Det finns en mening som vi ofta upprepar när vi pratar om Cashfulness.
”Vi ser inte dina dokument.”
Det är en enkel mening att säga. Många appar säger den.
Poängen är vad som finns bakom den meningen. För ”vi tittar inte på dem” och ”vi kan inte titta på dem” är två väldigt olika löften.
Det första är ett löfte om god vilja: vi litar på att du inte gör det.
Det andra är ett löfte om omöjlighet: även om du ville, kan du inte.
I Cashfulness gäller det andra för dokumenten du laddar upp. Och det tekniska ord som gör det sant heter end-to-end-kryptering.
På engelska hittar du den förkortad till E2EE, från end-to-end encryption: kryptering ”från den ena änden till den andra”.
Jag vet att det låter som något för dataingenjörer. Jag lovar: i slutet av den här artikeln har du förstått den även om du aldrig har skrivit en enda rad kod i hela ditt liv. Och du har förstått varför det, för en app där du förvarar hushållets siffror, är ett val som förändrar allt.
Först, de rätta orden
Vi börjar med verbet. Att kryptera en fil betyder att förvandla den till en oläslig sekvens.
Inte att gömma den bakom ett lösenord som frågar ”släpp in mig”. Att verkligen förvandla den: ta texten, siffrorna, bilderna, och reducera dem till ett block av tecken som inte betyder någonting för den som inte har rätt nyckel.
Det som återställer blocket till läsbar form kallas nyckel. Det är en bit information — tänk på den som ett väldigt, väldigt långt lösenord genererat av datorn — utan vilken filen förblir brus.
Du krypterar med nyckeln. Du dekrypterar med nyckeln. Utan nyckel: vägg.
Håll de här två orden i minnet — kryptera och nyckel — för allt annat kretsar kring var nyckeln bor.
Bankfacket på banken
Jag tar det exempel som enligt mig gör allting klart.
Känner du till bankfack? De där folk lägger viktiga dokument, några smycken, sakerna de inte vill ha hemma.
De fungerar så här.
Banken ger dig ett bepansrat valv, bevakat, inbrottssäkert. Där inne finns ditt fack.
Men nyckeln till ditt fack har du. Bara du.
Banken vaktar valvet. Den kan inte öppna ditt fack. Den har inte nyckeln. Om en oärlig anställd i morgon ville tjuvkika, skulle hen inte kunna: låset öppnas inte utan din nyckel. Om tjuvar tog sig in och bar iväg hela valvet, skulle de stå där med en stängd metallåda som de inte vet hur de ska öppna.
Banken erbjuder dig en tjänst — valvets säkerhet — utan att kräva tillgång till det du lägger däri.
End-to-end-kryptering är exakt detta, tillämpat på digitala filer.
Cashfulness är banken: den erbjuder dig valvet, det vill säga våra servrar där dina dokument förvaras.
Du är den enda som har nyckeln till facket.
Och vi, precis som banken, förvarar utan att kunna öppna.
Vad som händer, i praktiken, när du laddar upp ett dokument
Säg att du vill förvara kontoutdraget från banken i Cashfulness, en elräkning, hyreskontraktet, en försäkring.
Det är de dokument du kan ladda upp i Cashfulness: kontoutdrag, räkningar, kontrakt, försäkringsbrev. Saker fulla av dina uppgifter — fullständigt namn, adress, IBAN, belopp, motparter.
Här är ordningsföljden.
Du väljer filen från telefonen eller datorn.
Innan den skickas iväg, medan den fortfarande är på din enhet, krypteras dokumentet. Det blir det där bruset jag pratade om.
Först därefter, redan krypterat, färdas det mot våra servrar.
Till servern anländer brus. På servern förblir det brus.
När det är du som vill läsa det igen, kommer dokumentet tillbaka till din enhet fortfarande krypterat, och där — bara där, med din nyckel — blir det läsbart igen.
