Wie es so gebaut ist, dass nichts leckt.
Eine Idee, bis an ihre Grenze geführt: Ihre echte Identität soll die Maschine nie verlassen, und Sie sollen uns nicht glauben müssen, dass sie es nicht tut. Diese Seite geht den ganzen Mechanismus ab: das Leben einer Anfrage, den Kill-Switch, die exakten Fingerprint-Oberflächen, die wir verwürfeln, eine vollständige Liste dessen, was Ihren Mac verlässt und wann, den Selbsttest mit zehn Prüfungen und eine ehrliche Karte, wo die Garantien eines WebKit-Browsers enden.
Ein Schalter, den Sie nicht ausschalten können.
Standard-Searxly lässt Sie die Privatsphäre auf Maximum heben, wenn Sie es wählen. Maximum entfernt die Wahl: Die App startet in Maximum Privacy und bleibt dort, standardmäßig über Tor. Jede Anfrage verlässt den Mac entweder durch die geschützte Spur, oder sie verlässt ihn gar nicht. Die Spur lässt sich wechseln (Tor, oder das Searxly VPN mit aktivem Pass); die Haltung nicht.
Was passiert, wenn Sie Return drücken.
Die klarste Art, die Maschine zu erklären, ist, einen Seitenaufruf durch sie hindurch zu verfolgen, vom Tastendruck bis zur Leitung und zurück. Schritt 5b ist der, der die Edition definiert.
Bevor der Aufruf auch nur eine Verbindung öffnen darf, prüft PrivacyGate die Spur: Ist Tor verifiziert up (oder der VPN-Tunnel, falls Sie die Spur gewechselt haben)? Das geschieht pro Navigation, im decide-policy-Callback der Engine selbst, es gibt also kein Fenster, in dem eine Anfrage erst hinausschlüpft und später geprüft wird.
Drei verriegelte Shields bereinigen die Anfrage: http:// wird auf https:// angehoben, 49 benannte Tracking-Parameter und sechs Präfix-Familien (utm_, pk_, …) werden aus der URL entfernt, und der Header Sec-GPC: 1 plus das JavaScript-Signal für Global Privacy Control werden angehängt. In Maximum lassen sich diese drei nicht abschalten.
Der Tab trägt ein zufälliges Tor-Stream-Token, und bevor der Aufruf weitergeht, wird das Token auf die Site umgeschlüsselt, die Sie gerade besuchen. Das Ergebnis: Zwei Tabs auf derselben Site fahren getrennte Circuits, und ein Tab, der zwischen Sites wechselt, wechselt an jeder Grenze den Circuit. Tors IsolateSOCKSAuth setzt das durch.
Der Hostname wird Tor im SOCKS-Handshake übergeben, nicht dem Resolver Ihres Macs, es verrät also keine DNS-Anfrage, wohin Sie gehen. Die Upstream-Konfiguration der Suchmaschine trägt wörtlich das Schema socks5h://, und der sichtbare Beweis für Tabs ist, dass .onion-Adressen, die kein öffentliches DNS auflösen kann, überhaupt laden.
Die Anfrage durchquert den Tor-Circuit und tritt an einem Relay aus, das das Ziel kennt, aber nicht Sie. Die Site sieht die Adresse des Exits. Was den Inhalt selbst schützt, ist TLS oder ein Onion-Service, weshalb die App auf HTTPS-only und .onion-Upgrades setzt.
Das ist der Moment, der die Edition definiert. Der Aufruf wird verweigert: Eine monochrome Seite mit dem Titel "Traffic blocked to protect you" erscheint mit dem Live-Grund, und das Gate merkt sich die Adresse. Es gibt keinen stillen Rückfall auf Ihre echte Verbindung, weil kein Clearnet-Codepfad existiert, in den man fallen könnte. In dem Moment, in dem die Spur wieder verifiziert, lädt die blockierte Seite sich selbst neu.
