Документация по функциям и безопасности Aegis
1. PIN-код Aegis и Блокировка регистрации (Registration Lock)#pin
В мессенджере Aegis реализован автономный криптографический механизм генерации мастер-ключа (MasterKey) из вашего PIN-кода без использования сторонних облачных анклавов Intel SGX: применяется детерминированный алгоритм 4096 × HMAC-SHA256 с нормализацией NFKD и доменной солью Aegis-Local-SVR-MasterKey-v1.
- Блокировка регистрации (Registration Lock): если вы включите её в разделе «Настройки → Аккаунт», никто не сможет зарегистрировать ваш номер на новом устройстве без знания вашего PIN-кода.
- Если вы забыли PIN-код или исчерпали попытки: обратитесь к администратору безопасности (slow.rda@gmail.com) для сброса блокировки учётной записи в панели управления сервером.
2. Проверка кода безопасности (Safety Numbers)#safety-numbers
Каждый сквозной зашифрованный чат в Aegis имеет уникальный 60-значный Код безопасности (Safety Number) и QR-код, вычисляемый из открытых ключей идентификации (Identity Key) обоих собеседников.
- Сравните 60 цифр с экраном собеседника лично или отсканируйте его QR-код на экране «Просмотр кода безопасности».
- При совпадении нажмите «Отметить как подтверждённый». Если собеседник переустановит приложение или сменит телефон, Aegis предупредит вас об изменении кода безопасности.
3. Технология «Запечатанный отправитель» (Sealed Sender)#sealed-sender
Помимо шифрования самого текста сообщения (протоколы X3DH, PQXDH Kyber-1024 и Double Ratchet), Aegis использует механизм Unidentified Delivery (Sealed Sender).
Сертификат отправителя зашифровывается внутрь конверта сообщения и проверяется по корневому ключу доверия корпоративного контура, благодаря чему при маршрутизации пакета метаданные об отправителе дополнительно защищены.
4. Зашифрованные профили (ZKProfile) и запросы на переписку#profiles
Ваше имя, фамилия, информация «О себе» и фотография профиля шифруются ключом профиля (Profile Key) с использованием криптографии с нулевым разглашением (ZKProfile).
- Сервер хранит только зашифрованный блоб и не знает имени и аватара сотрудника.
- При первом входящем сообщении от нового коллеги или добавлении в группу вы видите Запрос на переписку и можете принять, удалить или заблокировать диалог.
5. Настройка уведомлений и работы в фоновом режиме#notifications
Для полной независимости от облачных сервисов Google (Firebase / FCM) и Apple Push в закрытом контуре Aegis доставка сообщений и звонков осуществляется по постоянному зашифрованному соединению WebSocket (fetchesMessages = true).
- На устройствах Android откройте «Настройки системы → Приложения → Aegis → Батарея» и выберите режим «Без ограничений» (разрешить работу в фоновом режиме).
- Разрешите показ системных уведомлений, чтобы входящие звонки и сообщения отображались мгновенно при заблокированном экране.
6. Резервное копирование и перенос чатов на новое устройство#backups
В Aegis поддерживаются два защищённых способа сохранения и переноса истории переписки:
- Локальная резервная копия (Настройки → Чаты → Резервные копии): создаёт зашифрованный архив на устройстве, защищённый 30-значной парольной фразой. Запишите эту фразу — без неё расшифровать архив невозможно.
- Прямой перенос с устройства на устройство (Wi-Fi Direct) или через корпоративное S3-хранилище: позволяет перенести зашифрованную базу данных (SQLCipher) при смене смартфона.
7. Связанные устройства (Linked Devices)#linked-devices
В разделе «Настройки → Связанные устройства» вы можете просматривать список подключённых сессий, привязывать дополнительные клиентские терминалы по QR-коду и в один клик отключать неиспользуемые устройства.
8. Имена пользователей (Никнеймы) и инвайт-ссылки#usernames
Вы можете создать корпоративный никнейм (например, @ivanov.01) и сгенерировать QR-код или ссылку вида https://hlebcom.ru/#eu/..., чтобы коллеги могли начать чат с вами, даже не зная вашего номера телефона. В любой момент ссылку можно сбросить в настройках профиля.
9. Обнаружение контактов и корпоративный каталог (CDS)#contacts-cds
Вместо внешних облачных анклавов обнаружения контактов в Aegis работает собственный сервис Корпоративного каталога (CDS) внутри периметра организации. В зависимости от политики безопасности, настроенной администратором (Hybrid или Corporate Directory), список доступных коллег формируется автоматически по Белому списку организации.
10. Использование прокси-сервера Aegis TLS Proxy#proxy
При работе из сетей с ограниченным маршрутом вы можете указать адрес корпоративного TLS-прокси в меню «Настройки → Конфиденциальность → Дополнительно → Прокси» (или перейти по ссылке https://proxy.hlebcom.ru/#...). Прокси лишь перенаправляет зашифрованный TLS-трафик и не имеет доступа к вашим ключам и переписке.
11. Режим инкогнито для клавиатуры#incognito-keyboard
При включении опции «Клавиатура в режиме инкогнито» Aegis передаёт системной клавиатуре флаг IME_FLAG_NO_PERSONALIZED_LEARNING, запрещающий клавиатуре запоминать вводимые вами слова, имена и термины для автодополнения и облачной синхронизации словарей.
12. Журнал отладки (Debug Log) и диагностика#debug-logs
Раздел «Настройки → Справка → Отправить журнал отладки» позволяет собрать техническую диагностику работы сети, WebSocket и звуковой подсистемы. Журнал отладки не содержит текстов ваших сообщений, контактов или приватных ключей шифрования.
13. Регистрация по Белому списку и безопасность входа#registration
Регистрация в контуре Aegis доступна только номерам телефонов, включённым администратором информационной безопасности в Белый список (Whitelist). Никогда не сообщайте коды подтверждения и PIN-код блокировки регистрации посторонним лицам — сотрудники ИБ никогда не запрашивают ваш PIN-код в чате.
14. Экспорт данных аккаунта#export-data
В разделе «Настройки → Аккаунт → Экспорт данных аккаунта» вы можете выгрузить отчёт в формате JSON/TXT с техническими метаданными вашей учётной записи, хранящимися на сервере контура (дата регистрации, список активных устройств, статус блокировки регистрации).