Есть фраза, которую мы часто повторяем, когда говорим о Cashfulness.
«Мы не видим ваши документы».
Фразу легко произнести. Многие приложения её произносят.
Суть в том, что стоит за этой фразой. Потому что «мы не смотрим» и «мы не можем смотреть» — это два очень разных обещания.
Первое — обещание доброй воли: мы верим, что вы этого не сделаете.
Второе — обещание невозможности: даже если бы захотели, вы не смогли бы.
В Cashfulness в отношении документов, которые вы загружаете, действует второе. И техническое слово, которое делает это правдой, называется сквозное шифрование.
По-английски это сокращают как E2EE (сквозное шифрование, end-to-end encryption): шифрование «от одного конца до другого».
Знаю, звучит как для айтишников. Обещаю: к концу этой статьи вы поймёте это, даже если никогда в жизни не написали ни строчки кода. И поймёте, почему для приложения, где вы храните цифры своего дома, это выбор, который меняет всё.
Сначала — правильные слова
Начнём с глагола. Зашифровать файл — значит превратить его в нечитаемую последовательность.
Не спрятать за паролем, который просит «впустите меня». А именно преобразовать: взять текст, цифры, изображения — и свести их к блоку символов, которые ничего не значат для того, у кого нет нужного ключа.
То, что возвращает этому блоку читаемую форму, называется ключ. Это фрагмент информации — представьте его как очень, очень длинный пароль, сгенерированный компьютером, — без которого файл остаётся шумом.
Шифруете ключом. Расшифровываете ключом. Без ключа — стена.
Запомните эти два слова — шифровать и ключ, — потому что всё остальное вращается вокруг того, где живёт ключ.
Банковская ячейка
Приведу пример, который, на мой взгляд, объясняет всё.
Знаете банковские ячейки? Куда люди кладут важные документы, немного украшений, вещи, которые не хотят держать дома.
Работает это так.
Банк даёт вам бронированное, охраняемое, защищённое от воров хранилище. Внутри — ваша ячейка.
Но ключ от вашей ячейки — у вас. Только у вас.
Банк охраняет хранилище. Открыть вашу ячейку он не может. У него нет ключа. Если завтра нечестный сотрудник захочет заглянуть внутрь, у него не выйдет: замок не откроется без вашего ключа. Если ворвутся грабители и вынесут всё хранилище целиком, в руках у них окажется закрытая металлическая коробка, которую они не смогут открыть.
Банк предлагает услугу — безопасность хранилища, — не претендуя на доступ к тому, что вы туда кладёте.
Сквозное шифрование — это ровно то же самое, применённое к цифровым файлам.
Cashfulness — это банк: он предлагает вам хранилище, то есть наши серверы, где хранятся ваши документы.
Только у вас есть ключ от ячейки.
А мы, как и банк, охраняем, не имея возможности открыть.
Что происходит на практике, когда вы загружаете документ
Допустим, вы хотите хранить в Cashfulness банковскую выписку, счёт за электричество, договор аренды, страховой полис.
Это как раз документы, которые можно загрузить в Cashfulness: выписки, счета, договоры, полисы. Вещи, полные ваших данных — полное имя, адрес, номер счёта, суммы, контрагенты.
Вот последовательность.
Вы выбираете файл на телефоне или компьютере.
Прежде чем он отправится, ещё на вашем устройстве, документ шифруется. Он становится тем блоком шума, о котором я говорил.
Только после этого, уже зашифрованный, он движется к нашим серверам.
На сервер приходит шум. На сервере остаётся шум.
Когда вы захотите прочитать документ снова, он вернётся на ваше устройство всё ещё зашифрованным, и именно там — только там, с вашим ключом — снова станет читаемым.
Момент шифрования — важная часть: он происходит на вашей стороне, до отправки. А не «когда документ дойдёт до сервера, мы сами закроем его на замок за вас». Это было бы банком, который держит копию вашего ключа в ящике директора.
Нет. У нас никогда не было этого ключа. Он рождается у вас и остаётся у вас.
Где живёт ваш ключ
Резонный вопрос на этом этапе: а если я потеряю этот драгоценный ключ? Где мне его хранить?
Ключ ваших документов рождается из двух вещей, принадлежащих вам.
Первая — ваш пароль, тот, которым вы входите в Cashfulness.
Вторая — последовательность из 24 слов, которую вы получаете, включив эту защиту. Это метод, используемый и в других местах для хранения самых чувствительных ключей: двадцать четыре обычных слова в определённом порядке, которые вместе служат мастер-ключом восстановления.
Из этих двух вещей, на вашем устройстве, строится ключ, который шифрует и расшифровывает ваши документы.
И здесь — то, ради чего написана вся статья: этот ключ никогда не покидает ваше устройство.
Он не проходит через наши серверы. Мы нигде его не сохраняем. Мы даже не видим, как он проходит мимо.
Это как если бы ключ от ячейки ковался у вас дома, вами самими, и никогда оттуда не выходил. Банк не видел его никогда, ни на мгновение.
Для наших серверов, повторю, каждый ваш документ был и остаётся блоком цифрового шума.
Кто не может прочитать ваши документы (то есть все, кроме вас)
Постараюсь сказать прямо, потому что обычно именно здесь обещание приватности либо выдерживает проверку, либо рушится.
Загруженные вами документы не можем прочитать мы, создавшие Cashfulness. Нет никакой панели, где наш специалист открывает ваш полис. Технически её не существует, потому что у нас нет ключа.
Их не может прочитать тот, кто управляет серверами, на которых крутятся данные.