Bevor das erste Skript der Seite läuft, in jedem Frame, ist das Härtungsskript schon da: Die Canvas-Auslesungen, die sie abtasten wird, sind verrauscht, der Viewport, den sie vermessen wird, ist letterboxed, die Uhr sagt UTC, die Locale sagt en-US, die Maschine sagt 8 Kerne, und RTCPeerConnection existiert nicht, um Ihre Adresse an Tor vorbei zu verraten.
Es gibt wenig zu putzen, weil wenig je geschrieben wurde: Der Store jedes Tabs lebt im Speicher, der Verlauf ist standardmäßig aus, der Fensterzustand wird nie persistiert. Der amnesische Download-Ordner wird ausgekehrt, die Zwischenablage geleert, und der nächste Start kehrt erneut, falls das letzte Beenden ein Absturz war.
Acht Verteidigungen. Jede scheitert geschlossen.
Das tatsächliche Verhalten, Mechanismus für Mechanismus: was es tut, welches Leck es entfernt, und, wo es eine gibt, die ehrliche Kante.
Tor als Voreinstellung, über SOCKS5h
Der gebündelte Client ist das tor-expert-bundle des Tor-Projekts selbst, dieselbe Binary, die der Tor Browser ausliefert, versions-gepinnt und über den Helper der App auf einem dedizierten Port gestartet, so gewählt, dass er nie mit einem Tor kollidiert, das Sie vielleicht schon betreiben. Er startet client-only, Disk-Schreibvorgänge werden vermieden.
Alles, was legitim hinausgeht, fährt darüber: Der Datenspeicher jedes Tabs trägt den SOCKS-Proxy, der Upstream-Traffic der lokalen Suchmaschine wird durch denselben Port geleitet, und die eigenen Fetches der App, die keine Identität tragen (Ergebnis-Thumbnails, eine für Ihre lokale KI gelesene Seite), gehen durch eine dedizierte Tor-Spur. Anfragen, die Identität tragen würden, wie Wallet-RPC, werden nicht geproxied; sie werden rundheraus verweigert.
Blockiert, nie geleakt
Ein Gate, drei Spuren, jede mit eigenem Test: Web-Navigationen verlangen den Schutz verifiziert up, native Fetches werden an einem noch strengeren Maßstab gemessen, und selbst der Loopback-Sprung zur lokalen Suchmaschine ist daran gebunden, dass ihr Upstream geproxied ist. Jeder blockierte Versuch wird mit Begründung ins Ledger geschrieben.
Das Gate ist ereignisgetrieben, nicht gepollt: Es bewertet neu in dem Moment, in dem sich Tors Status ändert, der VPN-Tunnel kippt oder die Spur gewechselt wird, und es merkt sich die zuletzt blockierte Adresse, damit die Erholung ein Neuladen ist, kein Achselzucken. Es heilt sich auch selbst: Kommt die gewählte Spur nicht hoch, fällt es auf die strengere zurück, statt dunkel zu bleiben.
Ein frischer Circuit für jeden Tab, und jede Site
Die Isolation ist dreifach geschichtet. Tor selbst trennt Circuits nach Ziel. Jeder Tab fügt sein eigenes zufälliges Stream-Token hinzu, sodass zwei Tabs auf der selben Site getrennte Circuits fahren. Und innerhalb eines Tabs wird das Token pro Site umgeschlüsselt, während Sie sich bewegen, damit ein langlebiger Tab nicht Ihren Tag zusammennäht. Ein New-Identity-Befehl (⌘⇧U) schließt jeden Tab, wischt Site-Daten und fordert frische Circuits für alles an.
Wo Tor selbst blockiert ist, tarnen Pluggable-Transport-Bridges die Verbindung: Snowflake funktioniert ohne Zutun, und obfs4 nimmt die Bridge-Zeilen an, die Sie einfügen. Bleibt eine direkte Verbindung beim Bootstrap stecken, versucht Maximum es von selbst einmal über Snowflake.
