`ui/launch.py` يرشدك خلال بدء خادم أو الاتصال بأحدها.

---

### الخيار ب - إذا لم يتم تثبيت بايثون بعد

| المنصة | شغل هذا أولاً |
|---|---|
| Linux / macOS / Termux / iSH | `sh install/install.sh` |
| Windows | `install\install.bat` |

كلا البرنامجين النصيين يقومان بتثبيت بايثون إذا كان مفقودًا، ثم يحولان المهمة إلى `setup.py` تلقائيًا.

---

### الخيار ج - يدوي```bash
# 1. Install dependencies
pip install cryptography PyNaCl

# 2. On the server machine — generate the access key
python noeyes.py --generate-access-key
# Prints an access code hex string — share with clients via USB

# 3. On a client machine — generate chat.key from the access code
python noeyes.py --generate-chat-key <ACCESS_CODE_HEX> --key-file ./chat.key
# Distribute chat.key to all other clients via USB. Never put it on the server.

# 4. Start the server (does NOT need the key file)
python noeyes.py --server --port 5000

# Start without bore tunnel (LAN / static IP / custom tunnel)
python noeyes.py --server --port 5000 --no-bore

# Start without adding a firewall rule (not needed when using bore tunnel)
python noeyes.py --server --port 5000 --no-firewall

# 5. Connect clients - each person needs their own identity file
python noeyes.py --connect SERVER_IP --port 5000 --username alice --key-file ./chat.key --identity-path ~/.noeyes/identity_alice.key
python noeyes.py --connect SERVER_IP --port 5000 --username bob   --key-file ./chat.key --identity-path ~/.noeyes/identity_bob.key

**أذونات التخزين** - سيفشل نقل الملفات بدون هذا:```bash
termux-setup-storage

تصدر الأصوات من مجلد `sfx/`. ضع ملفات `.wav` أو `.mp3` أو `.ogg` أو `.aiff` أو `.flac` أو `.m4a` مسماة حسب الوسم (مثال: `sfx/danger.wav`). يرجع إلى جرس الطرفية إذا لم يُعثر عليها. استخدم `/notify off` لتعطيل جميع الأصوات.

---

## البنية

> 🗺️ **[خريطة الأمان التفاعلية الحية](https://ymsniper.github.io/NoEyes/)** — تفصيل مرئي لهندسة التشفير الكاملة، نموذج التهديد، والتوجيه بدون بيانات وصفية في رسم تخطيطي تفاعلي.```
┌──────────────────────────────────────────────────────────────────────┐
│  Alice ──────────────────────────────────────────── Bob              │
│    │          Encrypted payload (opaque)              │              │
│    │                      │                           │              │
│    └────────────► SERVER ─┴◄──────────────────────────┘              │
│                      │                                               │
│            Zero-metadata blind forwarder:                            │
│            routes by opaque inbox tokens only                        │
│            { "to": "3f9a1c...", "type": "privmsg" }                  │
│            forwards encrypted bytes verbatim                         │
└──────────────────────────────────────────────────────────────────────┘

WHAT THE SERVER SEES:              WHAT THE SERVER NEVER SEES:
  · Encrypted bytes it can't read    · Usernames or display names
  · Opaque inbox tokens (blake2s)    · Room names
  · Opaque room tokens (blake2s)     · Who is messaging whom
  · Frame byte length                · Message content
  · Connection timing                · File contents
                                     · Ed25519 public keys
                                     · DH key exchange values

يقوم الخادم بتوجيه جميع الإطارات بواسطة هذه الرموز فقط. لا يخزن أبدًا أسماء العرض أو أسماء الغرف أو المفاتيح العمومية. تنتقل هوية المرسل **داخل** الحمولة المشفرة (مرسل مغلق)، وليس في عنوان التوجيه.

### سلسلة اشتقاق المفاتيح```
chat.key (shared secret)
    │
    ├─ BLAKE2b("general") ──► room_key["general"]   (isolated per room)
    ├─ BLAKE2b("dev")     ──► room_key["dev"]
    └─ BLAKE2b("ops")     ──► room_key["ops"]

X25519 DH (per user pair, automatic on first /msg)
    alice_ephemeral + bob_ephemeral ──► shared_secret
                                              │
                                           BLAKE2b
                                              │
                                       pairwise_key    (private messages)
                                              │
                                  BLAKE2b(transfer_id) ──► chacha20_key   (files)

كل ملف هوية يحصل على ملح عشوائي فريد، جداول قوس قزح عديمة الفائدة.

