notez-les, puis Je l’ai notée. Plus tard est permis; une bannière dans Discussions vous le rappelle jusqu’à ce que vous confirmiez.
• Explorer sans compte ouvre l’app avec des personnes, des groupes et des messages d’exemple, gardés en mémoire et envoyés nulle part. Les appels, le balayage de codes et le réseau y sont désactivés. La bannière « Vous explorez des discussions d’exemple » permet d’en sortir et de revenir au premier écran.

Les onglets en bas sont Discussions, Appels, Contacts et Réglages.

#Ajouter des personnes

Personne ne peut vous trouver par numéro de téléphone ni par nom. Les gens vous joignent grâce à votre carte, et c’est vous qui choisissez à qui la donner.

• Ma carte (Contacts › l’icône du code QR, ou Découvrir › Partager votre carte) affiche un code QR et Partager le lien. Quiconque le balaie ou ouvre le lien peut vous saluer une fois. Les liens d’invitation fonctionnent pendant 30 jours; Confidentialité › Liens d’invitation les annule tous.
• Balayer un code QR lit la carte de quelqu’un d’autre, un nœud à ajouter, un appareil à associer ou un numéro de sécurité. Entrer plutôt un lien accepte les mêmes choses collées.
• Ouvrir un lien d’invitation affiche la personne et Ajouter le contact. L’ajout échange vos cartes et vos timbres, pour que vous seuls puissiez écrire dans les boîtes aux lettres l’un de l’autre. L’autre personne vous reçoit comme contact sur-le-champ (« s’est joint grâce à votre invitation »).
• Chercher dans le réseau (Découvrir) trouve quelqu’un par sa clé (64 caractères), par une adresse comme [email protected] (quand son domaine répond à /.well-known/nos/<name>), ou ouvre un lien d’invitation. Il ne trouve que les personnes qui ont activé Repérable par clé; elles reçoivent une demande.
• Présenter à quelqu’un (dans les détails d’un contact) envoie à chacun de deux contacts la carte de l’autre. Chacun voit « Présenté par … » dans Demandes et ajoute l’autre avec Dire bonjour.

#Demandes

Les personnes qui vous ont trouvé par votre clé, ou qui vous ont été présentées, apparaissent dans Demandes (une bannière dans Discussions et Contacts). Elles ne peuvent pas vous écrire tant que vous ne touchez pas Accepter. Ignorer les oublie; Bloquer les arrête aussi à vos boîtes aux lettres.

#Discussions

La liste affiche chaque discussion avec le dernier message, son heure, les crochets de remise, la saisie en cours, les brouillons et le nombre de non-lus. Toutes, Non lues, Groupes et Archives la filtrent; le champ de recherche filtre par nom et par texte. Maintenez une discussion (ou faites un clic droit) pour Épingler, Mettre en sourdine, Marquer comme lue, Archiver ou Supprimer la discussion. + ouvre Ajouter un contact, Écrire à un contact, Nouveau groupe et Notes à moi-même (synchronisées avec vos autres appareils).

#Messages

• Tapez et envoyez; sur les téléphones, Entrée ajoute une ligne, sauf si Réglages › Discussions › Entrée envoie est activé.
• + dans la zone de rédaction envoie une Photo ou vidéo, une prise de l’Appareil photo, un Fichier (jusqu’à 100 Mo) ou Ma position (s’ouvre dans OpenStreetMap).
• Le micro enregistre un message vocal : touchez pour commencer, puis envoyez ou jetez. Les messages vocaux jouent avec leur forme d’onde.
• Maintenez un message (ou faites un clic droit) pour les réactions rapides et Répondre, Transférer, Enregistrer ou partager, Modifier (votre propre texte, dans les 48 heures), Infos et Supprimer (pour vous, ou pour tout le monde dans les 48 heures). Un double-clic réagit avec un cœur.
• Les photos affichent tout de suite un petit aperçu et se téléchargent à partir des nœuds; touchez-les pour les ouvrir en plein écran. Les fichiers se téléchargent quand on les touche.

#États de remise

Infos sur un message indique quand il a été écrit, envoyé à la boîte aux lettres, remis et lu; dans les groupes, qui l’a reçu et lu.

#Messages éphémères

Dans les détails d’une discussion, Messages éphémères (1 heure, 24 heures, 7 jours, 90 jours ou Désactivé) fait disparaître les nouveaux messages des deux téléphones après ce délai. Confidentialité › Messages éphémères règle la minuterie des nouvelles discussions.

