StateZer0: Encrypted Messenger with Minimized Server Visibility StateZer0: Verschlüsselter Messenger mit minimierter Server-Sichtbarkeit
"Power is not found in what you can see, but in what you can choose to surrender." „Macht liegt nicht in dem, was man sehen kann, sondern in dem, was man bereit ist aufzugeben.“
Sender-Side Performance & Security Hardening (Phase 1): StateZer0 uses a Unified Processor Handoff to reduce redundant media decodes and lower memory pressure during bulk media processing. Raw plaintext buffers are released after processing; message and attachment payloads are encrypted on the device before the relay ever sees them. Senderseitige Performance & Sicherheitshärtung (Phase 1): StateZer0 verwendet einen Unified Processor Handoff, um redundante Medien-Decodierungen zu reduzieren und den Speicherdruck bei der Massenmedienverarbeitung zu senken. Klartext-Puffer werden nach der Verarbeitung freigegeben; Nachrichten- und Anhangs-Payloads werden auf dem Gerät verschlüsselt, bevor das Relay sie zu sehen bekommt.
The StateZer0 relay stores and forwards only opaque encrypted payloads. I have implemented Metadata Minimization: message and attachment contents are end-to-end encrypted on the sending device and decrypted only on the recipient device, so the relay cannot read them. Recipients are referenced by pseudonymous Routing IDs. The relay does not maintain a public directory, contact graph, or searchable social network. MongoDB fields are encrypted at rest with AES-256-GCM using GHOST_FIELD_KEY. Delivered messages and attachments are erased within 24 hours of delivery (or immediately upon acknowledgment); undelivered content is erased within 72 hours. The R2 reaper runs approximately every minute. Minimal server logs are retained for 14 days for abuse prevention and legal compliance. Das StateZer0-Relay speichert und leitet nur opake verschlüsselte Payloads weiter. Ich habe Metadaten-Minimierung implementiert: Nachrichten- und Anhangsinhalte werden auf dem sendenden Gerät Ende-zu-Ende-verschlüsselt und nur auf dem empfangenden Gerät entschlüsselt, sodass das Relay sie nicht lesen kann. Empfänger werden über pseudonyme Routing-IDs referenziert. Das Relay führt kein öffentliches Verzeichnis, keinen Kontaktgraphen und kein durchsuchbares soziales Netzwerk. MongoDB-Felder sind im Ruhezustand mit AES-256-GCM unter Verwendung von GHOST_FIELD_KEY verschlüsselt. Zugestellte Nachrichten und Anhänge werden innerhalb von 24 Stunden nach Zustellung (oder sofort bei Bestätigung) gelöscht; nicht zugestellte Inhalte innerhalb von 72 Stunden. Der R2-Reaper läuft etwa jede Minute. Minimale Server-Logs werden 14 Tage zur Missbrauchsprävention und rechtlichen Compliance aufbewahrt.
StateZer0 deletes data when its retention window expires or when you choose account deletion. Delivered messages and attachments are erased within 24 hours of delivery (or immediately upon acknowledgment); undelivered content is erased within 72 hours. The R2 reaper runs approximately every minute. The Complete Account Deletion flow issues a server-side DELETE /users/me, which removes the user row, pre-keys, sessions, push tokens, active invites, and any undelivered messages or attachments. Locally, the wipe stops services, cancels workers, dismisses notifications, releases media players, clears caches, shreds the database, vault/enclave/cache/avatar directories, SharedPreferences, sentinel anchors and the clipboard, and clears session state. Standard termination leaves Android Keystore keys intact as a hardware tombstone; the full deletion flow additionally purges application-specific Keystore keys. Your 12-word seed is required to re-create the same identity locally.
StateZer0 löscht Daten, wenn das Aufbewahrungsfenster abläuft oder wenn Sie die Kontolöschung wählen. Zugestellte Nachrichten und Anhänge werden innerhalb von 24 Stunden nach Zustellung (oder sofort bei Bestätigung) gelöscht; nicht zugestellte Inhalte innerhalb von 72 Stunden. Der R2-Reaper läuft etwa jede Minute. Der Complete Account Deletion-Befehl sendet einen serverseitigen DELETE /users/me, der die Benutzerzeile, Pre-Keys, Sitzungen, Push-Tokens, aktive Einladungen sowie nicht zugestellte Nachrichten und Anhänge entfernt. Lokal löscht er die App-Datenbank, SharedPreferences, Caches, gespeicherte Dateien und bricht laufende Worker sowie Benachrichtigungen ab. Bei der Standard-Löschung verbleiben Android-Keystore-Schlüssel als Hardware-Tombstone; der vollständige Löschablauf entfernt zusätzlich anwendungsspezifische Keystore-Schlüssel. Ihr 12-Wörter-Seed ist erforderlich, um dieselbe Identität lokal neu zu erstellen.