---

## ملخص الأمان

| الطبقة | الآلية | ملاحظات |
|---|---|---|
| السرية التامة للأمام (الترس) | مفاتيح المرسل — سلسلة BLAKE2b KDF + XSalsa20-Poly1305 لكل رسالة | مفتاح فريد لكل رسالة، تقدم سريع للرسائل الفائتة |
| الدردشة الجماعية | XSalsa20-Poly1305 (PyNaCl secretbox) | مفتاح لكل غرفة عبر BLAKE2b |
| الرسائل الخاصة | XSalsa20-Poly1305 مع مفتاح X25519 زوجي | موقعة بـ Ed25519، تم التحقق منها عبر TOFU |
| نقل الملفات | ChaCha20-Poly1305 | مفتاح لكل نقل عبر BLAKE2b، موقعة بـ Ed25519، إيقاف مؤقت/استئناف عبر إعادة الاتصالات |
| هوية المرسل | مرسل مختوم | اسم المستخدم + التوقيع داخل الحمولة المشفرة، أبدًا في رأس التوجيه |
| الهوية | زوج مفاتيح Ed25519 | ملف هوية لكل مستخدم، مشفر بكلمة مرور مع BLAKE2b + ملح عشوائي |
| اشتقاق المفاتيح | BLAKE2b (PyNaCl) | مفصولة المجال عبر معامل التخصيص، لا توجد جداول قوس قزح |
| توجيه الخادم | رموز blake2s غير شفافة | الخادم لا يخزن أبدًا أسماء المستخدمين أو أسماء الغرف أو المفاتيح العامة |
| النقل | TLS (مفعل افتراضيًا) | تثبيت شهادة TOFU، عدم تطابق البصمة يقطع الاتصال |
| تكامل DH | مفاتيح DH العامة الموقعة بـ Ed25519 | يمنع هجوم الوسيط على تبادل المفاتيح الزوجية |
| حماية إعادة التشغيل | deque معرف الرسالة لكل غرفة | الرسائل المعاد تشغيلها تُسقط بصمت |
| حماية DoS | حد الاتصال + مهلة الانضمام + تحديد المعدل | حد أقصى 200 اتصال، مهلة انضمام 10 ثوانٍ |
| عزل الغرفة | `BLAKE2b(master_key, room_name)` | معزولة تشفيريًا لكل غرفة |

### نموذج التهديد

تم تصميم NoEyes لـ **المجموعات الصغيرة الموثوقة**. يوفر حماية قوية ضد:

- مراقبي الشبكة السلبيين - جميع حركة المرور مشفرة بـ TLS + E2E
- مرحل bore.pub المخترق - يرى المرحل فقط البايتات المشفرة وتوقيت الاتصال
- آلة الخادم المخترقة - الخادم خالٍ من المعرفة، لا شيء مفيد في الذاكرة العشوائية
- هجوم الوسيط على الاتصال - تثبيت شهادة TLS + مفاتيح DH الموقعة بـ Ed25519
- سرقة جهازك - مفتاح الهوية مشفر بكلمة مرور عند التخزين
- هجمات إعادة التشغيل - حماية إعادة التشغيل لكل غرفة تعتمد على MID

---

## تشغيل خادم عبر الإنترنت (bore pub)

عند بدء تشغيل خادم NoEyes في المنزل، يحصل جهازك على عنوان IP محلي. لكي يتمكن شخص خارج شبكتك من الاتصال بك، ستحتاج عادةً إلى إعادة توجيه منفذ على جهاز التوجيه الخاص بك، وهو ما يفشل غالبًا بسبب CGNAT أو الحظر على مستوى الناقل.

**bore pub** يحل هذه المشكلة باستخدام نفق آمن من جهازك إلى مرحل عام، مما يمنح خادمك عنوانًا عامًا فوريًا دون لمس جهاز التوجيه الخاص بك.

**bore** هي أداة نفق TCP مفتوحة المصدر من [إريك تشانغ (@ekzhang)](https://github.com/ekzhang/bore). عند تشغيل خادم NoEyes، يبدأ تلقائيًا:```
bore local 5000 --to bore.pub

كل شيء لا يزال مشفرًا من طرف إلى طرف، و bore يقوم فقط بإعادة توجيه البايتات الخام.

