アプリの下には、それぞれが明確な一つの役割を担う少数の部品があります。すべての暗号化を行うアプリ、それを保存するノードのネットワーク、全体をつなぐ軽量なサービス、そしてリアルタイム動画のための独立した経路です。あえて分離されたこれらが組み合わさることで、あなたのプライベートなコンテンツとそれを読むための鍵の両方を、どの部品も同時には持たない仕組みが生まれます。
各部品はそれぞれ一つの仕事だけを担います。封じられたコンテンツを読めるのはアプリだけであり、それ以外はすべて、保存し、運び、配信するために存在します。プライベートなものは、開くことのできない形のまま扱われます。
あなたのデバイス上のアプリは、システム全体の信頼の起点です。鍵を生成して保持し、すべての暗号化と復号をデバイス上で直接行います。プライベートなコンテンツが読める形でサーバーに渡されることはありません。
フィード、チャット、通話、ライブ動画——実際にあなたが使うのはこのアプリです。そして、封じられたデータを読めるコンテンツに戻せるのは、Pixelmine の中でアプリだけです。
独立して運用される複数のノードが、ネットワークの記憶として働きます。各ノードは投稿とファイルのコピーを自ら保持し、変更を他のノードへ伝えることで、全員が最新の状態を保ちます。チャットとコミュニティの投稿は、それをホストするノードにとどまります。
ノードは誰でも運用でき、調整サービスに登録します。ノードが保持するプライベートなものはすでに封じられているため、ノードは自身のデータベースに完全にアクセスできても、その内容を読むことなく保存・配信・複製します。公開投稿は見られることを前提としているため、そのまま公開して配信します。
一つの軽量なサービスがネットワーク全体をつなぎます。ノードの一覧を管理し、アプリの接続時にアカウントの鍵を確認し、チャットのイベントや通知を中継し、グループ招待のための封じられた鍵を受け渡します。
このサービスはあえて小さく保たれており、メッセージや投稿の読める内容を持つことはありません。ただし、プロフィール項目やグループ名など一部のアカウント情報は保持しており、封じられたグループ招待は、招待された人が受け取ると削除されます。
ライブ配信と通話はリアルタイムで届く必要があるため、遅延を可能な限り抑えるよう調整された独自の経路を通ります。保存されたコンテンツのある場所とは切り離されています。
1対1の通話は2台の端末の間を直接行き来し、グループ通話は中継サーバーを経由し、ライブ配信は配信者の端末から各視聴者へ送られます。
盗まれるのを待つパスワードはサーバーにありません。そもそもパスワードが存在しないからです。あなたのアイデンティティはあなた自身が持つものであり、公開するものすべてにあなたの署名が付きます。
投稿ごとに保護を一から用意するのは、遅く無駄も多い方法です。そこで Pixelmine は、負荷の大きい処理を相手ごとに一度だけ行い、その後は個々の投稿やメッセージを、それぞれ専用の軽快な鍵で保護します。
誰かと初めてつながるとき——フォローが承認されたり、チャットが始まったりしたとき——あなたたち二つのデバイスは、共有鍵をひそかに取り決めます。この取り決めはその二人につき一度だけ行われ、繰り返す必要はありません。
すべての投稿やメッセージは、それぞれ真新しい鍵で施錠されます。フォロワー限定投稿ではその鍵がフォロワーごとに個別に封じられ、チャットでは会話の共有鍵で封じられます。鍵はコンテンツと一緒に届くため、正しい相手だけが開くことができます。
グループの会話では、誰かが参加または退出するたびに共有鍵が更新されます。内容は封じられていますが、その周りのラベルはそうではありません。誰が会話に属するか、誰が各メッセージを送ったか、誰が読んだかは平文のアカウント ID とともに保存されるため、ノードは内容を知ることなく、メッセージが誰に関わるものかを知ることができます。
Pixelmine のすべてが秘密というわけではありません。公開投稿は読まれるためのものです。大切なのは、公開範囲をあなたが選ぶこと。そして、限られた相手に向けたものは封じられ、その相手だけが開けるようになっています。
あえて公開されています。公開投稿は誰に向けたものでもあるため、ネットワークは自由に運び、表示します。それこそが公開で投稿する目的です。
封じられています。一つひとつが専用の鍵で施錠され、その鍵は閲覧を許可されたフォロワーごとに個別に包まれます。
メッセージの内容は常に封じられ、会話に参加している人だけに向けられます。どんな設定であっても、それ以外の誰にも開かれません。
投稿ごとに固有の鍵があるなら、フィードを開くのは、一文字が現れるまでに山のような処理が必要になりそうに思えます。実際はそうではありません。負荷の大きい処理は投稿ごとではなく相手ごとに一度だけ行われ、鍵は1ページ分ずつ届くからです。
ダイレクトメッセージとグループチャットは、一つの設計を共有しています。封じられた内容が、会話をホストするノードに、誰が参加しているかを示す平文の記録とともに保存されます。
メディアはテキストとまったく同じ規則に従います。封じられた投稿に添付されたファイルはその投稿の鍵で施錠され、実際に見る瞬間に、閲覧者のデバイス上でのみ開かれます。
