Der er en sætning, vi ofte gentager, når vi taler om Cashfulness.
»Vi ser ikke dine dokumenter.«
Det er en nem sætning at sige. Mange apps siger den.
Pointen er, hvad der ligger bag den sætning. For »vi kigger ikke på dem« og »vi kan ikke kigge på dem« er to meget forskellige løfter.
Det første er et løfte om god vilje: vi stoler på, at du ikke gør det.
Det andet er et løfte om umulighed: selv hvis du ville, kan du ikke.
I Cashfulness gælder det andet for de dokumenter, du uploader. Og det tekniske ord, der gør det sandt, hedder end-to-end-kryptering.
På engelsk finder du den forkortet til E2EE, af end-to-end encryption: kryptering »fra den ene ende til den anden«.
Jeg ved godt, det lyder som noget for dataloger. Jeg lover: når du er færdig med denne artikel, har du forstået den, også selv om du aldrig har skrevet en eneste linje kode i dit liv. Og du har forstået, hvorfor det, for en app hvor du opbevarer husholdningens tal, er et valg, der ændrer alt.
Først de rigtige ord
Vi begynder med verbet. At kryptere en fil betyder at forvandle den til en ulæselig sekvens.
Ikke at gemme den bag et password, der spørger »luk mig ind«. At forvandle den helt bogstaveligt: tage teksten, tallene, billederne og reducere dem til en blok af tegn, som ikke betyder noget for den, der ikke har den rigtige nøgle.
Det, der bringer blokken tilbage til læsbar form, kaldes en nøgle. Det er et stykke information — tænk på den som et meget, meget langt password genereret af computeren — uden hvilken filen forbliver støj.
Du krypterer med nøglen. Du dekrypterer med nøglen. Uden nøgle: mur.
Hold fast i de to ord — kryptere og nøgle — for alt det andet drejer sig om, hvor nøglen bor.
Bankboksen i banken
Jeg tager det eksempel, som efter min mening gør alting klart.
Kender du bankbokse? Dem, hvor folk lægger vigtige dokumenter, lidt smykker, de ting, de ikke vil have derhjemme.
De fungerer sådan her.
Banken giver dig en panseret boksafdeling, overvåget, tyverisikret. Derinde står din boks.
Men nøglen til din boks har du. Kun dig.
Banken vogter boksafdelingen. Den kan ikke åbne din boks. Den har ikke nøglen. Hvis en uærlig medarbejder i morgen ville snage, kunne han ikke: låsen åbner sig ikke uden din nøgle. Hvis tyve brød ind og tog hele boksafdelingen med sig, ville de stå med en lukket metalkasse, de ikke ved, hvordan de skal åbne.
Banken tilbyder dig en service — boksafdelingens sikkerhed — uden at kræve adgang til det, du lægger i den.
End-to-end-kryptering er præcis dette, anvendt på digitale filer.
Cashfulness er banken: den tilbyder dig boksafdelingen, altså vores servere, hvor dine dokumenter opbevares.
Du er den eneste, der har nøglen til boksen.
Og vi opbevarer, ligesom banken, uden at kunne åbne.
Hvad der i praksis sker, når du uploader et dokument
Lad os sige, at du vil opbevare kontoudtoget fra banken i Cashfulness, en elregning, lejekontrakten, en forsikringspolice.
Det er de dokumenter, du kan uploade i Cashfulness: kontoudtog, regninger, kontrakter, policer. Ting fulde af dine data — fulde navn, adresse, IBAN, beløb, modparter.
Her er rækkefølgen.
Du vælger filen fra telefonen eller computeren.
Før den sendes af sted, mens den stadig er på din enhed, bliver dokumentet krypteret. Det bliver til den blok af støj, jeg talte om.
Først bagefter, allerede krypteret, rejser det mod vores servere.
Til serveren ankommer der støj. På serveren forbliver det støj.
Når det er dig, der vil læse det igen, vender dokumentet tilbage til din enhed stadig krypteret, og dér — kun dér, med din nøgle — bliver det læsbart igen.
