Obstaja stavek, ki ga pogosto ponavljamo, ko govorimo o Cashfulnessu.
„Ne vidimo tvojih dokumentov.“
To je preprost stavek za izreči. Veliko aplikacij ga izreka.
Bistvo je, kaj stoji za tem stavkom. Ker „ne gledamo jih“ in „ne moremo jih gledati“ sta dve zelo različni obljubi.
Prva je obljuba dobre volje: zaupamo, da tega ne boš storil.
Druga je obljuba nemogočega: tudi če bi hotel, ne moreš.
V Cashfulnessu za dokumente, ki jih naložiš, velja druga. In tehnični izraz, ki jo naredi resnično, se imenuje šifriranje od konca do konca.
V angleščini ga najdeš skrajšano kot E2EE, iz end-to-end encryption: šifriranje „od enega konca do drugega“.
Vem, da zveni kot govorica informatikov. Obljubim: ob koncu tega članka boš to razumel, tudi če v življenju nisi napisal niti ene vrstice kode. In razumel boš, zakaj je to za aplikacijo, kjer hraniš številke svojega gospodinjstva, odločitev, ki spremeni vse.
Najprej prave besede
Začnimo z glagolom. Šifrirati datoteko pomeni spremeniti jo v neberljivo zaporedje.
Ne skriti je za geslom, ki sprašuje „spusti me noter“. Res jo spremeniti: vzeti besedilo, številke, slike in jih skrčiti na blok znakov, ki nič ne pomeni tistemu, ki nima pravega ključa.
Stvar, ki ta blok povrne v berljivo obliko, se imenuje ključ. Je koščkek informacije — predstavljaj si ga kot zelo, zelo dolgo geslo, ki ga ustvari računalnik —, brez katerega datoteka ostane šum.
S ključem šifriraš. S ključem dešifriraš. Brez ključa: zid.
Zapomni si ti dve besedi — šifrirati in ključ —, ker se vse drugo vrti okoli tega, kje ključ živi.
Bančni sef
Navedel bom primer, ki po mojem mnenju vse pojasni.
Poznaš bančne sefe? Tiste, kamor ljudje shranjujejo pomembne dokumente, kak nakit, stvari, ki jih nočejo imeti doma.
Delujejo takole.
Banka ti da oklepljen trezor, varovan, odporen proti tatovom. Notri je tvoj sef.
Toda ključ tvojega sefa imaš ti. Samo ti.
Banka varuje trezor. Ne more odpreti tvojega sefa. Nima ključa. Če bi nepošten uslužbenec jutri hotel pokukati noter, ne bi mogel: ključavnica se ne odpre brez tvojega ključa. Če bi tatovi vdrli in odnesli cel trezor, bi jim v rokah ostala zaprta kovinska škatla, ki je ne znajo odpreti.
Banka ti ponuja storitev — varnost trezorja — brez zahteve po dostopu do tega, kar daš noter.
Šifriranje od konca do konca je natanko to, uporabljeno na digitalnih datotekah.
Cashfulness je banka: ponuja ti trezor, torej naše strežnike, kjer se hranijo tvoji dokumenti.
Ti si edini, ki ima ključ sefa.
In mi, tako kot banka, hranimo, ne da bi lahko odprli.
Kaj se v praksi zgodi, ko naložiš dokument
Recimo, da želiš v Cashfulnessu hraniti bančni izpisek, položnico za elektriko, najemno pogodbo, zavarovalno polico.
To so dokumenti, ki jih lahko naložiš v Cashfulness: izpiski, položnice, pogodbe, police. Stvari, polne tvojih podatkov — polno ime, naslov, IBAN, zneski, nasprotne stranke.
Tukaj je zaporedje.
Izbereš datoteko s telefona ali računalnika.
Preden krene, še na tvoji napravi, se dokument šifrira. Postane tisti blok šuma, o katerem sem govoril.
Šele nato, že šifriran, potuje proti našim strežnikom.
Na strežnik prispe šum. Na strežniku ostane šum.
Ko ga hočeš ti ponovno prebrati, se dokument vrne na tvojo napravo še vedno šifriran, in tam — samo tam, s tvojim ključem — ponovno postane berljiv.
