Metatonía Descargar

Seguridad

Cómo protegemos tu grupo.

Metatonía guarda todo en tu teléfono. Si activas la sincronización, sube una copia cifrada, es decir, cerrada con una llave que el servidor no tiene: solo la tienen los teléfonos del grupo. Aquí está lo que protege, y también lo que no.

El viaje de un cambio

  1. 1 · Tu teléfono

    Cierra y sube

    Guarda el cambio y lo cierra con llave antes de enviarlo. Cada envío va atado a su buzón y a su teléfono: si alguien lo copia a otro lugar, no se abre.

    Tiene: la clave del grupo, la llave para abrir los envíos y el permiso para subir.

  2. 2 · El servidor

    Guarda sobres cerrados

    Recibe el envío por una conexión protegida y lo guarda en el espacio de tu teléfono, dentro del buzón del grupo. Para aceptarlo, mira el permiso para subir en ese instante; no lo guarda.

    Tiene: envíos cerrados que no puede abrir y algunos datos de la conexión (sección siguiente).
    No tiene: la llave para abrirlos ni la clave del grupo.

  3. 3 · Otro teléfono

    Descarga y abre

    Baja los envíos del buzón y los abre con la misma llave. Junta los cambios con los que ya tenía.

    Tiene: la misma clave del grupo, que recibió con un código del grupo.

Tres piezas que salen de la clave del grupo

Cada teléfono las calcula por su cuenta a partir de la clave del grupo. El servidor llega a ver las dos primeras; la tercera no sale nunca del teléfono.

  • Permiso para subir

    Sirve para subir cambios. El servidor lo ve un instante, solo para comprobar que la subida es del buzón al que va, y no lo guarda.

    Servidor: lo ve al subir

  • Nombre del buzón

    Sale del permiso, pero no se puede hacer el camino de vuelta: con el nombre no se saca el permiso. Es largo y no se puede adivinar, así que nadie puede reclamar un buzón ajeno ni uno abandonado.

    Servidor: lo ve siempre

  • Llave para abrir

    Cierra y abre los envíos del grupo. Nunca se envía: cada teléfono la calcula. Si cambias la clave del grupo, sale de un secreto nuevo que Metatonía solo comparte en el código que empieza por MT3: (la copia automática de Android también lo guarda).

    Servidor: nunca

Qué ve el servidor

Sí veEl nombre del buzón de tu grupo; un número al azar que identifica tu instalación de la app (no a ti); el tamaño y la hora de cada envío; el código de prueba con el que se creó el buzón (en versiones de prueba); y la dirección de internet de tu conexión, la misma que ve cualquier página web que visitas.
No veCanciones, letras, acordes, nombres de personas ni el contenido de los servicios. Tampoco tu correo ni tu número de teléfono: no hay cuentas.
Cuánto tiempo guardaLo que lleva 90 días sin actualizarse se borra solo. Apagar la sincronización deja de subir, pero no borra lo que ya se subió. Hoy no hay un botón para borrarlo antes.

Para leer un buzón no hace falta permiso: quien conozca su nombre puede descargar lo que hay dentro, pero sin la llave para abrir no puede leerlo, y sin el permiso para subir no puede escribir. Con la sincronización apagada, al unirte a un grupo con un código la app consulta el servidor una vez (nombre del buzón, dirección de internet y hora) antes de preguntarte si quieres sincronizar.

Qué pasa si…

Alguien espía la conexiónLa app solo habla con el servidor por una conexión protegida (la del candadito del navegador), y además lo que viaja ya va cerrado con llave.
Alguien adivina o roba el nombre de un buzónPuede descargar lo que hay dentro, pero no leerlo. Tampoco puede escribir en él: eso exige el permiso para subir.
Alguien consigue un código del grupoLee y cambia todo el repertorio. Los códigos de invitación, los de cambios y las copias de seguridad no llevan contraseña: mándalos solo a quien quieras dentro.
Alguien se va del grupoConserva todo lo que ya leyó. Cambiar la clave impide que lea lo nuevo, siempre que todos los teléfonos que se quedan tengan la versión más reciente de la app.
Un miembro quiere escribirLos roles de líder y de miembro los aplica la app, no el servidor: frenan accidentes, no a quien use una app modificada o el código de un líder.

Lo que no podemos prometer

  • Metatonía no pone llave a lo que guarda en tu teléfono. Lo protege el sistema del teléfono y su bloqueo de pantalla.
  • Android puede copiar los datos de la app a tu cuenta de Google si tienes activada su copia de seguridad. Lo hace el sistema, no Metatonía.
  • Para leer el texto de una foto o de un PDF, la app usa una herramienta de Google llamada ML Kit, que trabaja dentro del teléfono. Google indica que puede recoger datos técnicos de uso (por ejemplo, el modelo del teléfono), no el contenido de la foto. Nosotros no recibimos esos datos. La página de Google no ofrece forma de desactivar esa recogida y no hemos aplicado otra medida para impedirla.
  • Ningún sistema es completamente seguro. Esta página describe cómo está hecho hoy, no una garantía absoluta.

Cómo se vigila

Las partes más delicadas, que son cómo se calculan las llaves y cómo se cierran los envíos, están fijadas con pruebas automáticas: si alguien las cambiara sin querer, una prueba fallaría. Esto no sustituye una revisión de seguridad hecha por alguien de fuera, que no se ha hecho.

Los detalles completos, incluido el tratamiento de datos, están en la política de privacidad (borrador).