Krypteringsøjeblikket er den vigtige del: det sker hos dig, før afrejsen. Ikke »når det først er nået frem til serveren, låser vi det for dig«. Det ville være banken, der opbevarer en kopi af din nøgle i direktørens skuffe.
Nej. Nøglen har vi aldrig haft. Den bliver til hos dig og bliver hos dig.
Hvor din nøgle bor
Et rimeligt spørgsmål på dette tidspunkt: og hvis jeg mister denne velsignede nøgle? Hvor opbevarer jeg den?
Nøglen til dine dokumenter opstår af to ting, der er dine.
Den første er dit password, det du logger ind i Cashfulness med.
Den anden er en række på 24 ord, som du modtager, når du aktiverer denne beskyttelse. Det er et system, der også bruges andre steder til at opbevare de mest følsomme nøgler — det er fireogtyve almindelige ord, i en bestemt rækkefølge, som tilsammen fungerer som en hovednøgle til gendannelse.
Af disse to ting bygges, på din enhed, den nøgle, der krypterer og dekrypterer dine dokumenter.
Og her kommer pointen, der er hele artiklen værd: den nøgle forlader aldrig din enhed.
Den passerer ikke gennem vores servere. Vi gemmer den ingen steder. Vi ser den ikke passere.
Det er, som om nøglen til boksen blev smedet hjemme hos dig, af dig, og aldrig forlod huset. Banken har aldrig set den, ikke engang et øjeblik.
For vores servere, jeg gentager det, er og forbliver hvert af dine dokumenter en blok af digital støj.
Hvem der ikke kan læse dine dokumenter (altså: alle undtagen dig)
Jeg vil prøve at være tydelig, for det er som regel her, et løfte om privatliv enten holder eller punkterer.
Dine uploadede dokumenter kan ikke læses af os, der byggede Cashfulness. Der findes ikke et panel et sted, hvor en af vores teknikere åbner din police. Det eksisterer ikke teknisk, fordi vi ikke har nøglen.
De kan ikke læses af dem, der driver serverne, som dataene kører på.
De ville ikke kunne læses af en angriber, der en dag brød ind i vores systemer og tog det hele: han ville stå med støj i hænderne, ubrugelige filer.
Og vi ville ikke kunne udlevere dem i læsbar form, heller ikke hvis en myndighed formelt bad os om dem, for vi har dem ikke i klartekst. Vi kan kun udlevere den støj, vi opbevarer.
Sætningen »vi ser ikke dine dokumenter« holder på dette tidspunkt op med at være en venlig forsikring.
Den bliver en teknisk beskrivelse af et faktum.
Vi ser dem ikke, fordi vi ikke kan. Det er noget andet.
Bagsiden af medaljen (og jeg vil selv fortælle dig det, først)
En så stram beskyttelse har en pris, og det ville være uærligt at skjule den.
Hvis du mister dit password og også mister dine 24 gendannelsesord, bliver dine dokumenter ulæselige. For altid. Også for os.
Der findes ingen knap med »jeg har glemt det hele, send mig filerne igen«. Der findes ingen tekniker hos os, der kan kravle ind ad vinduet og redde dem for dig.
Vi vender tilbage til bankboksen: hvis du mister din nøgle, og ingen andre har en kopi, bliver alt liggende i boksen, men ingen kan åbne den igen.
Jeg forstår godt, at det sagt på den måde kan skabe lidt uro. Men se det fra den anden side, som er grunden til, at vi valgte det.
Hvis der et sted fandtes en »sikkerhedskopi« af din nøgle — på vores server, i direktørens skuffe — ville den kopi være hele systemets svage punkt. Den ville være det, en angriber ledte efter først. Den ville være døren, en myndighed kunne bede os åbne. Den ville være filen, en uærlig medarbejder kunne kopiere til sig selv.
En nøgle, der kun findes på din enhed, åbner ganske enkelt ikke den dør.
Vi valgte at give dig den fulde kontrol — med den byrde, det medfører — i stedet for at beholde en genvej, der før eller siden ville være blevet hullet i dæmningen.
