Stayd

Zonder e-mail, telefoonnummer of naam-verificatie kan iemand technisch onbeperkt pubkeys genereren. Dat is een Sybil-risico: één persoon die zich voordoet als vele. Wat de schade beperkt:

• Fake accounts komen niet in jouw geverifieerde noodcontacten zonder een fysieke QR-scan.
• Alleen door een overheidsinstantie ondertekende sleutels tellen als officiële authority (CA-verificatie).
• De app toont standaard alleen berichten van geverifieerde contacten. Berichten van onbekende afzenders komen in een aparte "onbekend"-lijst die je actief moet openen om te bekijken.

Wat blijft: iemand kan wel massaal accounts aanmaken en mesh-capaciteit belasten. Rate-limiting per pubkey (bandbreedte per uur per identiteit) beperkt de schade, maar biedt geen fundamentele bescherming tegen vasthoudende misbruikers.

Een gewone messenger weet aan welke ontvanger een bericht gaat én van welke afzender. Met sealed sender wordt de afzender-informatie versleuteld in een laag die alleen de ontvanger kan openen. De tussenliggende server weet alleen "er moet iets naar deze pubkey", niet wie het stuurde. Pas wanneer de ontvanger het bericht opent, weet die wie het stuurde. Signal heeft dit als eerste op grote schaal gedaan en heeft het mechanisme publiek beschreven. Stayd gebruikt een vergelijkbare aanpak.

Een Outpost-node moet berichten over de mesh kunnen routeren naar de juiste bestemming. Dat betekent dat hij wel ziet welke pubkey-naar-pubkey een bericht onderweg is, en op welk tijdstip. Inhoud blijft versleuteld, identiteit blijft pseudoniem (pubkeys, geen namen). Dit is onvermijdelijk voor de routering. Wel wordt deze routing-metadata kort onthouden (typisch 6-24 uur) en daarna vergeten, zodat er geen langlopend privacy-archief ontstaat.

Je staat tegenover de ander en scant zijn QR-code op zijn telefoon. Daarmee zien beide apparaten elkaars cryptografische sleutels. De verificatie gebeurt fysiek, en daarna is verbinding via internet of mesh cryptografisch gegarandeerd: je weet dat de berichten echt van die persoon komen. Vergelijkbaar met hoe Signal QR-verificatie doet.

Dit is de basis voor familie, buren, vrienden, mantelzorgers.

Een huisarts of EHBO-vrijwilliger kun je niet altijd in persoon ontmoeten voor verificatie. Daarvoor bestaat een certificate authority (CA): een vertrouwde partij (een gemeentelijke organisatie, of een beroepsvereniging) ondertekent de sleutel van de hulpverlener op basis van een check tegen het BIG-register. De app van een gebruiker vertrouwt de CA-sleutels vooraf, en daarmee elke geverifieerde hulpverlener automatisch.

Bij beëindiging van de bevoegdheid wordt de signatuur ingetrokken (revocatie). De gebruiker hoeft hier niets voor te doen.

Een derde optie als persoonlijke ontmoeting niet kan: een gedeeld contact dat jullie beiden kennen, vouchet ("ik ken Marieke, dit is haar"). Niet zo sterk als in persoon, maar in een crisis-context kan het voldoende zijn om snel een verbinding op te bouwen, met een eerlijk gemarkeerde verlaagde status. Volledig vertrouwen krijgt het pas na een persoonlijke ontmoeting.

• De kwetsbaarheid-vlag staat standaard uit. Activering gebeurt bewust, eventueel samen met de huisarts of mantelzorger.
• De lijfreddende laag werkt analoog, op een fysiek kaartje. Geen accu nodig, geen netwerk, altijd beschikbaar.
• Niemand ziet alle vier de lagen tegelijk. Niveau hoort bij rol en moment.

Een landelijke CA tekent regionale CA's. Regionale CA's tekenen gemeentelijke. De gemeente tekent berichten met haar eigen sleutel. De app van een burger heeft de landelijke CA vooraf vertrouwd en kan daarmee de hele keten verifiëren. Een vals bericht zonder geldige handtekening wordt niet getoond.

Signatuur-verificatie werkt volledig lokaal, ook zonder internet: de CA-sleutels zijn vooraf in de app opgenomen. Wat wel internet vereist is de revocatie-check: is deze CA-sleutel intussen ingetrokken? Zonder internet weet de app dat niet en accepteert een sleutel die eigenlijk al ingetrokken zou moeten zijn. In een langdurige crisis groeit dit risico met de tijd, maar voor de eerste uren tot dagen is de kans op precies dit misbruik-scenario klein.