Их не смог бы прочитать злоумышленник, который однажды взломал бы наши системы и унёс всё: в руках у него оказался бы шум, бесполезные файлы.
И мы не смогли бы передать их в читаемом виде даже если бы какое-то ведомство официально их потребовало, потому что у нас их нет в открытом виде. Мы можем передать только тот шум, который храним.
Фраза «мы не видим ваши документы» на этом этапе перестаёт быть вежливым заверением.
Она становится техническим описанием факта.
Мы не видим их не потому, что не смотрим. А потому, что не можем. Это разные вещи.
Обратная сторона медали (и я хочу сказать о ней первым)
У такой плотной защиты есть цена, и было бы нечестно её скрывать.
Если вы потеряете свой пароль и заодно потеряете свои 24 слова для восстановления, ваши документы станут нечитаемыми. Навсегда. Даже для нас.
Нет кнопки «я всё забыл, пришлите мне файлы обратно». Нет специалиста, который мог бы влезть через окно и вернуть их вам.
Вернёмся к банковской ячейке: если вы потеряете свой ключ, а копии больше ни у кого нет, содержимое ячейки останется на месте, но открыть его больше никто не сможет.
Понимаю, сказанное так может немного тревожить. Но посмотрите на это с другой стороны — именно поэтому мы это и выбрали.
Если бы где-то существовала «резервная копия» вашего ключа — на нашем сервере, в ящике директора, — эта копия стала бы слабым местом всей системы. Именно её в первую очередь искал бы злоумышленник. Именно это была бы дверь, которую нас могло бы попросить открыть ведомство. Именно это был бы файл, который мог бы скопировать себе нечестный сотрудник.
Ключ, существующий только на вашем устройстве, эту дверь просто не открывает.
Мы выбрали дать вам полный контроль — со всей его тяжестью, — вместо того чтобы оставить себе лазейку, которая рано или поздно стала бы дырой в плотине.
Практический шаг, который мы просим взамен, всего один: храните свои 24 слова так же бережно, как хранили бы документ на право собственности на дом. Запишите их, положите в надёжное место, подальше от чужих глаз. Не в письме себе самому, не в заметке на телефоне. Эти 24 слова и есть резервная копия вашего ключа. Берегите их так же, как бережёте то, что действительно важно.
Честное уточнение: здесь E2EE покрывает документы
Не хочу продать вам больше, чем есть на самом деле, потому что это было бы противоположностью всего сказанного выше.
Сквозное шифрование, о котором я вам рассказал, защищает документы, которые вы загружаете: выписки, счета, договоры, полисы. Это самый чувствительный уровень, и именно там мы поставили самый плотный замок.
Ваши же настоящие бухгалтерские данные — счета, остатки, движения, которые формируют вашу обсервацию, то есть ваши чистые активы, — следуют другой логике.
Они живут в нашей базе данных, на европейских серверах, и на стороне сервера хранятся в открытом виде. Это необходимое техническое решение: они нужны, чтобы держать ваш учёт синхронизированным между телефоном и компьютером и чтобы в реальном времени рассчитывать метрики, которые мы вам показываем. Зашифровать их точно так же, как документы, сделало бы приложение крайне медленным и, по сути, непригодным для использования.
Но — и вот часть, которую многие не ожидают, — эти цифры путешествуют без привязанной к ним биографии.
При регистрации мы просим никнейм (любой, какой хотите, даже вымышленный), email и пароль. Мы не просим имя, фамилию, номер документа, дату рождения, адрес, телефон.
Так что даже тот, у кого был бы доступ к базе данных, увидел бы некий никнейм со счетами, остатками, движениями — но без способа связать эти цифры с реальным человеком, которым являетесь вы.
О том, как работает этот второй уровень и почему мы построили его на двух уровнях, а не на одном, есть отдельная статья: Радикальная приватность: два уровня, одно обещание. Здесь я остановлюсь, потому что тема сегодняшней статьи — ключ от ячейки.
Мысль, которую мне важно было закрепить, такова: когда мы говорим, что сквозное шифрование делает ваши документы нечитаемыми, мы говорим именно о документах. На остальное распространяется другая защита, не менее серьёзная. И я предпочитаю сказать вам это точно, а не позволить вам поверить в магическое шифрование, которое покрывает всё.
Почему нам это было важно — вплоть до этого момента
Я мог бы закончить на технической стороне. Но техника сама по себе — не причина.
Причина в том, что личные финансы — это место, где вы храните то, о чём неохотно говорите даже с друзьями. Сколько вы на самом деле зарабатываете. Сколько отложили, или как мало отложили. Долг, который давит.
Если, едва открыв такое приложение, у вас остаётся ощущение, что кто-то где-то может заглянуть, это приложение никогда не даст вам того, ради чего существует.
Мы называем это спокойствием. The calm side of money, спокойная сторона денег. И спокойствие, если ваши цифры на самом деле не защищены, — всего лишь слово на сайте.
Сквозное шифрование документов — не технический трофей для витрины. Это пол, на котором держится всё остальное: без него метрики и обсервация — просто мебель, стоящая на пустоте.
Поэтому мы вписали его в фундамент, а не добавили потом, как ещё один переключатель.
В одну строку
Оставлю вам это в самой короткой форме, какая у меня есть.
Ваши документы вы запираете в ячейку. Ключ от ячейки есть только у вас, и он никогда не выходит из вашего устройства. Мы храним запертую ячейку и не можем её открыть.
Не потому, что мы пообещали быть порядочными.
А потому, что мы намеренно лишили себя возможности не быть таковыми.
— Vittorio