#Groupes

Nouveau groupe demande un nom, une photo facultative et les contacts à ajouter (jusqu’à 64 membres). Aucun serveur ne conserve le groupe : chaque membre garde la liste des membres, signée par les administrateurs, et chaque message est chiffré une seule fois avec la clé de son expéditeur, puis déposé dans les boîtes aux lettres de chaque membre.

• Les onglets du groupe, en haut : Discussion, Médias, Fichiers, Membres.
• Les administrateurs peuvent Ajouter des membres, Retirer du groupe, Nommer administrateur, renommer le groupe et changer sa photo. Quitter le groupe permet d’en sortir; la discussion reste sur l’appareil.
• Les membres qui ne sont pas vos contacts peuvent tout de même vous joindre, et vous, eux, mais seulement pour le groupe : chaque membre timbre ses boîtes aux lettres pour le groupe.
• Quand quelqu’un arrive ou part, les expéditeurs passent à de nouvelles clés, pour que ceux qui sont partis ne puissent pas lire la suite.

#Appels

Les boutons du téléphone et de la caméra dans la discussion d’un contact lancent un appel vocal ou vidéo. Les appels passent directement d’un appareil à l’autre (WebRTC), chiffrés; la signalisation voyage dans de petites enveloppes qui expirent au bout d’une minute. Pendant un appel : Muet, Caméra (activer ou désactiver la vidéo), Retourner et Raccrocher. Un appel entrant affiche Accepter et Refuser.

Il n’y a pas de relais pour les appels : quand les deux réseaux ne permettent pas de chemin direct, l’appel ne peut pas s’établir, et l’app affiche « Connexion directe impossible ». L’onglet Appels liste vos appels; touchez le téléphone pour rappeler.

#Contacts

La liste affiche vos contacts avec leur nom d’utilisateur, En ligne (quand ils le partagent) et vos groupes. Les détails d’un contact offrent Message, Appeler, Vidéo, Vérifier le numéro de sécurité, Surnom (vous seul le voyez), les médias, les messages éphémères, Mettre en sourdine, Présenter à quelqu’un, ses Appareils, Bloquer, Effacer la discussion et Retirer le contact.

#Numéros de sécurité

Chaque paire de contacts partage un numéro de sécurité de 60 chiffres. Comparez-le en personne ou pendant un appel, ou balayez le code sur son téléphone avec Balayer son code : s’il correspond, marquez le contact comme Vérifié (un badge à côté du nom).

#Blocage

Bloquer annule le timbre que vous avez donné à cette personne sur toutes vos boîtes aux lettres : les nœuds cessent d’accepter ses enveloppes. Elle n’en est pas avisée. Réglages › Confidentialité › Bloqués liste les personnes bloquées et permet de les débloquer.

#Notifications

Réglages › Notifications offre deux modes :

• Instantané : vos boîtes aux lettres réveillent cet appareil par une notification poussée vide, au moyen du service de notifications poussées du navigateur. Ce service apprend quand réveiller l’appareil, jamais ce qui a été envoyé ni par qui. La notification indique « Nouveau message »; le message est récupéré et déchiffré à l’ouverture de l’app.
• Pur : aucune notification poussée. Vous voyez les nouveaux messages quand vous ouvrez l’app.

Sur l’iPhone, les notifications exigent que l’app soit sur l’écran d’accueil (Safari › Partager › Sur l’écran d’accueil), puis Activer les notifications. L’app Android vérifie s’il y a des messages tant qu’elle est ouverte. Quand l’app est ouverte, une bannière montre les nouveaux messages des autres discussions.

#Appareils

Réglages › Appareils liste vos appareils. Pour en ajouter un, ouvrez Nós sur le nouvel appareil, choisissez Importer un compte › Associer à mon téléphone, donnez-lui un nom, puis, sur votre téléphone, touchez Associer un appareil et balayez le code qu’il affiche (ou ouvrez-y son lien). Le nouvel appareil obtient vos contacts et vos groupes, et reçoit chaque message à partir de ce moment; les messages antérieurs restent où ils étaient. La phrase de récupération reste sur l’appareil principal, qui est aussi celui qui retire des appareils.

