Postoji rečenica koju često ponavljamo kad govorimo o Cashfulnessu.
„Ne vidimo tvoje dokumente.“
To je rečenica koju je lako izgovoriti. Mnoge aplikacije je izgovaraju.
Poenta je šta stoji iza te rečenice. Jer „ne gledamo ih“ i „ne možemo ih gledati“ su dva vrlo različita obećanja.
Prvo je obećanje dobre volje: vjeruješ nam da to nećemo učiniti.
Drugo je obećanje nemogućnosti: čak i da hoćemo, ne možemo.
U Cashfulnessu, kada je riječ o dokumentima koje učitaš, vrijedi ovo drugo. A tehnički pojam koji to čini istinitim zove se end-to-end enkripcija (end-to-end encryption).
Skraćeno se piše E2EE.
Znam da to zvuči informatičarski. Obećavam: do kraja ovog članka ćeš to razumjeti, čak i ako u životu nisi napisao/la nijedan red koda. I shvatit ćeš zašto je za aplikaciju u kojoj čuvaš brojke svog doma to izbor koji mijenja sve.
Prvo, prave riječi
Krenimo od glagola. Enkriptovati neki fajl znači pretvoriti ga u nečitljiv niz znakova.
Nije riječ o skrivanju iza lozinke koja pita „pusti me unutra“. Nego o pravoj transformaciji: uzmeš tekst, brojke, slike, i svedeš ih na blok znakova koji ne znače ništa za onoga ko nema pravi ključ.
Ono što taj blok vraća u čitljiv oblik zove se ključ. To je komad informacije — zamisli ga kao vrlo, vrlo dugu lozinku koju generiše računar — bez koje fajl ostaje šum.
Enkriptuješ ključem. Dekriptuješ ključem. Bez ključa, to je zid.
Zapamti ove dvije riječi — enkriptovati i ključ — jer se sve ostalo vrti oko toga gdje živi ključ.
Sef u banci
Navest ću primjer koji, po meni, sve razjašnjava.
Znaš li za sefove u bankama? One gdje ljudi drže važne dokumente, poneki nakit, stvari koje ne žele čuvati kod kuće.
Funkcionišu ovako.
Banka ti daje oklopljeni trezor, pod nadzorom, otporan na lopove. Unutra je tvoj sef.
Ali ključ tvog sefa imaš ti. Samo ti.
Banka čuva trezor. Ne može otvoriti tvoj sef. Nema ključ. Ako bi sutra neki nepošten zaposlenik htio zaviriti, ne bi mogao: brava se ne otvara bez tvog ključa. Ako bi ušli lopovi i odnijeli cijeli trezor, u rukama bi im ostala zatvorena metalna kutija koju ne znaju otvoriti.
Banka ti nudi uslugu — sigurnost trezora — a da pritom ne traži pristup onome što staviš unutra.
End-to-end enkripcija je tačno to, primijenjeno na digitalne fajlove.
Cashfulness je banka: nudi ti trezor, odnosno naše servere gdje se čuvaju tvoji dokumenti.
Ti si jedina osoba koja ima ključ sefa.
A mi, kao banka, čuvamo, a da ne možemo otvoriti.
Šta se, konkretno, dešava kad učitaš dokument
Recimo da želiš da unutar Cashfulnessa čuvaš izvod iz banke, račun za struju, ugovor o zakupu, policu osiguranja.
To su dokumenti koje možeš učitati u Cashfulness: izvodi iz banke, računi, ugovori, police. Puno tvojih ličnih podataka — puno ime i prezime, adresa, IBAN, iznosi, druge strane u ugovoru.
Evo redoslijeda.
Ti odabereš fajl na telefonu ili računaru.
Prije nego što krene, još uvijek na tvom uređaju, dokument se enkriptuje. Postaje onaj blok šuma o kojem sam govorio.
Tek nakon toga, već enkriptovan, putuje ka našim serverima.
Na server stigne šum. Na serveru ostaje šum.
Kada ti želiš da ga ponovo pročitaš, dokument se vraća na tvoj uređaj još uvijek enkriptovan, i tamo — samo tamo, s tvojim ključem — ponovo postaje čitljiv.
