Van egy mondat, amit gyakran ismételgetünk, amikor a Cashfulnessről beszélünk.
„Nem látjuk a dokumentumaidat.”
Könnyű mondat. Sok alkalmazás mondja.
A lényeg az, hogy mi van a mondat mögött. Mert a „nem nézzük meg őket” és a „nem tudjuk megnézni őket” két nagyon különböző ígéret.
Az első jószándék-ígéret: bízunk benne, hogy nem teszed meg.
A második lehetetlenség-ígéret: még ha akarnád, sem tudnád.
A Cashfulnessben a feltöltött dokumentumaidra a második érvényes. És a szakkifejezés, ami ezt igazzá teszi, úgy hangzik: végpontok közötti titkosítás.
Angol rövidítésként E2EE néven találkozhatsz vele, az end-to-end encryption kifejezésből: titkosítás „egyik végponttól a másikig”.
Tudom, hogy informatikus-szagú. Ígérem: a cikk végére akkor is érteni fogod, ha életedben egyetlen sor kódot sem írtál. És azt is érteni fogod, miért változtat meg mindent ez a döntés egy olyan alkalmazásban, ahol az otthoni számaidat tartod.
Először a helyes szavak
Kezdjük az igével. Titkosítani egy fájlt annyit tesz, mint olvashatatlan karaktersorozattá alakítani.
Nem elrejteni egy jelszó mögé, ami annyit kérdez, hogy „beengedsz-e”. Hanem ténylegesen átalakítani: fogni a szöveget, a számokat, a képeket, és olyan karaktertömbbé zsugorítani őket, ami semmit sem jelent annak, akinél nincs ott a megfelelő kulcs.
Az a valami, ami ezt a tömböt visszaalakítja olvasható formába, a kulcs. Egy darabka információ — gondolj rá úgy, mint egy nagyon-nagyon hosszú, a számítógép által generált jelszóra —, ami nélkül a fájl zaj marad.
A kulccsal titkosítasz. A kulccsal fejted vissza. Kulcs nélkül: fal.
Ezt a két szót tartsd észben — titkosítani és kulcs —, mert minden más akörül forog, hogy hol lakik a kulcs.
A banki széf
Elmondom azt a példát, ami szerintem mindent megvilágít.
Ismered a banki széfeket? Azokat, ahová az emberek fontos iratokat, némi ékszert tesznek — a dolgokat, amiket nem akarnak otthon tartani.
Így működnek.
A bank ad neked egy páncélozott, őrzött, betörésbiztos trezortermet. Odabent van a te széfed.
De a széfed kulcsa nálad van. Csak nálad.
A bank a trezortermet őrzi. A te széfedet nem tudja kinyitni. Nincs hozzá kulcsa. Ha holnap egy tisztességtelen alkalmazott bele akarna kukkantani, nem tudna: a zár nem nyílik a te kulcsod nélkül. Ha betörők jönnének és elvinnék az egész trezort, egy zárt fémdobozt tartanának a kezükben, amit nem tudnak kinyitni.
A bank szolgáltatást nyújt — a trezor biztonságát — anélkül, hogy hozzáférést követelne ahhoz, amit beleteszel.
A végpontok közötti titkosítás pontosan ez, digitális fájlokra alkalmazva.
A Cashfulness a bank: adja a trezort, vagyis a szervereinket, ahol a dokumentumaidat őrizzük.
Te vagy az egyetlen, akinél ott a széf kulcsa.
Mi pedig, akárcsak a bank, úgy őrzünk, hogy kinyitni nem tudunk.
Mi történik a gyakorlatban, amikor feltöltesz egy dokumentumot
Tegyük fel, hogy a Cashfulnessben akarod tartani a banki számlakivonatot, egy villanyszámlát, a bérleti szerződést, egy biztosítási kötvényt.
Ezek azok a dokumentumok, amiket a Cashfulnessbe feltölthetsz: kivonatok, számlák, szerződések, kötvények. Csupa olyasmi, ami tele van a te adataiddal — teljes név, lakcím, IBAN, összegek, partnerek.
Íme a sorrend.
Kiválasztod a fájlt a telefonon vagy a számítógépen.
Még mielőtt elindulna, még a te eszközödön, a dokumentum titkosításra kerül. Azzá a zaj-tömbbé válik, amiről beszéltem.
Csak ezután, már titkosítva utazik a szervereink felé.
A szerverre zaj érkezik. A szerveren zaj marad.
Amikor te akarod újra elolvasni, a dokumentum még titkosítva tér vissza az eszközödre, és ott — csakis ott, a te kulcsoddal — válik újra olvashatóvá.