#Réseau

Un nœud garde des boîtes aux lettres : des enveloppes chiffrées, jusqu’à ce que le téléphone les récupère (30 jours au plus). Il ne peut ni les lire ni voir qui les a envoyées. Chaque personne a jusqu’à trois boîtes aux lettres sur des nœuds différents, indiquées dans sa carte; un message va dans toutes, et la première récupération l’efface.

• Vos nœuds affiche chaque nœud, s’il est connecté, et vos boîtes aux lettres qui s’y trouvent.
• Connexion : Automatique utilise vos nœuds, et le nœud public quand vous n’en avez aucun; Manuelle n’utilise que les nœuds que vous avez ajoutés.
• Ajouter un nœud balaie ou colle le lien qu’affiche un nœud. Si le nœud n’a pas encore été adopté, Adopter ce nœud le fait vôtre : il vous héberge, vous et vos contacts, avec des quotas plus grands (500 Mo de messages et 2 Go de médias par personne, 30 jours) au lieu des quotas publics (50 Mo et 200 Mo, 7 jours pour les médias).
• Sans nœud à vous, l’app utilise le nœud public de leonardoaguiar.com.

#Faire tourner votre propre nœud

nos-node fonctionne sur macOS et Linux (arm64 et x86_64) :

curl -fsSL https://leonardoaguiar.com/apps/nos/install.sh | sh
nos-node run
nos-node address

nos-node address affiche un lien et un code QR; ouvrez-le dans Réglages › Réseau › Ajouter un nœud pour adopter le nœud. Derrière un routeur domestique, lancez-le avec --attach wss://leonardoaguiar.com/_/nos#f4eea0585b7f4cc4ecfab6a76082a724ee42c7b57d462377f6cf8344c785d00a : il garde une connexion avec le nœud public, qui lui relaie les apps sans rien voir d’autre que des octets chiffrés. Sur un serveur, placez-le derrière TLS (nginx ou Caddy) et passez-lui son adresse publique avec --url wss://…. --public héberge aussi des inconnus (avec preuve de travail et petits quotas); --stun 0.0.0.0:3478 répond aux requêtes STUN pour les appels directs. Le nœud garde sa clé, ses réglages et ses données dans ~/Library/Application Support/Nos Node (macOS) ou ~/.local/share/nos-node (Linux). Relancer la commande d’installation le met à jour.

#Sauvegarde et récupération

• Phrase de récupération : Afficher la phrase de récupération (assurez-vous que personne ne regarde).
• Sauvegarder maintenant et Sauvegarder chaque jour envoient une sauvegarde chiffrée (les contacts, les groupes, les discussions et les clés de cet appareil; pas les médias) à vos boîtes aux lettres, chiffrée avec une clé tirée de votre phrase. Enregistrer un fichier de sauvegarde crée un fichier .nosbak que vous gardez vous-même.
• Importer un compte › Phrase de récupération trouve votre carte sur les nœuds, ouvre vos boîtes aux lettres et ramène la dernière sauvegarde. Sans sauvegarde, votre identité, votre profil et vos boîtes aux lettres reviennent, mais les contacts et les discussions repartent à vide : ajoutez de nouveau vos contacts avec votre carte.
• Importer un compte › Fichier de sauvegarde ouvre un .nosbak avec sa phrase.

#Gardiens

Choisir des gardiens répartit votre phrase entre 2 à 7 contacts, de sorte qu’un nombre d’entre eux que vous choisissez puisse la reconstituer ensemble; un nombre moindre ne révèle rien. Chaque part leur parvient chiffrée. Sur un nouveau téléphone, Importer un compte › Demander à mes gardiens affiche un code et un lien à leur envoyer; chaque gardien l’ouvre dans Nós, vérifie que c’est bien vous et envoie sa part. Quand assez de parts sont arrivées, le compte revient. Personnes que vous protégez liste celles qui vous ont choisi.

Réinitialiser le compte efface cet appareil. Sans la phrase ni les gardiens, le compte ne peut pas revenir : personne d’autre ne l’a.

#Réglages

Il n’y a pas de « vu pour la dernière fois » : aucun nœud ne le conserve. La saisie en cours et l’état en ligne sont de minuscules enveloppes qui expirent en quelques secondes, envoyées seulement à vos contacts, et les deux peuvent être désactivés.

