Jest zdanie, które często powtarzamy, mówiąc o Cashfulness.
„Nie widzimy Twoich dokumentów.”
Łatwo je wypowiedzieć. Mówi je wiele aplikacji.
Rzecz w tym, co pod tym zdaniem stoi. Bo „nie zaglądamy w nie” i „nie możemy w nie zajrzeć” to dwie bardzo różne obietnice.
Pierwsza to obietnica dobrej woli: ufasz, że tego nie zrobimy.
Druga to obietnica niemożliwości: nawet gdybyśmy chcieli, nie możemy.
W Cashfulness, dla dokumentów, które wgrywasz, obowiązuje ta druga. A techniczne słowo, które czyni ją prawdziwą, to szyfrowanie end-to-end.
Po angielsku znajdziesz je w skrócie jako E2EE, od end-to-end encryption: szyfrowanie „od końca do końca”.
Wiem, że brzmi to informatycznie. Obiecuję: na końcu tego tekstu zrozumiesz je, nawet jeśli nigdy w życiu nie napisałeś linijki kodu. I zrozumiesz, dlaczego dla aplikacji, w której trzymasz domowe liczby, to wybór, który zmienia wszystko.
Najpierw właściwe słowa
Zacznijmy od czasownika. Zaszyfrować plik znaczy zamienić go w nieczytelny ciąg.
Nie schować za hasłem, które pyta „wpuść mnie”. Właśnie zamienić: wziąć tekst, liczby, obrazy i sprowadzić je do bloku znaków, które nic nie znaczą dla kogoś bez właściwego klucza.
To, co przywraca ten blok do czytelnej postaci, nazywa się kluczem. To kawałek informacji — pomyśl o nim jak o bardzo, bardzo długim haśle wygenerowanym przez komputer — bez którego plik pozostaje szumem.
Szyfrujesz kluczem. Odszyfrowujesz kluczem. Bez klucza jest mur.
Zapamiętaj te dwa słowa — szyfrować i klucz — bo cała reszta kręci się wokół tego, gdzie ten klucz mieszka.
Skrytka depozytowa w banku
Podam przykład, który moim zdaniem wyjaśnia wszystko.
Znasz bankowe skrytki depozytowe? Te, w których ludzie trzymają ważne dokumenty, jakąś biżuterię, rzeczy, których nie chcą trzymać w domu.
Działają tak.
Bank daje Ci opancerzony, strzeżony, odporny na złodziei skarbiec. W środku stoi Twoja skrytka.
Ale klucz do Twojej skrytki masz Ty. Tylko Ty.
Bank pilnuje skarbca. Nie może otworzyć Twojej skrytki. Nie ma klucza. Gdyby jutro nieuczciwy pracownik chciał zajrzeć, nie dałby rady: zamek nie otworzy się bez Twojego klucza. Gdyby weszli złodzieje i wynieśli cały skarbiec, zostaliby z zamkniętą metalową skrzynką, której nie umieją otworzyć.
Bank oferuje Ci usługę — bezpieczeństwo skarbca — nie żądając dostępu do tego, co w nim umieszczasz.
Szyfrowanie end-to-end jest dokładnie tym samym, zastosowanym do plików cyfrowych.
Cashfulness jest bankiem: oferuje Ci skarbiec, czyli nasze serwery, na których Twoje dokumenty są przechowywane.
Ty jesteś jedyną osobą z kluczem do skrytki.
A my, jak bank, przechowujemy, nie mogąc otworzyć.
Co dzieje się w praktyce, kiedy wgrywasz dokument
Powiedzmy, że chcesz trzymać w Cashfulness wyciąg bankowy, rachunek za prąd, umowę najmu, polisę.
To właśnie dokumenty, które możesz wgrać do Cashfulness: wyciągi bankowe, rachunki, umowy, polisy. Rzeczy pełne Twoich danych — imienia i nazwiska, adresu, numeru IBAN, kwot, kontrahentów.
Oto ta sekwencja.
Wybierasz plik z telefonu albo z komputera.
Zanim wyruszy, jeszcze na Twoim urządzeniu, dokument zostaje zaszyfrowany. Staje się tym blokiem szumu, o którym mówiłem.
Dopiero potem, już zaszyfrowany, wędruje na nasze serwery.
Na serwer dociera szum. Na serwerze szumem pozostaje.
Kiedy sam chcesz go znów przeczytać, dokument wraca na Twoje urządzenie wciąż zaszyfrowany i tam — wyłącznie tam, Twoim kluczem — staje się z powrotem czytelny.