一つの企業のデータベースでは、単一の所有者が唯一のコピーを管理しているため、削除とは一行が消えることを意味します。独立したノードのネットワークには、そのようなてこはありません。すべてのマシンに手を伸ばして何かを消せる者は誰もいないのです。だからこそ削除は、当然のものと見なすのではなく、設計されなければなりません。
保存された投稿は、ネットワーク全体に行き渡るまで少し時間がかかっても構いません。ライブ配信や通話はそうはいきません。0.5秒の遅延が、会話になるか混乱になるかの分かれ目です。だからこそリアルタイム動画は、永続性よりも即時性のために作られた、独立した経路を通ります。
1対1の通話は2台の端末の間を直接行き来するため、すぐに届くように感じられます。グループ通話は中継サーバーを経由します。通話はエンドツーエンドで暗号化されています。
ライブ配信は配信者の端末から各視聴者へ送られ、その接続は Pixelmine のメディアサーバーを通じて確立されます。
着信は、独自の通知システムを通じてあなたの端末に届きます。そのため、アプリが起動しているかどうかに関わらず着信音が鳴ります。
ノードは二つの方法で互いを知ります。調整サービスのノード一覧と、各ノードが知っているピアの一覧を互いに共有することです。ノードはそれぞれ自分のタイマーでやり取りを続けます。そのためネットワークは、ある一つのメッセージが適切な瞬間に届くことに頼るのではなく、自ら回復します。
ノードは調整サービスに登録し、数分ごとに、知っているピアへ自分がここにいると伝えます。ピアどうしが一覧を受け渡すため、存在は口づてにも広まります。
各ノードは1分ごとにピアと照合します。今取りこぼしたメッセージも次の巡回で拾われるため、完璧なタイミングに左右されるものは何もありません。
ノードは新しいものを取り込むと、ピアに次の順番を待たせるのではなく、見に来るよう促すことができます。
新しい記録は書き込まれた時点でピアへもプッシュされます。プッシュでもプルでも、ノードは受け入れる前にすべての記録を確認するため、何を保存するかはノード自身が決めます。
各ノードは同じ暗号化コンテンツのコピーを保持しているため、データベース全体をやり取りせずに同一の状態を保つ方法が必要です。ノードはコンパクトな指紋を比較し、本当の差分だけが残るまで絞り込みを続け、その差分だけを交換します。新しいノードも同じ方法で追いつき、また各ノードは複数のピアと比較し、多数派が持つものを優先します。
すべての記録は短い指紋を持ち、コレクション全体も一つの指紋を持ちます。それらは、物事が届いた順序が問題にならないように組み合わされます。
二つの指紋が異なるとき、そのコレクションの 256 個のバケットの指紋が比較され、二つのノードが食い違う箇所へ素早く絞り込まれます。
差のあるグループの中で、個々の指紋を突き合わせ、どの記録が欠けているのかを正確に突き止めます。
送られるのはその記録だけです。膨大な蓄積を同期しても、実際に変わった分しか動きません。そして各記録は、届いた時点で確認されます。
見知らぬ相手からデータを受け取るノードは、その言い分をそのまま信じるわけにはいきません。だからこそ、すべての記録は自らを証明しなければなりません。そしてその証明は、誰の権威による裏づけも必要としない何かにたどり着くまで、下へと連鎖していきます。
変更がわずかなら記録を一つずつ比較すれば十分ですが、ノードにはまず、もっと大まかな問いを安価に投げかける方法が必要です。このコレクションは同一なのか、と。そこで、すべてのコレクションが一つの指紋を持ち、ファイルにも独自の指紋があります。
ノードは誰でも追加できます。新しいノードは調整サービスに登録し、他のノードを見つけ、自己紹介をし、共有された記録（すべてのノードが複製する公開データとフォロワー限定データ）に追いつきます。そして、負荷を分担し始めます。
新しいノードは登録し、調整サービスと最初のピア一覧を通じて既存のノードを見つけ、自分の存在を知らせます。
同じ指紋の比較を使って共有された記録を埋めていき、欠けているものだけを引き込んで、完全に最新の状態になるまで続けます。
ノードは、一つのピアを信じるのではなく、複数と比較して多数派が持つものを優先します。そして、どの記録にも正当な署名が必要です。
どの同期も同じ道筋をたどります。ノードは一つの指紋から始め、どの記録が異なるのかを正確に突き止めるまで絞り込みを続けます。そして、正当な署名の裏づけがないものは、記録に受け入れられることはありません。
各部品はそれぞれの持ち場にとどまり、封じられたデータを次から次へと受け渡します。ここでは同じ道のりを、あなたの側からではなく、各構成要素の側から説明します。
あなたのアプリはプライベートなコンテンツを施錠し、その鍵を、受け取るべき相手のために封じます——そのすべてが、何かがデバイスを離れる前に行われます。
封じられたコンテンツはストレージネットワークに渡され、そこでノードがそれを保持し、投稿は他のノードへ複製されて利用できる状態に保たれます。
受信者に必要な鍵は、封じられた状態でノードに保存されます。グループ招待の場合は、調整サービスが封じられた鍵を受け渡し、受け取られたら削除します。
受信者それぞれのアプリが、自分の鍵を使ってコンテンツを開きます。その間のどの部品も、読むことのできない封じられた状態のものしか扱っていません。