Постоји реченица коју често понављамо, кад причамо о Cashfulness-у.
„Не видимо твоја документа.“
То је реченица коју је лако изговорити. Многе апликације је изговарају.
Поента је шта се крије иза те реченице. Јер „не гледамо их“ и „не можемо да их гледамо“ су два веома различита обећања.
Прво је обећање добре воље: верујемо да ти то нећеш урадити.
Друго је обећање немогућности: чак и да хоћеш, не можеш.
У Cashfulness-у, за документа која учитаваш, важи ово друго. А техничка реч која то чини истинитим зове се шифровање с краја на крај.
На енглеском га налазиш скраћено као E2EE, од end-to-end encryption: шифровање „с једног краја на други“.
Знам да звучи као информатички жаргон. Обећавам: на крају овог текста разумећеш га чак и ако у животу ниси написао ниједан ред кода. И разумећеш зашто је, за апликацију у којој чуваш бројеве свог домаћинства, то избор који мења све.
Прво, праве речи
Кренимо од глагола. Шифровати фајл значи претворити га у нечитљив низ.
Не сакрити га иза лозинке која пита „пусти ме унутра“. Заиста га претворити: узети текст, бројеве, слике, и свести их на блок карактера који не значе ништа за онога ко нема прави кључ.
Оно што тај блок враћа у читљив облик зове се кључ. То је парче информације — замисли га као веома, веома дугачку лозинку коју генерише рачунар — без кога фајл остаје шум.
Шифрујеш кључем. Дешифрујеш кључем. Без кључа, то је зид.
Запамти ове две речи — шифровање и кључ — јер све остало се врти око тога где кључ живи.
Сеф у банци
Дајем пример који, по мом мишљењу, разјашњава све.
Знаш ли за сефове у банкама? Оне у које људи стављају важна документа, понеки накит, ствари које не желе да чувају код куће.
Функционишу овако.
Банка ти даје оклопљени, чуван, лоповима непробојан трезор. Унутра је твој сеф.
Али кључ твог сефа имаш ти. Само ти.
Банка чува трезор. Не може да отвори твој сеф. Нема кључ. Ако би сутра нелојални запослени хтео да завирује, не може: брава се не отвара без твог кључа. Ако би лопови ушли и однели цео трезор, нашли би се са закључаном металном кутијом коју не знају како да отворе.
Банка ти нуди услугу — безбедност трезора — не тражећи приступ ономе што унутра стављаш.
Шифровање с краја на крај је управо то, примењено на дигиталне фајлове.
Cashfulness је банка: нуди ти трезор, односно наше сервере на којима се чувају твоја документа.
Ти си једини ко има кључ сефа.
А ми, као банка, чувамо не могавши да отворимо.
Шта се дешава, у пракси, кад учитаваш документ
Реците да желиш да у Cashfulness-у чуваш банковни извод, рачун за струју, уговор о закупу, полису осигурања.
То су документа која можеш учитати у Cashfulness: банковни изводи, рачуни, уговори, полисе. Ствари пуне твојих података — пуно име, адреса, IBAN, износи, друга страна.
Ево редоследа.
Ти бираш фајл са телефона или рачунара.
Пре него што пође, још на твом уређају, документ се шифрује. Постаје онај блок шума о коме сам причао.
Тек након тога, већ шифрован, путује ка нашим серверима.
На сервер стиже шум. На серверу остаје шум.
Кад ти пожелиш да га поново прочиташ, документ се враћа на твој уређај и даље шифрован, и тамо — само тамо, твојим кључем — поново постаје читљив.
Тренутак шифровања је важан део: дешава се код тебе, пре поласка. Не „кад стигне на сервер, ми га закључавамо уместо тебе“. То би била банка која чува копију твог кључа у фиоци директора.
Не. Кључ никад немамо ми. Рађа се код тебе и остаје код тебе.
Где живи твој кључ
Право питање, у овом тренутку: а ако изгубим тај благословени кључ? Где га чувам?
Кључ твојих докумената рађа се из две твоје ствари.
Прва је твоја лозинка, она којом улазиш у Cashfulness.
Друга је низ од 24 речи који добијаш кад активираш ову заштиту. То је систем који се користи и другде за чување најосетљивијих кључева — двадесет четири уобичајене речи, у одређеном редоследу, које заједно вреде као главни кључ за опоравак.
Из ове две ствари, на твом уређају, гради се кључ који шифрује и дешифрује твоја документа.
И ту је поента која вреди целог текста: тај кључ никад не напушта твој уређај.
Не пролази кроз наше сервере. Не чувамо га нигде. Не видимо га како пролази.
Као да је кључ сефа исковам код тебе, ти сам, и никад не изашао одатле. Банка га никад није видела, чак ни на тренутак.
За наше сервере, понављам, свако твоје документ јесте и остаје блок дигиталног шума.
Ко не може да чита твоја документа (то јест: сви осим тебе)
Покушавам да будем експлицитан, јер је обично управо ту тачка где обећање приватности или издржи или пукне.
Твоја учитана документа не можемо да читамо ми који смо направили Cashfulness. Не постоји нигде панел где наш техничар отвара твоју полису. Технички не постоји, јер немамо кључ.
