Como o Capy funciona

Na maioria dos apps, uma mensagem vai de você para o servidor de uma empresa, e o servidor a repassa. O Capy não tem esse servidor. Seu computador se conecta aos computadores das pessoas da sua sala, e o app em si não faz nenhuma requisição à web.

Para se encontrarem, os aparelhos usam uma lista telefônica pública que ninguém controla, chamada tabela hash distribuída (DHT). Cada sala tem um tópico. Os aparelhos que o compartilham o procuram, descobrem o endereço uns dos outros e se conectam. Uma técnica chamada hole punching faz a conexão atravessar roteadores e firewalls domésticos, e tudo no enlace é criptografado de ponta a ponta.

Às vezes não dá para fazer uma conexão direta, por exemplo entre duas redes móveis rígidas. Aí o Capy passa por um relay cego: um computador sempre ligado, mantido pela equipe do Capy, que repassa os bytes criptografados entre os dois aparelhos. Ele não consegue lê-los, e só é usado quando a conexão direta não é possível.

Não há cadastro, e-mail nem senha. Quando você começa, o Capy cria 24 palavras. Elas são a sua identidade. A única cópia fica no seu aparelho, num arquivo que só a sua conta de usuário consegue ler, e nada é enviado a lugar nenhum.

A partir das palavras, o Capy deriva uma chave de identidade Keet. A cada vez que o app roda, ele também cria uma chave nova para este aparelho, e a sua identidade a atesta. A chave do aparelho assina tudo o que você escreve: mensagens, seu perfil e confirmações de leitura. O app de todo mundo confere essas assinaturas, então ninguém consegue escrever como você, e nenhum servidor precisa dizer quem você é.

Digite as mesmas palavras em outro computador e ele encontra seus outros aparelhos sozinho, e suas salas vêm junto. Ao sair da conta, o aparelho esquece as palavras. Digite-as de novo para voltar.

O aparelho de cada membro mantém o seu próprio registro e acrescenta a ele. O Autobase junta todos os registros numa só ordem com a qual todos os aparelhos concordam, e um pequeno banco de dados por cima (HyperDB) a transforma em mensagens, perfis e tarefas. Não existe cópia central: a sala é a soma das cópias dos seus membros.

Você entra com um convite, um código que você cola ou lê como QR code. Seu app envia um pedido, e o app de um membro que esteja online confere o convite e deixa você entrar. A partir daí todo o histórico é replicado para você, porque o aparelho de cada membro guarda uma cópia.

Qualquer membro pode estar rodando um Capy modificado, então nenhum aparelho confia num registro só porque ele chegou. Antes de valer, cada aparelho confere o formato, o tamanho e a assinatura dele. Um registro que falha é ignorado do mesmo jeito em todo lugar.

Uma sala vive nos aparelhos dos seus membros. Se todos estiverem offline, quem volta não tem de quem copiar. Um blind peer cobre essa lacuna. É um computador sempre ligado que guarda uma cópia criptografada dos dados da sala, arquivos incluídos, e a entrega aos membros quando eles voltam. Ele nunca tem a chave que abre nada disso, por isso é cego.

O Capy já vem com um, mantido pela equipe do Capy, e não há nada a configurar: cada sala é registrada nele ao abrir, exceto as salas seguras, que nunca são. Um blind peer guarda blocos assinados, então pode mantê-los ou descartá-los, mas não consegue alterá-los.

Ele também guarda as cópias seladas das chaves das mensagens, que permitem abrir uma mensagem com quem a escreveu offline (mais em armazenamento).

Tudo vive nos aparelhos dos membros, numa pasta que o app mantém (um Corestore). O Capy não tem banco de dados em lugar nenhum. Fotos, vídeos e arquivos vão em cores próprios, criptografados para que um blind peer não consiga lê-los.

Cada mensagem é selada com uma chave só dela. Essa chave nunca está no registro da sala. Ela fica num arquivo separado em cada aparelho e só viaja para os membros, pelas conexões criptografadas da sala.

