MerGeN - Secure CommunicationsMerGeN - Secure Communications

MERGEN is a secure communications ecosystem that addresses critical corporate communications by bringing together the device, application and transmission layers under a single security approach. Instead of a general-purpose phone, it provides a controlled device environment: it is built on streamlined Android with telemetry, GMS and advertising components removed, GSM/Bluetooth/NFC and USB data transfer restricted, and controlled connectivity established only through Wi-Fi/hotspot. The ecosystem consists of 3 components: Android reinforced with restricted services and device interfaces, a Dart-based secure mobile client providing local encryption and protection during operation, and an encrypted Go transmission layer that only forwards messages without reading their content.

When a message is sent, its content is first encrypted on the sender's device using AES-256-GCM; transaction-specific authentication is performed with RSA-4096 and mTLS; the Go server only forwards the encrypted content without reading it; and the recipient device verifies and decrypts the content locally. The message queue does not rely on persistent disk storage: if the recipient is online, the encrypted message is forwarded directly; if the recipient is offline, it is held in a temporary, encrypted RAM queue, and this temporary queue is cleared after delivery. Users communicate through one-to-one messaging, group chats and 30-second push-to-talk (there is no voice calling feature); when a message is deleted on one side, it is also deleted on the other side. There is no limit on the number of participants in group chats, only the group creator can see the participants' usernames, and when a participant deletes a group, the group is removed entirely.

Data retention periods are defined separately according to content type: voice messages are automatically deleted from both devices after they are listened to, all messages are automatically deleted after 12 hours, and messages intended for retention can be kept for up to 45 days in the saved messages section. Client-side protection continues not only during connection establishment but also during use: RASP monitors for signs of debugging, hooking tools and application tampering, and the application is locked or the protection flow is triggered when defined threats are detected; code analysis is made more difficult through a Dart AOT client and obfuscated binaries. Screenshots and screen recordings are blocked within the application, all application data is automatically deleted after 3 incorrect password entries, and when the password is entered in reverse, the data is deleted while the application appears to remain normally usable. When spyware interference with the application database is detected, or when advanced recovery modes accessed through the side buttons are attempted, the data is deleted immediately. Management teams can perform remote deletion, remote destruction and send bulk announcements to users from the admin phone.

MERGEN has undergone repeated testing during its 5-year development process; data could not be recovered in the forensic data recovery test conducted with Cellebrite UFED, and the product is open to retesting. The product supports Google Pixel 4 and later, Samsung devices running Android 10 and later, and Xiaomi's current devices; it offers an ordinary and unobtrusive interface design. The test results shared in the presentation reflect the product's actual test results; the server structure can be examined directly, and push-to-talk, group chats and admin operations can be evaluated through the customer's own tests.

Sunucu tarafında veri bulunmaz. Go sunucusu mesaj içeriğini göremeyen kör bir aktarıcıdır: yalnızca şifreli ikili veri görür, kayıt tutmaz ve diske hiçbir şey yazmaz. Alıcı çevrimdışıysa mesaj geçici olarak şifreli RAM önbelleğinde bekler, teslimattan hemen sonra silinip üzerine yazılır; sunucunun elektriği kesilirse bekleyen veriler anında yok olur. Sesli iletişim şifreli P2P bağlantı (UDP/SRTP) ile doğrudan cihazlar arasında iletilir ve ses verisi sunucudan hiç geçmez. Böylece sunucu ele geçirilse bile elde edilebilecek hiçbir veri yoktur. Sunucu, dış bağımlılığı olmayan tek bir statik Go ikilisidir; harici veritabanı gerektirmez ve kurumun kendi altyapısına saniyeler içinde kurulabilir.

Uygulama kendini aktif olarak savunur. Çalışma anı uygulama koruması (RASP), hata ayıklayıcıları, Frida gibi kanca araçlarını ve kurcalama girişimlerini sürekli tarar; casus yazılımların uygulamalara sızmak için kullandığı bu yöntemlerden biri algılandığında MERGEN kendini kilitler veya verilerini imha eder. Uygulamanın veritabanına müdahale edildiği ya da telefonun ileri kurtarma modlarıyla erişilmeye çalışıldığı algılandığında da veriler anında silinir. Uygulama içinde ekran görüntüsü ve ekran kaydı engellenir. Dart istemci doğrudan yerel ARM koduna derlenir, şifreleme gecikmesi yaklaşık 5 milisaniyedir ve kod tersine mühendisliğe karşı yoğun biçimde gizlenmiştir; Go sunucusu da kontrol akışı düzleştirme ve sembol temizleme ile sertleştirilmiştir, çalınsa bile içinden mantık ya da gizli bilgi çıkarılamaz.

Telefon ele geçirilse bile MERGEN verisi kurtarılamaz. Telefonun güvenli bölgesinde (TEE) tutulan ana anahtarları bir saniyenin altında yok ederek tüm uygulama verilerini geri döndürülemez hale getirir. Baskı altında girilen ters parola uygulamayı normal şekilde açarken arka planda verileri sessizce siler; üç yanlış parola girişinde de tüm uygulama verileri otomatik silinir. Okunduktan sonra yok olan mesajlar, otomatik eski veri temizliği ve yönetici telefonundan uzaktan silme ile adli iz bırakılmaz; uygulamanın şifreli verisi ham hâlde boş alandan ayırt edilemeyen rastgele gürültü olarak görünür. Cellebrite UFED ile yapılan adli veri kurtarma testlerinde MERGEN verisinden hiçbir şey kurtarılamamıştır. MERGEN; kurumların kritik iletişimini yabancı istihbarata ve veri sızıntısına karşı koruyan, siber egemenlik stratejileriyle uyumlu, bağımsız ve sunucusunda veri tutmayan bir iletişim altyapısı sunar.