Moment zaszyfrowania jest tu częścią najważniejszą: dzieje się u Ciebie, przed wyruszeniem. Nie „jak już dotrze na serwer, my zamkniemy go za Ciebie na klucz”. To byłby bank trzymający kopię Twojego klucza w szufladzie dyrektora.
Nie. Klucza nie mamy nigdy. Rodzi się u Ciebie i u Ciebie zostaje.
Gdzie mieszka Twój klucz
Słuszne pytanie w tym miejscu: a jeśli zgubię ten nieszczęsny klucz? Gdzie go trzymam?
Klucz do Twoich dokumentów rodzi się z dwóch Twoich rzeczy.
Pierwsza to Twoje hasło, to, którym wchodzisz do Cashfulness.
Druga to ciąg 24 słów, który dostajesz przy włączaniu tej ochrony. To system używany też gdzie indziej do pilnowania najdelikatniejszych kluczy — dwadzieścia cztery zwykłe słowa, w określonej kolejności, które razem działają jak główny klucz odzyskiwania.
Z tych dwóch rzeczy, na Twoim urządzeniu, budowany jest klucz, który szyfruje i odszyfrowuje Twoje dokumenty.
I tu pada zdanie warte całego tego tekstu: ten klucz nigdy nie opuszcza Twojego urządzenia.
Nie przechodzi przez nasze serwery. Nie zapisujemy go nigdzie. Nie widzimy, jak przechodzi.
To tak, jakby klucz do skrytki był wykuwany u Ciebie w domu, przez Ciebie, i nigdy stamtąd nie wychodził. Bank nigdy go nie widział, nawet przez chwilę.
Dla naszych serwerów, powtarzam, każdy Twój dokument jest i pozostaje blokiem cyfrowego szumu.
Kto nie może czytać Twoich dokumentów (czyli: wszyscy oprócz Ciebie)
Spróbuję powiedzieć to wprost, bo zwykle właśnie w tym miejscu obietnica prywatności albo się broni, albo się rozsypuje.
Twoich wgranych dokumentów nie możemy czytać my, którzy zbudowaliśmy Cashfulness. Nie ma gdzieś panelu, w którym nasz technik otwiera Twoją polisę. Technicznie to nie istnieje, bo nie mamy klucza.
Nie może ich czytać ten, kto zarządza serwerami, na których działają dane.
Nie odczytałby ich napastnik, który pewnego dnia włamałby się do naszych systemów i wyniósł wszystko: zostałby z szumem, z plikami, z których nic nie wyciśnie.
I nie moglibyśmy przekazać ich w czytelnej postaci nawet gdyby zażądał ich formalnie jakiś organ, bo nie mamy ich w postaci jawnej. Możemy przekazać tylko szum, który przechowujemy.
Zdanie „nie widzimy Twoich dokumentów” przestaje w tym momencie być uprzejmym zapewnieniem.
Staje się technicznym opisem faktu.
Nie widzimy ich, bo nie możemy. To co innego.
Druga strona medalu (i wolę powiedzieć Ci o niej sam, zawczasu)
Tak ścisła ochrona ma swoją cenę i nieuczciwie byłoby ją ukrywać.
Jeśli zgubisz hasło i zgubisz też swoje 24 słowa odzyskiwania, Twoje dokumenty staną się nieczytelne. Na zawsze. Także dla nas.
Nie ma przycisku „zapomniałem wszystkiego, odeślijcie mi pliki”. Nie istnieje nasz technik, który wszedłby oknem i odzyskał je dla Ciebie.
Wróćmy do skrytki w banku: jeśli zgubisz swój klucz, a nikt inny nie ma kopii, w skrytce wszystko zostaje, tylko nikt już jej nie otworzy.
Rozumiem, że postawione tak, może to budzić lekki niepokój. Ale spójrz na to z drugiej strony — to właśnie powód, dla którego tak wybraliśmy.
Gdyby gdzieś istniała „kopia zapasowa” Twojego klucza — na naszym serwerze, w szufladzie dyrektora — ta kopia byłaby słabym punktem całego systemu. Byłaby rzeczą, której napastnik szukałby w pierwszej kolejności. Byłaby drzwiami, o których otwarcie mógłby poprosić nas jakiś organ. Byłaby plikiem, który nieuczciwy pracownik mógłby sobie skopiować.
Klucz istniejący wyłącznie na Twoim urządzeniu tych drzwi po prostu nie otwiera.
Postanowiliśmy dać Ci pełną kontrolę — z ciężarem, który się z tym wiąże — zamiast zachowywać dla siebie skrót, który prędzej czy później stałby się dziurą w tamie.