Para uma mensagem abrir enquanto quem a escreveu está fora, cada aparelho publica uma nova prekey por dia. Quem escreve sela a chave de cada mensagem para as prekeys dos outros aparelhos, e os blind peers guardam essas cópias. Só o aparelho dono de uma prekey consegue abrir a sua cópia.

Uma sala segura é para 2 a 8 pessoas. Tem pasta e armazenamento próprios, que não são compartilhados com nada mais no app, e não guarda nada além do chat: sem arquivos, transcrições, atas, notas ou IA.

A chave é criada no aparelho de quem criou a sala e fica num único arquivo no aparelho que só a sua conta de usuário consegue ler. Ela continua ali ao fechar e reiniciar. A sala é apagada quando a chamada termina (o padrão), quando o prazo acaba (um dia por padrão, no máximo uma semana), quando quem a criou a apaga ou quando você sai da conta. Apagar limpa cada core do armazenamento e remove a pasta, arquivo da chave incluído.

Uma sala segura não anuncia tópico, então não pode ser encontrada na DHT. Os membros se conectam direto uns aos outros pela chave. Ela nunca entra na lista da sua conta e nunca é entregue a um blind peer. Enquanto uma está aberta, as janelas do Capy ficam fora de capturas de tela, gravações e compartilhamento de tela no macOS e no Windows. O Linux não consegue isso, e o Capy avisa.

Seu microfone é codificado em áudio Opus e sua câmera em vídeo VP8. Os dois são cortados em pacotes pequenos e enviados direto aos outros da chamada, pelas mesmas conexões criptografadas que a sala usa, como mensagens fora de ordem que não esperam umas pelas outras.

Os insights da chamada também não vêm de um servidor. No seu computador, um detector de voz percebe quando você fala. Seu aparelho grava isso, assinado, na sala: em lotes, a cada 5 segundos e quando você sai. Cada aparelho calcula então a divisão de fala e as interrupções a partir dos mesmos registros, e por isso todas as telas mostram os mesmos números, inclusive para quem entrou tarde.

Ninguém hospeda uma chamada. Qualquer pessoa nela pode avançar a rodada, marcar uma decisão ou editar as notas. Quem criou a sala, ou um admin, pode silenciar ou remover alguém, e cada app obedece só a eles.

A IA do Capy é o QVAC, a IA local da Tether. Você escolhe e baixa cada modelo uma vez em Ajustes → Notas e IA, e ele chega pela rede peer-to-peer, não por um site. Até você baixar um, esses recursos ficam desligados. Os modelos rodam então num segundo processo no seu computador.

Ninguém transcreve você além de você. Com a transcrição ligada, seu computador transforma a sua própria voz em texto com Whisper ou Parakeet e assina cada frase na sala. O texto é compartilhado com a sala: essa é a transcrição. O áudio não é guardado.

Quando uma chamada termina, a última pessoa a sair escreve a ata com um modelo de linguagem no próprio computador, se tiver um modelo de atas. A ata aparece na sala como um cartão que qualquer pessoa pode abrir.

Não há servidor de atualização. A equipe do Capy publica cada versão na rede Pear, e o app a baixa de outros computadores que já a têm, do mesmo jeito que uma sala é replicada. Seu app confere ao abrir e de novo quando surge uma versão nova.

Quando o download termina, um cartão na barra lateral oferece Reiniciar. Ele nunca reinicia no meio de uma chamada. Uma versão de produção exige um quórum das chaves de assinatura da equipe, então uma chave sozinha não consegue lançar uma atualização.

Se uma versão nova falha ao abrir duas vezes seguidas, o Capy recoloca o app anterior e não tenta aquela versão de novo até chegar uma mais nova. Num Mac fora da pasta Aplicativos, o Capy oferece se mover para lá para poder se atualizar depois.