Whospair는 Tor를 통해 메시지와 파일, 음성 통화를 휴대전화끼리 주고받는 서버리스 메신저다. 계정이나 전화번호 없이 사용할 수 있으며, Android 10 이상을 실행하는 arm64 기기용 APK로 배포된다.

Whospair 1.4.1 APK 다운로드(39MB) · 전체 릴리스

앱은 Google Play에 등록되지 않았다. 설치 전에는 앱의 설정에서 확인할 수 있는 SHA-256 서명 지문과 다운로드한 APK의 지문이 일치하는지 확인해야 한다. 프로젝트는 설치 전에 공식 앱인지 확인하는 방법으로 다음 명령을 안내한다.

apksigner verify --print-certs whospair-1.4.1.apk

제작자는 메시지가 Tor를 거쳐 상대방 기기로 직접 전달되며, 서버에 저장되지 않는다고 설명한다. 통신은 종단간 암호화를 적용하고, 메시지는 보낼 때 5분부터 7일까지 또는 만료 없음 중 보관 기간을 정할 수 있다. 상대가 앱을 열었거나 ‘Stay reachable’를 켠 경우에 메시지가 전달되며, ‘마지막 접속’ 상태는 제공하지 않는다.

음성 메모와 최대 25MB 파일 전송, 확인된 연락처 사이의 Tor 음성 통화를 지원한다. 앱은 PIN 잠금을 요구하며, PIN을 10회 틀리거나 별도로 설정한 강압 PIN을 입력하면 데이터를 지운다. 메시지와 파일은 양쪽이 동의하면 두 기기에서 함께 삭제할 수도 있다.

설치 후 업데이트는 연락처 또는 업데이트 배포자를 통해 Tor로 전달된다. 개발자가 각 버전에 서명하고 앱이 서명을 확인한 뒤 다운로드하며, 안드로이드도 설치 시 APK 서명을 확인한다. 새 버전은 휴대전화가 업데이트를 알게 된 지 5일 후 의무화되고, 업데이트된 앱은 설치 5일 후 이전 버전과의 통신을 중단한다.

제작자는 Whospair가 기기 안의 정보와 전송 중인 내용을 보호하지만, 악성코드에 감염된 기기나 잠금이 풀린 채 다른 사람 손에 있는 기기는 보호하지 않는다고 밝힌다. 통신사는 해당 기기가 Tor를 사용한다는 사실은 볼 수 있지만, 누구와 통신하는지 또는 어떤 내용을 주고받는지는 볼 수 없다고 설명한다. 알려진 설계 한계는 보안 문서, 개인정보 문서, 프로토콜 문서에서 확인할 수 있다.

코드는 공개돼 있지만, 프로젝트는 오픈소스가 아닌 ‘소스 공개’ 방식으로 배포된다. PolyForm Strict License 1.0.0에 따라 재배포와 수정은 허용되지 않는다. 공식 앱은 누구나 어떤 목적으로든 사용할 수 있다. 프로젝트 저장소