Det finnes en setning vi ofte gjentar når vi snakker om Cashfulness.
«Vi ser ikke dokumentene dine.»
Det er en lettvint setning. Mange apper sier den.
Poenget er hva som ligger bak setningen. For «vi ser ikke på dem» og «vi kan ikke se på dem» er to svært forskjellige løfter.
Det første er et løfte om god vilje: vi stoler på at du ikke gjør det.
Det andre er et løfte om umulighet: selv om du ville, kan du ikke.
I Cashfulness gjelder det andre for dokumentene du laster opp. Og det tekniske ordet som gjør det sant, heter ende-til-ende-kryptering.
På engelsk finner du den forkortet til E2EE, fra end-to-end encryption: kryptering «fra den ene enden til den andre».
Jeg vet det høres ut som noe for dataingeniører. Jeg lover: når du er ferdig med denne artikkelen, har du forstått det selv om du aldri har skrevet en eneste kodelinje i ditt liv. Og du har forstått hvorfor det er et valg som endrer alt, for en app der du oppbevarer tallene for husholdningen din.
Først, de riktige ordene
Vi begynner med verbet. Å kryptere en fil betyr å gjøre den om til en uleselig sekvens.
Ikke å gjemme den bak et passord som spør «slipp meg inn». Å forvandle den rett og slett: ta teksten, tallene, bildene, og redusere dem til en blokk med tegn som ikke betyr noe for den som ikke har riktig nøkkel.
Det som gjør blokken leselig igjen, kalles en nøkkel. Det er en bit informasjon — tenk på den som et veldig, veldig langt passord generert av datamaskinen — og uten den forblir filen støy.
Du krypterer med nøkkelen. Du dekrypterer med nøkkelen. Uten nøkkel: vegg.
Hold fast på disse to ordene — kryptere og nøkkel — for alt annet dreier seg om hvor nøkkelen bor.
Bankboksen i banken
Jeg tar det eksempelet som etter min mening gjør alt klart.
Kjenner du til bankbokser? De der folk legger viktige dokumenter, noen smykker, tingene de ikke vil ha hjemme.
De fungerer slik.
Banken gir deg et pansret hvelv, overvåket, tyverisikkert. Der inne står boksen din.
Men nøkkelen til boksen din har du. Bare du.
Banken vokter hvelvet. Den kan ikke åpne boksen din. Den har ikke nøkkelen. Hvis en uærlig ansatt i morgen ville snoke, kunne han ikke: låsen åpner seg ikke uten nøkkelen din. Hvis tyver brøt seg inn og tok med seg hele hvelvet, ville de stå igjen med en lukket metallboks de ikke vet hvordan de skal åpne.
Banken tilbyr deg en tjeneste — hvelvets sikkerhet — uten å kreve tilgang til det du legger inni.
Ende-til-ende-kryptering er nøyaktig dette, brukt på digitale filer.
Cashfulness er banken: den tilbyr deg hvelvet, altså serverne våre der dokumentene dine oppbevares.
Du er den eneste som har nøkkelen til boksen.
Og vi, som banken, oppbevarer uten å kunne åpne.
Hva som faktisk skjer når du laster opp et dokument
La oss si at du vil oppbevare kontoutskriften fra banken i Cashfulness, en strømregning, leiekontrakten, en forsikringspolise.
Det er dokumentene du kan laste opp i Cashfulness: kontoutskrifter, regninger, kontrakter, poliser. Ting fulle av dine data — fullt navn, adresse, IBAN, beløp, motparter.
Her er rekkefølgen.
Du velger filen fra telefonen eller datamaskinen.
Før den sendes av gårde, mens den fortsatt er på din enhet, blir dokumentet kryptert. Det blir den blokken med støy jeg snakket om.
Først etterpå, allerede kryptert, reiser det mot serverne våre.
Til serveren kommer det støy. På serveren forblir det støy.
Når det er du som vil lese det igjen, kommer dokumentet tilbake til enheten din fortsatt kryptert, og der — bare der, med din nøkkel — blir det leselig igjen.