Digital security is only useful with physical safety. The Emergency Account Deletion PIN lets a user enter a secondary PIN that triggers the same server-side account deletion and full local data wipe as the standard deletion flow, while displaying a generic network error for physical safety. It calls DELETE /users/me, stops services, cancels workers, dismisses notifications, releases media players, clears caches, shreds the database, vault/enclave/cache/avatar directories, SharedPreferences, sentinel anchors and the clipboard, clears session state, and purges application-specific Android Keystore keys. The local identity cannot be used without the 12-word seed. Digitale Sicherheit ist nur mit physischer Sicherheit sinnvoll. Die Emergency Account Deletion PIN ermöglicht es einem Benutzer, eine sekundäre PIN einzugeben, die dieselbe serverseitige Kontolöschung und vollständige lokale Datenlöschung auslöst wie der standardmäßige Löschungsablauf, während ein generischer Netzwerkfehler zur physischen Sicherheit angezeigt wird. Sie löscht die App-Datenbank, SharedPreferences, Caches, Dateien und bricht Worker sowie Benachrichtigungen ab, während ein generischer Fehlerbildschirm angezeigt wird. Der Android-Keystore-Identitätsschlüssel wird ebenfalls entfernt, sodass die lokale Identität ohne den 12-Wörter-Seed nicht nutzbar ist.
This feature must not be used to destroy evidence, evade legal process, or harm another person's lawful interests. Diese Funktion darf nicht verwendet werden, um Beweise zu vernichten, rechtliche Verfahren zu umgehen oder rechtliche Interessen Dritter zu schädigen.
BIP39 mnemonic seeds are generated on your device and are not stored by me. Identity updates such as display names and avatars are transmitted inside the Olm Double Ratchet end-to-end encrypted channel. The relay sees only opaque encrypted traffic and cannot read profile changes, which limits exposure of profile metadata during synchronization. BIP39-Mnemonic-Seeds werden auf Ihrem Gerät erzeugt und nicht von mir gespeichert. Identitätsaktualisierungen wie Anzeigenamen und Avatare werden innerhalb des Ende-zu-Ende-verschlüsselten Olm-Double-Ratchet-Kanals übertragen. Das Relay sieht nur opaken verschlüsselten Datenverkehr und kann Profiländerungen nicht lesen, wodurch die Offenlegung von Profil-Metadaten während der Synchronisierung begrenzt wird.
StateZer0 does not perform contact probing. Discovery is controlled by the user. Accounts are Hidden by Default upon registration; users can explicitly opt in to be discoverable by username via Settings -> Privacy. The Add Contact dialog surfaces 6-character invite codes and QR/deep links as the primary flows, plus a secondary "Search by username" option that only queries opted-in users. Adding contacts requires a mutual-consent invite request with Accept/Reject options, and all inbound requests are held locally until explicitly authorized. The relay does not maintain a public social graph or searchable contact directory; only the minimal routing and delivery records necessary for operation are retained. StateZer0 führt kein „Kontakt-Probing" durch. Die Auffindbarkeit wird vom Benutzer gesteuert. Konten sind bei der Registrierung standardmäßig verborgen; Benutzer müssen sich explizit über ihre lokalen Geräteeinstellungen für die Auffindbarkeit anmelden. Das Hinzufügen von Kontakten erfordert eine Einladungsanfrage mit gegenseitiger Zustimmung und den Optionen Annehmen/Ablehnen, und alle eingehenden Anfragen werden lokal gehalten, bis sie ausdrücklich autorisiert werden. Das Relay pflegt keinen öffentlichen sozialen Graphen oder durchsuchbares Kontaktverzeichnis; es werden nur die für den Betrieb erforderlichen minimalen Routing- und Zustellprotokolle gespeichert.
StateZer0 uses the Google Play Integrity API to help ensure that only genuine, untampered devices can access the network. The app's identity key is a device-bound key stored in Android Keystore. This key lets the device prove its registration context to the relay without revealing the user's 12-word seed. After a full local wipe, the Android Keystore identity key can be regenerated only from the 12-word seed on a trusted device. StateZer0 nutzt die Google Play Integrity API, um sicherzustellen, dass nur echte, unmanipulierte Geräte auf das Netzwerk zugreifen können. Der Identitätsschlüssel der App ist ein gerätegebundener Schlüssel im Android Keystore. Dieser Schlüssel ermöglicht es dem Gerät, seinen Registrierungskontext gegenüber dem Relay nachzuweisen, ohne den 12-Wörter-Seed des Benutzers preiszugeben. Nach einer vollständigen lokalen Löschung kann der Android-Keystore-Identitätsschlüssel nur aus dem 12-Wörter-Seed auf einem vertrauenswürdigen Gerät neu erstellt werden.
