On yksi lause, jota toistamme usein puhuessamme Cashfulnessista.
”Emme näe asiakirjojasi.”
Se on helppo lause sanoa. Moni sovellus sanoo sen.
Olennaista on, mitä sen lauseen alla on. Sillä ”emme katso niitä” ja ”emme voi katsoa niitä” ovat kaksi hyvin erilaista lupausta.
Ensimmäinen on hyvän tahdon lupaus: luotamme siihen, ettet tee sitä.
Toinen on mahdottomuuden lupaus: vaikka haluaisit, et voi.
Cashfulnessissa lataamiisi asiakirjoihin pätee jälkimmäinen. Ja tekninen sana, joka tekee siitä totta, on päästä päähän -salaus.
Englanniksi se lyhennetään muotoon E2EE, sanoista end-to-end encryption: salaus ”päästä toiseen päähän”.
Tiedän, että se kuulostaa insinöörijutulta. Lupaan: tämän artikkelin lopussa olet ymmärtänyt sen, vaikket olisi kirjoittanut riviäkään koodia koko elämässäsi. Ja olet ymmärtänyt, miksi se on kaiken muuttava valinta sovelluksessa, jossa pidät kotitaloutesi numeroita.
Ensin oikeat sanat
Aloitetaan verbistä. Tiedoston salaaminen tarkoittaa sen muuttamista lukukelvottomaksi merkkijonoksi.
Ei sen piilottamista salasanan taakse, joka kysyy ”päästäisitkö sisään”. Vaan sen todellista muuntamista: otetaan teksti, numerot ja kuvat ja pelkistetään ne merkkimöhkäleeksi, joka ei tarkoita mitään sille, jolla ei ole oikeaa avainta.
Se, mikä palauttaa möhkäleen luettavaan muotoon, on nimeltään avain. Se on pala tietoa — ajattele sitä hyvin, hyvin pitkänä tietokoneen luomana salasanana — jota ilman tiedosto pysyy kohinana.
Salaat avaimella. Purat salauksen avaimella. Ilman avainta: seinä.
Pidä nämä kaksi sanaa mielessä — salata ja avain — sillä kaikki muu pyörii sen ympärillä, missä avain asuu.
Pankin tallelokero
Kerron esimerkin, joka minusta selventää kaiken.
Tiedäthän pankkien tallelokerot? Ne, joihin ihmiset laittavat tärkeitä asiakirjoja, vähän koruja, tavaroita, joita eivät halua pitää kotona.
Ne toimivat näin.
Pankki antaa käyttöösi panssaroidun, vartioidun, murtovarmaan holvin. Siellä sisällä on sinun lokerosi.
Mutta lokerosi avain on sinulla. Vain sinulla.
Pankki vartioi holvia. Se ei voi avata lokeroasi. Sillä ei ole avainta. Jos epärehellinen työntekijä haluaisi huomenna kurkistaa, hän ei voisi: lukko ei aukea ilman sinun avaintasi. Jos varkaat murtautuisivat sisään ja veisivät koko holvin, heille jäisi käteen suljettu metallilaatikko, jota he eivät osaa avata.
Pankki tarjoaa sinulle palvelun — holvin turvallisuuden — vaatimatta pääsyä siihen, mitä laitat lokeroon.
Päästä päähän -salaus on täsmälleen tätä, sovellettuna digitaalisiin tiedostoihin.
Cashfulness on pankki: se tarjoaa sinulle holvin, eli palvelimemme, joilla asiakirjojasi säilytetään.
Sinä olet ainoa, jolla on lokeron avain.
Ja me, kuten pankki, säilytämme voimatta avata.
Mitä käytännössä tapahtuu, kun lataat asiakirjan
Oletetaan, että haluat pitää Cashfulnessissa pankin tiliotteen, sähkölaskun, vuokrasopimuksen, vakuutuskirjan.
Ne ovat asiakirjoja, joita voit ladata Cashfulnessiin: tiliotteita, laskuja, sopimuksia, vakuutuskirjoja. Tavaraa täynnä sinun tietojasi — koko nimi, osoite, IBAN, summat, vastapuolet.
Tässä tapahtumien järjestys.
Sinä valitset tiedoston puhelimesta tai tietokoneelta.
Ennen kuin se lähtee matkaan, vielä sinun laitteellasi, asiakirja salataan. Siitä tulee se kohinamöhkäle, josta puhuin.
Vasta sen jälkeen, jo salattuna, se matkustaa kohti palvelimiamme.
Palvelimelle saapuu kohinaa. Palvelimella se pysyy kohinana.
Kun sinä haluat lukea sen uudelleen, asiakirja palaa laitteellesi yhä salattuna, ja siellä — vain siellä, sinun avaimellasi — se muuttuu taas luettavaksi.
