C'è una frase che ripetiamo spesso, parlando di Cashfulness.
"Non vediamo i tuoi documenti."
È una frase facile da dire. Tante app la dicono.
Il punto è cosa c'è sotto quella frase. Perché "non li guardiamo" e "non possiamo guardarli" sono due promesse molto diverse.
La prima è una promessa di buona volontà: ci fidiamo che tu non lo faccia.
La seconda è una promessa di impossibilità: anche volendo, non puoi.
In Cashfulness, sui documenti che carichi, vale la seconda. E la parola tecnica che la rende vera si chiama crittografia end-to-end.
In inglese la trovi abbreviata in E2EE, da end-to-end encryption: cifratura "da un capo all'altro".
So che suona da informatici. Promesso: alla fine di questo articolo l'avrai capita anche se non hai mai scritto una riga di codice in vita tua. E avrai capito perché, per un'app dove tieni i numeri di casa, è una scelta che cambia tutto.
Prima, le parole giuste
Partiamo dal verbo. Cifrare un file significa trasformarlo in una sequenza illeggibile.
Non nasconderlo dietro una password che chiede "fammi entrare". Trasformarlo proprio: prendere il testo, i numeri, le immagini, e ridurli a un blocco di caratteri che non vogliono dire niente per chi non ha la chiave giusta.
La cosa che riporta quel blocco alla forma leggibile si chiama chiave. È un pezzo di informazione — pensala come una password molto, molto lunga e generata dal computer — senza la quale il file resta rumore.
Cifri con la chiave. Decifri con la chiave. Senza chiave, è muro.
Tieni a mente queste due parole — cifrare e chiave — perché tutto il resto gira intorno a dove vive la chiave.
La cassetta di sicurezza in banca
Faccio l'esempio che secondo me chiarisce tutto.
Hai presente le cassette di sicurezza in banca? Quelle dove la gente mette documenti importanti, qualche gioiello, le cose che non vuole tenere in casa.
Funzionano così.
La banca ti dà un caveau blindato, sorvegliato, a prova di ladro. Lì dentro c'è la tua cassetta.
Ma la chiave della tua cassetta ce l'hai tu. Solo tu.
La banca custodisce il caveau. Non può aprire la tua cassetta. Non ha la chiave. Se domani un dipendente disonesto volesse curiosare, non potrebbe: la serratura non si apre senza la tua chiave. Se entrassero i ladri e portassero via tutto il caveau, si ritroverebbero in mano una scatola di metallo chiusa che non sanno aprire.
La banca ti offre un servizio — la sicurezza del caveau — senza pretendere l'accesso a quello che ci metti dentro.
La crittografia end-to-end è esattamente questo, applicata ai file digitali.
Cashfulness è la banca: ti offre il caveau, cioè i nostri server dove i tuoi documenti vengono custoditi.
Tu sei l'unico ad avere la chiave della cassetta.
E noi, come la banca, custodiamo senza poter aprire.
Cosa succede, in pratica, quando carichi un documento
Mettiamo che tu voglia tenere dentro Cashfulness l'estratto conto della banca, una bolletta della luce, il contratto di affitto, una polizza.
Sono i documenti che puoi caricare dentro Cashfulness: estratti conto, bollette, contratti, polizze. Roba piena di dati tuoi — nome per esteso, indirizzo, IBAN, importi, controparti.
Ecco la sequenza.
Tu scegli il file dal telefono o dal computer.
Prima che parta, ancora sul tuo dispositivo, il documento viene cifrato. Diventa quel blocco di rumore di cui parlavo.
Solo dopo, già cifrato, viaggia verso i nostri server.
Sul server arriva rumore. Sul server resta rumore.
Quando sei tu a volerlo rileggere, il documento torna sul tuo dispositivo ancora cifrato, e lì — solo lì, con la tua chiave — torna leggibile.
Il momento della cifratura è la parte importante: avviene da te, prima della partenza. Non "una volta arrivato sul server, noi lo chiudiamo a chiave per te". Quella sarebbe la banca che tiene una copia della tua chiave nel cassetto del direttore.
No. La chiave non ce l'abbiamo mai. Nasce da te e resta da te.
Dove vive la tua chiave
Domanda giusta, a questo punto: e se perdo questa benedetta chiave? Dove la tengo?
La chiave dei tuoi documenti nasce da due cose tue.
La prima è la tua password, quella con cui entri in Cashfulness.
La seconda è una sequenza di 24 parole che ricevi quando attivi questa protezione. È un sistema usato anche altrove per custodire le chiavi più delicate — sono ventiquattro parole comuni, in un certo ordine, che insieme valgono come una chiave maestra di recupero.
Da queste due cose, sul tuo dispositivo, viene costruita la chiave che cifra e decifra i tuoi documenti.
E qui c'è il punto che vale tutto l'articolo: quella chiave non lascia mai il tuo dispositivo.
Non transita dai nostri server. Non la salviamo da nessuna parte. Non la vediamo passare.
È come se la chiave della cassetta venisse forgiata dentro casa tua, da te, e non uscisse mai di lì. La banca non l'ha mai vista, nemmeno per un istante.
Per i nostri server, ripeto, ogni tuo documento è e resta un blocco di rumore digitale.
Chi non può leggere i tuoi documenti (cioè: tutti tranne te)
Provo a essere esplicito, perché di solito è qui che una promessa di privacy o regge o si sgonfia.
I tuoi documenti caricati non li possiamo leggere noi che abbiamo costruito Cashfulness. Non c'è un pannello da qualche parte dove un nostro tecnico apre la tua polizza. Tecnicamente non esiste, perché non abbiamo la chiave.
Non li può leggere chi gestisce i server su cui girano i dati.
