Je jedna veta, ktorú si často opakujeme, keď hovoríme o Cashfulness.
„Nevidíme tvoje dokumenty.“
Je to ľahká veta na vyslovenie. Hovorí ju veľa aplikácií.
Ide o to, čo sa za tou vetou skrýva. Pretože „nepozeráme sa na ne“ a „nemôžeme sa na ne pozrieť“ sú dva veľmi odlišné sľuby.
Prvý je sľub dobrej vôle: veríme, že to neurobíš.
Druhý je sľub nemožnosti: aj keby si chcel, nemôžeš.
V Cashfulness pre dokumenty, ktoré nahrávaš, platí ten druhý. A technické slovo, ktoré ho robí pravdivým, sa volá koncové šifrovanie.
V angličtine ho nájdeš skrátené na E2EE, z end-to-end encryption: šifrovanie „od jedného konca k druhému“.
Viem, že to znie ako reč pre informatikov. Sľubujem: na konci tohto článku to pochopíš, aj keby si za život nenapísal jediný riadok kódu. A pochopíš, prečo je to pri aplikácii, kde si držíš domáce čísla, rozhodnutie, ktoré mení všetko.
Najprv správne slová
Začnime slovesom. Zašifrovať súbor znamená premeniť ho na nečitateľnú postupnosť.
Nie ho schovať za heslo, ktoré sa pýta „pusť ma dnu“. Naozaj ho premeniť: vziať text, čísla, obrázky a zredukovať ich na blok znakov, ktorý nič neznamená tomu, kto nemá správny kľúč.
Vec, ktorá vráti ten blok do čitateľnej podoby, sa volá kľúč. Je to kúsok informácie — predstav si ho ako veľmi, veľmi dlhé heslo generované počítačom —, bez ktorého súbor zostáva šumom.
Kľúčom šifruješ. Kľúčom dešifruješ. Bez kľúča: stena.
Zapamätaj si tieto dve slová — zašifrovať a kľúč —, lebo všetko ostatné sa točí okolo toho, kde ten kľúč žije.
Bezpečnostná schránka v banke
Uvediem príklad, ktorý podľa mňa všetko vyjasní.
Poznáš bankové bezpečnostné schránky? Tie, do ktorých si ľudia dávajú dôležité dokumenty, nejaké šperky, veci, ktoré nechcú mať doma.
Fungujú takto.
Banka ti dá obrnený trezor, strážený, odolný voči zlodejom. Vnútri je tvoja schránka.
Ale kľúč od tvojej schránky máš ty. Len ty.
Banka stráži trezor. Nemôže otvoriť tvoju schránku. Nemá kľúč. Keby zajtra chcel nečestný zamestnanec nazrieť dnu, nemohol by: zámka sa bez tvojho kľúča neotvorí. Keby vlámači vnikli dnu a odniesli celý trezor, ostali by im v rukách zavreté kovové škatule, ktoré nevedia otvoriť.
Banka ti ponúka službu — bezpečnosť trezoru — bez toho, aby si nárokovala prístup k tomu, čo tam vložíš.
Koncové šifrovanie je presne toto, aplikované na digitálne súbory.
Cashfulness je banka: ponúka ti trezor, teda naše servery, kde sa uchovávajú tvoje dokumenty.
Ty jediný máš kľúč od schránky.
A my, rovnako ako banka, uchovávame bez toho, aby sme mohli otvoriť.
Čo sa v praxi deje, keď nahráš dokument
Povedzme, že chceš v Cashfulness uchovať bankový výpis, účet za elektrinu, nájomnú zmluvu, poistku.
To sú dokumenty, ktoré môžeš do Cashfulness nahrať: výpisy, účty, zmluvy, poistky. Veci plné tvojich údajov — celé meno, adresa, IBAN, sumy, protistrany.
Tu je postupnosť.
Vyberieš si súbor z telefónu alebo počítača.
Ešte predtým, ako vyrazí, ešte na tvojom zariadení, sa dokument zašifruje. Stane sa tým blokom šumu, o ktorom som hovoril.
Až potom, už zašifrovaný, cestuje na naše servery.
Na server dorazí šum. Na serveri zostáva šum.
Keď ho chceš znova prečítať, dokument sa vráti na tvoje zariadenie stále zašifrovaný a tam — len tam, s tvojím kľúčom — sa znova stane čitateľným.