Trenutak enkripcije je važan dio: dešava se kod tebe, prije nego što fajl krene. Ne „kad stigne na server, mi ga zaključamo umjesto tebe“. To bi bila banka koja u ladici direktora čuva kopiju tvog ključa.
Ne. Ključ nikad nemamo mi. Nastaje kod tebe i ostaje kod tebe.
Gdje živi tvoj ključ
Logično pitanje u ovom trenutku: a šta ako izgubim taj prokleti ključ? Gdje ga čuvam?
Ključ tvojih dokumenata nastaje iz dvije tvoje stvari.
Prva je tvoja lozinka, ona kojom ulaziš u Cashfulness.
Druga je niz od 24 riječi koje dobiješ kad aktiviraš ovu zaštitu. To je sistem koji se koristi i drugdje za čuvanje najosjetljivijih ključeva — riječ je o dvadeset i četiri obične riječi, u određenom redoslijedu, koje zajedno vrijede kao glavni ključ za oporavak.
Iz ove dvije stvari, na tvom uređaju, gradi se ključ koji enkriptuje i dekriptuje tvoje dokumente.
I tu je poenta zbog koje vrijedi cijeli ovaj članak: taj ključ nikad ne napušta tvoj uređaj.
Ne prolazi kroz naše servere. Ne čuvamo ga nigdje. Ne vidimo ga kako prolazi.
Kao da je ključ sefa iskovan kod tebe kod kuće, od tebe, i nikad nije izašao odatle. Banka ga nikad nije vidjela, ni na trenutak.
Za naše servere, ponavljam, svaki tvoj dokument je i ostaje blok digitalnog šuma.
Ko ne može čitati tvoje dokumente (odnosno: svi osim tebe)
Pokušat ću biti eksplicitan, jer je obično tu tačka gdje obećanje o privatnosti ili izdrži ili se raspadne.
Tvoje učitane dokumente ne možemo čitati mi koji smo napravili Cashfulness. Ne postoji nigdje neka kontrolna tabla gdje naš tehničar otvara tvoju policu osiguranja. Tehnički to ne postoji, jer nemamo ključ.
Ne mogu ih čitati ni oni koji upravljaju serverima na kojima podaci žive.
Ne bi ih mogao pročitati ni napadač koji bi sutra provalio u naše sisteme i odnio sve: u rukama bi mu ostao šum, neupotrebljivi fajlovi.
I ne bismo ih mogli predati čitljive čak ni da ih neka vlast formalno zatraži, jer ih nemamo u čitljivom obliku. Možemo predati samo šum koji čuvamo.
Rečenica „ne vidimo tvoje dokumente“, u ovom trenutku, prestaje biti ljubazno umirivanje.
Postaje tehnički opis činjenice.
Ne vidimo ih jer ne možemo. To je razlika.
Naličje medalje (i želim to reći ja, prvi)
Ovako stroga zaštita ima svoju cijenu, i bilo bi nepošteno to skrivati.
Ako izgubiš svoju lozinku i izgubiš i svoje 24 riječi za oporavak, tvoji dokumenti postaju nečitljivi. Zauvijek. Čak i za nas.
Ne postoji dugme „zaboravio/la sam sve, pošaljite mi fajlove nazad“. Ne postoji naš tehničar koji bi mogao ući kroz prozor i vratiti ti ih.
Vratimo se sefu u banci: ako izgubiš svoj ključ i niko drugi nema kopiju, unutar sefa ostaje sve, ali ga više niko ne otvara.
Razumijem da ovako izneseno može izazvati malo nemira. Ali pogledaj to i s druge strane, koja je zapravo razlog zašto smo se tako odlučili.
Da negdje postoji „sigurnosna kopija“ tvog ključa — na našem serveru, u ladici direktora — ta kopija bi bila slaba tačka cijelog sistema. Bila bi prva stvar koju bi napadač tražio. Bila bi vrata koja bi nam neka vlast mogla tražiti da otvorimo. Bila bi fajl koji bi mogao kopirati nepošten zaposlenik.
Ključ koji postoji samo na tvom uređaju ta vrata jednostavno ne otvara.
Odabrali smo da ti damo potpunu kontrolu — s težinom koju ona nosi — umjesto da zadržimo prečicu koja bi prije ili kasnije postala rupa u brani.