Krypteringsøyeblikket er den viktige delen: det skjer hos deg, før avreisen. Ikke «når det først er kommet til serveren, låser vi det for deg». Det ville vært banken som oppbevarer en kopi av nøkkelen din i direktørens skuff.
Nei. Nøkkelen har vi aldri hatt. Den blir til hos deg og blir hos deg.
Hvor nøkkelen din bor
Et rimelig spørsmål på dette tidspunktet: og hvis jeg mister denne velsignede nøkkelen? Hvor oppbevarer jeg den?
Nøkkelen til dokumentene dine oppstår fra to ting som er dine.
Den første er passordet ditt, det du logger inn i Cashfulness med.
Den andre er en rekke på 24 ord som du mottar når du aktiverer denne beskyttelsen. Det er et system som også brukes andre steder for å ta vare på de mest sensitive nøklene — det er tjuefire vanlige ord, i en bestemt rekkefølge, som til sammen fungerer som en hovednøkkel for gjenoppretting.
Fra disse to tingene bygges, på din enhet, nøkkelen som krypterer og dekrypterer dokumentene dine.
Og her kommer poenget som er verdt hele artikkelen: den nøkkelen forlater aldri enheten din.
Den går ikke gjennom serverne våre. Vi lagrer den ingen steder. Vi ser den ikke passere.
Det er som om nøkkelen til boksen ble smidd hjemme hos deg, av deg, og aldri forlot huset. Banken har aldri sett den, ikke engang et øyeblikk.
For serverne våre, jeg gjentar det, er og forblir hvert av dokumentene dine en blokk med digital støy.
Hvem som ikke kan lese dokumentene dine (altså: alle unntatt deg)
Jeg skal prøve å være tydelig, for det er vanligvis her et personvernløfte enten holder eller punkterer.
Dokumentene du har lastet opp, kan ikke leses av oss som bygget Cashfulness. Det finnes ikke et panel et sted der en av teknikerne våre åpner polisen din. Det eksisterer ikke teknisk, fordi vi ikke har nøkkelen.
De kan ikke leses av dem som drifter serverne dataene kjører på.
De kunne ikke leses av en angriper som en dag brøt seg inn i systemene våre og tok med seg alt: han ville stå igjen med støy, ubrukelige filer.
Og vi kunne ikke utlevere dem i leselig form selv om en myndighet ba oss om det formelt, fordi vi ikke har dem i klartekst. Vi kan bare utlevere støyen vi oppbevarer.
Setningen «vi ser ikke dokumentene dine» slutter på dette tidspunktet å være en vennlig forsikring.
Den blir en teknisk beskrivelse av et faktum.
Vi ser dem ikke fordi vi ikke kan. Det er noe annet.
Baksiden av medaljen (og jeg vil fortelle deg det selv, først)
En så stram beskyttelse har en pris, og det ville vært uærlig å skjule den.
Hvis du mister passordet ditt og i tillegg mister de 24 gjenopprettingsordene dine, blir dokumentene dine uleselige. For alltid. Også for oss.
Det finnes ingen knapp for «jeg har glemt alt, send meg filene på nytt». Det finnes ingen tekniker hos oss som kan klatre inn vinduet og hente dem tilbake for deg.
Vi går tilbake til bankboksen: hvis du mister nøkkelen din og ingen andre har en kopi, blir alt liggende inne i boksen, men ingen får åpnet den igjen.
Jeg skjønner at det kan skape litt uro, sagt på den måten. Men se det fra den andre siden, som er grunnen til at vi valgte det.
Hvis det et sted fantes en «sikkerhetskopi» av nøkkelen din — på serveren vår, i direktørens skuff — ville den kopien vært hele systemets svake punkt. Den ville vært det en angriper lette etter først. Den ville vært døren en myndighet kunne bedt oss åpne. Den ville vært filen en uærlig ansatt kunne kopiert til seg selv.
En nøkkel som bare finnes på din enhet, åpner rett og slett ikke den døren.
Vi valgte å gi deg full kontroll — med den byrden det innebærer — i stedet for å beholde en snarvei som før eller senere ville blitt hullet i demningen.
