Það er setning sem við endurtökum oft þegar við tölum um Cashfulness.
„Við sjáum ekki skjölin þín.“
Það er auðvelt að segja þessa setningu. Mörg forrit segja hana.
Málið er hvað liggur að baki þeirri setningu. Því „við skoðum þau ekki“ og „við getum ekki skoðað þau“ eru tvö mjög ólík loforð.
Það fyrra er loforð um góðan vilja: þú treystir því að við gerum það ekki.
Það seinna er loforð um ómöguleika: jafnvel þótt við vildum, gætum við það ekki.
Í Cashfulness, þegar kemur að skjölunum sem þú hleður upp, gildir seinni kosturinn. Og tæknilega hugtakið sem gerir þetta að sannleika heitir enda-í-enda samskiptalæsing (end-to-end encryption).
Í styttri mynd er þetta skrifað E2EE.
Ég veit að þetta hljómar tölvunarfræðilega. Ég lofa: í lok þessarar greinar munt þú skilja þetta, jafnvel þótt þú hafir aldrei skrifað eina línu af kóða á ævinni. Og þú munt skilja hvers vegna þetta er, í forriti þar sem þú geymir tölurnar þínar að heiman, val sem breytir öllu.
Fyrst, réttu orðin
Byrjum á sögninni. Að dulkóða skrá þýðir að umbreyta henni í órlesanlega runu.
Ekki að fela hana á bak við lykilorð sem spyr „hleyptu mér inn“. Heldur að umbreyta henni í raun: taka textann, tölurnar, myndirnar, og breyta þeim í blokk af táknum sem þýða ekkert fyrir þann sem hefur ekki rétta lykilinn.
Það sem færir þá blokk aftur í lesanlega mynd kallast lykill. Það er upplýsingabútur — hugsaðu um hann sem mjög, mjög langt lykilorð sem tölvan býr til — án hans er skráin bara suð.
Þú dulkóðar með lyklinum. Þú afkóðar með lyklinum. Án lykils er þetta veggur.
Hafðu þessi tvö orð í huga — dulkóða og lykill — því allt annað snýst um hvar lykillinn býr.
Bankahólfið
Ég ætla að nota dæmi sem, að mínu mati, útskýrir allt.
Þekkir þú öryggishólf í bönkum? Þau þar sem fólk geymir mikilvæg skjöl, einhver skartgripi, hluti sem það vill ekki hafa heima.
Þau virka svona.
Bankinn gefur þér brynvarða, vaktaða, þjófheldna hvelfingu. Þar inni er hólfið þitt.
En lykilinn að hólfinu þínu átt þú. Aðeins þú.
Bankinn gætir hvelfingarinnar. Hann getur ekki opnað hólfið þitt. Hann á ekki lykilinn. Ef óheiðarlegur starfsmaður vildi gægjast inn á morgun, gæti hann það ekki: lásinn opnast ekki án lykilsins þíns. Ef þjófar kæmust inn og tækju alla hvelfinguna með sér, sætu þeir uppi með lokaðan málmkassa sem þeir kynnu ekki að opna.
Bankinn býður þér þjónustu — öryggi hvelfingarinnar — án þess að krefjast aðgangs að því sem þú setur inn í hana.
Enda-í-enda samskiptalæsing er nákvæmlega þetta, útfært á stafrænar skrár.
Cashfulness er bankinn: hann býður þér hvelfinguna, það er að segja netþjónana okkar þar sem skjölin þín eru varðveitt.
Þú ert eina manneskjan sem á lykilinn að hólfinu.
Og við, líkt og bankinn, geymum án þess að geta opnað.
Hvað gerist, í raun, þegar þú hleður upp skjali
Segjum að þú viljir geyma bankayfirlit, rafmagnsreikning, leigusamning, tryggingaskírteini í Cashfulness.
Þetta eru skjölin sem þú getur hlaðið upp í Cashfulness: bankayfirlit, reikningar, samningar, skírteini. Full af þínum eigin gögnum — fullt nafn, heimilisfang, IBAN-númer, upphæðir, gagnaðilar.
Hér er röðin.
Þú velur skrána á símanum þínum eða tölvunni.
Áður en hún fer af stað, enn á þínu eigin tæki, er skjalið dulkóðað. Það verður að þeirri suð-blokk sem ég talaði um.
Aðeins eftir það, þegar það er þegar dulkóðað, ferðast það til netþjónanna okkar.
Á netþjóninn berst suð. Á netþjóninum helst suð.
Þegar þú vilt lesa það aftur, kemur skjalið aftur á tækið þitt enn dulkóðað, og þar — aðeins þar, með lyklinum þínum — verður það lesanlegt aftur.