Trenutek šifriranja je pomemben del: zgodi se pri tebi, pred odhodom. Ne „ko enkrat prispe na strežnik, ga zaklenemo mi zate“. To bi bila banka, ki hrani kopijo tvojega ključa v predalu direktorja.
Ne. Ključa nikoli nismo imeli. Rodi se pri tebi in ostane pri tebi.
Kje živi tvoj ključ
Na tej točki je upravičeno vprašanje: kaj pa, če izgubim ta blagoslovljeni ključ? Kje ga hranim?
Ključ tvojih dokumentov se rodi iz dveh tvojih stvari.
Prva je tvoje geslo, tisto, s katerim vstopiš v Cashfulness.
Druga je zaporedje 24 besed, ki jih prejmeš, ko aktiviraš to zaščito. To je sistem, ki se uporablja tudi drugje za hrambo najbolj občutljivih ključev — štiriindvajset navadnih besed, v določenem vrstnem redu, ki skupaj delujejo kot glavni ključ za obnovitev.
Iz teh dveh stvari se na tvoji napravi zgradi ključ, ki šifrira in dešifrira tvoje dokumente.
In tu pride točka, vredna celega članka: ta ključ nikoli ne zapusti tvoje naprave.
Ne potuje čez naše strežnike. Nikjer ga ne shranjujemo. Ne vidimo ga mimo iti.
Kot da bi se ključ sefa koval znotraj tvojega doma, s tvoje strani, in nikoli ne bi šel od tam. Banka ga ni nikoli videla, niti za trenutek.
Za naše strežnike, ponavljam, je in ostane vsak tvoj dokument blok digitalnega šuma.
Kdo ne more brati tvojih dokumentov (torej: vsi razen tebe)
Poskusil bom biti jasen, ker se tu ponavadi obljuba zasebnosti ali obdrži ali sesuje.
Tvojih naloženih dokumentov ne moremo brati mi, ki smo zgradili Cashfulness. Nikjer ni plošče, kjer bi naš tehnik odprl tvojo polico. Tehnično ne obstaja, ker nimamo ključa.
Ne more jih brati kdor upravlja strežnike, na katerih tečejo podatki.
Ne bi jih mogel brati napadalec, ki bi nekega dne vdrl v naše sisteme in odnesel vse: v rokah bi mu ostal šum, neuporabne datoteke.
In ne bi jih mogli izročiti berljive niti če bi jih organ formalno zahteval, ker jih nimamo v odprti obliki. Lahko izročimo le šum, ki ga hranimo.
Stavek „ne vidimo tvojih dokumentov“ na tej točki preneha biti prijazno zagotovilo.
Postane tehnični opis dejstva.
Ne vidimo jih, ker ne moremo. To je razlika.
Druga stran medalje (in to ti želim povedati jaz, vnaprej)
Tako tesna zaščita ima svojo ceno, in bilo bi nepošteno jo skrivati.
Če izgubiš svoje geslo in izgubiš tudi svojih 24 besed za obnovitev, tvoji dokumenti postanejo neberljivi. Za vedno. Tudi za nas.
Ne obstaja gumb „vse sem pozabil, pošljite mi datoteke nazaj“. Ne obstaja naš tehnik, ki bi lahko splezal skozi okno in ti jih obnovil.
Vrnimo se k bančnemu sefu: če izgubiš svoj ključ in nihče drug nima kopije, vse v sefu ostane, a ga nihče več ne odpre.
Razumem, da tako povedano lahko vzbudi nekaj nemira. A poglej to z druge strani, ki je razlog, zakaj smo to izbrali.
Če bi nekje obstajala „varnostna kopija“ tvojega ključa — na našem strežniku, v predalu direktorja — bi bila ta kopija šibka točka celotnega sistema. Bila bi prva stvar, ki bi jo napadalec iskal. Bila bi vrata, ki bi jih organ lahko zahteval, da odpremo. Bila bi datoteka, ki bi jo nepošten uslužbenec lahko skopiral zase.
Ključ, ki obstaja samo na tvoji napravi, teh vrat preprosto ne odpre.
Odločili smo se, da ti damo popoln nadzor — z bremenom, ki ga to prinaša — namesto da bi si obdržali bližnjico, ki bi prej ali slej postala luknja v jezu.
