SimpleX Chat 把用户标识从聊天里彻底拿掉——结果发现服务器已经无东西可泄。

工作原理

SimpleX 用一张由单向消息队列组成的网络,替代了传统的用户账号。开始一段对话时,一方把一次性的邀请链接或二维码交给另一方;两端的客户端随后把消息投递到任何一方都无法控制的中继服务器上的队列里。每段对话使用不同的服务器,因此没有任何一台中继可以拼出完整的联系人图谱。消息使用源自 Signal 的 Double Ratchet 端到端加密,并在其上叠加一层后量子算法,实现具备前向保密的混合加密。客户端覆盖 iOS、Android、Linux、macOS、Windows,以及一个终端二进制。如果不想依赖公共服务器,运营者可以从上游 Haskell 仓库自行托管 SMP 消息中继和 XFTP 文件传输中继。

KYC 与隐私

这里没有什么可以做 KYC 的。注册账号既不要手机号、邮箱,也不要验证码或随机 ID——本地的资料名称和头像始终留在设备上。中继服务器只能看到不透明的队列标识符和填充过的密文;地址、联系人名称和消息内容都只留在终端。官方服务器列表可通过 Tor 访问,Android 和桌面客户端可以配置为仅使用 .onion 主机。Trail of Bits 已先后审计了实现(2022 年)和协议的密码学设计(2024 年);公开报告列出了少量中等严重程度的发现,均已在后续版本中修复。

优势与局限

决定性的优势是结构性的:由于没有任何形式的用户标识,送达中继的传票只会拿到无法对应到个人的队列流量。两次独立的 Trail of Bits 审计对一个如此年轻的项目并不常见,而且应用可以从公开的 Haskell 源码完整复现。代价则非常具体。心智模型——邀请链接、按联系人分开的队列、手动选择服务器——比 Signal 重得多。它没有通讯录发现机制,所以扩张人脉必须通过带外渠道分享链接。桌面客户端可用,但相对手机版明显不够打磨,群组功能仍在完善,而项目背后的法律实体 Simplex Chat Ltd 是一家英国小公司,与它所招致的威胁模型并不对称。这些都不是隐私层面的退步,而是放弃标识所必须付出的成本。

结论

SimpleX 是当下在售最具雄心的反元数据通讯工具,其设计选择经受住了外部审视。摩擦真实存在——它并不是为大众用户准备的 Signal 替代品——但若你的威胁模型本就把联系人图谱算在内,这笔交换值得做。评分:A(9.4/10)。信任:LEGIT。