Den praktiske gesten vi ber deg om til gjengjeld, er én eneste: ta vare på de 24 ordene dine slik du ville tatt vare på skjøtet til boligen din. Nedskrevet, på et trygt sted, borte fra andres blikk. Ikke i en e-post til deg selv, ikke i et notat på telefonen. De 24 ordene er reservekopien av nøkkelen din. Oppbevar dem slik du oppbevarer tingene som betyr noe.
En ærlig presisering: E2EE dekker her dokumentene
Jeg vil ikke selge deg mer enn det som finnes, for det ville vært det motsatte av hele denne artikkelen.
Ende-til-ende-krypteringen jeg har fortalt deg om, beskytter dokumentene du laster opp: kontoutskrifter, regninger, kontrakter, poliser. De er det mest sensitive laget, og det er der vi satte den strammeste låsen.
De egentlige regnskapsdataene dine — kontoene, saldoene, bevegelsene som utgjør din posisjonsbestemmelse, altså nettoformuen din — følger derimot en annen logikk.
De bor i en database hos oss, på europeiske servere, og de ligger i klartekst på serversiden. Det er et nødvendig teknisk valg: de trengs for å holde regnskapet ditt synkronisert mellom telefonen og datamaskinen, og for å beregne nøkkeltallene vi viser deg i sanntid. Å kryptere dem på nøyaktig samme måte som dokumentene ville gjort appen ekstremt treg og i praksis ubrukelig.
Men — og her kommer delen mange ikke venter seg — de tallene reiser uten biografien din festet til seg.
Når du registrerer deg, ber vi deg om et kallenavn (det du vil, gjerne oppdiktet), en e-postadresse og et passord. Vi ber deg ikke om fornavn, etternavn, personnummer, fødselsdato, adresse, telefon.
Slik ville selv den som fikk tilgang til databasen, se et visst kallenavn med noen kontoer, saldoer, bevegelser — men uten noen måte å knytte de tallene til den virkelige personen som er deg.
Om hvordan dette andre laget fungerer, og hvorfor vi bygget det i to nivåer i stedet for ett, finnes det en egen artikkel: Radikalt personvern: to nivåer, ett eneste løfte. Her stopper jeg, for dagens tema er nøkkelen til boksen.
Poenget jeg ville slå fast, er dette: når vi sier at ende-til-ende-krypteringen gjør dokumentene dine uleselige, snakker vi om dokumentene. For resten gjelder en annen beskyttelse, like seriøs. Og jeg foretrekker å fortelle deg det selv, presist, fremfor å la deg tro på en magisk kryptering som dekker alt.
Hvorfor det var så viktig for oss, helt hit
Jeg kunne avsluttet her, ved teknikken. Men teknikken alene er ikke grunnen.
Grunnen er at privatøkonomi er stedet der du oppbevarer de tingene du ikke gjerne snakker om, ikke engang med vennene dine. Hvor mye du egentlig tjener. Hvor mye du har lagt til side, eller hvor lite. En gjeld som tynger.
Hvis det, straks du åpner en slik app, ligger igjen en tvil i bakhodet om at noen, et sted, kan ta en titt, vil den appen aldri gi deg det den finnes for.
Vi kaller den tingen ro. The calm side of money, pengenes rolige side. Og roen, hvis tallene dine ikke er trygge på ordentlig, er bare et ord på nettsiden.
Ende-til-ende-krypteringen av dokumentene er ikke et teknisk trofé til utstillingsvinduet. Den er gulvet alt annet hviler på: uten den er nøkkeltallene og posisjonsbestemmelsen møbler satt oppå tomrom.
Derfor skrev vi den inn i fundamentet, i stedet for å legge den til etterpå som en ekstra bryter.
På én linje
Jeg gir deg den i den korteste formen jeg har.
Dokumentene dine låser du inn i en boks. Nøkkelen til boksen har bare du, og den forlater aldri enheten din. Vi oppbevarer den lukkede boksen, og vi kan ikke åpne den.
Ikke fordi vi har lovet å være snille.
Fordi vi med vilje har fratatt oss selv muligheten til ikke å være det.
— Vittorio