Не могу их читати они који управљају серверима на којима подаци раде.
Не би их могао читати нападач који би једног дана провалио у наше системе и однео све: нашао би се са шумом, неупотребљивим фајловима.
И не бисмо могли да их предамо читљиве чак ни да нам их власт формално затражи, јер их немамо у отвореном облику. Можемо предати само шум који чувамо.
Реченица „не видимо твоја документа“, у овом тренутку, престаје да буде љубазно уверавање.
Постаје технички опис чињенице.
Не видимо их јер не можемо. То је другачије.
Друга страна медаље (и то желим да ти прво кажем сам)
Оволико строга заштита има своју цену, и било би непоштено да је сакријем.
Ако изгубиш своју лозинку и изгубиш и својих 24 речи за опоравак, твоја документа постају нечитљива. Заувек. Чак и за нас.
Не постоји дугме „заборавио сам све, вратите ми фајлове“. Не постоји наш техничар који може да се врати кроз прозор и опорави их за тебе.
Вратимо се на сеф у банци: ако изгубиш свој кључ и нико други нема копију, све остаје унутра сефа, али га нико више не отвара.
Разумем да овако постављено може изазвати мало немира. Али погледај то са друге стране, а то је разлог зашто смо тако одабрали.
Да негде постоји „резервна копија“ твог кључа — на нашем серверу, у фиоци директора — та копија би била слаба тачка целог система. Била би прва ствар коју би нападач тражио. Била би врата која би нам власт могла затражити да отворимо. Био би фајл који би нелојални запослени могао да копира.
Кључ који постоји само на твом уређају, та врата, једноставно, не отвара.
Одлучили смо да ти дамо потпуну контролу — са теретом који то носи — уместо да задржимо пречицу која би, пре или касније, постала рупа у брани.
Практичан гест који тражимо од тебе заузврат само је један: чувај својих 24 речи као што би чувао власнички лист свог дома. Написане, на сигурном месту, далеко од туђих очију. Не у мејлу самом себи, не у белешци на телефону. Тих 24 речи јесу резервна копија твог кључа. Чувај их као што чуваш ствари које су ти важне.
Једно поштено појашњење: E2EE овде покрива документа
Не желим да ти продам више него што постоји, јер би то било супротно свему написаном у овом тексту.
Шифровање с краја на крај (end-to-end encryption, E2EE) о коме сам ти причао штити документа која учитаваш: банковне изводе, рачуне, уговоре, полисе. То је најосетљивији ниво, и ту смо ставили најстрожу браву.
Твоји прави књиговодствени подаци — рачуни, стања, промене које чине твоју навигациону тачку, односно твоју нето вредност — прате другачију логику.
Живе на нашој бази података, на европским серверима, и на страни сервера су у отвореном облику. То је неопходан технички избор: служе да твоје књиговодство буде усклађено између телефона и рачунара, и да у реалном времену израчунамо метрике које ти приказујемо. Да их шифрујемо на исти начин као документа учинило би апликацију веома спором и, у ствари, неупотребљивом.
Али — и ту је део који многи не очекују — ти бројеви путују без твоје биографије закачене за њих.
Кад се региструјеш, тражимо надимак (какав год желиш, чак и измишљен), имејл и лозинку. Не тражимо ти име, презиме, матични број, датум рођења, адресу, телефон.
Тако би чак и онај ко би имао приступ бази података видео одређени надимак са рачунима, стањима, променама — али без начина да те бројеве повеже са стварном особом која си ти.
О томе како функционише овај други ниво, и зашто смо га направили на два нивоа уместо на једном, постоји посебан текст: Радикална приватност: два нивоа, једно обећање. Ту се заустављам, јер је тема данас кључ сефа.
Поента коју сам желео да утврдим је ова: кад кажемо да шифровање с краја на крај чини твоја документа нечитљивим, говоримо о документима. За остало важи другачија заштита, једнако озбиљна. И радије ти то кажем прецизно, него да те оставим да верујеш у магично шифровање које покрива све.
Зашто нам је стало, до ове тачке
Могао бих ту да завршим на техничком делу. Али техника, сама по себи, није разлог.
Разлог је то што су личне финансије место где чуваш ствари о којима не причаш радо чак ни са пријатељима. Колико заиста зарађујеш. Колико си одложио, или колико мало. Дуг који притиска.
Ако чим отвориш такву апликацију остане на дну сумња да би неко, негде, могао да завири, та апликација ти никад неће дати оно због чега постоји.
Ми ту ствар зовемо смирење. The calm side of money, мирна страна новца. А смирење је, ако твоји бројеви нису заиста сигурни, само реч на сајту.
Шифровање с краја на крај на документима није технички трофеј за излог. То је под на коме почива све остало: без њега, метрике и навигациона тачка су намештај постављен изнад празнине.
Зато смо га уписали у темеље, а не додали касније као још један прекидач.
У једној реченици
Остављам ти је у најкраћем облику који имам.
Своја документа закључаваш у сеф. Кључ сефа имаш само ти, и он никад не излази из твог уређаја. Ми чувамо закључан сеф, и не можемо да га отворимо.
Не зато што смо обећали да ћемо бити добри.
Зато што смо себи, намерно, одузели могућност да то не будемо.
— Vittorio