#Protocole

• Identité : les douze mots (BIP39) dérivent la clé d’identité (Ed25519; sa moitié publique est votre clé), la clé de carte, la clé de sauvegarde, la clé de timbre et les clés de chaque boîte aux lettres. Chaque appareil a son propre compte Olm.
• Carte : un enregistrement signé avec vos appareils, vos boîtes aux lettres et votre profil, dont l’intérieur est chiffré avec la clé de carte que seuls vos contacts possèdent. Les nœuds la stockent sous un nom dérivé de cette clé, si bien qu’un inconnu qui ne connaît que votre clé ne peut pas la trouver.
• Sessions : les messages entre deux personnes utilisent Olm (le Double Ratchet, de vodozemac de Matrix), démarré avec des clés à usage unique gardées dans vos boîtes aux lettres; les groupes utilisent Megolm, avec une chaîne d’envoi par membre.
• Enveloppes : scellées pour la clé de la boîte aux lettres (X25519 et XChaCha20-Poly1305) et complétées jusqu’à 1, 4, 16 ou 48 Ko. Le nœud voit le nom de la boîte aux lettres, le timbre, une durée de vie et le palier de taille; rien sur l’expéditeur.
• Timbres : des jetons signés par le propriétaire de la boîte aux lettres pour chaque contact, qui désignent une clé de détenteur devant signer chaque enveloppe, avec des limites quotidiennes. Bloquer révoque le timbre auprès du nœud. Les inconnus paient plutôt par une preuve de travail.
• Canal vers les nœuds : Noise NK sur WebSocket, avec la clé du nœud connue d’avance, si bien que ni un relais ni le terminateur TLS placé devant un nœud ne peuvent lire ou falsifier quoi que ce soit. Les nœuds derrière des routeurs se rattachent à un relais avec Noise IK.
• Médias : chaque fichier est chiffré avec sa propre clé, découpé en morceaux de 48 Ko et adressé par le hachage des morceaux.
• Réveils : Web Push (RFC 8291 et 8292) avec une clé VAPID créée par l’app, si bien que n’importe laquelle de vos boîtes aux lettres peut réveiller votre téléphone sans clé de notification centrale.

#Installation et mises à jour

• Android : l’APK de ce site. Android 7 ou version ultérieure. Une fois par jour, l’app demande à ce site quelle est la dernière version et affiche Nós x est disponible dans Réglages; le nouvel APK s’installe par-dessus l’ancien et garde votre compte et vos discussions.
• iPhone et iPad : l’app Web, à partir de Safari. Ouvrez leonardoaguiar.com/apps/nos/app/, touchez Partager › Sur l’écran d’accueil et ouvrez Nós à partir de l’écran d’accueil. iOS 16.4 ou version ultérieure. L’app se met à jour d’elle-même.
• N’importe quel navigateur : la même adresse fonctionne dans une version récente de Chrome, Safari, Edge ou Firefox, avec le compte conservé dans ce navigateur.
• Le nœud : voir Faire tourner votre propre nœud.

#Confidentialité

Nós n’a ni serveur à lui ni compte. Ce qui quitte votre appareil :

• Des enveloppes vers des boîtes aux lettres sur des nœuds, scellées : le nœud voit un nom de boîte aux lettres aléatoire, le palier de taille, l’heure et l’adresse Internet qui s’est connectée.
• Votre carte sur vos nœuds, signée et chiffrée pour vos contacts.
• Des morceaux de médias dans votre boîte aux lettres et dans celle du destinataire, chiffrés, jusqu’à leur téléchargement (7 jours sur les nœuds publics, 30 sur les vôtres).
• Des sauvegardes chiffrées dans vos boîtes aux lettres, si l’option est activée.
• Des notifications poussées de réveil vides, par le service de notifications Web d’Apple, de Google ou de Mozilla, quand les notifications Instantané sont activées.
• Les appels, directement vers l’autre appareil; le serveur STUN de Cloudflare (stun.cloudflare.com) indique à chaque téléphone son adresse publique.
• La vérification de version de l’app Android : une requête par jour à ce site, qui n’envoie rien à votre sujet.

Il n’y a pas de statistiques d’utilisation, pas de téléversement des contacts, pas d’annuaire et pas de « vu pour la dernière fois ».

#Remerciements

• vodozemac (Olm et Megolm), Apache 2.0
• snow (Noise), Apache 2.0 ou MIT
• Les bibliothèques dalek et RustCrypto, BLAKE3, sharks (Shamir), qrcode et rqrr
• Capacitor, MIT
• Des idées de Signal (expéditeur scellé), Briar (boîtes aux lettres), SimpleX et Nostr