Chvíľa šifrovania je dôležitá časť: deje sa u teba, pred odoslaním. Nie „keď už dorazí na server, zamkneme ho za teba“. To by bola banka, ktorá si drží kópiu tvojho kľúča v zásuvke riaditeľa.
Nie. Kľúč sme nikdy nemali. Rodí sa u teba a zostáva u teba.
Kde žije tvoj kľúč
Na tomto mieste je namieste otázka: a čo ak ten požehnaný kľúč stratím? Kde ho mám držať?
Kľúč tvojich dokumentov sa rodí z dvoch tvojich vecí.
Prvá je tvoje heslo, ktorým sa prihlasuješ do Cashfulness.
Druhá je postupnosť 24 slov, ktorú dostaneš, keď túto ochranu aktivuješ. Je to systém, ktorý sa používa aj inde na uchovávanie tých najcitlivejších kľúčov — je to dvadsaťštyri bežných slov v určitom poradí, ktoré spolu fungujú ako hlavný obnovovací kľúč.
Z týchto dvoch vecí sa na tvojom zariadení zostaví kľúč, ktorý šifruje a dešifruje tvoje dokumenty.
A tu je bod, ktorý stojí za celý článok: ten kľúč nikdy neopustí tvoje zariadenie.
Neprechádza cez naše servery. Nikde ho neukladáme. Nevidíme ho prechádzať.
Je to, akoby sa kľúč od schránky kul priamo u teba doma, tebou, a nikdy odtiaľ nevyšiel. Banka ho nikdy nevidela, ani na okamih.
Pre naše servery, opakujem, je a zostáva každý tvoj dokument blokom digitálneho šumu.
Kto nemôže čítať tvoje dokumenty (teda: všetci okrem teba)
Skúsim byť jasný, lebo zvyčajne práve tu sľub súkromia buď obstojí, alebo sa vyfúkne.
Tvoje nahrané dokumenty nemôžeme čítať my, ktorí sme postavili Cashfulness. Nikde neexistuje panel, kde by náš technik otvoril tvoju poistku. Technicky to neexistuje, lebo kľúč nemáme.
Nemôže ich čítať ten, kto spravuje servery, na ktorých bežia dáta.
Nemohol by ich čítať útočník, ktorý by jedného dňa prelomil naše systémy a odniesol všetko: v rukách by mu ostal len šum, nepoužiteľné súbory.
A nemohli by sme ich vydať čitateľné ani keby ich úrad formálne žiadal, lebo ich nemáme v otvorenej podobe. Môžeme vydať len šum, ktorý uchovávame.
Veta „nevidíme tvoje dokumenty“ v tomto bode prestáva byť milým uistením.
Stáva sa technickým popisom faktu.
Nevidíme ich, lebo nemôžeme. To je rozdiel.
Druhá strana mince (a chcem ti to povedať ja, vopred)
Taká pevná ochrana má svoju cenu a bolo by nečestné ju zatajiť.
Ak stratíš heslo a stratíš aj svojich 24 obnovovacích slov, tvoje dokumenty sa stanú nečitateľnými. Navždy. Aj pre nás.
Neexistuje tlačidlo „zabudol som všetko, pošlite mi súbory späť“. Nemáme technika, ktorý by mohol vliezť oknom a získať ich pre teba naspäť.
Vráťme sa k bankovej schránke: ak stratíš svoj kľúč a nikto iný nemá kópiu, vnútri schránky zostane všetko, ale už ju nikto neotvorí.
Chápem, že takto povedané to môže vyvolať trochu úzkosti. Ale pozri sa na to z druhej strany, ktorá je dôvodom, prečo sme si to vybrali.
Keby niekde existovala „záložná kópia“ tvojho kľúča — na našom serveri, v zásuvke riaditeľa —, tá kópia by bola slabým miestom celého systému. Bola by to prvá vec, ktorú by útočník hľadal. Boli by to dvere, ktoré by nás úrad mohol žiadať otvoriť. Bol by to súbor, ktorý by si nečestný zamestnanec mohol skopírovať.
Kľúč, ktorý existuje len na tvojom zariadení, tie dvere jednoducho neotvorí.
Rozhodli sme sa dať ti plnú kontrolu — s bremenom, ktoré to prináša — namiesto toho, aby sme si nechali skratku, ktorá by sa skôr či neskôr stala dierou v hrádzi.