Non li potrebbe leggere un attaccante che un domani violasse i nostri sistemi e portasse via tutto: si ritroverebbe in mano rumore, file inutilizzabili.
E non li potremmo consegnare leggibili nemmeno se un'autorità ce li chiedesse formalmente, perché non li abbiamo in chiaro. Possiamo consegnare solo il rumore che custodiamo.
La frase "non vediamo i tuoi documenti", a questo punto, smette di essere una gentile rassicurazione.
Diventa una descrizione tecnica di un fatto.
Non li vediamo perché non possiamo. È diverso.
Il rovescio della medaglia (e voglio dirtelo io, prima)
Una protezione così stretta ha un prezzo, e sarebbe disonesto nasconderlo.
Se perdi la tua password e perdi anche le tue 24 parole di recupero, i tuoi documenti diventano illeggibili. Per sempre. Anche per noi.
Non c'è un pulsante "ho dimenticato tutto, rimandatemi i file". Non esiste un nostro tecnico che possa rientrare dalla finestra e recuperarteli.
Torniamo alla cassetta in banca: se perdi la tua chiave e nessun altro ne ha una copia, dentro la cassetta resta tutto, ma non lo apre più nessuno.
Capisco che messa così possa mettere un po' d'ansia. Ma guardala dall'altro lato, che è il motivo per cui l'abbiamo scelta.
Se esistesse da qualche parte una "copia di sicurezza" della tua chiave — sul nostro server, nel cassetto del direttore — quella copia sarebbe il punto debole di tutto il sistema. Sarebbe la cosa che un attaccante cercherebbe per prima. Sarebbe la porta che un'autorità potrebbe chiederci di aprire. Sarebbe il file che un dipendente disonesto potrebbe copiarsi.
Una chiave che esiste solo sul tuo dispositivo, quella porta, semplicemente, non la apre.
Abbiamo scelto di darti il controllo intero — con il peso che comporta — invece di tenerci una scorciatoia che, prima o poi, sarebbe diventata il buco nella diga.
Il gesto pratico che ti chiediamo in cambio è uno solo: custodisci le tue 24 parole come custodiresti l'atto di proprietà di casa. Scritte, in un posto sicuro, lontano da occhi. Non dentro una mail a te stesso, non in una nota sul telefono. Quelle 24 parole sono la copia di riserva della tua chiave. Tienile come tieni le cose che contano.
Una precisazione onesta: l'E2EE qui copre i documenti
Non voglio venderti più di quello che c'è, perché sarebbe il contrario di tutto questo articolo.
La crittografia end-to-end di cui ti ho parlato protegge i documenti che carichi: estratti conto, bollette, contratti, polizze. Quelli sono il livello più delicato, ed è lì che abbiamo messo la serratura più stretta.
I tuoi dati contabili veri e propri — i conti, i saldi, i movimenti che formano il tuo punto nave, cioè la tua ricchezza netta — seguono invece una logica diversa.
Vivono su un nostro database, su server europei, e sono in chiaro lato server. È una scelta tecnica necessaria: servono per tenere allineata la tua contabilità tra il telefono e il computer, e per calcolare in tempo reale le metriche che ti mostriamo. Cifrarli alla stessa identica maniera dei documenti renderebbe l'app lentissima e, di fatto, inutilizzabile.
Ma — e qui sta il pezzo che molti non si aspettano — quei numeri viaggiano senza la tua biografia attaccata.
Quando ti registri ti chiediamo un nickname (quello che vuoi, anche di fantasia), un'email e una password. Non ti chiediamo nome, cognome, codice fiscale, data di nascita, indirizzo, telefono.
Così, anche chi avesse accesso al database vedrebbe un certo nickname con dei conti, dei saldi, dei movimenti — ma senza un modo per legare quei numeri alla persona reale che sei tu.
Su come funziona questo secondo strato, e sul perché l'abbiamo costruito su due livelli invece che uno, c'è un articolo dedicato: Privacy radicale: due livelli, una sola promessa. Qui mi fermo, perché l'argomento di oggi è la chiave della cassetta.
Il punto che mi premeva fissare è questo: quando diciamo che la crittografia end-to-end ti rende illeggibili i documenti, parliamo dei documenti. Sul resto vale una protezione diversa, altrettanto seria. E preferisco dirtelo io con precisione, piuttosto che lasciarti credere a una cifratura magica che copre tutto.
Perché ci tenevamo, fino a questo punto
Potrei chiudere qui sulla tecnica. Ma la tecnica, da sola, non è il motivo.
Il motivo è che la finanza personale è il posto dove tieni le cose di cui non parli volentieri nemmeno con gli amici. Quanto guadagni davvero. Quanto hai messo da parte, o quanto poco. Un debito che pesa.
Se appena apri un'app del genere ti resta sul fondo il dubbio che qualcuno, da qualche parte, possa dare un'occhiata, quell'app non ti darà mai la cosa per cui esiste.
Noi quella cosa la chiamiamo calma. The calm side of money, il lato calmo del denaro. E la calma, se i tuoi numeri non sono al sicuro per davvero, è solo una parola sul sito.
La crittografia end-to-end sui documenti non è un trofeo tecnico da mettere in vetrina. È il pavimento su cui poggia tutto il resto: senza, le metriche e il punto nave sono mobili appoggiati sul vuoto.
Per questo l'abbiamo scritta nelle fondamenta, non aggiunta dopo come un interruttore in più.
In una riga
Te la lascio nella forma più corta che ho.
I tuoi documenti li chiudi in una cassetta. La chiave della cassetta ce l'hai solo tu, e non esce mai dal tuo dispositivo. Noi custodiamo la cassetta chiusa, e non possiamo aprirla.
Non perché abbiamo promesso di essere bravi.
Perché ci siamo tolti, di proposito, la possibilità di non esserlo.
— Vittorio