May isang pangungusap na madalas naming inuulit, kapag pinag-uusapan ang Cashfulness.
“Hindi namin nakikita ang mga dokumento mo.”
Madaling sabihin ang pangungusap na iyon. Marami ring apps ang nagsasabi nito.
Ang punto ay kung ano ang nasa likod ng pangungusap na iyon. Dahil ang “hindi namin ito tinitingnan” at ang “hindi namin ito matingnan” ay dalawang magkaibang pangako.
Ang una ay pangako ng magandang loob: umaasa kami na hindi mo gagawin.
Ang ikalawa ay pangako ng imposibilidad: kahit gusto mo, hindi mo kaya.
Sa Cashfulness, para sa mga dokumentong ina-upload mo, ang totoo ay ang ikalawa. At ang teknikal na terminong nagpapatunay nito ay tinatawag na end-to-end encryption.
Ito ay dinadaglat bilang E2EE, mula sa end-to-end encryption: pag-encrypt “mula sa isang dulo hanggang sa kabila”.
Alam kong parang salita ito ng mga IT. Pangako: sa pagtatapos ng artikulong ito, mauunawaan mo ito kahit hindi ka pa nakasulat ng kahit isang linya ng code sa buong buhay mo. At mauunawaan mo kung bakit, para sa isang app kung saan itinatago mo ang mga numero ng bahay mo, isa itong pagpili na nagbabago sa lahat.
Una, ang tamang mga termino
Magsimula tayo sa pandiwa. Ang pag-encrypt ng isang file ay nangangahulugang gawin itong hindi mabasang sunud-sunod na karakter.
Hindi ito pagtatago sa likod ng password na nagtatanong ng “pahintulutan mo akong pumasok”. Ito ay tunay na pagbabago: kunin ang teksto, mga numero, mga larawan, at gawing bloke ng mga karakter na walang kahulugan para sa sinumang walang tamang susi.
Ang bagay na nagbabalik ng blokeng iyon sa mababasang anyo ay tinatawag na susi (key). Ito ay piraso ng impormasyon — isipin mo itong napakahaba at ginawa-ng-computer na password — na kung wala ito, mananatiling ingay ang file.
Nag-e-encrypt ka gamit ang susi. Nag-de-decrypt ka gamit ang susi. Walang susi, dingding ito.
Tandaan ang dalawang salitang ito — pag-encrypt at susi — dahil ang lahat ng iba pa ay umiikot sa kung saan nakatira ang susi.
Ang safety deposit box sa bangko
Bibigyan kita ng halimbawa na sa palagay ko ay nililinaw ang lahat.
Alam mo ba ang mga safety deposit box sa bangko? Iyong mga lalagyan kung saan inilalagay ng mga tao ang mahahalagang dokumento, ilang alahas, mga bagay na ayaw nilang itago sa bahay.
Ganito ang gawain nito.
Binibigyan ka ng bangko ng armored vault, binabantayan, hindi mapasok ng mga magnanakaw. Nasa loob ay ang box mo.
Pero ang susi ng box mo ay nasa iyo. Ikaw lang.
Iniingatan ng bangko ang vault. Hindi nila kayang buksan ang box mo. Wala silang susi. Kung bukas gusto ng isang tiwaling empleyado na tumingin, hindi niya kaya: hindi bubukas ang kandado kung wala ang susi mo. Kung may mga magnanakaw na papasok at dadalhin ang buong vault, makakakuha lang sila ng saradong kahon na bakal na hindi nila alam kung paano bubuksan.
Nag-aalok ang bangko ng serbisyo — ang seguridad ng vault — nang hindi hinihingi ang access sa anumang inilagay mo sa loob.
Ang end-to-end encryption ay eksakto ito, na inilapat sa mga digital na file.
Ang Cashfulness ang bangko: inaalok nito sa iyo ang vault, ibig sabihin ang mga server namin kung saan iniingatan ang mga dokumento mo.
Ikaw lang ang may susi ng box.
At kami, tulad ng bangko, iniingatan ito nang hindi kayang buksan.
Ano ang nangyayari, sa praktika, kapag nag-a-upload ka ng dokumento
Sabihin nating gusto mong itago sa loob ng Cashfulness ang bank statement, isang bill sa kuryente, ang kontrata sa upa, isang polisa.
Ito ang mga dokumentong maaari mong i-upload sa loob ng Cashfulness: bank statement, bills, kontrata, polisa. Mga bagay na puno ng mga datos mo — buong pangalan, address, IBAN, halaga, katapat.
Narito ang sunud-sunod na proseso.
Pinipili mo ang file mula sa telepono o computer.
Bago ito umalis, habang nasa device mo pa, ini-encrypt ang dokumento. Nagiging bloke ito ng ingay na binanggit ko.
Pagkatapos lang nito, na naka-encrypt na, naglalakbay ito papunta sa mga server namin.
Sa server, ingay ang dumarating. Sa server, nananatiling ingay.
Kapag ikaw ang gustong basahin ulit ito, bumabalik ang dokumento sa device mo na naka-encrypt pa rin, at doon — doon lang, gamit ang susi mo — nagiging mababasa ulit ito.