Your identity is bound to a single active device at a time. StateZer0 implements a Single-Seat rule: moving to a new device replaces the previous registration, and the old device must complete the local wipe itself. Migration occurs via a direct Air-Bridge—an encrypted local Wi-Fi connection between the two devices. Once the new vault is verified, the old device is instructed to wipe its local database, SharedPreferences, caches, and files. Ihre Identität ist jeweils an ein einziges aktives Gerät gebunden. StateZer0 implementiert eine Single-Seat-Regel: Der Umzug auf ein neues Gerät ersetzt die vorherige Registrierung, und das alte Gerät muss die lokale Löschung selbst durchführen. Die Migration erfolgt über eine direkte Air-Bridge – eine verschlüsselte lokale Wi-Fi-Verbindung zwischen den beiden Geräten. Sobald der neue Vault verifiziert ist, wird das alte Gerät angewiesen, seine lokale Datenbank, SharedPreferences, Caches und Dateien zu löschen.
StateZer0's Sovereign Vault is a localized, encrypted repository for media, documents, audio, and sealed chat transcripts. In addition to importing files, you can save individual chat attachments, voice notes, and sealed text transcripts directly from the chat context menu into the Vault. A core step is Metadata Sanitization: EXIF and other metadata (GPS, device signatures) are stripped from files before encryption. Files are encrypted at rest and decrypted into app memory for viewing. Temporary cache files are cleared and overwritten as a best-effort measure before deletion. Secure reshare reuses the original encryption keys, so the relay still sees only an opaque encrypted blob; reshare is intended for individual files, and large bundled reshares may be size-limited. Der Sovereign Vault von StateZer0 ist ein lokales, verschlüsseltes Repository für Medien. Ein zentraler Schritt ist die Metadaten-Bereinigung: EXIF und andere Metadaten (GPS, Gerätesignaturen) werden vor der Verschlüsselung aus Dateien entfernt. Dateien sind im Ruhezustand verschlüsselt und werden zur Ansicht in den App-Speicher entschlüsselt. Temporäre Cache-Dateien werden vor der Löschung gelöscht und im Best-Effort-Verfahren überschrieben. Sicheres Weiterteilen verwendet die ursprünglichen Verschlüsselungsschlüssel erneut, sodass das Relay weiterhin nur einen opaken verschlüsselten Blob sieht.
StateZer0 is designed so the relay has no access to message or attachment content. Because payloads are end-to-end encrypted and the relay stores only opaque blobs, content cannot be produced in response to most data requests. Metadata is minimized: Routing IDs and minimal delivery records are retained only as long as operationally necessary, and server logs are kept for 14 days for abuse prevention and legal compliance. The Relay Shield protocol for resharing vaulted items reuses the original encryption keys, so the provider remains unable to read the exchanged assets. StateZer0 ist so konzipiert, dass das Relay keinen Zugriff auf Nachrichten- oder Anhangsinhalte hat. Da die Payloads Ende-zu-Ende verschlüsselt sind und das Relay nur opake Blobs speichert, können Inhalte auf die meisten Datenanfragen hin nicht herausgegeben werden. Metadaten werden minimiert: Routing-IDs und minimale Zustellprotokolle werden nur so lange aufbewahrt, wie es betrieblich erforderlich ist, und Server-Logs werden 14 Tage zur Missbrauchsprävention und rechtlichen Compliance gespeichert. Das Relay-Shield-Protokoll zum Teilen von Vault-Elementen verwendet die ursprünglichen Verschlüsselungsschlüssel erneut, sodass der Anbieter die ausgetauschten Assets nicht lesen kann.
To reduce side-channel data leakage, StateZer0 implements the Transcript Seal. This lets users move sensitive text conversations from the active database into the Sovereign Vault without using the system clipboard. Each seal is encrypted with a unique AES-256-GCM media key and carries a provenance header (sender ID, timestamp, signature verification). The result is an encrypted, self-contained archive, not an immutable guarantee. Zur Reduzierung von Seitenkanal-Datenlecks implementiert StateZer0 das Transcript Seal. Damit können Benutzer sensible Textkonversationen aus der aktiven Datenbank in den Sovereign Vault verschieben, ohne die Systemzwischenablage zu nutzen. Jedes Siegel wird mit einem eindeutigen AES-256-GCM-Medien-Key verschlüsselt und trägt einen Provenance-Header (Sender-ID, Zeitstempel, Signaturprüfung). Das Ergebnis ist ein verschlüsseltes, in sich geschlossenes Archiv, keine unveränderliche Garantie.