Cashfulnessist rääkides kordame sageli üht lauset.
„Me ei näe su dokumente.“
Seda lauset on kerge öelda. Paljud rakendused ütlevad seda.
Küsimus on selles, mis selle lause taga tegelikult peitub. Sest „me ei vaata neid“ ja „me ei saa neid vaadata“ on kaks väga erinevat lubadust.
Esimene on heast tahtest antud lubadus: sa usud, et me seda ei tee.
Teine on võimatuse lubadus: isegi kui tahaksime, ei saaks me seda teha.
Cashfulnessis kehtib su üleslaaditud dokumentide puhul teine variant. Ja tehniline mõiste, mis selle tõeks teeb, kannab nime otspunktist-otspunktini krüpteerimine (end-to-end encryption).
Lühendatult kirjutatakse see E2EE.
Tean, et see kõlab infotehnika-mehisena. Luban: selle artikli lõpuks saad sellest aru, isegi kui sa pole elus ühtegi koodirida kirjutanud. Ja saad aru, miks on see rakenduse jaoks, kus hoiad oma kodu numbreid, valik, mis muudab kõike.
Kõigepealt, õiged sõnad
Alustame tegusõnast. Faili krüpteerimine tähendab selle muutmist loetamatuks sümbolijadaks.
See ei tähenda faili peitmist parooli taha, mis küsib „lase mind sisse“. See tähendab selle päris ümberkujundamist: võtad teksti, numbrid, pildid, ja muudad need sümboliplokiks, mis ei tähenda midagi kellelegi, kel pole õiget võtit.
Seda, mis toob selle ploki taas loetavaks kujuks, nimetatakse võtmeks. See on infokild — mõtle sellest kui väga-väga pikast paroolist, mille arvuti genereerib — ilma milleta jääb fail müraks.
Krüpteerid võtmega. Dekrüpteerid võtmega. Ilma võtmeta on ees sein.
Pea neid kahte sõna meeles — krüpteerimine ja võti —, sest kõik ülejäänu keerleb selle ümber, kus võti asub.
Pangaseif
Toon näite, mis minu meelest teeb kõik selgeks.
Kas tead panga seife? Neid, kuhu inimesed panevad tähtsaid dokumente, mõne ehte, asju, mida nad kodus hoida ei taha.
Need toimivad nii.
Pank annab sulle turvatud, valvatud, murdvargusekindla hoidla. Selle sees on sinu seif.
Aga sinu seifi võti on sinul. Ainult sinul.
Pank valvab hoidlat. Ta ei saa sinu seifi avada. Tal pole võtit. Kui homme sooviks mõni ebaaus töötaja sisse piiluda, ei saaks ta seda teha: lukk ei ava ilma sinu võtmeta. Kui vargad tuleksid ja viiksid kogu hoidla minema, jääks neile kätte suletud metallkarp, mida nad avada ei oska.
Pank pakub sulle teenust — hoidla turvalisust — ilma nõudmata ligipääsu sellele, mida sa sinna paned.
Otspunktist-otspunktini krüpteerimine ongi täpselt see, digitaalsetele failidele rakendatuna.
Cashfulness on pank: ta pakub sulle hoidlat, ehk meie servereid, kus su dokumente hoitakse.
Sina oled ainus, kellel on seifi võti.
Ja meie, nagu pank, hoiame ilma avamisvõimaluseta.
Mis täpselt juhtub, kui laadid üles dokumendi
Oletame, et tahad Cashfulnessis hoida pangaväljavõtet, elektriarvet, üürilepingut, kindlustuspoliisi.
Need on dokumendid, mida saad Cashfulnessi üles laadida: pangaväljavõtted, arved, lepingud, poliisid. Täis sinu andmeid — täisnimi, aadress, IBAN, summad, teised osapooled.
Nüüd järjekord.
Sina valid faili telefonist või arvutist.
Enne kui see teele läheb, ikka veel sinu seadmes, dokument krüpteeritakse. See muutub selleks mürablokiks, millest rääkisin.
Alles pärast seda, juba krüpteeritult, liigub see meie serverite poole.
Serverile jõuab müra. Serveris jääbki müra.
Kui sina tahad seda uuesti lugeda, jõuab dokument su seadmesse endiselt krüpteeritult, ja seal — ainult seal, sinu võtmega — muutub see taas loetavaks.