Krypteringsögonblicket är den viktiga delen: det sker hos dig, före avfärden. Inte ”när det väl har kommit till servern låser vi det åt dig”. Det vore banken som förvarar en kopia av din nyckel i direktörens byrålåda.
Nej. Nyckeln har vi aldrig haft. Den föds hos dig och stannar hos dig.
Var din nyckel bor
En rimlig fråga vid det här laget: och om jag tappar bort den här välsignade nyckeln? Var förvarar jag den?
Nyckeln till dina dokument föds ur två saker som är dina.
Den första är ditt lösenord, det du loggar in i Cashfulness med.
Den andra är en sekvens av 24 ord som du får när du aktiverar det här skyddet. Det är ett system som används även på andra håll för att förvara de känsligaste nycklarna — det är tjugofyra vanliga ord, i en viss ordning, som tillsammans fungerar som en huvudnyckel för återställning.
Ur dessa två saker byggs, på din enhet, nyckeln som krypterar och dekrypterar dina dokument.
Och här kommer poängen som är värd hela artikeln: den nyckeln lämnar aldrig din enhet.
Den passerar inte våra servrar. Vi sparar den ingenstans. Vi ser den inte passera.
Det är som om nyckeln till facket smiddes hemma hos dig, av dig, och aldrig lämnade huset. Banken har aldrig sett den, inte ens för ett ögonblick.
För våra servrar, jag upprepar det, är och förblir varje dokument du har ett block av digitalt brus.
Vem som inte kan läsa dina dokument (det vill säga: alla utom du)
Jag ska försöka vara tydlig, för det är oftast här som ett integritetslöfte antingen håller eller pyser ihop.
Dina uppladdade dokument kan inte läsas av oss som byggde Cashfulness. Det finns ingen panel någonstans där en av våra tekniker öppnar din försäkring. Den existerar inte tekniskt, eftersom vi inte har nyckeln.
De kan inte läsas av dem som driftar servrarna som datan körs på.
De skulle inte kunna läsas av en angripare som en dag tog sig in i våra system och förde bort allt: hen skulle stå där med brus i händerna, oanvändbara filer.
Och vi skulle inte kunna lämna ut dem i läsbar form ens om en myndighet formellt begärde dem, eftersom vi inte har dem i klartext. Vi kan bara lämna ut det brus vi förvarar.
Meningen ”vi ser inte dina dokument” slutar vid det här laget vara en vänlig försäkran.
Den blir en teknisk beskrivning av ett faktum.
Vi ser dem inte för att vi inte kan. Det är en annan sak.
Myntets baksida (och jag vill berätta det själv, först)
Ett så strikt skydd har ett pris, och det vore oärligt att dölja det.
Om du tappar bort ditt lösenord och dessutom tappar bort dina 24 återställningsord, blir dina dokument oläsliga. För alltid. Även för oss.
Det finns ingen knapp för ”jag har glömt allt, skicka tillbaka filerna”. Det finns ingen tekniker hos oss som kan klättra in genom fönstret och rädda dem åt dig.
Vi återvänder till bankfacket: om du tappar bort din nyckel och ingen annan har en kopia, ligger allt kvar i facket, men ingen kan öppna det längre.
Jag förstår att det kan skapa lite oro, uttryckt så. Men se det från andra hållet, vilket är skälet till att vi valde det.
Om det någonstans fanns en ”säkerhetskopia” av din nyckel — på vår server, i direktörens byrålåda — skulle den kopian vara hela systemets svaga punkt. Den skulle vara det första en angripare letade efter. Den skulle vara dörren en myndighet kunde be oss öppna. Den skulle vara filen en oärlig anställd kunde kopiera åt sig.
En nyckel som bara finns på din enhet öppnar, helt enkelt, inte den dörren.
Vi valde att ge dig hela kontrollen — med den börda det innebär — i stället för att behålla en genväg som förr eller senare skulle ha blivit hålet i dammen.