Augnablik dulkóðunarinnar er mikilvægi hlutinn: það gerist hjá þér, áður en skráin fer af stað. Ekki „þegar hún kemur á netþjóninn, læsum við henni fyrir þig“. Það væri banki sem geymir afrit af lyklinum þínum í skúffu bankastjórans.
Nei. Við höfum aldrei lykilinn. Hann verður til hjá þér og er hjá þér áfram.
Hvar lykillinn þinn býr
Réttmæt spurning á þessum tímapunkti: en ef ég týni þessum blessaða lykli? Hvar geymi ég hann?
Lykillinn að skjölunum þínum verður til úr tveimur hlutum sem þú átt.
Fyrst er lykilorðið þitt, það sem þú notar til að fara inn í Cashfulness.
Annað er runa af 24 orðum sem þú færð þegar þú virkjar þessa vernd. Þetta er kerfi sem er einnig notað annars staðar til að geyma viðkvæmustu lyklana — tuttugu og fjögur venjuleg orð, í ákveðinni röð, sem saman gilda sem meistara-endurheimtarlykill.
Úr þessum tveimur hlutum, á þínu eigin tæki, er byggður lykillinn sem dulkóðar og afkóðar skjölin þín.
Og hér er atriðið sem er alls virði greinarinnar: sá lykill fer aldrei af tækinu þínu.
Hann fer ekki um netþjónana okkar. Við vistum hann hvergi. Við sjáum hann aldrei fara framhjá.
Það er eins og lykillinn að hólfinu hafi verið smíðaður inni á þínu eigin heimili, af þér, og hafi aldrei farið þaðan út. Bankinn hefur aldrei séð hann, ekki einu sinni í eitt augnablik.
Fyrir netþjónana okkar er, endurtek ég, hvert skjal þitt og verður áfram blokk af stafrænni suð.
Hver getur ekki lesið skjölin þín (það er: allir nema þú)
Ég ætla að reyna að vera skýr, því hér er venjulega staðurinn þar sem persónuverndarloforð annaðhvort stendur eða hrynur.
Skjölin sem þú hleður upp, getum við sem byggðum Cashfulness ekki lesið. Það er engin stjórnborð neins staðar þar sem tæknimaður okkar opnar tryggingaskírteinið þitt. Tæknilega séð er það ekki til, því við höfum ekki lykilinn.
Þeir sem stýra netþjónunum sem gögnin keyra á geta ekki lesið þau heldur.
Árásarmaður sem einn daginn myndi brjótast inn í kerfin okkar og taka allt með sér, gæti ekki lesið þau: hann sæti uppi með suð, ónothæfar skrár.
Og við gætum ekki afhent þau lesanleg jafnvel þótt yfirvald bæði formlega um það, því við höfum þau ekki í læsilegu formi. Við getum aðeins afhent suðið sem við geymum.
Setningin „við sjáum ekki skjölin þín“ hættir á þessum tímapunkti að vera kurteisleg fullvissa.
Hún verður tæknileg lýsing á staðreynd.
Við sjáum þau ekki því við getum það ekki. Það er munurinn.
Hin hlið peningsins (og ég vil segja þetta sjálfur, fyrst)
Svona ströng vernd hefur sinn kostnað, og það væri óheiðarlegt að fela hann.
Ef þú týnir lykilorðinu þínu og týnir líka 24 endurheimtarorðunum þínum, verða skjölin þín ólæsileg. Að eilífu. Jafnvel fyrir okkur.
Það er enginn hnappur sem segir „ég gleymdi öllu, sendið mér skrárnar aftur“. Það er enginn tæknimaður hjá okkur sem getur komið inn um gluggann og náð í þær fyrir þig.
Förum aftur að bankahólfinu: ef þú týnir lyklinum þínum og enginn annar á afrit af honum, er allt eftir inni í hólfinu, en enginn opnar það lengur.
Ég skil að svona sett fram geti valdið smá kvíða. En skoðaðu þetta líka frá hinni hliðinni, sem er ástæðan fyrir því að við völdum þessa leið.
Ef „öryggisafrit“ af lyklinum þínum væri til einhvers staðar — á netþjóninum okkar, í skúffu bankastjórans — væri það afrit veiki punktur alls kerfisins. Það væri það fyrsta sem árásarmaður myndi leita að. Það væri dyrnar sem yfirvald gæti beðið okkur um að opna. Það væri skráin sem óheiðarlegur starfsmaður gæti afritað fyrir sig.
Lykill sem er aðeins til á þínu eigin tæki opnar þær dyr einfaldlega ekki.
Við völdum að gefa þér fulla stjórn — með þeirri byrði sem því fylgir — í stað þess að halda eftir flýtileið sem, fyrr eða síðar, yrði holan í stíflunni.
