Linka · 一个可以安住的地方

家与广场

Linka是Raphael M. Franco创建的巴西独立社交生态系统，目前处于封闭测试阶段。广场组织话题，圈层表达亲近程度与权限。帖子、轮播、对话、通话、广播和共同体验属于同一个空间。广告不是其商业模式。它并非联邦式网络，基础设施仍由Linka运营。

Ghost、Shell与Gabriel

Ghost指作为身份、意愿、记忆和关系主体的人。Shell是旨在维护这种自主权的权限架构和技术宪章。Gabriel在代码仓库、持续集成和启动环节，将权利关联到机制与测试。它不读取对话，也不是独立审计方。把规则写入文档，本身不能证明它已覆盖整个产品。

STCC：连续性很重要

Shell Transcendent Cryptography Chain是Linka对身份、设备授权、密码状态和连续性这一组合的命名。v5是Linka协议的版本，不是Signal的第五版。在Android上，混合建链结合X25519与ML-KEM-768。Double Ratchet和SPQR并行演进，通过KDF结合两者贡献，再用于AES-256-GCM。Rust提供程序的状态由Android Keystore中不可导出的密钥封装保护。

服务器传输加密信封，并保存公开密钥包、回执与检查点。持久化、幂等重试、仅追加witness和检查点gossip，旨在已覆盖场景中检测连续性丢失、回滚及矛盾历史。WebSocket传输事件，不能替代状态机，也不能独自保证送达或解密。生产witness属于Python/PostgreSQL这一运营权威，并非由独立机构运营。

登录不等于恢复密钥

登录会话、设备授权和密码权限是不同的状态。本地候选版保留了在APK 137中被R8重命名的JNI回调。隔离测试重现了进程终止后的失败，并在不删除数据的更新后通过，包括保留身份的重启。这不证明所有测试者的真实对话。清除数据或重新安装，不是掩盖此缺陷的合理恢复流程。

新密码至少15个字符，允许短语、空格和Unicode。强度提示只是估计。可选的通行密钥用于验证挑战；Linka不接收或保存指纹。恢复账户访问不会自动重建已经丢失的消息密钥。

每条数据路径都有边界

受保护聊天中的媒体在上传前加密。公开帖子的媒体走另一条路径，媒体服务可能对其转换。通话使用带认证协商的WebRTC和DTLS-SRTP，并未宣称通话媒体具有后量子保护。原生通知预览使用辅助的传统P-256/HKDF/AES通道。能读到推送，不证明聊天界面已打开同一v5信封。

翻译在设备解密之后进行。人际聊天不会自动发送给DAMA；为AI会话选择的内容可能由外部服务商处理，在推理过程中并非E2EE。PostgreSQL是持久数据的权威来源，Redis/Valkey协调事件和在线状态。这些边界彼此不同。

下一组更新，不提前宣称交付

候选版包含原生v5恢复、密码指引、浅色／自动主题、字体与头像框、邀请链接、消息回复、安全显示区域、广播和合成声音标识。Ghost模式仍需完成观看端设备的内容准入，并证明在显示之前阻止截屏。本地改动不被宣称已经在商店提供。已观察版本、日期和证据记录在公开事实文件中。

承诺的范围

不宣称具备与Signal或iMessage相同的运营成熟度、独立密码审计、抵御主动量子攻击者的认证，或浏览器中的原生v5。服务器仍能看到元数据。截屏限制依赖客户端和操作系统，无法阻止外部相机、被攻陷的设备或已有副本。隔离测试、限定范围的集成验证和真实端到端验证是不同证据等级。测试数量不能抹去这种区别。