Ứng dụng Gmail riêng tư cho Mac, không bao giờ thấy thư của bạn

Một ứng dụng email riêng tư là một tuyên bố mà bạn phải kiểm chứng được. Trang này trình bày kiến trúc đứng sau tuyên bố của Hark — thư của bạn không bao giờ chạm tới máy chủ của chúng tôi — đủ chi tiết để bạn làm điều đó, bao gồm cả số ít thứ có đến chỗ chúng tôi, các bên thứ ba mà một bức thư có thể chạm tới, và cài đặt quyết định từng điều.

Mô hình tổng thể

Hai bên: máy Mac của bạn và Google. Hark chạy trên bên thứ nhất và làm việc với bên thứ hai qua các API Gmail, Calendar, Tasks và People của Google, qua TLS, từ chính máy của bạn. Không có bên thứ ba nào trên đường đi đó. Chúng tôi không vận hành máy chủ nào để đồng bộ, chuyển tiếp, lập chỉ mục, sao lưu hay “tăng tốc” thư của bạn, nên trong hạ tầng của chúng tôi không có bản sao nào để bị xâm nhập, bị yêu cầu cung cấp theo lệnh tòa hay bị rò rỉ.

Đây không phải là một lựa chọn chính sách có thể lặng lẽ bị đảo ngược trong phiên bản sau; đó là cách ứng dụng được xây dựng. Bộ máy đồng bộ nằm trong ứng dụng, và muốn đặt một máy chủ vào giữa thì phải xây dựng lại toàn bộ quanh máy chủ đó.

Chính xác thì dữ liệu của bạn nằm ở đâu

• Token Google của bạn: trong Chuỗi khóa của macOS. Thông tin xác thực cho phép Hark thao tác trên tài khoản của bạn được lưu dưới dạng các mục trong Chuỗi khóa, được macOS mã hóa và kiểm soát quyền truy cập. Chúng không bao giờ được ghi vào tệp riêng của Hark.
• Bộ nhớ đệm: trong Application Support, chỉ bạn đọc được. Thư, sự kiện và việc cần làm được lưu trong một cơ sở dữ liệu cục bộ tại ~/Library/Application Support/Hark, mỗi tài khoản một thư mục, với quyền tệp chỉ cho phép người dùng của bạn đọc. Tệp đính kèm đã tải về được lưu đệm tại ~/Library/Caches/Hark; hình ảnh từ xa, ảnh người gửi và logo được lưu đệm tại ~/Library/Caches/hark-url-cache, ~/Library/Caches/hark-image-cache và trong kho WebKit của ứng dụng, tất cả đều nằm trong thư mục Thư viện của chính bạn. FileVault mã hóa toàn bộ khi lưu trữ. Hark không thêm lớp mã hóa riêng nào bên trên — chúng tôi nói rõ điều đó để bạn tự quyết định FileVault có quan trọng với mình hay không.
• Cài đặt của bạn: trong một tệp tùy chọn. Vị trí cửa sổ, lựa chọn chế độ xem và những thứ tương tự nằm trong tệp tùy chọn macOS thông thường của ứng dụng, cùng với các truy vấn tìm kiếm gần đây (25 lượt gần nhất) và id của những cuộc trò chuyện bạn đã tắt tiếng. Không có nội dung thư nào trong đó.
• Khi đăng xuất: thu hồi, xóa, dọn sạch. Hark thu hồi quyền đã được cấp ở phía Google, xóa các mục trong Chuỗi khóa, và xóa bộ nhớ đệm của tài khoản đó khỏi ổ đĩa.

Những gì có đến chỗ chúng tôi, và khi nào

Khi dùng bình thường — đọc, viết, sắp xếp, xem lịch tuần — không có gì liên quan đến thư của bạn. Có năm việc liên quan đến máy chủ của chúng tôi; bốn trong số đó chỉ xảy ra khi bạn chủ động thực hiện:

• Đếm số máy Mac đang hoạt động. Mỗi ngày một lần khi Hark đang mở, ứng dụng gửi một ID sử dụng ngẫu nhiên được tạo riêng cho việc này, ngày tháng, phiên bản Hark, bản build và kênh cập nhật, cùng phiên bản chính của macOS tới logs.harkmail.app. ID này không liên kết với tài khoản nào và không mang theo gì từ thư của bạn; máy chủ không lưu địa chỉ IP và xóa bản ghi sau 13 tháng.
• Kiểm tra cập nhật. Khi bạn đã cho phép tự động kiểm tra (Hark hỏi ở lần khởi chạy thứ hai), ứng dụng tải một tệp nguồn cấp cập nhật nhỏ từ updates.harkmail.app khoảng mỗi ngày một lần (mỗi giờ với bản build beta), và tải bản build mới từ đó khi bạn đồng ý cài. Ngoài ra, ngay cả khi tắt tự động kiểm tra, Hark vẫn đọc cùng tệp công khai đó khi khởi chạy và mỗi ngày một lần, thử lại sau mỗi 15 phút nếu không truy cập được, chỉ để biết phiên bản của bạn có còn được hỗ trợ hay không. Không có mã định danh nào được gửi đi: máy chủ thấy địa chỉ IP của bạn và thời điểm, User-Agent của yêu cầu chứa phiên bản ứng dụng và macOS, và yêu cầu mang theo tùy chọn Accept-Language của bạn. Không có gì về tài khoản của bạn.
• Báo cáo lỗi do bạn gửi. Help › Report a Bug gửi những gì bạn đã gõ, bạn đánh dấu đó là lỗi hay yêu cầu, khu vực bạn chọn, mọi hình ảnh do chính bạn đính kèm, ô tên hoặc email (điền sẵn địa chỉ bạn đang đăng nhập và có thể sửa — xóa đi để gửi báo cáo ẩn danh), cùng các thông tin về ứng dụng và máy — phiên bản ứng dụng, bản build và commit, phiên bản macOS, kiểu máy, số lõi CPU, dung lượng bộ nhớ, dung lượng ổ đĩa còn trống, vùng ngôn ngữ, múi giờ, trạng thái nhiệt, chế độ nguồn điện thấp, số giờ kể từ lần khởi động, thời điểm bạn gửi, số tài khoản đang kết nối (chỉ là con số) và một id ngẫu nhiên cho mỗi lượt cài đặt — tới logs.harkmail.app. Báo cáo không bao giờ gửi nội dung thư, tiêu đề, địa chỉ của bất kỳ ai khác, token hay nhật ký. Phần cần cân nhắc là hình ảnh: ảnh chụp hộp thư đến của bạn chính là hộp thư đến của bạn.
• Báo cáo sự cố, chỉ khi bạn bật. Mặc định tắt. Khi bật công tắc trong Settings, mỗi lần ứng dụng gặp sự cố sẽ gửi stack trace, loại ngoại lệ, tín hiệu và lý do kết thúc, luồng nào bị lỗi, thời điểm xảy ra và id mà macOS gán cho sự cố đó, phiên bản ứng dụng, bản build và commit, cùng phiên bản macOS và kiểu máy. Không trường nào trong báo cáo đó có thể chứa thư.
• Đính kèm tệp Google Drive. Trình chọn tệp của Google là một thành phần web, nên khi chọn tệp Drive, một trang trên harkmail.app sẽ mở trong trình duyệt của bạn. Máy chủ của chúng tôi thấy những gì mọi trang web đều thấy — IP của bạn, thời điểm, một id dùng một lần — chứ không thấy địa chỉ email, tệp của bạn hay tệp nào bạn đã chọn. Thông tin xác thực Google của trình chọn tệp được tạo trong trình duyệt của bạn và chỉ có thể cấp quyền truy cập vào những tệp do chính bạn chọn.

Thêm một điều nữa, về sau: tài khoản thanh toán, nếu bạn đăng ký sau khi beta kết thúc. Đó là một danh tính tách biệt khỏi tài khoản Google của bạn — một địa chỉ email do bạn chọn, hoặc đăng nhập Google qua một ứng dụng không có quyền truy cập Gmail — và danh sách đầy đủ những gì nó lưu có trong chính sách quyền riêng tư.

Các bên thứ ba mà một bức thư có thể chạm tới

Email không phải là một hệ thống khép kín, và một ứng dụng không hiển thị gì từ bên ngoài Google sẽ cho bạn thấy rất nhiều thư bị lỗi hiển thị. Đây là những kết nối ra bên ngoài mà một bức thư có thể tạo ra, cùng cài đặt chi phối từng kết nối:

• Hình ảnh từ xa trong thư. Bản tin và hóa đơn tải hình ảnh từ máy chủ của người gửi. Với mặc định “Always display external images”, Hark tải trực tiếp các hình ảnh đó, nghĩa là máy chủ ấy biết địa chỉ IP của bạn và biết thư đã được mở. Hãy chọn “Ask before displaying external images” trong Settings › General và sẽ không có gì được tải cho đến khi bạn bấm.
• Logo và ảnh đại diện của người gửi. Ảnh của một người đến từ Google, qua cùng kết nối với thư của bạn. Logo của một công ty có thể đến từ bản ghi do chính thương hiệu đó công bố (tra cứu tên miền của người gửi qua dịch vụ DNS của Google, rồi tải tệp logo từ máy chủ của thương hiệu) hoặc từ dịch vụ favicon của Google. Cả hai đều tuân theo cùng cài đặt “External images”: đặt thành “Ask” thì không lượt tra cứu nào diễn ra.
• Gravatar, chỉ khi bạn bật. Mặc định tắt. Khi bật, Hark gửi giá trị băm địa chỉ của từng liên hệ tới gravatar.com để tìm ảnh, qua đó để lộ cho dịch vụ này biết bạn trao đổi thư với những ai. Cài đặt có ghi rõ điều này ngay cạnh công tắc.

Cách tự kiểm chứng

Bạn không cần tin lời trang này. Một tường lửa kiểm soát kết nối đi trên máy Mac sẽ cho thấy mọi máy chủ mà một ứng dụng kết nối tới. Khi dùng Hark bình thường, bạn sẽ thấy accounts.google.com lúc đăng nhập và các máy chủ API của Google (googleapis.com và các tên miền con) cho thư, lịch, việc cần làm và danh bạ, cùng máy chủ hình ảnh của Google (trên thực tế là lh3.googleusercontent.com) cho ảnh liên hệ. Bạn sẽ thấy updates.harkmail.app khi ứng dụng kiểm tra cập nhật, và logs.harkmail.app mỗi ngày một lần cho việc đếm ẩn danh số máy Mac đang hoạt động, ngoài ra chỉ khi bạn gửi báo cáo (hoặc, nếu bạn đã bật báo cáo sự cố, sau khi ứng dụng gặp sự cố). Khi “External images” được đặt thành “Ask”, bạn sẽ không thấy máy chủ nào của người gửi cho đến khi bạn yêu cầu xem ảnh. Nếu bạn từng thấy điều gì khác, chúng tôi muốn được biết: support@souplin.com.

Hark chỉ xin Google quyền hẹp nhất đủ để thực hiện từng tính năng — ví dụ, Hark không xin quyền cho phép xóa thư vĩnh viễn, nên ứng dụng chỉ có thể chuyển thư vào Thùng rác — và việc Hark sử dụng dữ liệu Google tuân theo chính sách Limited Use của Google. Các quyền, và mục đích của từng quyền, được liệt kê trên trang trợ giúp.

Câu hỏi