Það hagnýta atriði sem við biðjum þig um í staðinn er aðeins eitt: geymdu 24 orðin þín eins og þú myndir geyma eignaskjal hússins þíns. Skrifuð niður, á öruggum stað, langt frá augum annarra. Ekki í tölvupósti til sjálfs þín, ekki í minnismiða í símanum. Þessi 24 orð eru varaafrit lykilsins þíns. Geymdu þau eins og þú geymir hlutina sem skipta máli.
Ein heiðarleg útskýring: enda-í-enda samskiptalæsingin nær hér yfir skjölin
Ég vil ekki selja þér meira en það sem raunverulega er til staðar, því það væri þvert á allt sem þessi grein snýst um.
Enda-í-enda samskiptalæsingin sem ég hef sagt þér frá verndar skjölin sem þú hleður upp: bankayfirlit, reikninga, samninga, skírteini. Þau eru viðkvæmasta lagið, og þar höfum við sett ströngustu læsinguna.
Bókhaldsgögnin þín sjálf — reikningarnir, stöðurnar, færslurnar sem mynda staðsetningarpunktinn þinn, það er hreina eign þína — fylgja hins vegar annarri rökfræði.
Þau búa í gagnagrunninum okkar, á evrópskum netþjónum, og eru læsileg netþjónsmegin. Þetta er nauðsynlegt tæknilegt val: þau þurfa til að halda bókhaldinu þínu samstilltu milli síma og tölvu, og til að reikna í rauntíma þau mælitæki sem við sýnum þér. Að dulkóða þau nákvæmlega eins og skjölin myndi gera forritið mjög hægvirkt og, í reynd, ónothæft.
En — og hér er hlutinn sem margir eiga ekki von á — þessar tölur ferðast án ævisögu þinnar áfastar við sig.
Þegar þú skráir þig biðjum við um notandanafn (hvað sem þú vilt, jafnvel skáldað), tölvupóstfang og lykilorð. Við biðjum ekki um nafn, kennitölu, fæðingardag, heimilisfang, símanúmer.
Þannig myndi jafnvel sá sem hefði aðgang að gagnagrunninum sjá ákveðið notandanafn með reikningum, stöðum, færslum — en án nokkurrar leiðar til að tengja þessar tölur við raunverulegu manneskjuna sem þú ert.
Um hvernig þetta annað lag virkar, og hvers vegna við byggðum það á tveimur stigum í stað eins, er sérstök grein til: Róttæk persónuvernd: tvö stig, eitt loforð. Hér stoppa ég, því viðfangsefni dagsins er lykillinn að hólfinu.
Atriðið sem ég vildi festa er þetta: þegar við segjum að enda-í-enda samskiptalæsingin geri skjölin þín ólæsileg, erum við að tala um skjölin. Um restina gildir önnur vernd, jafn alvarleg. Og ég vil frekar segja þér þetta nákvæmlega, heldur en að láta þig trúa á einhvers konar töfradulkóðun sem nær yfir allt.
Hvers vegna okkur var annt um þetta, allt fram að þessum punkti
Ég gæti stoppað hér við tæknihliðina. En tæknin, ein og sér, er ekki ástæðan.
Ástæðan er sú að persónuleg fjármál eru staðurinn þar sem þú geymir hluti sem þú talar ekki einu sinni fúslega um við vini. Hversu mikið þú raunverulega hefur í tekjur. Hversu miklu þú hefur lagt til hliðar, eða hversu litlu. Skuld sem þyngist á þér.
Ef strax og þú opnar svona forrit situr eftir efi um að einhver, einhvers staðar, gæti gægst inn, mun það forrit aldrei gefa þér ástæðuna fyrir tilvist þess.
Við köllum þennan hlut ró. The calm side of money, rólega hlið peninganna. Og ró er, ef tölurnar þínar eru ekki raunverulega öruggar, bara orð á vefsíðunni.
Enda-í-enda samskiptalæsing skjalanna er ekki tæknilegur bikar til að setja í glugga. Hún er gólfið sem allt annað hvílir á: án hennar eru mælitækin og staðsetningarpunkturinn húsgögn sem standa á tómi.
Þess vegna skrifuðum við hana inn í grunninn, ekki bætt við síðar eins og enn einum rofa.
Í einni línu
Ég læt þig hafa hana í styttustu mynd sem ég á.
Þú lokar skjölin þín inni í hólfi. Lykillinn að hólfinu átt aðeins þú, og hann fer aldrei af tækinu þínu. Við geymum lokaða hólfið, og getum ekki opnað það.
Ekki vegna þess að við höfum lofað að vera góð.
Heldur vegna þess að við höfum, af ásettu ráði, svipt okkur möguleikanum á að vera það ekki.
— Vittorio