Ang sandali ng pag-encrypt ang mahalagang bahagi: nangyayari ito sa iyo, bago ito umalis. Hindi “pagdating sa server, kami na ang mag-i-encrypt para sa iyo”. Iyon ay magiging tulad ng bangko na nagtatago ng kopya ng susi mo sa drawer ng direktor.
Hindi. Wala kaming susi. Ipinapanganak ito sa iyo at nananatili sa iyo.
Saan nakatira ang susi mo
Tamang tanong, sa puntong ito: paano kung mawala ko itong pinagpalang susi? Saan ko ito itatago?
Ang susi ng mga dokumento mo ay ipinapanganak mula sa dalawang bagay na sa iyo.
Ang una ay ang password mo, iyong ginagamit mo para makapasok sa Cashfulness.
Ang ikalawa ay isang sunod-sunod na 24 na salita na natatanggap mo kapag in-activate mo ang proteksyong ito. Isa itong sistemang ginagamit din sa ibang lugar para protektahan ang pinaka-sensitibong susi — dalawampu't apat na karaniwang salita, sa isang tiyak na ayos, na kapag pinagsama ay nagsisilbing master key para sa recovery.
Mula sa dalawang bagay na ito, sa device mo, binubuo ang susi na nag-e-encrypt at nag-de-decrypt sa mga dokumento mo.
At dito nasa punto na sulit ang buong artikulo: ang susing iyon ay hindi kailanman umaalis sa device mo.
Hindi ito dumadaan sa mga server namin. Hindi namin ito iniimbak kahit saan. Hindi namin ito nakikitang dumadaan.
Para itong ang susi ng box ay pinanday sa loob ng bahay mo mismo, ikaw ang gumawa nito, at hindi kailanman lumalabas doon. Hindi ito nakita ng bangko, kahit sandali lang.
Para sa mga server namin, uulitin ko, bawat dokumento mo ay at nananatiling bloke ng digital na ingay.
Sino ang hindi maaaring bumasa ng mga dokumento mo (ibig sabihin: lahat maliban sa iyo)
Susubukan kong maging maliwanag, dahil karaniwan dito na napapatunayan kung matatag o gumuguho ang isang pangako ng privacy.
Ang mga na-upload mong dokumento ay hindi mababasa namin na gumawa ng Cashfulness. Walang panel kahit saan kung saan bubuksan ng isang technician namin ang polisa mo. Teknikal na hindi ito umiiral, dahil wala kaming susi.
Hindi ito mababasa ng sinumang namamahala sa mga server kung saan tumatakbo ang datos.
Hindi ito mababasa ng isang attacker na balang araw ay makakapasok sa mga sistema namin at dadalhin ang lahat: makakakuha lang siya ng ingay, mga file na hindi magagamit.
At hindi din namin maibibigay nang mababasa kahit hingiin ito ng isang awtoridad nang pormal, dahil wala kaming ito sa plain form. Ang maibibigay lang namin ay ang ingay na iniimbak namin.
Ang pangungusap na “hindi namin nakikita ang mga dokumento mo”, sa puntong ito, tumitigil na maging magandang katiyakan.
Ito ay nagiging teknikal na paglalarawan ng isang katotohanan.
Hindi namin ito nakikita dahil hindi namin kaya. Ibang-iba ito.
Ang kabilang panig ng barya (at gusto kong ako mismo ang magsabi, muna)
May halaga ang ganitong kahigpit ng proteksyon, at magiging hindi tapat kung itatago ko ito.
Kung nawala ang password mo at nawala rin ang 24 mong recovery words, ang mga dokumento mo ay magiging hindi na mababasa. Habang buhay. Kahit para sa amin.
Walang buton na “nakalimutan ko ang lahat, ibalik n'yo ang mga file ko”. Walang technician namin na maaaring bumalik sa pamamagitan ng bintana at kunin ito para sa iyo.
Bumalik tayo sa box sa bangko: kung nawala mo ang susi mo at wala ni isang may kopya, nananatili ang lahat sa loob ng box, pero wala nang makakapagbukas nito.
Naiintindihan ko na kapag ganito ang pagkakalatag, maaari itong magdulot ng kaunting pagkabalisa. Pero tingnan mo ito sa kabilang panig, na siyang dahilan kung bakit namin ito pinili.
Kung mayroong kahit saan na “backup copy” ng susi mo — sa server namin, sa drawer ng direktor — ang kopyang iyon ang magiging mahinang punto ng buong sistema. Ito ang unang bagay na hahanapin ng isang attacker. Ito ang pintong maaaring hingin ng isang awtoridad na buksan namin. Ito ang file na maaaring kopyahin ng isang tiwaling empleyado.
Ang susing umiiral lang sa device mo, ang pintong iyon, ay simpleng hindi nabubuksan.
Pinili naming ibigay sa iyo ang buong kontrol — kasama ang bigat na dala nito — sa halip na magtago ng shortcut na, sa hinaharap, ay magiging butas sa dam.
