A abordagem de segurança do Nullo combina desacoplamento de identidade telefônica, canais restritos por par de chaves e redução drástica da persistência de dados. Em vez de focar apenas na criptografia em trânsito, o sistema minimiza o armazenamento local, elimina históricos perpétuos em nuvem e aplica camadas de proteção de interface dentro do ecossistema Android.
Segurança não é uma única tecnologia
No debate público sobre aplicativos de mensagens, costuma-se resumir segurança a um único rótulo: "criptografia de ponta a ponta". Embora a criptografia seja um componente indispensável da engenharia de software contemporânea, ela resolve apenas uma parte específica da equação: o transporte do dado entre duas extremidades.
A verdadeira privacidade depende de um modelo de defesa em profundidade (defense-in-depth), estruturado em múltiplas camadas que atuam em harmonia:
- Camada de Identidade: Como o usuário é identificado e como essa identidade se vincula ao mundo físico.
- Camada de Transporte: Como os pacotes trafegam pela rede pública de forma confidencial.
- Camada de Persistência: Onde e por quanto tempo os dados permanecem salvos em memória ou disco após a entrega.
- Camada de Interface: Como as informações são apresentadas na tela e se estão sujeitas a captura indevida pelo sistema operacional.
- Camada Operacional: Como os usuários gerenciam a segurança física do próprio aparelho.
Pilar 1: Identidade desacoplada do número telefônico
O número de telefone celular é, por definição regulatória e técnica, um identificador rastreável. Operadoras mantêm logs de antenas (ERBs), cadastros com CPF/endereço e roteamento centralizado.
No Nullo, a entidade que representa um participante no canal não é um número de telefone, mas uma credencial de acesso criptográfica exclusiva. Os benefícios desse desacoplamento incluem:
- Imunidade a ataques de SIM Swap: Se um invasor obtiver um chip clonado da sua linha telefônica junto à operadora de telecomunicações, ele não obtém acesso ao Nullo, pois a conta não depende de códigos SMS para autenticação.
- Privacidade em catálogos: Seu número pessoal não fica indexado em nenhum diretório de busca, evitando que terceiros descubram sua presença na ferramenta apenas por terem seu contato salvo na agenda.
- Isolamento operacional: A comunicação confidencial não se mistura com chamadas telefônicas convencionais, operadoras de cartão ou apps sociais.
Pilar 2: Canal restrito ao par autorizado (Modelo Alfa e Beta)
Diferente dos comunicadores públicos em que qualquer contato pode enviar mensagens espontâneas, o Nullo adota a arquitetura de par exclusivo.
O canal existe estritamente entre a Chave Alfa e a Chave Beta. O servidor de trânsito funciona como um roteador de estado mínimo que valida as credenciais criptográficas de cada pacote. Se uma mensagem for enviada por uma origem não associada ao par, ela é imediatamente rejeitada.
Esse design elimina o risco de phishing direcionado, mensagens não solicitadas (spam) e tentativas de engenharia social por remetentes externos desconhecidos.
Pilar 3: Minimização de persistência e ciclo de vida efêmero
Existe uma diferença fundamental entre proteger uma mensagem em trânsito e reduzir a persistência dos dados:
Criptografia em Trânsito
Impede que provedores de internet, operadoras e intermediários de rede leiam o conteúdo legível enquanto os pacotes trafegam. No entanto, após a entrega, o aplicativo destinatário pode armazenar o texto em um banco de dados local por anos.
Minimização de Persistência
Além de cifrar o conteúdo, a arquitetura restringe o tempo de existência do dado. Mensagens não são preservadas indefinidamente, backups em nuvem desprotegidos são evitados e o passivo de dados no aparelho é drasticamente reduzido.
No Nullo, a leitura de um lote marca o encerramento do seu ciclo de vida ativo. Isso mitiga o risco de que dados históricos antigos sejam extraídos em eventuais inspeções físicas futuras ou extravios de aparelho.
Pilar 4: Proteção da interface no Android
Um dos vetores de vazamento mais frequentes em smartphones não ocorre pela rede, mas pela própria tela: capturas involuntárias de tela (screenshots), gravações de tela em segundo plano e a visualização do aplicativo no carrossel de multitarefas (tela de aplicativos recentes do Android).