Verwürfelt, und in die Menge gefaltet
Ein Härtungsskript wird in jede Seite injiziert, bevor ihre eigenen Skripte laufen, in jedem Frame, und jeder Shim ist nativ-code-maskiert, damit Function.prototype.toString die Manipulation nicht verraten kann. Das Rauschen wird bei jedem Lesevorgang frisch gezogen: Ein Tracker, der Ihr Canvas hasht, bekommt jedes Mal eine andere Antwort, was den stabilen Identifikator bricht, den er zu bauen versucht. Das ist eine bewusste Designentscheidung, und ihr Preis wird unten ehrlich benannt.
Accept-Language-Header lecken noch Bits, eine WebKit-DeckeDrei Stufen, doppelt durchgesetzt
Wie der Tor Browser hat Maximum einen Sicherheitsregler. Standard hält das volle Web am Laufen, Farbling inklusive. Safer aktiviert WebKits Lockdown Mode, das echte JIT-Aus, und entfernt WebGL, WebGPU, WebAssembly und OffscreenCanvas. Safest weigert sich zusätzlich, entferntes JavaScript überhaupt auszuführen; die lokale Such-UI behält ihre Skripte, weil sie Ihren Mac nie verlässt.
Jede Stufe wird auf zwei Ebenen durchgesetzt: in der Engine, wo der Build es erlaubt, und als JavaScript-Boden, der unabhängig davon hält. Der Selbsttest prüft dann das gelandete Ergebnis aus der Sicht einer Seite, und das ist die Sicht, die zählt.
Amnesisch in der Sitzung, verschlüsselt im Ruhezustand
In Maximum ist der Store jedes Tabs von vornherein memory-only. Der Amnesie-Modus geht weiter: Verlauf und Open-Tab-Snapshots werden nie geschrieben, Suchverlaufseinträge werden verworfen, und der Modus wird einmal beim Start festgehalten, damit eine Sitzung nicht halb-amnesisch enden kann. Downloads sind das Eine, das die Platte berührt: Sie landen in einem Sitzungsordner, der beim Beenden und erneut bei jedem Start ausgekehrt wird, und jede Datei bietet ein „Behalten“ als Ausweg in Ihren echten Download-Ordner. Lesezeichen, gespeicherte Passwörter und Einstellungen bleiben; Amnesie vergisst, was Sie getan haben, nicht, was Sie besitzen.
Was bleibt, ist verschlüsselt: Browsing-Daten mit AES-GCM unter einem Schlüssel, der in der Keychain Ihres Macs lebt und nie irgendwohin synchronisiert wird, und der Suchanfragen-Verlauf weigert sich, auf Klartext zurückzufallen, wenn dieser Schlüssel nicht verfügbar ist. Die App-Sperre stellt Touch ID (mit Ihrem Gerätepasswort als Rückfall) vor die App, mit automatischer Sperre bei Inaktivität.
Anti-Forensik, die das OS Ihnen nicht gibt
macOS markiert jeden Download mit der URL, von der er kam, und wann (kMDItemWhereFroms, kMDItemDownloadedDate) und schreibt Ihre offenen Fenster auf die Platte, um sie wiederherzustellen. Maximum entfernt beide Metadaten-Tags von gespeicherten Dateien, behält dabei bewusst das Gatekeeper-Quarantäne-Flag, damit die Sicherheitsprüfung weiter stattfindet, und deaktiviert die Fensterzustands-Persistenz rundheraus.
Kleinere Gewohnheiten, dieselbe Idee: Die Zwischenablage wird beim Beenden geleert, die Adressleiste schaltet die sichere Tastatureingabe ein, damit Keylogger nichts lesen, und das Öffnen eines heruntergeladenen Dokuments warnt Sie zuerst, dass das Dokument selbst Ressourcen außerhalb von Tor nachladen kann, sobald eine andere App es hat.
Ein Runtime, dem Sie vertrauen können
Bevor die Tor-Binary je ausgeführt wird, wird ihre Code-Signatur verifiziert, und ihre Team-ID muss zu dem Team passen, das die App selbst signiert hat; jeder gebündelte Transport und jede Bibliothek wird an demselben Test gemessen. Eine ausgetauschte oder gepatchte Binary wird verweigert, und Tor startet nicht. Die Prüfung pinnt Authentizität statt eines festen Hashes, und der Selbsttest meldet sie in einer eigenen Zeile.