Iisa lang ang praktikal na kilos na hinihiling namin sa iyo bilang kapalit: ingatan ang 24 mong salita gaya ng pag-iingat mo sa titulo ng bahay mo. Nakasulat, sa ligtas na lugar, malayo sa mga mata. Hindi sa email sa sarili mo, hindi sa note sa telepono. Ang 24 na salitang iyon ay ang backup copy ng susi mo. Ingatan mo ito gaya ng pag-iingat mo sa mga bagay na mahalaga sa iyo.
Isang tapat na paglilinaw: sinasaklaw ng E2EE dito ang mga dokumento
Ayaw kong ibenta sa iyo ang higit sa kung ano ang totoo, dahil ito ang kabaligtaran ng buong artikulong ito.
Ang end-to-end encryption (E2EE) na sinabi ko sa iyo ay nagpoprotekta sa mga dokumento na ina-upload mo: bank statement, bills, kontrata, polisa. Iyon ang pinaka-sensitibong antas, at doon namin inilagay ang pinaka-mahigpit na kandado.
Ang totoo mong accounting data — ang mga account, balances, mga transaksyong bumubuo sa iyong navigation point, ibig sabihin ang iyong net worth — ay sumusunod naman sa ibang lohika.
Nabubuhay sila sa isang database namin, sa mga European server, at nasa plain form ito sa panig ng server. Ito ay isang kinakailangang teknikal na desisyon: kailangan ito para panatilihing sync ang accounting mo sa pagitan ng telepono at computer, at para kalkulahin sa real time ang mga metrics na ipinapakita namin sa iyo. Kung i-encrypt namin ito sa parehong paraan tulad ng mga dokumento, magiging napakabagal ng app at, sa totoo lang, hindi na magagamit.
Pero — at dito nasa bahaging hindi inaasahan ng marami — ang mga numerong iyon ay naglalakbay nang walang naka-attach na biography mo.
Kapag nag-register ka, hinihingi namin ang isang nickname (kahit ano ang gusto mo, kahit gawa-gawa), isang email at isang password. Hindi namin hinihingi ang buong pangalan mo, apelyido, TIN o national ID, petsa ng kapanganakan, address, telepono.
Kaya, kahit ang sinumang may access sa database ay makakakita lang ng isang partikular na nickname na may mga account, balances, transaksyon — pero walang paraan para ikonekta ang mga numerong iyon sa tunay na taong ikaw.
Tungkol sa kung paano gumagana ang ikalawang layer na ito, at kung bakit itinayo namin ito sa dalawang antas sa halip na isa, mayroong hiwalay na artikulo: Radikal na privacy: dalawang antas, iisang pangako. Dito ako titigil, dahil ang paksa ngayon ay ang susi ng box.
Ang puntong gusto kong itampok ay ito: kapag sinabi naming ginagawang hindi mababasa ng end-to-end encryption ang mga dokumento mo, tungkol sa mga dokumento kami nagsasalita. Sa iba pa, may ibang proteksyon na sinusunod, kasing-seryoso rin. At mas gusto kong ako mismo ang magsabi nito nang tumpak, kaysa hayaan kang maniwala sa isang mahikang encryption na sumasaklaw sa lahat.
Bakit mahalaga ito sa amin, hanggang sa puntong ito
Puwede akong tumigil dito sa teknikal na bahagi. Pero ang teknikal, mag-isa, ay hindi ang dahilan.
Ang dahilan ay ang personal finance ang lugar kung saan itinatago mo ang mga bagay na hindi mo kusang pinag-uusapan kahit sa mga kaibigan. Kung magkano talaga ang kinikita mo. Kung magkano ang naitabi mo, o kung gaano kakaunti. Isang utang na bumibigat.
Kung sa sandaling buksan mo ang isang app na ganito ay nananatili sa ilalim ang pagdududa na maaaring may makatingin, kahit saan, hindi na kailanman maibibigay sa iyo ng app na iyon ang dahilan kung bakit ito umiiral.
Ang bagay na iyon, tinatawag naming kapayapaan. The calm side of money, ang kalmadong panig ng pera. At ang kapayapaan, kung hindi talaga ligtas ang mga numero mo, ay salita lang sa website.
Ang end-to-end encryption sa mga dokumento ay hindi isang teknikal na trophy na ipapakita sa display. Ito ang sahig kung saan sumasandal ang lahat ng iba pa: kung wala ito, ang mga metrics at ang navigation point ay mga kasangkapan lang na nakatayo sa kawalan.
Kaya naman isinulat namin ito sa mismong pundasyon, hindi idinagdag pa lang mamaya bilang karagdagang switch.
Sa isang linya
Iiwan ko sa iyo sa pinakamaikling anyo na mayroon ako.
Ikinukulong mo ang mga dokumento mo sa isang box. Ikaw lang ang may susi ng box, at hindi ito kailanman lumalabas sa device mo. Iniingatan namin ang saradong box, at hindi namin ito mabubuksan.
Hindi dahil nangako kaming maging mabuti.
Dahil kusa naming inalis, mula sa amin mismo, ang posibilidad na hindi maging ganoon.
— Vittorio