Salaamisen hetki on se tärkeä osa: se tapahtuu sinun luonasi, ennen lähtöä. Ei niin, että ”kun se on saapunut palvelimelle, me lukitsemme sen puolestasi”. Se olisi pankki, joka pitää kopiota avaimestasi johtajan laatikossa.
Ei. Avainta meillä ei ole koskaan ollut. Se syntyy sinun luonasi ja pysyy sinun luonasi.
Missä avaimesi asuu
Aiheellinen kysymys tässä vaiheessa: entä jos hukkaan tämän siunatun avaimen? Missä pidän sitä?
Asiakirjojesi avain syntyy kahdesta sinun omasta asiastasi.
Ensimmäinen on salasanasi, se jolla kirjaudut Cashfulnessiin.
Toinen on 24 sanan sarja, jonka saat, kun otat tämän suojauksen käyttöön. Sitä järjestelmää käytetään muuallakin kaikkein arkaluonteisimpien avainten säilyttämiseen — kyse on kahdestakymmenestäneljästä tavallisesta sanasta tietyssä järjestyksessä, jotka yhdessä toimivat palautuksen yleisavaimena.
Näistä kahdesta asiasta rakennetaan sinun laitteellasi avain, joka salaa ja purkaa asiakirjasi.
Ja tässä on koko artikkelin arvoinen kohta: se avain ei koskaan poistu laitteeltasi.
Se ei kulje palvelimiemme kautta. Emme tallenna sitä mihinkään. Emme näe sen kulkevan ohi.
On kuin lokeron avain taottaisiin sinun kotonasi, sinun toimestasi, eikä se koskaan lähtisi sieltä. Pankki ei ole nähnyt sitä koskaan, ei hetkeksikään.
Palvelimillemme, toistan, jokainen asiakirjasi on ja pysyy digitaalisen kohinan möhkäleenä.
Kuka ei voi lukea asiakirjojasi (eli: kaikki paitsi sinä)
Yritän olla suorasanainen, sillä yleensä juuri tässä yksityisyyslupaus joko kestää tai lässähtää.
Lataamiasi asiakirjoja emme voi lukea me, jotka rakensimme Cashfulnessin. Missään ei ole paneelia, jossa teknikkomme avaisi vakuutuskirjasi. Sellaista ei teknisesti ole olemassa, koska meillä ei ole avainta.
Niitä ei voi lukea se, joka ylläpitää palvelimia, joilla data pyörii.
Niitä ei voisi lukea hyökkääjä, joka jonain päivänä murtautuisi järjestelmiimme ja veisi kaiken: hänelle jäisi käteen kohinaa, käyttökelvottomia tiedostoja.
Emmekä voisi luovuttaa niitä luettavina edes silloin, jos viranomainen pyytäisi niitä meiltä virallisesti, koska meillä ei ole niitä selväkielisinä. Voimme luovuttaa vain sen kohinan, jota säilytämme.
Lause ”emme näe asiakirjojasi” lakkaa tässä vaiheessa olemasta ystävällinen vakuuttelu.
Siitä tulee tosiasian tekninen kuvaus.
Emme näe niitä, koska emme voi. Se on eri asia.
Mitalin kääntöpuoli (ja haluan kertoa sen sinulle itse, ensin)
Näin tiukalla suojauksella on hintansa, ja olisi epärehellistä salata se.
Jos hukkaat salasanasi ja hukkaat myös 24 palautussanaasi, asiakirjasi muuttuvat lukukelvottomiksi. Ikuisesti. Myös meille.
Ei ole olemassa nappia ”unohdin kaiken, lähettäkää tiedostot uudelleen”. Ei ole olemassa teknikkoamme, joka voisi kiivetä ikkunasta sisään ja pelastaa ne sinulle.
Palataan pankin tallelokeroon: jos hukkaat avaimesi eikä kenelläkään muulla ole kopiota, kaikki jää lokeron sisään, mutta kukaan ei enää avaa sitä.
Ymmärrän, että näin sanottuna se voi vähän ahdistaa. Mutta katso asiaa toiselta puolelta, joka on syy siihen, miksi valitsimme näin.
Jos jossain olisi olemassa avaimesi ”varmuuskopio” — palvelimellamme, johtajan laatikossa — se kopio olisi koko järjestelmän heikko kohta. Se olisi asia, jota hyökkääjä etsisi ensimmäisenä. Se olisi ovi, jonka viranomainen voisi pyytää meitä avaamaan. Se olisi tiedosto, jonka epärehellinen työntekijä voisi kopioida itselleen.
Avain, joka on olemassa vain sinun laitteellasi, ei sitä ovea yksinkertaisesti avaa.
Valitsimme antaa sinulle koko hallinnan — sen mukanaan tuomine painoineen — sen sijaan, että olisimme pitäneet itsellämme oikotien, josta olisi ennemmin tai myöhemmin tullut padon reikä.