Dezelfde keten geldt voor beroepsgroepen (huisartsen, EHBO, brandweer): KNMG en KNMP kunnen via dit model ook hun eigen leden verifiëren.

• Info: gewoon zichtbaar in de app, geen geluid of lamp.
• Waarschuwing: signaallamp op de Outpost gaat aan, gebruikers in de buurt kunnen het zien.
• Acuut: lamp én geluidsmelder op de Outpost, plus een melding op de app als die open is.

Welke urgentie een afzender mag gebruiken hangt af van wie hij is (gemeente, veiligheidsregio, landelijk). Er zit een beperking op om misbruik te voorkomen.

Wat de aanvaller krijgt: een lijst van cryptografische sleutels, versleutelde transit-berichten die voor maximaal 7-30 dagen worden bewaard, en versleutelde backups van gebruikers.

Wat de aanvaller niet krijgt: namen, e-mailadressen, telefoonnummers (die zijn er niet), berichten in leesbare vorm (e2e-versleuteld), wie naar wie schrijft (sealed sender), wie contact is van wie. Backups openen vereist de master-passphrase van elke individuele gebruiker, die alleen op hun eigen apparaat staat.

Wat de aanvaller krijgt: de recente routing-tabel (welke pubkey is recent gezien via deze node, maximaal 24 uur terug). Eventueel transit-berichten die nog niet zijn afgeleverd, allemaal versleuteld.

Wat hij niet krijgt: historische sociale grafiek (oude routing wordt vergeten), bericht-inhoud, identiteiten in leesbare vorm. De rest van de mesh blijft werken: één Outpost is geen single point of failure.

Wat de vinder krijgt: toegang tot Stayd alleen na de pincode of biometrie te omzeilen. De cryptografische sleutels zelf liggen in de beveiligde opslag van het besturingssysteem (Secure Enclave bij iOS, Keystore bij Android).

Wat de gebruiker kan doen: via een ander apparaat z'n sleutels revoceren, zodat de gestolen kopie geen verbinding meer maakt. De andere contacten zien automatisch dat de oude sleutel niet meer geldig is.

In de huidige opzet: de gebruiker is zelf verantwoordelijk voor zijn eigen data (lokaal-first). De Stayd-backend treedt op als verwerker voor de korte transit en de versleutelde backup, niet als verwerkings­verantwoordelijke voor inhoud. Bij gemeente-gehoste varianten kan de gemeente verwerkings­verantwoordelijke zijn. Voor elk hosting-model is een verwerkers­overeenkomst denkbaar.

Het AVG-principe dataminimalisatie (artikel 5.1.c) zegt: verzamel alleen wat strikt nodig is. Stayd vertaalt dit naar: geen account-gegevens, geen contactenlijst-uploads, geen telefoonnummer-koppeling, geen analytics, geen tracking. Wat niet wordt verzameld, kan ook niet worden gevorderd, gehackt, of misbruikt.

Een gebruiker heeft volgens AVG recht op inzage in alle data over hem, en op verwijdering. Bij Stayd is dat technisch eenvoudig: alle data staat op het eigen apparaat (inzage is "open de app"), en verwijdering is "wis app + master-key revocatie". De Stayd-backend heeft alleen versleutelde blobs en routing-pointers; die kunnen op verzoek worden gewist.

In normale tijden werkt sealed sender goed: de backend ziet niet wie naar wie schrijft. In een crisis op de mesh wel: een Outpost moet weten waar een bericht heen moet om het te kunnen routeren. Pseudoniem (pubkeys, geen namen), tijdelijk (24 uur), maar het is een verschil met de vredestijd-situatie. We kiezen voor de mogelijkheid om berichten te ontvangen boven volledige metadata-bescherming.

De kwetsbaarheid-vlag laat buurthelpers ter plaatse zien welke adressen mogelijk hulp nodig hebben. Dat is een privacy-blootstelling, beperkt tot crisis-modus en alleen voor wie fysiek bij de Outpost is. Voor sommigen voelt dat ongewenst, voor anderen levensreddend. Daarom: standaard uit, expliciete opt-in, mogelijk samen met huisarts of mantelzorger geactiveerd.

De Stayd-backend bewaart berichten alleen kort (typisch 7-30 dagen), de Outpost 48-72 uur. Wie een lang archief wil, beheert dat zelf op zijn apparaat. Privacy-voordeel: geen lange-termijn lekrisico bij de centrale dienst. Trade-off: bij verlies van het apparaat is de eigen historie weg, tenzij de versleutelde backup beschikbaar is.