Praktické gesto, ktoré od teba na oplátku žiadame, je jediné: stráž svojich 24 slov tak, ako by si strážil list vlastníctva domu. Napísané, na bezpečnom mieste, ďaleko od cudzích očí. Nie v e-maile samému sebe, nie v poznámke v telefóne. Tých 24 slov je záložnou kópiou tvojho kľúča. Chráň ich tak, ako chrániš veci, na ktorých ti záleží.
Úprimné spresnenie: E2EE tu pokrýva dokumenty
Nechcem ti predať viac, než tam skutočne je, lebo to by bol opak celého tohto článku.
Koncové šifrovanie, o ktorom som ti rozprával, chráni dokumenty, ktoré nahrávaš: výpisy, účty, zmluvy, poistky. To je najcitlivejšia vrstva a tam sme dali najpevnejší zámok.
Tvoje skutočné účtovné dáta — účty, zostatky, pohyby, ktoré tvoria tvoj bod na mape, teda tvoje čisté imanie — sa naopak riadia inou logikou.
Žijú v našej databáze, na európskych serveroch, a na strane servera sú nezašifrované. Je to nutné technické rozhodnutie: sú potrebné na to, aby zostalo tvoje účtovníctvo zosynchronizované medzi telefónom a počítačom, a aby sme v reálnom čase počítali metriky, ktoré ti zobrazujeme. Zašifrovať ich úplne rovnako ako dokumenty by aplikáciu spomalilo natoľko, že by sa stala prakticky nepoužiteľnou.
Ale — a tu prichádza časť, ktorú veľa ľudí nečaká — tie čísla cestujú bez tvojho životopisu prilepeného k sebe.
Keď sa registruješ, pýtame si od teba prezývku (akú chceš, aj vymyslenú), e-mail a heslo. Nepýtame si meno, priezvisko, rodné číslo, dátum narodenia, adresu, telefón.
Takto by aj ten, kto by získal prístup k databáze, videl istú prezývku s účtami, zostatkami, pohybmi — ale bez spôsobu, ako tie čísla spojiť so skutočnou osobou, ktorou si ty.
O tom, ako táto druhá vrstva funguje a prečo sme ju postavili na dvoch úrovniach namiesto jednej, existuje samostatný článok: Radikálne súkromie: dve úrovne, jeden jediný sľub. Tu sa zastavím, lebo dnešnou témou je kľúč od schránky.
Bod, ktorý som chcel zdôrazniť, je tento: keď hovoríme, že koncové šifrovanie robí tvoje dokumenty nečitateľnými, hovoríme o dokumentoch. Na zvyšok sa vzťahuje iná, rovnako vážna ochrana. A radšej ti to poviem ja sám presne, než by som ťa nechal veriť v magické šifrovanie, ktoré pokrýva všetko.
Prečo nám na tom až doteraz tak záležalo
Mohol by som skončiť tu, pri technike. Ale technika sama osebe nie je dôvodom.
Dôvodom je, že osobné financie sú miesto, kde držíš veci, o ktorých rád nehovoríš ani s priateľmi. Koľko naozaj zarábaš. Koľko si odložil, alebo koľko málo. Dlh, ktorý ťaží.
Ak ti hneď po otvorení takej aplikácie ostane na dne pochybnosť, že sa niekto, niekde môže pozrieť, tá aplikácia ti nikdy nedá to, kvôli čomu existuje.
My tomu hovoríme pokoj. The calm side of money, pokojná strana peňazí. A pokoj, ak tvoje čísla nie sú naozaj v bezpečí, je len slovo na webe.
Koncové šifrovanie dokumentov nie je technická trofej do výkladu. Je to podlaha, na ktorej stojí všetko ostatné: bez nej sú metriky a bod na mape nábytok postavený na prázdnote.
Preto sme ho zapísali do základov, nie pridali dodatočne ako ďalší vypínač.
V jednej vete
Nechám ti to v najkratšej forme, akú mám.
Svoje dokumenty zamkneš do schránky. Kľúč od schránky máš len ty a nikdy neopustí tvoje zariadenie. My strážime zavretú schránku a nemôžeme ju otvoriť.
Nie preto, že sme sľúbili, že budeme dobrí.
Ale preto, že sme si zámerne vzali možnosť, aby sme nimi neboli.
— Vittorio