Updates sind hier die ehrliche Kante. Der in Maximum eingebaute Updater holt seinen Feed und den Download über Tor und verifiziert die Datei gegen den Signierschlüssel der App, unabhängig von jedem Transport, und er legt das verifizierte Update bereit, statt hinter Ihrem Rücken zu installieren. Dieser Kanal ist gebaut, aber sein Feed ist noch nicht veröffentlicht: Ein ausgelieferter Maximum-Build aktualisiert sich heute gar nicht selbst, und neue Versionen werden von Hand von der Download-Seite installiert.
Was Ihren Mac verlässt, und wann.
Eine Privacy-Behauptung ist nur prüfbar, wenn sie eine Liste ist, also ist hier die Liste. Auf der Tor-Spur ist diese Tabelle alles: Ein Netzwerkaufruf, der nicht darauf steht, hat in dieser Edition keinen Codepfad.
check.torproject.org)Der Selbsttest, Prüfung für Prüfung.
In den Einstellungen sitzt ein Selbsttest, den Sie jederzeit ausführen können; nichts läuft, solange Sie nicht den Knopf drücken. Acht Prüfungen liefern beide Editionen; die letzten beiden existieren nur in Maximum. Die Titel unten sind die eigenen Strings der App.
Liest die Live-Haltung: den Modus, in dem die App tatsächlich ist, nicht den, der angefordert wurde.
Fragt den Helper-Prozess, ob der gebündelte Client gerade jetzt gebootstrapped ist und läuft.
Die Live-Prüfung: holt check.torproject.org/api/ip durch den gebündelten SOCKS-Proxy und verlangt, dass die Antwort einen Tor-Exit bestätigt. Sie fährt über dieselbe fail-closed Spur wie alles andere, der Test selbst kann also nicht lecken: Ist Tor nicht up, kann er nicht laufen.
Verifiziert, dass das Upstream-Proxying der lokalen Engine abgeglichen und eingeschaltet ist, damit Suchanfragen über Tor hinausgehen statt direkt.
Protokolliert den Scharf-Zustand des Gates für die Haltung, in der Sie sind; das Blockierverhalten selbst ist derselbe Codepfad, den jeder Seitenaufruf ohnehin durchläuft.
Baut einen echten Tab durch dieselbe Factory wie Ihr Browsing, lädt eine leere In-Memory-Seite ohne Netzwerk und liest, was das JavaScript einer Seite tatsächlich sieht: Die Uhr muss UTC sagen, die Locale en-US, die Hardware 8 Kerne, Plugins leer, Stimmen leer, Timer vergröbert.
Dieselbe Sonde: RTCPeerConnection darf nicht existieren, in keiner Schreibweise.
Fragt macOS, ob das Datenvolume verschlüsselt ist. Aus oder nicht feststellbar wird als Warnung gemeldet, nicht als Fehlschlag: Es ist die Einstellung Ihres Macs, und die App sagt es Ihnen, statt etwas vorzuspielen.
Bei Safer und Safest muss die Sonde WebGL und WebAssembly von einer Seite aus unerreichbar finden; bei Standard protokolliert sie die Stufe, die Sie gewählt haben.
Führt die Lieferketten-Prüfung auf Abruf erneut aus: Jede gebündelte Binary muss eine gültige Signatur desselben Teams tragen, das die App signiert hat, oder Tor weigert sich zu starten.
Beweis, kein Privacy-Versprechen.