Praktičan gest koji tražimo zauzvrat je samo jedan: čuvaj svoje 24 riječi kao što bi čuvao/la vlasnički list stana. Zapisane, na sigurnom mjestu, daleko od tuđih očiju. Ne u mejlu samom sebi, ne u bilješci na telefonu. Tih 24 riječi jesu rezervna kopija tvog ključa. Čuvaj ih kao stvari koje su ti zaista bitne.
Jedno iskreno pojašnjenje: end-to-end enkripcija ovdje pokriva dokumente
Ne želim ti prodati više nego što stvarno postoji, jer bi to bilo suprotno svemu što je rečeno u ovom članku.
End-to-end enkripcija o kojoj sam ti govorio štiti dokumente koje učitaš: izvode iz banke, račune, ugovore, police. To je najosjetljiviji nivo, i tu smo stavili najstrožu bravu.
Tvoji pravi računovodstveni podaci — konti, salda, transakcije koje čine tvoju tačku broda, odnosno tvoju neto vrijednost — slijede drugačiju logiku.
Žive na našoj bazi podataka, na evropskim serverima, i na serveru su čitljivi. To je nužan tehnički izbor: potrebni su da bi tvoje knjigovodstvo ostalo usklađeno između telefona i računara, i da bismo u realnom vremenu izračunali metrike koje ti prikazujemo. Da ih enkriptujemo na isti način kao dokumente, aplikacija bi bila veoma spora i, praktično, neupotrebljiva.
Ali — i tu je dio koji mnogi ne očekuju — te brojke putuju bez tvoje biografije prikačene za njih.
Kad se registruješ, tražimo od tebe nadimak (koji god želiš, može biti i izmišljen), email i lozinku. Ne tražimo ime, prezime, JMBG, datum rođenja, adresu, telefon.
Tako bi, čak i neko ko bi imao pristup bazi podataka, vidio određeni nadimak s kontima, saldima, transakcijama — ali bez načina da te brojke poveže sa stvarnom osobom koja si ti.
O tome kako funkcioniše ovaj drugi sloj, i zašto smo ga izgradili na dva nivoa umjesto na jednom, postoji poseban članak: Radikalna privatnost: dva nivoa, jedno obećanje. Ovdje ću stati, jer je današnja tema ključ sefa.
Poenta koju sam htio/htjela fiksirati je ova: kad kažemo da ti end-to-end enkripcija čini dokumente nečitljivim za druge, govorimo o dokumentima. Za ostalo vrijedi drugačija zaštita, jednako ozbiljna. I radije ti to kažem precizno, nego da te ostavim da vjeruješ u neku čarobnu enkripciju koja pokriva baš sve.
Zašto nam je ovo bilo važno, sve do ove tačke
Mogao/la bih ovdje stati na tehničkom dijelu. Ali tehnika, sama po sebi, nije razlog.
Razlog je taj što je lična finansija mjesto gdje čuvaš stvari o kojima ne voliš pričati ni s prijateljima. Koliko zaista zarađuješ. Koliko si stavio/la sa strane, ili koliko malo. Dug koji te pritiska.
Ako, čim otvoriš ovakvu aplikaciju, u tebi ostane sumnja da bi neko, negdje, mogao baciti pogled, ta aplikacija ti nikad neće dati ono zbog čega postoji.
Mi tu stvar zovemo mir. The calm side of money, mirna strana novca. A mir je, ako tvoje brojke zaista nisu sigurne, samo riječ na sajtu.
End-to-end enkripcija dokumenata nije tehnički trofej za izlog. To je pod na kojem stoji sve ostalo: bez nje su metrike i tačka broda namještaj postavljen na prazninu.
Zato smo je upisali u temelje, a ne dodali naknadno kao još jedan prekidač.
U jednoj rečenici
Ostavljam ti to u najkraćem obliku koji imam.
Svoje dokumente zaključaš u sef. Ključ sefa imaš samo ti, i nikad ne izlazi s tvog uređaja. Mi čuvamo zaključan sef, i ne možemo ga otvoriti.
Ne zato što smo obećali da ćemo biti pošteni.
Nego zato što smo sebi, namjerno, oduzeli mogućnost da to ne budemo.
— Vittorio