Praktično gesto, ki jo od tebe prosimo v zameno, je le ena: varuj svojih 24 besed, kot bi varoval lastniški list svojega stanovanja. Zapisane, na varnem mestu, daleč od tujih oči. Ne v e-pošti samemu sebi, ne v zapisku na telefonu. Teh 24 besed je rezervna kopija tvojega ključa. Varuj jih tako, kot varuješ stvari, ki so ti pomembne.
Iskreno pojasnilo: E2EE tukaj pokriva dokumente
Nočem ti prodati več, kot dejansko je, ker bi bilo to nasprotje celega tega članka.
Šifriranje od konca do konca, o katerem sem ti pripovedoval, ščiti dokumente, ki jih naložiš: izpiske, položnice, pogodbe, police. To je najbolj občutljiva plast, in tja smo dali najtrdnejšo ključavnico.
Tvoji pravi računovodski podatki — računi, stanja, gibanja, ki sestavljajo tvojo pozicijo, torej tvoje neto premoženje — pa sledijo drugačni logiki.
Živijo v naši podatkovni bazi, na evropskih strežnikih, in so na strani strežnika v odprti obliki. To je nujna tehnična odločitev: potrebni so, da ostane tvoje knjigovodstvo usklajeno med telefonom in računalnikom, in da lahko v realnem času izračunamo metrike, ki ti jih prikazujemo. Če bi jih šifrirali na povsem enak način kot dokumente, bi aplikacija postala izredno počasna in praktično neuporabna.
A — in tukaj je del, ki ga mnogi ne pričakujejo — ta števila potujejo brez tvoje biografije, prilepljene nanje.
Ko se registriraš, te prosimo za vzdevek (kakršnega koli hočeš, tudi izmišljenega), e-pošto in geslo. Ne prosimo te za ime, priimek, davčno številko, datum rojstva, naslov, telefon.
Tako bi tudi tisti, ki bi pridobil dostop do baze podatkov, videl neki vzdevek z računi, stanji, gibanji — brez načina, da bi te številke povezal z resnično osebo, ki si ti.
O tem, kako deluje ta druga plast, in zakaj smo jo zgradili v dveh ravneh namesto v eni, obstaja poseben članek: Radikalna zasebnost: dve ravni, ena sama obljuba. Tukaj se ustavim, ker je današnja tema ključ sefa.
Točka, ki sem jo hotel poudariti, je ta: ko rečemo, da šifriranje od konca do konca naredi tvoje dokumente neberljive, govorimo o dokumentih. Za preostalo velja druga, enako resna zaščita. In raje ti to povem sam natančno, kot da bi te pustil verjeti v čarobno šifriranje, ki pokrije vse.
Zakaj nam je bilo do tega mar, vse do te točke
Lahko bi zaključil tukaj, pri tehniki. A tehnika sama po sebi ni razlog.
Razlog je, da so osebne finance kraj, kjer hraniš stvari, o katerih ne govoriš rad niti s prijatelji. Koliko dejansko zaslužiš. Koliko si dal na stran, ali kako malo. Dolg, ki teži.
Če takoj, ko odpreš tako aplikacijo, ostane v tebi dvom, da bi lahko nekdo, nekje, pokukal noter, ti ta aplikacija nikoli ne bo dala tega, zaradi česar obstaja.
Mi to stvar imenujemo mir. The calm side of money, mirna stran denarja. In mir, če tvoja števila v resnici niso varna, je le beseda na spletni strani.
Šifriranje od konca do konca dokumentov ni tehnična trofeja za izložbo. Je tla, na katerih stoji vse ostalo: brez njega so metrike in pozicija pohištvo, postavljeno na praznino.
Zato smo ga zapisali v temelje, ne dodali naknadno kot še eno stikalo.
V enem stavku
Puščam ti to v najkrajši obliki, ki jo imam.
Svoje dokumente zakleneš v sef. Ključ sefa imaš samo ti, in nikoli ne zapusti tvoje naprave. Mi varujemo zaklenjeni sef, in ne moremo ga odpreti.
Ne zato, ker smo obljubili, da bomo dobri.
Temveč zato, ker smo si namerno odvzeli možnost, da to ne bi bili.
— Vittorio