Praktyczny gest, o który prosimy w zamian, jest jeden: pilnuj swoich 24 słów tak, jak pilnowałbyś aktu własności mieszkania. Zapisane, w bezpiecznym miejscu, z dala od cudzych oczu. Nie w mailu do samego siebie, nie w notatce w telefonie. Te 24 słowa są zapasową kopią Twojego klucza. Trzymaj je tak, jak trzymasz rzeczy, które się liczą.
Uczciwe doprecyzowanie: E2EE obejmuje tu dokumenty
Nie chcę sprzedawać Ci więcej, niż jest, bo byłoby to zaprzeczeniem całego tego tekstu.
Szyfrowanie end-to-end, o którym opowiadam, chroni dokumenty, które wgrywasz: wyciągi bankowe, rachunki, umowy, polisy. To one są warstwą najdelikatniejszą i tam założyliśmy najściślejszy zamek.
Twoje właściwe dane księgowe — konta, salda, ruchy, które składają się na Twoje wyznaczanie pozycji, czyli na Twoją wartość netto — podlegają natomiast innej logice.
Żyją w naszej bazie danych, na europejskich serwerach, i po stronie serwera są w postaci jawnej. To konieczny wybór techniczny: są potrzebne, żeby utrzymać Twoją księgowość zsynchronizowaną między telefonem a komputerem i żeby na bieżąco liczyć metryki, które Ci pokazujemy. Zaszyfrowanie ich dokładnie tak samo jak dokumentów uczyniłoby aplikację skrajnie powolną i w praktyce bezużyteczną.
Ale — i tu przychodzi kawałek, którego wielu się nie spodziewa — te liczby podróżują bez doczepionej do nich Twojej biografii.
Przy rejestracji prosimy Cię o pseudonim (jaki chcesz, choćby fantazyjny), o e-mail i o hasło. Nie pytamy o imię, nazwisko, numer identyfikacyjny, datę urodzenia, adres, telefon.
Dzięki temu nawet ktoś z dostępem do bazy zobaczyłby jakiś pseudonim z kontami, saldami i ruchami — ale bez sposobu na powiązanie tych liczb z prawdziwą osobą, którą jesteś.
O tym, jak działa ta druga warstwa i dlaczego zbudowaliśmy ją na dwóch poziomach zamiast na jednym, jest osobny tekst: Radykalna prywatność: dwie warstwy, jedna obietnica. Tutaj się zatrzymuję, bo dzisiejszym tematem jest klucz do skrytki.
Rzecz, na której ustaleniu mi zależało, brzmi tak: kiedy mówimy, że szyfrowanie end-to-end czyni Twoje dokumenty nieczytelnymi, mówimy o dokumentach. Na resztę obowiązuje inna ochrona, równie poważna. I wolę powiedzieć Ci to precyzyjnie sam, niż pozwolić Ci wierzyć w magiczne szyfrowanie, które obejmuje wszystko.
Dlaczego zależało nam aż tak
Mógłbym zamknąć rzecz na technice. Ale technika sama w sobie nie jest powodem.
Powodem jest to, że finanse osobiste to miejsce, gdzie trzymasz rzeczy, o których niechętnie mówisz nawet przyjaciołom. Ile naprawdę zarabiasz. Ile odłożyłeś albo jak niewiele. Dług, który ciąży.
Jeśli po otwarciu takiej aplikacji zostaje Ci na dnie wątpliwość, że ktoś, gdzieś, może zerknąć, ta aplikacja nigdy nie da Ci tego, po co istnieje.
My nazywamy to spokojem. The calm side of money, spokojna strona pieniędzy. A spokój, jeśli Twoje liczby naprawdę nie są bezpieczne, jest tylko słowem na stronie internetowej.
Szyfrowanie end-to-end na dokumentach nie jest technicznym trofeum do postawienia na wystawie. To podłoga, na której opiera się cała reszta: bez niej metryki i wyznaczona pozycja są meblami postawionymi nad pustką.
Dlatego wpisaliśmy je w fundamenty, a nie dołożyliśmy później jako kolejny przełącznik.
W jednej linijce
Zostawiam Ci to w najkrótszej postaci, jaką mam.
Twoje dokumenty zamykasz w skrytce. Klucz do skrytki masz tylko Ty i nigdy nie opuszcza on Twojego urządzenia. My pilnujemy zamkniętej skrytki i nie możemy jej otworzyć.
Nie dlatego, że obiecaliśmy być porządni.
Dlatego, że celowo odebraliśmy sobie możliwość, żeby porządni nie być.
— Vittorio