Je jedna věta, kterou často opakujeme, když mluvíme o Cashfulness.
„Nevidíme tvé dokumenty.“
Je to věta, která se snadno říká. Říká ji spousta aplikací.
Jde ale o to, co se za tou větou skrývá. Protože „nedíváme se na ně“ a „nemůžeme se na ně podívat“ jsou dva velmi odlišné sliby.
Ten první je slib dobré vůle: věříme, že to neuděláš.
Ten druhý je slib nemožnosti: i kdybys chtěl, nemůžeš.
V Cashfulness platí pro dokumenty, které nahráváš, ten druhý. A technické slovo, které ho činí pravdivým, se jmenuje koncové šifrování.
V angličtině ho najdeš pod zkratkou E2EE, z end-to-end encryption: šifrování „od jednoho konce ke druhému“.
Vím, že to zní jako řeč ajťáků. Slibuji: na konci tohoto článku to pochopíš, i kdybys v životě nenapsal jediný řádek kódu. A pochopíš, proč je to u aplikace, kde máš čísla své domácnosti, volba, která mění všechno.
Nejdřív správná slova
Začněme slovesem. Šifrovat soubor znamená proměnit ho v nečitelnou posloupnost.
Ne ho schovat za heslo, které se ptá „pustíš mě dovnitř?“. Doslova ho proměnit: vzít text, čísla, obrázky a zredukovat je na blok znaků, které nic neznamenají pro toho, kdo nemá správný klíč.
Věc, která ten blok vrátí do čitelné podoby, se jmenuje klíč. Je to kousek informace — představ si ho jako velmi, velmi dlouhé heslo vygenerované počítačem — bez kterého soubor zůstává šumem.
Klíčem šifruješ. Klíčem dešifruješ. Bez klíče: zeď.
Zapamatuj si tato dvě slova — šifrovat a klíč — protože všechno ostatní se točí kolem toho, kde klíč bydlí.
Bezpečnostní schránka v bance
Uvedu příklad, který podle mě všechno objasní.
Znáš bezpečnostní schránky v bance? Ty, kam si lidé dávají důležité dokumenty, nějaké šperky, věci, které nechtějí mít doma.
Fungují takhle.
Banka ti poskytne pancéřovaný trezor, hlídaný, odolný proti zlodějům. Tam uvnitř je tvá schránka.
Ale klíč od tvé schránky máš ty. Jen ty.
Banka střeží trezor. Tvou schránku otevřít nemůže. Nemá klíč. Kdyby zítra chtěl nepoctivý zaměstnanec nakouknout, nemohl by: zámek se bez tvého klíče neotevře. Kdyby vnikli zloději a odnesli celý trezor, zůstala by jim v rukou zavřená kovová krabice, kterou neumějí otevřít.
Banka ti nabízí službu — bezpečí trezoru — aniž by vyžadovala přístup k tomu, co do schránky vložíš.
Koncové šifrování je přesně tohle, aplikované na digitální soubory.
Cashfulness je ta banka: nabízí ti trezor, tedy naše servery, kde jsou tvé dokumenty uloženy.
Ty jsi jediný, kdo má klíč od schránky.
A my, stejně jako banka, střežíme, aniž bychom mohli otevřít.
Co se v praxi děje, když nahraješ dokument
Řekněme, že si chceš v Cashfulness uchovat výpis z bankovního účtu, fakturu za elektřinu, nájemní smlouvu, pojistku.
To jsou dokumenty, které můžeš do Cashfulness nahrát: výpisy, faktury, smlouvy, pojistky. Věci plné tvých údajů — celé jméno, adresa, IBAN, částky, protistrany.
Tady je posloupnost.
Vybereš soubor z telefonu nebo počítače.
Ještě než vyrazí, stále na tvém zařízení, se dokument zašifruje. Stane se tím blokem šumu, o kterém jsem mluvil.
Teprve potom, už zašifrovaný, cestuje na naše servery.
Na server dorazí šum. Na serveru zůstává šum.
Když si ho chceš ty znovu přečíst, dokument se vrátí na tvé zařízení stále zašifrovaný a tam — jen tam, s tvým klíčem — se opět stane čitelným.