Den praktiske gestus, vi beder dig om til gengæld, er én eneste: pas på dine 24 ord, som du ville passe på skødet til dit hjem. Skrevet ned, et sikkert sted, væk fra nysgerrige øjne. Ikke i en mail til dig selv, ikke i en note på telefonen. De 24 ord er reservekopien af din nøgle. Opbevar dem, som du opbevarer de ting, der betyder noget.
En ærlig præcisering: E2EE dækker her dokumenterne
Jeg vil ikke sælge dig mere, end der er, for det ville være det modsatte af hele denne artikel.
Den end-to-end-kryptering, jeg har fortalt dig om, beskytter de dokumenter, du uploader: kontoudtog, regninger, kontrakter, policer. De er det mest følsomme lag, og det er dér, vi satte den strammeste lås.
Dine egentlige regnskabsdata — kontiene, saldiene, bevægelserne, der udgør din positionsbestemmelse, altså din nettoformue — følger derimod en anden logik.
De bor i en database hos os, på europæiske servere, og de ligger i klartekst på serversiden. Det er et nødvendigt teknisk valg: de skal bruges til at holde dit regnskab synkroniseret mellem telefonen og computeren og til i realtid at beregne de nøgletal, vi viser dig. At kryptere dem på præcis samme måde som dokumenterne ville gøre appen ekstremt langsom og i praksis ubrugelig.
Men — og her kommer den del, mange ikke venter — de tal rejser uden din biografi hæftet på.
Når du registrerer dig, beder vi dig om et kaldenavn (hvad du vil, gerne opdigtet), en e-mailadresse og et password. Vi beder dig ikke om fornavn, efternavn, CPR-nummer, fødselsdato, adresse, telefon.
Sådan ville selv den, der fik adgang til databasen, se et vist kaldenavn med nogle konti, saldi, bevægelser — men uden nogen måde at knytte de tal til den virkelige person, som er dig.
Om hvordan dette andet lag fungerer, og hvorfor vi byggede det i to niveauer i stedet for ét, findes der en særskilt artikel: Radikalt privatliv: to niveauer, ét eneste løfte. Her stopper jeg, for dagens emne er nøglen til boksen.
Pointen, jeg gerne ville slå fast, er denne: når vi siger, at end-to-end-krypteringen gør dine dokumenter ulæselige, taler vi om dokumenterne. For resten gælder en anden beskyttelse, lige så seriøs. Og jeg foretrækker selv at fortælle dig det præcist frem for at lade dig tro på en magisk kryptering, der dækker alt.
Hvorfor det var os så magtpåliggende, helt hertil
Jeg kunne slutte her, ved teknikken. Men teknikken alene er ikke grunden.
Grunden er, at privatøkonomi er det sted, hvor du opbevarer de ting, du ikke gerne taler om, ikke engang med dine venner. Hvor meget du egentlig tjener. Hvor meget du har lagt til side, eller hvor lidt. En gæld, der tynger.
Hvis der, så snart du åbner sådan en app, ligger en tvivl i baghovedet om, at nogen, et eller andet sted, kan tage et kig, vil den app aldrig give dig det, den findes for.
Vi kalder den ting ro. The calm side of money, pengenes rolige side. Og roen er, hvis dine tal ikke er sikre for alvor, bare et ord på hjemmesiden.
End-to-end-krypteringen af dokumenterne er ikke et teknisk trofæ til udstillingsvinduet. Den er gulvet, alt det andet hviler på: uden den er nøgletallene og positionsbestemmelsen møbler stillet oven på tomrum.
Derfor skrev vi den ind i fundamentet i stedet for at tilføje den bagefter som en ekstra kontakt.
På én linje
Jeg giver dig den i den korteste form, jeg har.
Dine dokumenter låser du inde i en boks. Nøglen til boksen har kun du, og den forlader aldrig din enhed. Vi opbevarer den lukkede boks, og vi kan ikke åbne den.
Ikke fordi vi har lovet at være gode.
Fordi vi med vilje har frataget os selv muligheden for ikke at være det.
— Vittorio