Pixelmine は、エンドツーエンドで暗号化されたソーシャルネットワークです。プライベートに共有するもの（メッセージ、フォロワー限定の投稿、そしてそれらのファイル）は、あなたのデバイス上で暗号化され、その後、独立して運用される複数のノードのネットワークに保存されます。各ノードは、その内容を一切読み取れないまま複製を行います。公開投稿は、そのためのものなので公開のままです。軽量な連携サービスがすべてをつなぎますが、あなたのプライベートな内容を見ることは決してありません。
Pixelmine は、シンプルな考えから出発しています。人がつながるために使うツールは、それを使う人のものであるべきだ、という考えです。すべての設計上の判断は、3つの約束から導かれます。それは、このプロダクトの名前の由来でもあります。
データは1か所ではなく、独立して運用される多数のノードに分散して存在します。そのためネットワークには、単一の所有者も、電源を切るためのスイッチも存在しません。個々のノードが停止しても、ネットワークは利用でき続けます。
コミュニティが生み出した価値は、そのコミュニティに還元されるべきものです。各コミュニティは、運用を支える人々とノードの間で、収益をどう分配するかを自ら決定します。
あなたのアイデンティティ、コンテンツ、そしてオーディエンスは、あなたが持つものです。あなたが管理する秘密鍵がアカウントを解錠し、クライアント側の暗号化があなたのコンテンツをプライベートに保ちます。ホスティングを担う運用者からでさえも。
アプリケーションは、コンテンツが作成され、暗号化される場所です。その下では、ノードによる分散システムが、暗号化されたデータを保存・複製します。この2つが切り離されているため、インフラを運用する人々がコンテンツの鍵を握ることは決してありません。
プライベートに共有するものはすべて、送信される前に、あなたのデバイス上でロックされます。それを保存し、受け渡すノードが持つのは、暗号化された内容だけで、読み取れるものは一切ありません。そのロックは、あなたが届けたいと考えた相手の、その人自身のデバイス上でのみ開かれます。
暗号化は、絶えず動き続ける標的です。今日は安全なものも、コンピューターの性能が高まれば、明日には破られかねません。Pixelmine は、その変化の先を行くように作られており、今だけでなく、何年にもわたって持ちこたえるよう設計された保護を用いています。
ほとんどのサービスは、すべてを1社のデータセンターに保管します。Pixelmine はその代わりに、あなたのデータを独立して運用される多数のノードに分散させ、それぞれが自分のコピーを保持します。そのため、ネットワークが単一のマシンや企業、場所に依存することは決してありません。
共有ネットワークでは、目にしているものが本物だと確認できる必要があります。Pixelmine は、改ざんを検知できるようにします。すべての記録は作成した本人によって署名され、ノードは互いのコピーに食い違いがないかを絶えず確認し合います。
あなたの鍵を保持し、すべての投稿・メッセージ・ファイルを、送信する前に暗号化します。
独立して運用されるノードが、暗号化されたあなたのデータを互いに複製し合い、ネットワーク全体で利用可能に保ちます。
軽量なサービスが、ユーザー間でメッセージを中継し、封じられた鍵を受け渡します。その中身を見ることは決してありません。
これまでの考え方は、シンプルな一連の流れとして組み合わさります。投稿を共有するときも、メッセージを送るときも、通話をするときも、同じ流れです。
あなたは自分のデバイス上で、アプリに投稿やメッセージを書きます。
限られた相手に向けたものであれば、その相手だけが開けるよう、デバイスを離れる前に暗号化されます。
ネットワーク全体のノードが、ロックされた内容のコピーを保持し、必要な場所へと運びます。
あなたが共有した相手が、自分のデバイス上でそれを解錠します。ノードを含む、それ以外のすべてにとっては、読み取れないままです。
コンテンツはネットワークに届く前に暗号化されるため、Pixelmine をホスティングする人々の手元に残るのは、経路情報だけです。ソーシャルグラフと、その中のすべては、プライベートに保たれます。
「データベースのバックアップが漏洩しても、ソーシャルグラフやメッセージの内容、ユーザーの活動が露見することはありません。」Pixelmine 設計ドキュメント
強力なプライバシーには、正直に認めるべき限界が伴います。以下は、設計に組み込まれたトレードオフを率直に述べたものです。システムの信頼性は、何ができないかをどれだけ明確にできるかによってしか測れません。
コンテンツの保存は独立したノードに分散されていますが、軽量な連携サービスとライブ配信サーバーは中央集権的です。どちらもあなたのコンテンツを読み取ることはできませんが、それでもネットワークが依存する単一のサービスです。
あなたのコンテンツは暗号化されていますが、配信には平文の識別子が必要です。チャンネル ID は関連付けられる可能性があり、どのノードがどのノードと複製し合っているかは観測できます。中身はプライベートに保たれますが、何かが存在すること自体は完全には隠せません。
日常的な使いやすさのために、2人の間のメッセージは、メッセージごとに変わるのではなく、一貫して保たれる共有鍵によって保護されます。グループチャットでは、メンバーが変わるたびに鍵が更新されます。
この設計は、ノードの運用者が積極的に悪意を持つわけではないと想定します。もっとも、たとえ悪意があったとしても、暗号技術によって内容を読み取れないことは保証されます。運用者の誠実さに委ねられているのは、機密性ではなく可用性のほうです。