A titkosítás pillanata a lényeg: nálad történik, indulás előtt. Nem úgy, hogy „amint megérkezett a szerverre, mi bezárjuk neked kulcsra”. Az olyan lenne, mintha a bank a kulcsod másolatát az igazgató fiókjában tartaná.
Nem. A kulcs soha nem volt nálunk. Nálad születik, és nálad marad.
Hol lakik a kulcsod
Jogos kérdés ezen a ponton: és ha elveszítem ezt az áldott kulcsot? Hol tartsam?
A dokumentumaid kulcsa két, kizárólag hozzád tartozó dologból születik.
Az első a jelszavad, amivel belépsz a Cashfulnessbe.
A második egy 24 szóból álló sorozat, amit akkor kapsz, amikor bekapcsolod ezt a védelmet. Ezt a rendszert máshol is használják a legérzékenyebb kulcsok őrzésére — huszonnégy hétköznapi szó, adott sorrendben, amelyek együtt helyreállító mesterkulcsként működnek.
Ebből a két dologból, a te eszközödön épül fel a kulcs, amely a dokumentumaidat titkosítja és visszafejti.
És itt jön a pont, ami az egész cikket megéri: az a kulcs soha nem hagyja el az eszközödet.
Nem halad át a szervereinken. Sehol nem mentjük el. Nem is látjuk elhaladni.
Olyan, mintha a széf kulcsát a saját otthonodban, te magad kovácsolnád, és az soha nem lépne ki onnan. A bank soha nem látta, egyetlen pillanatra sem.
A szervereink számára, ismétlem, minden dokumentumod digitális zaj-tömb, és az is marad.
Ki nem tudja elolvasni a dokumentumaidat (vagyis: rajtad kívül mindenki)
Megpróbálok egyértelmű lenni, mert egy adatvédelmi ígéret általában itt áll meg a lábán — vagy itt ereszt le.
A feltöltött dokumentumaidat nem tudjuk elolvasni mi, akik a Cashfulnesst építettük. Nincs sehol egy felület, ahol egy technikusunk megnyitná a kötvényedet. Technikailag nem létezik, mert nincs nálunk a kulcs.
Nem tudja elolvasni az sem, aki a szervereket üzemelteti, amelyeken az adatok futnak.
Nem tudná elolvasni egy támadó sem, aki egy napon feltörné a rendszereinket és mindent elvinne: zajt tartana a kezében, használhatatlan fájlokat.
És olvasható formában még akkor sem tudnánk átadni őket, ha egy hatóság hivatalosan kérné, mert nincsenek meg nálunk nyílt formában. Csak az általunk őrzött zajt tudjuk átadni.
A „nem látjuk a dokumentumaidat” mondat ezen a ponton megszűnik kedves megnyugtatásnak lenni.
Egy tény technikai leírásává válik.
Nem azért nem látjuk őket, mert nem akarjuk, hanem mert nem tudjuk. Ez más.
Az érem másik oldala (és ezt én akarom elmondani neked, előre)
Egy ilyen szoros védelemnek ára van, és tisztességtelen lenne eltitkolni.
Ha elveszíted a jelszavadat és elveszíted a 24 helyreállító szavadat is, a dokumentumaid olvashatatlanná válnak. Örökre. Számunkra is.
Nincs olyan gomb, hogy „mindent elfelejtettem, küldjétek vissza a fájlokat”. Nem létezik olyan technikusunk, aki az ablakon visszamászva helyreállíthatná őket.
Térjünk vissza a banki széfhez: ha elveszíted a kulcsodat, és senki másnak nincs másolata, a széfben minden ott marad — de többé senki sem nyitja ki.
Értem, hogy így elmondva ez kicsit szorongató. De nézd a másik oldaláról, mert épp ezért választottuk.
Ha létezne valahol a kulcsod „biztonsági másolata” — a szerverünkön, az igazgató fiókjában —, az a másolat lenne az egész rendszer gyenge pontja. Az lenne, amit egy támadó először keresne. Az az ajtó lenne, amit egy hatóság kinyittathatna velünk. Az a fájl lenne, amit egy tisztességtelen alkalmazott lemásolhatna.
Egy kulcs, ami csak a te eszközödön létezik, azt az ajtót egyszerűen nem nyitja ki.
Úgy döntöttünk, hogy a teljes irányítást adjuk neked — az ezzel járó teherrel együtt —, ahelyett, hogy megtartanánk magunknak egy kiskaput, ami előbb-utóbb léket ütött volna a gáton.