Den praktiska gest vi ber dig om i gengäld är en enda: förvara dina 24 ord som du skulle förvara lagfarten till ditt hem. Nedskrivna, på en säker plats, borta från blickar. Inte i ett mejl till dig själv, inte i en anteckning på telefonen. De där 24 orden är reservkopian av din nyckel. Ta hand om dem som du tar hand om det som betyder något.
Ett ärligt förtydligande: E2EE täcker här dokumenten
Jag vill inte sälja dig mer än vad som finns, för det vore motsatsen till hela den här artikeln.
End-to-end-krypteringen jag har berättat om skyddar dokumenten du laddar upp: kontoutdrag, räkningar, kontrakt, försäkringsbrev. De är det känsligaste lagret, och det är där vi satte det striktaste låset.
Dina egentliga bokföringsdata — kontona, saldona, transaktionerna som bildar din positionsbestämning, det vill säga din nettoförmögenhet — följer däremot en annan logik.
De bor i en databas hos oss, på europeiska servrar, och de ligger i klartext på serversidan. Det är ett nödvändigt tekniskt val: de behövs för att hålla din bokföring synkroniserad mellan telefonen och datorn, och för att i realtid beräkna nyckeltalen vi visar dig. Att kryptera dem på exakt samma sätt som dokumenten skulle göra appen oerhört långsam och i praktiken oanvändbar.
Men — och här kommer den del många inte väntar sig — de där siffrorna färdas utan din biografi fastklistrad.
När du registrerar dig ber vi dig om ett smeknamn (vilket du vill, gärna påhittat), en e-postadress och ett lösenord. Vi ber dig inte om förnamn, efternamn, personnummer, födelsedatum, adress, telefon.
Så även den som fick tillgång till databasen skulle se ett visst smeknamn med några konton, saldon, transaktioner — men utan något sätt att koppla de siffrorna till den verkliga person som är du.
Om hur det här andra lagret fungerar, och varför vi byggde det i två nivåer i stället för en, finns en egen artikel: Radikal integritet: två nivåer, ett enda löfte. Här stannar jag, för dagens ämne är nyckeln till facket.
Poängen jag ville slå fast är denna: när vi säger att end-to-end-krypteringen gör dina dokument oläsliga, talar vi om dokumenten. För resten gäller ett annat skydd, lika seriöst. Och jag föredrar att berätta det själv, med precision, hellre än att låta dig tro på en magisk kryptering som täcker allt.
Varför det var så viktigt för oss, ända hit
Jag kunde sluta här, vid tekniken. Men tekniken i sig är inte skälet.
Skälet är att privatekonomin är den plats där du förvarar de saker du inte gärna pratar om, inte ens med dina vänner. Hur mycket du egentligen tjänar. Hur mycket du har lagt undan, eller hur lite. En skuld som tynger.
Om det, så fort du öppnar en sådan app, ligger kvar ett tvivel i botten om att någon, någonstans, kan ta en titt, kommer den appen aldrig att ge dig det den finns till för.
Vi kallar den saken lugn. The calm side of money, pengarnas lugna sida. Och lugnet, om dina siffror inte är säkra på riktigt, är bara ett ord på webbplatsen.
End-to-end-krypteringen av dokumenten är inte en teknisk trofé att ställa i skyltfönstret. Den är golvet som allt annat vilar på: utan den är nyckeltalen och positionsbestämningen möbler ställda på tomma intet.
Därför skrev vi in den i grunden, i stället för att lägga till den efteråt som en extra strömbrytare.
På en rad
Jag lämnar den till dig i den kortaste form jag har.
Dina dokument låser du in i ett fack. Nyckeln till facket har bara du, och den lämnar aldrig din enhet. Vi förvarar det stängda facket, och vi kan inte öppna det.
Inte för att vi har lovat att vara snälla.
För att vi, med avsikt, har fråntagit oss själva möjligheten att inte vara det.
— Vittorio