Die stärkste Behauptung ist eine, die Sie nicht glauben müssen. Maximum liefert drei Dinge, die Sie selbst prüfen können, in der App:
- ✓Ein Network Ledger in Echtzeit: jedes Seitenziel, jede Suche und jeder blockierte Versuch mit der Spur, die er nahm, nur im Speicher gehalten und auf 300 Einträge gedeckelt, plus ein Statusboard mit acht Live-Anzeigen
- ✓Der Selbsttest mit zehn Prüfungen oben, der mit einem Live-Abruf Ihrer Adresse über Tor endet und zurückliest, was das Internet sehen kann
- ✓Eine Runtime-Integritätsprüfung, die zeigt, dass die gebündelte Tor-Binary die von Searxly signierte ist, auf Abruf wiederholbar
Die Spur ist eine Wahl. Die Haltung nicht.
Der Schutz in Maximum läuft immer durch eine von zwei Spuren, und das fail-closed Gate deckt die ab, auf der Sie gerade sind. Ein Spurwechsel senkt die Haltung nie; er ändert, wer den Traffic trägt, und dieser Handel verdient es, klar benannt zu werden.
Die strengste Spur, und die Voreinstellung.
Für immer kostenlos, kein Konto, nichts zu konfigurieren. Ihr Traffic durchquert drei Relays, betrieben von Fremden, die jeweils nur ihren Nachbarn kennen, und tritt zwischen dem aller anderen aus.
- Ein frischer Circuit pro Tab und pro Site
- Identitätstragende native Fetches bleiben verweigert, dauerhaft
- .onion-Services, Bridges wo Tor blockiert ist
- Der Handel: langsamer als eine direkte Leitung
Die schnellere Spur, opt-in, nie verpflichtend.
Ein Hop durch einen Searxly-betriebenen Exit, über den eingebauten VPN-Client von macOS. Jede Lizenz enthält 45 Tage davon; danach ist es nur da, wenn Sie sich entscheiden, einen Pass zu kaufen. Das Gate scheitert weiterhin geschlossen, und Onion-Tabs öffnen weiterhin über Tor.
- Schneller, für die Sites und Stunden, in denen Tor zäh wird
- Der Handel, benannt: ein Betreiber (wir) trägt Ihren Traffic statt drei Fremder
- Native Fetches öffnen auf dieser Spur wieder; die strengste Haltung ist Tor
- Läuft ein Pass aus, kehrt die App von selbst zu Tor zurück
Das sicherste Feature ist das, das nicht da ist.
Ganze Kategorien von Egress haben in dieser Edition entweder keine Türen oder gar keinen Code, sie können also nicht wieder aktiviert, ausgenutzt oder versehentlich zum Leck werden.
Keine Wallet-Türen
Die Oberflächen der Krypto-Wallet sind in dieser Edition nicht erreichbar: kein Sidebar-Eintrag, kein Einstellungsbereich, und ihre Netzwerkaufrufe werden auf der Tor-Spur vom Gate verweigert. Nichts on-chain, nichts adress-getaggt.
Keine Cloud-KI
Searxly liefert kein Modell und kein KI-Backend, in keiner Edition. Die einzige Intelligenz ist die, die Sie mitbringen; der lokale Tool-Server, mit dem sie sprechen kann, ist loopback-only und standardmäßig aus.
Keine Abfragen in Ihrem Namen
Wissenspanels und die News-Startseite sind in Maximum auf Code-Ebene abgeschaltet, es wird also kein Dritter darüber befragt, was Sie tippen, über die Suche hinaus, die Sie ausdrücklich ausführen.
Keine Telemetrie, kein Feedback
Keine Analytik, keine Crash-Beacons, kein Feedback-Bereich, kein Konto. Es ist schlicht kein Code mehr übrig, der über Sie nach Hause telefoniert.
Wo die Garantien enden.
Sicherheit ist kein Marketing. Maximum hebt die Kosten, Sie zu tracken, ein gutes Stück, und die ehrliche Art, das zu verkaufen, ist, die Kanten genau dort zu ziehen, wo der Code sie zieht.
Es ist nicht der Tor Browser
Der Tor Browser liefert eine gepatchte Engine, abgestimmt auf einen einheitlichen Fingerprint. Maximum nutzt Apples WebKit, seine Verteidigungen sind also Shims, injiziert vor den Skripten der Seite: stark gegen Tracker, aber ein entschlossenes Skript kann Shims erkennen, und Module-Worker und Fingerprinting auf TLS-Ebene liegen jenseits dessen, was irgendeine WebKit-App erreichen kann. Für die allerhärtesten Bedrohungsmodelle bleibt der Tor Browser die Referenz, und wir sagen das.
