Hi ha una frase que repetim sovint, quan parlem de Cashfulness.
«No veiem els teus documents.»
És una frase fàcil de dir. Moltes aplicacions la diuen.
El punt és què hi ha darrere d'aquesta frase. Perquè «no els mirem» i «no els podem mirar» són dues promeses molt diferents.
La primera és una promesa de bona voluntat: confiem que tu no ho facis.
La segona és una promesa d'impossibilitat: encara que volguessis, no pots.
A Cashfulness, pel que fa als documents que puges, val la segona. I la paraula tècnica que la fa certa es diu xifratge d'extrem a extrem.
En anglès la trobaràs abreujada com a E2EE, de end-to-end encryption: xifratge «d'un extrem a l'altre».
Sé que sona a informàtics. T'ho prometo: en acabar aquest article ho hauràs entès encara que mai a la vida hagis escrit una sola línia de codi. I hauràs entès per què, per a una aplicació on guardes les xifres de casa teva, és una decisió que ho canvia tot.
Primer, les paraules justes
Comencem pel verb. Xifrar un fitxer vol dir transformar-lo en una seqüència il·legible.
No amagar-lo darrere d'una contrasenya que pregunta «deixa'm entrar». Transformar-lo de debò: agafar el text, els números, les imatges, i reduir-los a un bloc de caràcters que no vol dir res per a qui no té la clau correcta.
La cosa que retorna aquest bloc a la forma llegible es diu clau. És un tros d'informació — pensa-hi com una contrasenya molt, molt llarga i generada per l'ordinador — sense la qual el fitxer queda com a soroll.
Xifres amb la clau. Desxifres amb la clau. Sense clau, mur.
Recorda aquestes dues paraules — xifrar i clau — perquè tota la resta gira al voltant d'on viu la clau.
La caixa forta al banc
Posaré l'exemple que, al meu parer, ho aclareix tot.
Coneixes les caixes fortes del banc? Aquelles on la gent hi posa documents importants, algunes joies, les coses que no volen tenir a casa.
Funcionen així.
El banc et dona una cambra cuirassada, vigilada, a prova de lladres. Allà dins hi ha la teva caixa.
Però la clau de la teva caixa la tens tu. Només tu.
El banc custodia la cambra. No pot obrir la teva caixa. No té la clau. Si demà un empleat deshonest volgués tafanejar, no podria: el pany no s'obre sense la teva clau. Si hi entressin lladres i s'enduguessin tota la cambra, es trobarien amb una caixa metàl·lica tancada que no saben com obrir.
El banc t'ofereix un servei — la seguretat de la cambra — sense pretendre l'accés al que hi poses dins.
El xifratge d'extrem a extrem és exactament això, aplicat als fitxers digitals.
Cashfulness és el banc: t'ofereix la cambra, és a dir, els nostres servidors on es custodien els teus documents.
Tu ets l'únic que té la clau de la caixa.
I nosaltres, com el banc, custodiem sense poder obrir.
Què passa, a la pràctica, quan puges un document
Posem que vols guardar dins de Cashfulness l'extracte del banc, una factura de la llum, el contracte de lloguer, una pòlissa.
Aquests són els documents que pots pujar a Cashfulness: extractes, factures, contractes, pòlisses. Coses plenes de dades teves — nom complet, adreça, IBAN, imports, contraparts.
Aquí tens la seqüència.
Tu tries el fitxer des del telèfon o l'ordinador.
Abans que surti, encara al teu dispositiu, el document es xifra. Es converteix en aquell bloc de soroll de què parlava.
Només després, ja xifrat, viatja cap als nostres servidors.
Al servidor hi arriba soroll. Al servidor hi queda soroll.
Quan ets tu qui vol tornar-lo a llegir, el document torna al teu dispositiu encara xifrat, i allà — només allà, amb la teva clau — torna a ser llegible.
El moment del xifratge és la part important: passa a casa teva, abans de la sortida. No «un cop arribat al servidor, el tanquem amb clau nosaltres per tu». Això seria el banc que guarda una còpia de la teva clau al calaix del director.
No. La clau no l'hem tinguda mai. Neix amb tu i es queda amb tu.
On viu la teva clau
Pregunta justa, en aquest punt: i si perdo aquesta beneïda clau? On la guardo?
La clau dels teus documents neix de dues coses teves.
La primera és la teva contrasenya, amb la qual entres a Cashfulness.
La segona és una seqüència de 24 paraules que reps quan actives aquesta protecció. És un sistema usat també en altres llocs per custodiar les claus més delicades — són vint-i-quatre paraules comunes, en un ordre determinat, que juntes funcionen com una clau mestra de recuperació.
D'aquestes dues coses, al teu dispositiu, es construeix la clau que xifra i desxifra els teus documents.
I aquí ve el punt que val tot l'article: aquella clau no surt mai del teu dispositiu.
No transita pels nostres servidors. No la desem enlloc. No la veiem passar.
És com si la clau de la caixa es forgés dins de casa teva, per tu, i no en sortís mai. El banc no l'ha vist mai, ni un instant.
Per als nostres servidors, ho repeteixo, cada document teu és i continua sent un bloc de soroll digital.
Qui no pot llegir els teus documents (és a dir: tothom menys tu)
Provaré de ser explícit, perquè normalment és aquí on una promesa de privacitat o s'aguanta o es desinfla.
Els teus documents pujats no els podem llegir nosaltres, que hem construït Cashfulness. No hi ha cap panell enlloc on un tècnic nostre obri la teva pòlissa. Tècnicament no existeix, perquè no tenim la clau.
No els pot llegir qui gestiona els servidors on corren les dades.