Krüpteerimise hetk on oluline osa: see toimub sinu juures, enne teele minekut. Mitte „kui see jõuab serverisse, siis meie lukustame selle sinu eest“. See tähendaks panka, kes hoiab sinu võtmest koopiat direktori sahtlis.
Ei. Meil pole seda võtit kunagi olnud. See sünnib sinust ja jääb sinu juurde.
Kus sinu võti elab
Loogiline küsimus siinkohal: aga kui ma kaotan selle õnnistatud võtme? Kus ma seda hoian?
Su dokumentide võti sünnib kahest sinu asjast.
Esimene on sinu parool, millega Cashfulnessi sisened.
Teine on 24-sõnaline jada, mille saad, kui aktiveerid selle kaitse. Seda süsteemi kasutatakse ka mujal kõige tundlikumate võtmete hoidmiseks — need on kakskümmend neli tavalist sõna, kindlas järjekorras, mis koos toimivad taastamise pealukovtmena.
Neist kahest asjast ehitatakse sinu seadmes võti, mis su dokumente krüpteerib ja dekrüpteerib.
Ja siin on see punkt, mille pärast kogu artikkel väärib lugemist: see võti ei lahku kunagi sinu seadmest.
See ei liigu meie serverite kaudu. Me ei salvesta seda kuhugi. Me ei näe seda kunagi mööduvat.
Nagu oleks seifi võti sepistatud sinu enda kodus, sinu enda poolt, ega poleks sealt kunagi väljunud. Pank pole seda kordagi näinud, mitte hetkekski.
Meie serverite jaoks, kordan, on iga sinu dokument ja jääb digitaalse müra plokiks.
Kes ei saa su dokumente lugeda (ehk: kõik peale sinu)
Proovin olla otsekohene, sest tavaliselt kukub siin privaatsuslubadus kas läbi või peab vastu.
Sinu üleslaaditud dokumente ei saa lugeda meie, kes me Cashfulnessi ehitasime. Kuskil ei ole paneeli, kust meie tehnik su kindlustuspoliisi avaks. Tehniliselt seda ei eksisteeri, sest meil pole võtit.
Neid ei saa lugeda need, kes servereid haldavad, kus andmed asuvad.
Neid ei saaks lugeda ründaja, kes murraks kunagi meie süsteemidesse ja viiks kõik minema: talle jääks kätte müra, kasutuskõlbmatud failid.
Ega me saaks neid loetaval kujul üle anda isegi kui mõni ametiasutus seda ametlikult nõuaks, sest meil pole neid loetaval kujul. Saame üle anda ainult müra, mida hoiame.
Lause „me ei näe su dokumente“ lakkab sel hetkel olemast viisakas rahustus.
Sellest saab fakti tehniline kirjeldus.
Me ei näe neid, sest ei saa. See on teine asi.
Medali teine pool (ja tahan seda öelda mina, enne kedagi teist)
Nii ranged kaitsel on hind, ja oleks ebaaus seda varjata.
Kui sa kaotad oma parooli ja kaotad ka oma 24 taastamissõna, muutuvad su dokumendid loetamatuks. Igaveseks. Isegi meie jaoks.
Ei ole nuppu „unustasin kõik, saatke mulle failid tagasi“. Ei ole meie tehnikut, kes saaks aknast sisse ronida ja need sulle tagasi tuua.
Läheme tagasi pangaseifi juurde: kui kaotad oma võtme ja kellelgi teisel selle koopiat ei ole, jääb seifi sisse kõik alles, aga keegi enam seda ei ava.
Mõistan, et nii sõnastatuna võib see natuke ärevust tekitada. Aga vaata seda ka teisest küljest, mis on põhjus, miks me nii valisime.
Kui kuskil eksisteeriks su võtme „varukoopia“ — meie serveris, direktori sahtlis —, oleks see koopia kogu süsteemi nõrk koht. See oleks esimene asi, mida ründaja otsiks. See oleks uks, mille avamist mõni ametiasutus meilt nõuda võiks. See oleks fail, mille mõni ebaaus töötaja endale kopeerida võiks.
Võti, mis eksisteerib ainult sinu seadmes, seda ust lihtsalt ei ava.
Otsustasime anda sulle täieliku kontrolli — koos selle kaasneva koormaga — selle asemel, et hoida enda käes lühiteed, millest varem või hiljem oleks saanud auk tammis.