Okamžik šifrování je ta důležitá část: probíhá u tebe, před odesláním. Ne „jakmile dorazí na server, my ho pro tebe zamkneme“. To by byla banka, která si nechává kopii tvého klíče v šuplíku ředitele.
Ne. Klíč jsme nikdy neměli. Vzniká u tebe a zůstává u tebe.
Kde bydlí tvůj klíč
Oprávněná otázka v tuto chvíli: a co když ten požehnaný klíč ztratím? Kde ho mám mít?
Klíč od tvých dokumentů vzniká ze dvou věcí, které patří tobě.
První je tvé heslo, to, kterým se přihlašuješ do Cashfulness.
Druhou je posloupnost 24 slov, kterou obdržíš, když si tuto ochranu aktivuješ. Je to systém používaný i jinde k úschově těch nejcitlivějších klíčů — je to čtyřiadvacet běžných slov v určitém pořadí, která dohromady fungují jako hlavní klíč pro obnovu.
Z těchto dvou věcí se na tvém zařízení sestaví klíč, který tvé dokumenty šifruje a dešifruje.
A tady je bod, který stojí za celý článek: ten klíč nikdy neopustí tvé zařízení.
Neprochází našimi servery. Nikde ho neukládáme. Nevidíme ho procházet.
Je to, jako by se klíč od schránky koval u tebe doma, tvýma rukama, a nikdy odtamtud nevyšel. Banka ho nikdy neviděla, ani na okamžik.
Pro naše servery, opakuji, je a zůstává každý tvůj dokument blokem digitálního šumu.
Kdo nemůže číst tvé dokumenty (tedy: všichni kromě tebe)
Pokusím se být výslovný, protože právě tady slib soukromí obvykle buď obstojí, nebo splaskne.
Tvé nahrané dokumenty nemůžeme číst my, kteří jsme Cashfulness postavili. Nikde neexistuje panel, kde by náš technik otevřel tvou pojistku. Technicky neexistuje, protože nemáme klíč.
Nemůže je číst ten, kdo spravuje servery, na kterých data běží.
Nemohl by je číst útočník, který by jednoho dne pronikl do našich systémů a všechno odnesl: zůstal by mu v rukou šum, nepoužitelné soubory.
A nemohli bychom je v čitelné podobě vydat, ani kdyby si je od nás formálně vyžádal úřad, protože je v otevřené podobě nemáme. Můžeme vydat jen šum, který střežíme.
Věta „nevidíme tvé dokumenty“ v tuto chvíli přestává být milým ujištěním.
Stává se technickým popisem faktu.
Nevidíme je, protože nemůžeme. To je rozdíl.
Druhá strana mince (a chci ti ji říct sám, jako první)
Tak těsná ochrana má svou cenu a bylo by nepoctivé ji zamlčet.
Pokud ztratíš své heslo a ztratíš i svých 24 slov pro obnovu, tvé dokumenty se stanou nečitelnými. Navždy. I pro nás.
Neexistuje tlačítko „všechno jsem zapomněl, pošlete mi soubory znovu“. Neexistuje náš technik, který by mohl vlézt oknem a zachránit ti je.
Vraťme se ke schránce v bance: pokud ztratíš klíč a nikdo jiný nemá kopii, ve schránce zůstane všechno, ale už ji nikdo neotevře.
Chápu, že takhle podané to může trochu znervózňovat. Ale podívej se na to z druhé strany, což je důvod, proč jsme si to vybrali.
Kdyby někde existovala „záložní kopie“ tvého klíče — na našem serveru, v šuplíku ředitele — byla by ta kopie slabým místem celého systému. Byla by tím, co by útočník hledal jako první. Byla by dveřmi, které by nás úřad mohl požádat otevřít. Byla by souborem, který by si nepoctivý zaměstnanec mohl zkopírovat.
Klíč, který existuje jen na tvém zařízení, ty dveře jednoduše neotevře.
Rozhodli jsme se dát ti úplnou kontrolu — i s tíhou, kterou to obnáší — místo abychom si nechali zkratku, která by se dřív nebo později stala dírou v hrázi.