### إعادة الاتصال التلقائي عبر تغييرات منفذ bore

يقوم bore.pub بتعيين **منفذ عشوائي عند كل إعادة تشغيل للخادم**. في العادة، هذا يعني ضرورة مشاركة العنوان مع الجميع في كل مرة. يتعامل NoEyes مع هذا تلقائيًا بثلاث طبقات استرداد:

**1. حدث الترحيل (فوري)**
عندما يعيد bore تعيين منفذ، يبث الخادم حدث `migrate` موقع إلى جميع العملاء المتصلين مع رقم المنفذ الجديد. يقوم العملاء بفصل الاتصال بصمت، وتحديث المنفذ، وإعادة الاتصال تلقائيًا. نافذة هدوء مدتها 15 ثانية تكتم ضوضاء الانضمام/المغادرة حتى لا تفلتر شاشة الدردشة.

**2. خدمة الاكتشاف (العملاء الذين فاتهم حدث الترحيل)**
إذا كان العميل غير متصل عند تغيير المنفذ، فإنه يستقصي خدمة مجانية للمفتاح-القيمة مجهولة (`keyvalue.immanuel.co`) عند كل محاولة إعادة اتصال. يقوم الخادم بنشر منفذ bore الجديد هناك تلقائيًا في كل مرة يعاد فيها تشغيل bore. مفتاح البحث مشتق من مفتاح مجموعتك، لا حاجة لحساب أو تسجيل، مجهول بالكامل.

**3. المنفذ في `auth_ok` (استرداد بعد التعطل)**
إذا فات العميل كل شيء (تعطل الخادم، لم يُبث حدث الترحيل)، يقوم الخادم بتضمين منفذ bore الحالي في استجابة المصافحة `auth_ok`. يقوم العميل بتصحيح نفسه تلقائيًا عند الاتصال الناجح التالي.

تغييرات منفذ bore.pub شفافة بالنسبة للمستخدمين. تستمر الدردشة تلقائيًا في غضون ثوان، وتتوقف عمليات نقل الملفات مؤقتًا وتستأنف من حيث توقفت.

لتعطيل الاكتشاف (إعداد معزول عن الشبكة أو مرحل خاص):```bash
python noeyes.py --connect bore.pub --port 12345 --key-file ./chat.key --no-discovery

### ملاحظات حول جدار الحماية

لا تحتاج **إلى** قاعدة جدار حماية عند استخدام bore tunnel. تحتاج إليها فقط للاتصالات المباشرة (شبكة محلية، عنوان IP ثابت، إعادة توجيه المنفذ يدويًا):```bash
python noeyes.py --server --port 5000 --no-firewall        # bore tunnel, skip firewall rule
python noeyes.py --server --port 5000 --no-bore --no-firewall  # VPS, manage firewall separately

## هيكل المشروع```
NoEyes/
├── noeyes.py              Entry point and CLI argument parser
├── requirements.txt       pip dependencies (just: cryptography)
│
├── core/
│   ├── encryption.py      All crypto: XSalsa20-Poly1305, ChaCha20-Poly1305, X25519, Ed25519, BLAKE2b
│   ├── ratchet.py         Sender Keys forward secrecy: SenderChain + RatchetState
│   ├── animation.py       CRT boot and ratchet activation animations with SFX
│   ├── sounds.py          Cross-platform sound playback (WAV/MP3, Linux/macOS/Windows)
│   ├── identity.py        Ed25519 keypair generation and TOFU pubkey store
│   ├── utils.py           Terminal output, ANSI colours, TUI chrome
│   └── config.py          Configuration loading and CLI parsing
│
├── network/
│   ├── server.py          Async zero-metadata blind-forwarder server
│   ├── client.py          Terminal chat client (E2E, DH, TOFU, file transfer)
│   ├── client_ratchet.py  RatchetMixin — /ratchet command flow, migration wait
│   ├── client_dh.py       X25519 DH handshake mixin
│   ├── client_send.py     Outgoing message encryption (static + ratchet paths)
│   ├── client_recv.py     Incoming frame routing and decryption
│   └── client_commands.py Input loop, command dispatch, help
│
├── ui/
│   ├── launch.py          Guided launcher, arrow-key menu UI
│   └── setup.py           Dependency wizard, auto-installs what's needed
│
├── install/
│   ├── install.sh         Bootstrap for Linux / macOS / Termux / iSH
│   ├── install.bat        Bootstrap for Windows (CMD and PowerShell)
│   ├── install.py         Cross-platform Python installer
│   └── uninstall.py       Remove all NoEyes dependencies for clean reinstall
│
├── docs/
│   ├── README.md          This file
│   └── CHANGELOG.md       Version history
│
├── update.py              Self-updater, pulls latest from GitHub
└── sfx/                   Notification sounds