Para conter esse vetor, o Nullo implementa no código nativo do Android o atributo de janela da plataforma:
WindowManager.LayoutParams.FLAG_SECURE
Quando este parâmetro é aplicado a uma janela do Android, o subsistema gráfico do sistema operacional (SurfaceFlinger) é instruído a:
- Bloquear solicitações de captura de tela efetuadas pelo usuário via atalhos do sistema (ex: botão Liga/Desliga + Diminuir Volume);
- Impedir que gravadores de tela e ferramentas de espelhamento não privilegiadas registrem os pixels da janela;
- Substituir a miniatura do aplicativo por uma tela preta ou neutra quando o usuário acessa o menu de alternância de tarefas recentes.
Em conformidade com nosso compromisso de transparência estrita, ressaltamos que a FLAG_SECURE é um recurso gerenciado pelo próprio sistema Android. Ela não garante proteção absoluta caso o dispositivo esteja submetido a modificações de kernel (root), módulos Xposed que interceptem chamadas de sistema, ou se o interlocutor utilizar uma câmera fotográfica externa física para capturar a tela do smartphone.
Criptografia e privacidade são a mesma coisa?
A resposta técnica é: não.
Criptografia é uma ferramenta matemática para proteger a confidencialidade de um conjunto de bits sob determinadas condições. Privacidade, por outro lado, é um ecossistema holístico de governança que engloba:
- Identidade e anonimato relativo: Quem tem conhecimento de que aquela conversa está ocorrendo?
- Metadados contextuais: Horários de tráfego, volume de dados trocados, identificadores de rede (IP) e grafo social de relacionamento.
- Retenção de backups: Para onde as mensagens vão depois de lidas? Existe cópia em servidores de nuvem desprotegidos?
- Persistência física: Se o dispositivo for apreendido ou inspecionado fisicamente, o banco de dados armazena conversas de dois anos atrás?
Um aplicativo pode possuir criptografia matemática impecável e, simultaneamente, armazenar terabytes de históricos decifrados no aparelho e sincronizar metadados completos com anunciantes. O Nullo prioriza a redução de dados e o controle da persistência como elementos tão cruciais quanto a cifragem.
Limitações e modelo de ameaça (Threat Model)
Qualquer solução de software responsável deve declarar com clareza o que seu modelo de segurança é capaz de mitigar e quais ameaças fogem ao controle técnico da aplicação. O Nullo não é uma blindagem mágica contra qualquer tipo de adversário.
Cenários que o Nullo Mitiga
Exposição de número telefônico, sequestro de conta por clonagem de chip (SIM Swap), bisbilhotice em históricos arquivados após a leitura, capturas acidentais de tela em Android padrão e solicitações de contato não autorizadas de desconhecidos.
Cenários Fora do Escopo de Proteção
Aparelhos infectados por spyware comercial avançado em nível de sistema, dispositivos com acesso root comprometido, furto de aparelho desbloqueado com sessão ativa e gravação por câmeras externas apontadas para a tela.
Princípio de minimização de dados e governança
O princípio de minimização de dados — consagrado no artigo 6º, inciso III da LGPD (Lei Geral de Proteção de Dados Pessoais) e em padrões internacionais como o RGPD europeu — estabelece que o tratamento de dados deve se limitar ao mínimo necessário para a realização de suas finalidades.
No modelo arquitetural do Nullo:
- Não há criação de perfis comportamentais: Não coletamos hábitos de navegação, interesses ou listas de contatos;
- Não há rastreamento publicitário: O código não integra bibliotecas analíticas de redes sociais ou ferramentas de segmentação de marketing;
- O dado que não existe não pode vazar: Ao reduzir a persistência de mensagens e eliminar o acúmulo de arquivos residuais, minimiza-se o passivo de segurança para ambas as partes.
Transparência técnica e compromisso de engenharia
Nenhum sistema seguro deve exigir fé cega do usuário. A segurança de um software reside na clareza dos seus compromissos arquiteturais e no reconhecimento transparente de suas fronteiras de operação.
O Nullo foi projetado para oferecer um refúgio de sobriedade e discrição para comunicações estratégicas no Android. Para conhecer os detalhes sobre contratação e disponibilidade de pares criptográficos, consulte nossa equipe técnica.
Conheça as condições técnicas do par Nullo
Ativação individual de circuitos privados para profissionais e organizações que valorizam discrição estrita no Android.