Käytännön ele, jota pyydämme sinulta vastineeksi, on yksi ainoa: säilytä 24 sanaasi niin kuin säilyttäisit kotisi kauppakirjaa. Kirjoitettuna, turvallisessa paikassa, katseilta suojassa. Ei itsellesi lähetetyssä sähköpostissa, ei puhelimen muistiinpanossa. Ne 24 sanaa ovat avaimesi varakappale. Pidä niistä huolta niin kuin pidät tärkeistä asioista.
Rehellinen tarkennus: E2EE kattaa täällä asiakirjat
En halua myydä sinulle enempää kuin mitä on, sillä se olisi koko tämän artikkelin vastakohta.
Päästä päähän -salaus, josta olen kertonut, suojaa lataamasi asiakirjat: tiliotteet, laskut, sopimukset, vakuutuskirjat. Ne ovat arkaluonteisin kerros, ja sinne laitoimme tiukimman lukon.
Varsinaiset kirjanpitotietosi — tilit, saldot, tapahtumat, joista muodostuu sijainnin määrityksesi, eli nettovarallisuutesi — noudattavat sen sijaan eri logiikkaa.
Ne asuvat meidän tietokannassamme, eurooppalaisilla palvelimilla, ja ne ovat palvelinpuolella selväkielisinä. Se on välttämätön tekninen valinta: niitä tarvitaan pitämään kirjanpitosi ajan tasalla puhelimen ja tietokoneen välillä sekä laskemaan reaaliajassa sinulle näytettävät tunnusluvut. Niiden salaaminen täsmälleen samalla tavalla kuin asiakirjojen tekisi sovelluksesta äärimmäisen hitaan ja käytännössä käyttökelvottoman.
Mutta — ja tässä tulee se osa, jota moni ei odota — ne numerot matkustavat ilman sinun elämäkertaasi kiinnitettynä.
Kun rekisteröidyt, pyydämme sinulta lempinimen (minkä haluat, vaikka keksityn), sähköpostiosoitteen ja salasanan. Emme pyydä etunimeä, sukunimeä, henkilötunnusta, syntymäaikaa, osoitetta, puhelinnumeroa.
Näin sekin, joka pääsisi käsiksi tietokantaan, näkisi jonkin lempinimen tileineen, saldoineen ja tapahtumineen — mutta ilman keinoa yhdistää niitä numeroita siihen todelliseen ihmiseen, joka sinä olet.
Siitä, miten tämä toinen kerros toimii ja miksi rakensimme sen kahteen tasoon yhden sijasta, on oma artikkelinsa: Radikaali yksityisyys: kaksi tasoa, yksi ainoa lupaus. Tähän pysähdyn, sillä tämän päivän aihe on lokeron avain.
Kohta, jonka halusin naulata kiinni, on tämä: kun sanomme, että päästä päähän -salaus tekee asiakirjoistasi lukukelvottomia, puhumme asiakirjoista. Muuhun pätee erilainen suojaus, yhtä vakava. Ja kerron sen mieluummin itse täsmällisesti kuin annan sinun uskoa taikasalaukseen, joka kattaa kaiken.
Miksi tämä oli meille näin tärkeää
Voisin lopettaa tähän, tekniikkaan. Mutta tekniikka yksinään ei ole syy.
Syy on se, että henkilökohtainen talous on paikka, jossa pidät asioita, joista et mielelläsi puhu edes ystävillesi. Kuinka paljon oikeasti tienaat. Kuinka paljon olet saanut säästöön, tai kuinka vähän. Velka, joka painaa.
Jos heti tällaisen sovelluksen avatessasi mieleen jää epäilys, että joku jossain voi vilkaista, se sovellus ei koskaan anna sinulle sitä, mitä varten se on olemassa.
Me kutsumme sitä asiaa rauhaksi. The calm side of money, rahan rauhallinen puoli. Ja rauha, jos numerosi eivät ole oikeasti turvassa, on vain sana verkkosivulla.
Asiakirjojen päästä päähän -salaus ei ole tekninen pokaali näyteikkunaan. Se on lattia, jolla kaikki muu lepää: ilman sitä tunnusluvut ja sijainnin määritys ovat tyhjän päälle asetettuja huonekaluja.
Siksi kirjoitimme sen perustuksiin sen sijaan, että olisimme lisänneet sen jälkikäteen ylimääräisenä kytkimenä.
Yhdellä rivillä
Jätän sen sinulle lyhyimmässä muodossa, joka minulla on.
Asiakirjasi lukitset lokeroon. Lokeron avain on vain sinulla, eikä se koskaan poistu laitteeltasi. Me säilytämme suljettua lokeroa, emmekä voi avata sitä.
Emme siksi, että olemme luvanneet olla kilttejä.
Vaan siksi, että olemme tahallamme vieneet itseltämme mahdollisuuden olla olematta.
— Vittorio