No els podria llegir un atacant que algun dia violés els nostres sistemes i s'ho endugués tot: es trobaria amb soroll a les mans, fitxers inutilitzables.
I no els podríem lliurar llegibles ni tan sols si una autoritat ens els demanés formalment, perquè no els tenim en clar. Només podem lliurar el soroll que custodiem.
La frase «no veiem els teus documents», en aquest punt, deixa de ser una amable garantia.
Es converteix en una descripció tècnica d'un fet.
No els veiem perquè no podem. És diferent.
L'altra cara de la moneda (i vull dir-t'ho jo, primer)
Una protecció tan estreta té un preu, i seria deshonest amagar-lo.
Si perds la teva contrasenya i perds també les teves 24 paraules de recuperació, els teus documents esdevenen il·legibles. Per sempre. Fins i tot per a nosaltres.
No hi ha un botó de «ho he oblidat tot, torneu-me els fitxers». No existeix cap tècnic nostre que pugui entrar per la finestra i recuperar-los per tu.
Tornem a la caixa del banc: si perds la teva clau i ningú més en té una còpia, dins de la caixa tot hi queda, però ja no l'obre ningú.
Entenc que dit així pugui generar una mica d'ansietat. Però mira-t'ho des de l'altra banda, que és el motiu pel qual ho hem triat.
Si existís enlloc una «còpia de seguretat» de la teva clau — al nostre servidor, al calaix del director — aquella còpia seria el punt feble de tot el sistema. Seria la primera cosa que buscaria un atacant. Seria la porta que una autoritat ens podria demanar d'obrir. Seria el fitxer que un empleat deshonest podria copiar-se.
Una clau que només existeix al teu dispositiu, aquella porta, senzillament, no l'obre.
Hem triat donar-te el control sencer — amb el pes que comporta — en lloc de guardar-nos una drecera que, tard o d'hora, hauria esdevingut el forat al dic.
El gest pràctic que et demanem a canvi és un de sol: custodia les teves 24 paraules com custodiaries l'escriptura de propietat de casa teva. Escrites, en un lloc segur, lluny d'ulls aliens. No en un correu a tu mateix, no en una nota al telèfon. Aquelles 24 paraules són la còpia de reserva de la teva clau. Guarda-les com guardes les coses que compten.
Una precisió honesta: l'E2EE aquí cobreix els documents
No et vull vendre més del que hi ha, perquè seria el contrari de tot aquest article.
El xifratge d'extrem a extrem del qual t'he parlat protegeix els documents que puges: extractes, factures, contractes, pòlisses. Aquests són la capa més delicada, i és allà on hem posat el pany més estret.
Les teves dades comptables pròpiament dites — els comptes, els saldos, els moviments que formen la teva situació, és a dir el teu patrimoni net — segueixen en canvi una lògica diferent.
Viuen en una base de dades nostra, en servidors europeus, i estan en clar al costat del servidor. És una decisió tècnica necessària: fan falta per mantenir la teva comptabilitat alineada entre el telèfon i l'ordinador, i per calcular en temps real les mètriques que et mostrem. Xifrar-les de la mateixa manera exacta que els documents faria que l'aplicació fos lentíssima i, de fet, inutilitzable.
Però — i aquí hi ha la part que molts no s'esperen — aquells números viatgen sense la teva biografia enganxada.
Quan et registres et demanem un sobrenom (el que vulguis, fins i tot inventat), un correu i una contrasenya. No et demanem nom, cognoms, DNI, data de naixement, adreça, telèfon.
Així, fins i tot qui tingués accés a la base de dades veuria un cert sobrenom amb uns comptes, uns saldos, uns moviments — però sense cap manera de lligar aquells números a la persona real que ets tu.
Sobre com funciona aquesta segona capa, i per què l'hem construïda en dos nivells en lloc d'un, hi ha un article dedicat: Privacitat radical: dos nivells, una sola promesa. Aquí m'aturo, perquè el tema d'avui és la clau de la caixa.
El punt que em volia fixar és aquest: quan diem que el xifratge d'extrem a extrem et fa il·legibles els documents, parlem dels documents. Per a la resta hi val una protecció diferent, igualment seriosa. I prefereixo dir-t'ho jo amb precisió, en lloc de deixar-te creure en un xifratge màgic que ho cobreix tot.
Per què ens hi hem esforçat, fins a aquest punt
Podria acabar aquí, en la tècnica. Però la tècnica, tota sola, no és el motiu.
El motiu és que les finances personals són el lloc on guardes les coses de què no parles de gust ni amb els amics. Quant guanyes realment. Quant has estalviat, o que poc. Un deute que pesa.
Si nada més obrir una aplicació d'aquest tipus et queda al fons el dubte que algú, en algun lloc, pugui fer una ullada, aquella aplicació no et donarà mai allò per què existeix.
Nosaltres, aquella cosa, l'anomenem calma. The calm side of money, el costat calmat dels diners. I la calma, si els teus números no estan realment segurs, és només una paraula al web.
El xifratge d'extrem a extrem dels documents no és un trofeu tècnic per a l'aparador. És el terra on descansa tota la resta: sense ell, les mètriques i la situació són mobles recolzats sobre el buit.
Per això l'hem escrita als fonaments, no afegida després com un interruptor més.
En una línia
Te la deixo en la forma més curta que tinc.
Els teus documents els tanques en una caixa. La clau de la caixa només la tens tu, i mai no surt del teu dispositiu. Nosaltres custodiem la caixa tancada, i no la podem obrir.
No perquè hàgim promès ser bons.
Perquè ens hem tret, a posta, la possibilitat de no ser-ho.
— Vittorio