Cosa abbiamo costruito invece

I quattro modi in cui viaggia un messaggio

CHANNEL prende il percorso più diretto che funziona in questo momento, e li prova in quest'ordine. Ogni percorso ha una lettera, e la lettera su un messaggio ti dice quale lo ha trasmesso.

• W
  Wi-Fi direttoEntrambi i telefoni nelle vicinanze. Non è coinvolta nessuna rete di alcun tipo.
• B
  BluetoothEntrambi i telefoni nelle vicinanze.
• L
  Rete localeEntrambi i telefoni sulla stessa Wi-Fi. Il messaggio resta su quella rete.
• I
  Casella di posta InternetIl nostro server conserva il messaggio sigillato finché l'altro telefono non lo ritira. Puoi disattivare questo percorso per un profilo.

I primi tre non lasciano mai la stanza. Internet è una soluzione di riserva, non una copia: se una radio può raggiungere l'altro telefono, il messaggio passa di lì e il server non lo vede mai. Se una radio li vede ma il messaggio non passa, ogni contatto ha il proprio tempo di attesa prima che CHANNEL usi invece la casella, da subito a mai, con quindici minuti come impostazione predefinita.

Accanto a ogni contatto, piccole luci mostrano quali percorsi sono aperti in questo momento. Un contatto mostra In attesa quando ancora nulla può trasmettergli un messaggio. CHANNEL non ti dice mai che qualcuno non è su CHANNEL, perché non lo sa, e nemmeno chi osserva dovrebbe saperlo.

A portata: nessun server, nessun internet, nessuna bolletta

Quando tu e un contatto siete a portata di Bluetooth o Wi-Fi, il tuo messaggio va direttamente dal tuo dispositivo al suo. Nessun server lo vede, nessuna rete lo trasporta, e non c'è niente da intercettare in transito perché non c'è nulla in transito altrove. Funziona senza segnale e senza alcun piano dati — uno scantinato, un volo, una nave, un ospedale, un paese dove la rete è sorvegliata. Se il telefono è in tasca quando un messaggio arriva in questo modo, l'app si risveglia sulla connessione e crea da sola la notifica.

Funziona anche dove la rete è congestionata piuttosto che assente, che è il caso in cui la maggior parte delle persone si trova davvero. Un ripetitore è costruito per le persone che vivono, lavorano e passano nella sua zona. Non è costruito per l'equivalente di una città intera di persone in più, ferme in un quarto di chilometro quadrato per cinque ore, la maggior parte a mandare foto e video della stessa azione. Il telefono mostra quattro tacche e non riesce a inviare un SMS — perché l'intensità del segnale e la capacità sono due cose diverse, e le tacche hanno sempre mostrato solo la prima. CHANNEL non si mette in coda dietro quella folla, perché non chiede mai nulla al ripetitore.

Sii però realistico sulla distanza. Questo è un collegamento radio tra due telefoni: il tuo gruppo a poche file di distanza, l'atrio, il parcheggio prima della partita, la stanza accanto, la stessa carrozza, una barca, uno scantinato. Non arriverà dai palchi alle gradinate economiche, e non estende la tua portata oltre il contatto radio diretto. Una folla è il caso più difficile per una piccola antenna — i corpi assorbono queste frequenze, ed è esattamente per questo che anche la torre fatica.

Fuori portata: un server che non sa nulla

La maggior parte delle conversazioni non avviene stando fianco a fianco. Quando la radio diretta non è disponibile, il tuo messaggio può essere messo in coda e, se lo permetti, trasportato invece dal nostro server via internet.

Quel server non è un servizio di chat. Non può leggere i tuoi messaggi — restano crittografati end-to-end per tutto il tragitto, e non detiene mai le chiavi. Non tiene account, e un numero di telefono o un indirizzo email che dimostri viene conservato come hash con chiave, mai come il numero o l’indirizzo stesso. Identifica la tua casella solo con un token che cambia ogni dieci minuti, ed è configurato per non registrare gli indirizzi IP che vi si collegano. Un messaggio viene eliminato nel momento in cui la ricezione è confermata, e tutto ciò che nessuno raccoglie scade da solo: sette giorni di default, trenta al massimo, e puoi impostarlo più breve.

Niente di nuovo da imparare

CHANNEL ha l'aspetto e il funzionamento del messenger che già usi — lo stesso elenco di conversazioni, la stessa schermata di chat, gli stessi gesti. La privacy sta nell'impianto, non nei comandi, ed è deliberatamente identica su ogni piattaforma, così passare dal telefono al computer non ti insegna niente di nuovo.

Cosa c'è nell'app

Tutto quello che segue è nelle attuali versioni di test. La pagina Stato dice quali parti sono state messe alla prova su telefoni veri e quali no.

Profili

Un profilo è un'identità separata: le sue chiavi, i suoi contatti, le sue conversazioni. Due profili sullo stesso telefono non condividono nulla, e nessuno con cui parli può capire che due di essi sono sullo stesso telefono. Un nuovo profilo può partire come copia di uno esistente, ma vengono copiate solo le impostazioni. Chiavi, contatti, messaggi e verifiche non lo sono mai, perché un profilo che le condividesse non sarebbe un'identità separata.

Aggiungere qualcuno, di persona o su invito

Quando qualcuno si accoppia leggendo il tuo codice dal tuo schermo, dopo ogni telefono lo dice: quella persona era lì, ed è questo che viene verificato. Puoi anche semplicemente scrivere a qualcuno a un numero o a un indirizzo di cui ha dimostrato di essere il titolare: il messaggio viene sigillato e messo in coda, gli viene lasciato un invito, e appena lo accetta parte senza altri tocchi da parte tua.