Praktické gesto, které od tebe na oplátku žádáme, je jediné: opatruj svých 24 slov, jako bys opatroval kupní smlouvu na svůj dům. Napsaná, na bezpečném místě, mimo cizí zraky. Ne v e-mailu sám sobě, ne v poznámce v telefonu. Těch 24 slov je záložní kopií tvého klíče. Chraň je tak, jak chráníš věci, na kterých záleží.
Poctivé upřesnění: E2EE tady pokrývá dokumenty
Nechci ti prodávat víc, než co je, protože by to byl opak celého tohoto článku.
Koncové šifrování, o kterém jsem ti vyprávěl, chrání dokumenty, které nahráváš: výpisy, faktury, smlouvy, pojistky. Ty jsou tou nejcitlivější vrstvou a právě tam jsme umístili nejtěsnější zámek.
Tvá vlastní účetní data — účty, zůstatky, pohyby, které tvoří tvé určení pozice, tedy tvé čisté jmění — se naopak řídí jinou logikou.
Bydlí v naší databázi, na evropských serverech, a na straně serveru jsou v otevřené podobě. Je to nezbytná technická volba: jsou potřeba k tomu, aby tvé účetnictví zůstalo sladěné mezi telefonem a počítačem, a k výpočtu metrik, které ti ukazujeme, v reálném čase. Šifrovat je úplně stejně jako dokumenty by aplikaci udělalo extrémně pomalou a prakticky nepoužitelnou.
Ale — a tady přichází část, kterou mnozí nečekají — ta čísla cestují bez tvé biografie přilepené k nim.
Při registraci tě požádáme o přezdívku (jakou chceš, klidně smyšlenou), e-mail a heslo. Nežádáme jméno, příjmení, rodné číslo, datum narození, adresu, telefon.
Takže i kdyby někdo získal přístup k databázi, viděl by jakousi přezdívku s účty, zůstatky, pohyby — ale bez možnosti spojit ta čísla se skutečnou osobou, kterou jsi ty.
O tom, jak funguje tato druhá vrstva a proč jsme ji postavili ve dvou úrovních místo jedné, existuje samostatný článek: Radikální soukromí: dvě úrovně, jediný slib. Tady se zastavím, protože dnešním tématem je klíč od schránky.
Bod, na kterém mi záleželo, je tento: když říkáme, že koncové šifrování činí tvé dokumenty nečitelnými, mluvíme o dokumentech. Na zbytek se vztahuje jiná ochrana, stejně vážná. A raději ti to řeknu sám a přesně, než abych tě nechal věřit v kouzelné šifrování, které pokrývá všechno.
Proč nám na tom tolik záleželo
Mohl bych skončit tady, u techniky. Ale technika sama o sobě není důvod.
Důvod je ten, že osobní finance jsou místem, kde uchováváš věci, o kterých nerad mluvíš ani s přáteli. Kolik doopravdy vyděláváš. Kolik sis odložil, nebo jak málo. Dluh, který tíží.
Pokud ti hned při otevření takové aplikace zůstane vzadu v hlavě pochybnost, že se někdo někde může podívat, ta aplikace ti nikdy nedá to, kvůli čemu existuje.
My tu věc nazýváme klid. The calm side of money, klidná strana peněz. A klid, pokud tvá čísla nejsou v bezpečí doopravdy, je jen slovo na webu.
Koncové šifrování dokumentů není technická trofej do výlohy. Je to podlaha, na které stojí všechno ostatní: bez ní jsou metriky a určení pozice nábytek postavený do prázdna.
Proto jsme ho vepsali do základů, místo abychom ho přidali dodatečně jako přepínač navíc.
V jednom řádku
Nechám ti to v té nejkratší podobě, jakou mám.
Své dokumenty zamykáš do schránky. Klíč od schránky máš jen ty a nikdy neopustí tvé zařízení. My střežíme zavřenou schránku a nemůžeme ji otevřít.
Ne proto, že jsme slíbili, že budeme hodní.
Protože jsme si schválně vzali možnost hodní nebýt.
— Vittorio