Einige Fingerprint-Bits bleiben
Auslesungen sind gefarbelt, aber ein Skript, das die echte Geometrie eines Vollbreitenelements misst oder den Accept-Language-Header liest, gewinnt weiterhin Bits (der Header pinnt ab dem nächsten Start nach der Installation auf en-US). Die Zeitzonen-Maske deckt die APIs ab, die Tracker nutzen, nicht jeden Datums-String. Und weil das Rauschen pro Lesevorgang frisch gezogen wird, unterscheiden sich zwei Lesevorgänge, was stabile Identifikatoren besiegt, um den Preis, selbst erkennbar zu sein. Letterboxing und Maskierung verengen die Fläche; nur eine modifizierte Engine schließt sie.
Das OS behält einige Notizen
Der Amnesie-Modus und der Provenienz-Strip decken ab, was die App und der Finder aufzeichnen. System-Crash-Reports und die macOS-Quarantäne-Datenbank werden außerhalb der Reichweite der App geschrieben, und amnesisches Löschen ist Entfernen, keine sichere Löschung. FileVault ist die Gegenmaßnahme für beides, und genau deshalb prüft der Selbsttest es und warnt, statt etwas vorzuspielen.
Tor ist Tor
Sie erben Tors eigenes Modell: Ein bösartiger Exit kann unverschlüsselten Traffic sehen (also bei HTTPS und .onion bleiben), und Tor ist langsamer als das klare Web. Captive Portals, die ein Clearnet-Hallo brauchen, lassen sich aus Maximum heraus gar nicht anmelden. Die Edition ist lieber langsam und privat als schnell und nachverfolgbar.
Es schützt Searxly, nicht den ganzen Mac
Der Kill-Switch ist das eigene Gate der App, keine systemweite Firewall: Andere Apps auf der Maschine behalten ihre eigenen Verbindungen und treffen ihre eigenen Entscheidungen. Wenn Sie jeden Prozess auf dem Mac durch Tor zwingen müssen, ist das ein Werkzeug auf Betriebssystem-Ebene, und kein Browser sollte behaupten, eines zu sein.
Die Aktivierung ist ein Clearnet-Aufruf
Einen frischen Lizenzschlüssel zu binden ist ein einziger HTTPS-Aufruf an unseren Server, mit dem Schlüssel und einem gesalzenen Hash einer Hardware-Kennung, von Ihrer echten IP, und die Zahlung läuft über Stripes Schienen. Wir speichern die E-Mail nur als Hash, aber ein Kauf und ein Maschinen-Hash können über die Zahlungsunterlagen in Beziehung gesetzt werden; wir sagen Ihnen das lieber, als etwas anderes vorzugeben. Einen gebundenen Schlüssel zu reaktivieren, und alles andere, was die App je tut, ist von unserer Seite aus offline.
Updates fließen noch nicht
Der Tor-geroutete, signaturverifizierte Update-Kanal ist in die App eingebaut, aber sein Feed ist nicht veröffentlicht: Ein ausgelieferter Maximum-Build aktualisiert sich heute nicht selbst, und neue Versionen werden von Hand von der Download-Seite installiert. Für ein Sicherheitsprodukt ist das eine echte Lücke, wir behandeln sie als eine, und diese Seite ändert sich an dem Tag, an dem der Kanal öffnet.
Gebaut, damit es nichts zu vertrauen gibt.
Immer an, fail-closed und offen zur Prüfung. Sehen Sie den Überblick und den Preis, oder lesen Sie, wie der Rest der Architektur gebaut ist, jede Schicht auf dieselbe ehrliche Art dokumentiert.
Jetzt verfügbar · kein Konto · keine Telemetrie · Engine-Quellcode zur Prüfung veröffentlicht