Cserébe egyetlen gyakorlati gesztust kérünk tőled: őrizd a 24 szavadat úgy, ahogy a lakásod tulajdoni lapját őriznéd. Leírva, biztonságos helyen, idegen szemektől távol. Nem egy saját magadnak küldött e-mailben, nem egy jegyzetben a telefonon. Az a 24 szó maga a kulcsod tartalék példánya. Vigyázz rá úgy, ahogy a fontos dolgaidra vigyázol.
Egy őszinte pontosítás: az E2EE itt a dokumentumokra vonatkozik
Nem akarok többet eladni annál, ami van, mert az ennek a cikknek pont az ellenkezője lenne.
A végpontok közötti titkosítás, amiről meséltem, a feltöltött dokumentumaidat védi: kivonatokat, számlákat, szerződéseket, kötvényeket. Ezek a legérzékenyebb réteg, és oda tettük a legszorosabb zárat.
A tulajdonképpeni könyvelési adataid — a számlák, az egyenlegek, a mozgások, amelyekből a helymeghatározásod, vagyis a nettó vagyonod összeáll — más logikát követnek.
A mi adatbázisunkban élnek, európai szervereken, és a szerveroldalon nyílt formában vannak. Ez szükséges technikai döntés: arra kellenek, hogy a könyvelésed szinkronban maradjon a telefonod és a számítógéped között, és hogy valós időben kiszámolhassuk a neked mutatott mérőszámokat. Ha pontosan úgy titkosítanánk őket, mint a dokumentumokat, az alkalmazás csigalassú és gyakorlatilag használhatatlan lenne.
De — és itt jön az, amire sokan nem számítanak — azok a számok a te életrajzod nélkül utaznak.
A regisztrációkor egy becenevet kérünk (amilyet akarsz, akár kitaláltat), egy e-mail-címet és egy jelszót. Nem kérünk vezetéknevet, keresztnevet, adóazonosítót, születési dátumot, lakcímet, telefonszámot.
Így még az is, aki hozzáférne az adatbázishoz, csak egy bizonyos becenevet látna számlákkal, egyenlegekkel, mozgásokkal — de semmilyen módja nem lenne, hogy azokat a számokat a valódi személyhez, hozzád kösse.
Arról, hogyan működik ez a második réteg, és miért két szintre építettük egy helyett, van egy külön cikk: Radikális adatvédelem: két szint, egyetlen ígéret. Itt megállok, mert a mai téma a széf kulcsa.
A lényeg, amit rögzíteni akartam, ez: amikor azt mondjuk, hogy a végpontok közötti titkosítás olvashatatlanná teszi a dokumentumaidat, akkor a dokumentumokról beszélünk. A többire más — ugyanolyan komoly — védelem vonatkozik. És jobb szeretem én elmondani neked pontosan, mint hagyni, hogy egy mindent lefedő varázstitkosításban higgy.
Miért volt ez nekünk ennyire fontos
Lezárhatnám itt, a technikánál. De a technika önmagában nem az ok.
Az ok az, hogy a magánpénzügy az a hely, ahol azokat a dolgokat tartod, amikről még a barátaiddal sem beszélsz szívesen. Hogy valójában mennyit keresel. Mennyit tettél félre — vagy milyen keveset. Egy adósság, ami nyomaszt.
Ha egy ilyen alkalmazás megnyitásakor ott motoszkál benned a kétely, hogy valaki, valahol belepillanthat, az az alkalmazás soha nem adja meg neked azt, amiért létezik.
Mi ezt a valamit nyugalomnak hívjuk. The calm side of money, a pénz nyugodt oldala. És a nyugalom, ha a számaid nincsenek igazán biztonságban, csak egy szó a weboldalon.
A dokumentumok végpontok közötti titkosítása nem kirakatba való technikai trófea. Ez a padló, amin minden más áll: nélküle a mérőszámok és a helymeghatározás a semmire állított bútorok.
Ezért írtuk bele az alapokba, ahelyett, hogy utólag raktuk volna hozzá, mint egy plusz kapcsolót.
Egyetlen sorban
Itt hagyom neked a legrövidebb formában, ami csak van.
A dokumentumaidat egy széfbe zárod. A széf kulcsa csak nálad van, és soha nem hagyja el az eszközödet. Mi a zárt széfet őrizzük, és nem tudjuk kinyitni.
Nem azért, mert megígértük, hogy jók leszünk.
Hanem mert szándékosan elvettük magunktól a lehetőséget, hogy ne legyünk azok.
— Vittorio