Farsi trovare

Puoi permettere alle persone di raggiungerti a un numero di telefono o un indirizzo email, ma prima devi dimostrare che è tuo. Un codice a sei cifre viene inviato tramite SMS, tramite una chiamata che legge le cifre ad alta voce due volte, o via email. Dimostrare un valore e renderlo pubblico sono due interruttori separati, così un numero verificato può restare privato, e un valore non dimostrato è inerte. Il nostro server non tiene nessun elenco di persone verificate né nessun elenco di numeri: un invito è indirizzato a uno slot derivato dal numero stesso, e viene accettato indipendentemente dal fatto che qualcuno lo ritiri mai, così il server non può rispondere alla domanda se un dato numero appartenga a un utente CHANNEL.

Messaggi

Messaggi a scomparsa con un timer visibile a entrambe le parti, rimossi da entrambi i telefoni una volta visti e trascorso il tempo. Vista unica per un'immagine, protetta dagli screenshot finché è sullo schermo. Foto, dal selettore del telefono o dalla fotocamera, con un'impostazione che tiene le immagini completamente fuori da Internet. Conferme di lettura, in entrambe le direzioni o in nessuna. Traduzione fatta dal traduttore del telefono stesso, così il testo non lascia mai il telefono per essere tradotto. Una riga degli appunti sopra il campo di scrittura. E pulsanti di chiamata che passano il testimone alle app di chiamata che già usi, invece di far finta che sia CHANNEL a effettuare la chiamata.

Posizione

Invia una singola rilevazione, presa nel momento in cui tocchi e mai conservata, oppure condividi in diretta per 15 minuti, un'ora o 8 ore, con aggiornamenti finché l'app è aperta e la fine automatica. Esiste anche una condivisione senza ora di fine, che dura finché non la fermi tu. Tra due telefoni CHANNEL il messaggio porta le coordinate invece di un link, così chi lo riceve sceglie come vederle. Una condivisione arriva come un'unica scheda che si muove sul posto invece di riempire la conversazione di nuove righe. Toccandola si apre una mappa dentro CHANNEL con entrambi i telefoni, la distanza e una freccia che punta verso l'altro telefono, e da lì puoi passare a qualsiasi app di mappe installata sul telefono. Mentre una condivisione è attiva un puntatore resta in cima alla conversazione, e chi condivide ha un conto alla rovescia che può estendere o fermare. CHANNEL non legge la tua posizione in nessun altro momento.

Il blocco, e il codice di emergenza

CHANNEL può chiedere lo sblocco stesso del telefono per aprirsi, e puoi aggiungere un tuo codice, da 4 a 8 cifre, che viene chiesto prima di qualsiasi altra cosa e funziona anche su un telefono senza alcun blocco. Nessuno dei due codici viene conservato, solo un hash lento di esso, così nessuno può reimpostarlo, noi compresi. Un secondo codice, diverso, cancella tutto ciò che CHANNEL tiene sul telefono: prima la chiave che sigilla gli archivi, poi le identità, poi ogni file. L'app si apre quindi come se fosse appena installata, e nulla sullo schermo dice che sia successo. Tutto quello che CHANNEL scrive su disco è cifrato con una chiave conservata nell'hardware sicuro del telefono, così un file copiato o il backup di un dispositivo rubato non restituiscono nulla senza di essa.

AI

Dove gira l'AI dipende dal telefono. Su un iPhone che supporta Apple Intelligence gira sul telefono stesso — nessun account, nessuna chiave, nessun costo, e niente esce. Ovunque altro, e come riserva su un iPhone, aggiungi un tuo account con OpenAI, Anthropic o xAI: la chiave resta sul telefono, il nostro server non la vede mai, e puoi aggiungerne più di uno. Non viene mai inviato nulla da solo: nessuna chiamata in background, nessun riepilogo automatico, nessuna risposta suggerita che non hai chiesto. Ogni utilizzo ti mostra esattamente cosa uscirà dal telefono, incluse le parole dell'altra persona quando scegli di includerle, e il pulsante che premi è il consenso. Può scrivere o rielaborare una bozza, correggere ortografia e grammatica, rendere un messaggio più breve, più amichevole o più formale, suggerire risposte, riassumere una conversazione, tradurre un messaggio, o rispondere a una domanda su un'immagine. Puoi anche attivare un account come contatto, così ChatGPT, Claude o Grok compare nel tuo elenco contatti e ci chatti come con chiunque altro.

Backup e ripristino

Disattivato finché non lo usi, e mai silenzioso. CHANNEL sigilla i tuoi profili, identità, contatti, conversazioni e impostazioni in un unico file protetto da una passphrase che scegli tu, e lo consegna al selettore file del telefono, così decidi tu dove va. Non conserviamo mai la passphrase e non possiamo recuperarla, e non riceviamo mai il file. I messaggi a scomparsa e a vista unica non sono mai inclusi, e gli allegati sono esclusi per motivi di dimensione. Ripristinare sostituisce tutto sul telefono, ed è così che passi a uno nuovo.

Inoltro per altri

In Impostazioni c'è un interruttore Inoltro per altri, disattivato finché non lo accendi. Con questo attivo, il telefono si offre di trasportare posta sigillata per contatti che un altro telefono non può ancora raggiungere, e di consegnarla più tardi; un telefono che la trasporta non può leggere cosa trasporta. Non vogliamo vendertela meglio di quanto sia. L'inoltro ripaga solo quando ci sono abbastanza telefoni con CHANNEL nello stesso posto, e questo non è stato misurato su hardware reale a densità reale. È nel prodotto e nel protocollo. Non è una promessa.

Guida, dentro l'app

Pagine di guida semplice viaggiano dentro CHANNEL, nelle stesse cinque lingue dell'app. Funzionano senza rete, non contattano nessuno, e nulla di quello che leggi al loro interno viene segnalato a chicchessia.