Praktiline žest, mida sinult vastutasuks palume, on üks ainus: hoia oma 24 sõna nii, nagu hoiaksid kodu omandiõiguse dokumenti. Kirjutatuna, turvalises kohas, võõraste silmade eest kaugel. Mitte iseendale saadetud e-kirjas, mitte telefoni märkmes. Need 24 sõna ongi sinu võtme varukoopia. Hoia neid nii, nagu hoiad asju, mis sulle korda lähevad.
Üks aus täpsustus: otspunktist-otspunktini krüpteerimine katab siin dokumendid
Ma ei taha sulle müüa rohkem kui tegelikult olemas on, sest see oleks vastuolus kõige selle artikli mõttega.
Otspunktist-otspunktini krüpteerimine, millest sulle rääkisin, kaitseb dokumente, mille üles laadid: pangaväljavõtteid, arveid, lepinguid, poliise. Need on kõige tundlikum tasand, ja just sinna panime kõige rangema luku.
Sinu tegelikud raamatupidamisandmed — kontod, saldod, tehingud, mis moodustavad sinu navigatsioonipunkti, ehk su netovara — järgivad hoopis teistsugust loogikat.
Need elavad meie andmebaasis, Euroopa serverites, ja on serveripoolel loetaval kujul. See on vajalik tehniline valik: neid on vaja, et hoida su raamatupidamine telefoni ja arvuti vahel kooskõlas, ja et arvutada reaalajas mõõdikuid, mida sulle näitame. Krüpteerides need täpselt samamoodi nagu dokumendid, muutuks rakendus väga aeglaseks ja praktikas kasutamiskõlbmatuks.
Aga — ja siin on osa, mida paljud ei oota — need numbrid liiguvad ilma sinu elulookirjelduseta kaasas.
Registreerudes küsime sinult hüüdnime (mis iganes soovid, ka väljamõeldud), e-posti ja parooli. Me ei küsi sinu ees- ja perekonnanime, isikukoodi, sünniaega, aadressi, telefoninumbrit.
Nii näeks isegi keegi, kellel oleks ligipääs andmebaasile, teatud hüüdnime koos kontode, saldode, tehingutega — aga ilma võimaluseta siduda neid numbreid päris inimesega, kes sina oled.
Selle kohta, kuidas see teine kiht toimib, ja miks me selle ehitasime kahetasandiliseks mitte ühetasandiliseks, on olemas eraldi artikkel: Radikaalne privaatsus: kaks tasandit, üks lubadus. Siin ma peatun, sest tänane teema on seifi võti.
Punkt, mille tahtsin kinnistada, on see: kui ütleme, et otspunktist-otspunktini krüpteerimine muudab sinu dokumendid loetamatuks, räägime dokumentidest. Kõige muu kohta kehtib teistsugune, ent sama tõsine kaitse. Ja eelistan seda sulle täpselt öelda, selle asemel et jätta sind uskuma mingisse maagilisse krüpteeringusse, mis katab absoluutselt kõike.
Miks see meile senini nii oluline oli
Võiksin tehnilise osa juures peatuda. Aga tehnika iseenesest pole põhjus.
Põhjus on selles, et isiklikud rahaasjad on koht, kuhu paned asjad, millest sa isegi sõpradega heameelega ei räägi. Kui palju sa tegelikult teenid. Kui palju oled kõrvale pannud, või kui vähe. Võlg, mis raskeks jääb.
Kui juba sellise rakenduse avamisel jääb sulle põhjas kahtlus, et keegi kuskil võiks su asjadele pilgu heita, ei anna see rakendus sulle kunagi seda, mille jaoks ta olemas on.
Meie kutsume seda asja rahuks. The calm side of money, raha rahulik pool. Ja rahu on, kui su numbrid pole päriselt turvatud, ainult üks sõna kodulehel.
Dokumentide otspunktist-otspunktini krüpteerimine ei ole tehniline trofee vitriinis. See on põrand, millel kogu ülejäänu seisab: ilma selleta on mõõdikud ja navigatsioonipunkt möbel, mis seisab tühjuse peal.
Seepärast kirjutasime selle vundamenti, mitte ei lisanud hiljem justkui üht lülitit veel.
Ühes lauses
Jätan selle sulle kõige lühemas vormis, mis mul on.
Sa lukustad oma dokumendid seifi. Seifi võti on ainult sinul, ega lahku kunagi su seadmest. Meie hoiame suletud seifi ega saa seda avada.
Mitte sellepärast, et oleme lubanud olla ausad.
Vaid sellepärast, et oleme endalt teadlikult võtnud võimaluse seda mitte olla.
— Vittorio