التشفير من طرف إلى طرف، مشروحًا لغير التقنيين

هناك جملة نكرّرها كثيرًا حين نتحدث عن Cashfulness.

"نحن لا نرى مستنداتك."

جملة سهلة القول. وتقولها تطبيقات كثيرة.

المهم هو ما تحت الجملة. لأن "لا ننظر إليها" و"لا نستطيع أن ننظر إليها" وعدان مختلفان جدًا.

الأول وعدُ حُسن نيّة: ثِق بأننا لا نفعل ذلك.

والثاني وعدُ استحالة: حتى لو أردنا، لا نستطيع.

في Cashfulness، وفي ما يخصّ المستندات التي ترفعها، الوعد الثاني هو الساري. والكلمة التقنية التي تجعله صحيحًا اسمها التشفير من طرف إلى طرف.

وتجدها في الإنجليزية مختصرة إلى E2EE، من end-to-end encryption: التشفير "من طرف إلى الطرف الآخر".

أعرف أن الكلمة تبدو من عالم المبرمجين. وأعدك: في نهاية هذا المقال ستكون قد فهمتها ولو لم تكتب سطر برمجة واحدًا في حياتك. وستكون قد فهمت لماذا هي، بالنسبة إلى تطبيق تحفظ فيه أرقام بيتك، خيارٌ يغيّر كل شيء.

أولًا، الكلمات الصحيحة

لنبدأ بالفعل. تشفير ملفٍّ يعني تحويله إلى سلسلة غير مقروءة.

لا إخفاؤه خلف كلمة مرور تسأل "دعني أدخل". بل تحويله فعلًا: أخذ النصّ والأرقام والصور وردّها إلى كتلة من الرموز لا تعني شيئًا لمن لا يملك المفتاح الصحيح.

والشيء الذي يعيد تلك الكتلة إلى صورتها المقروءة اسمه المفتاح. وهو قطعة معلومات — تخيّلها كلمة مرور طويلة جدًا جدًا ومولَّدة بالحاسوب — يبقى الملف من دونها مجرد ضجيج.

تُشفّر بالمفتاح. وتفكّ التشفير بالمفتاح. ومن دون مفتاح، هو جدار.

احتفظ بهاتين الكلمتين — التشفير والمفتاح — لأن كل ما تبقّى يدور حول المكان الذي يعيش فيه المفتاح.

صندوق الأمانات في البنك

سأضرب المثال الذي يوضّح كل شيء في رأيي.

هل تعرف صناديق الأمانات في البنوك؟ تلك التي يضع الناس فيها مستندات مهمة، وبعض المجوهرات، والأشياء التي لا يريدون الاحتفاظ بها في البيت.

إنها تعمل هكذا.

يمنحك البنك خزنة محصّنة، مراقَبة، عصيّة على السارق. وداخلها صندوقك أنت.

لكن مفتاح صندوقك عندك أنت. أنت وحدك.

البنك يحرس الخزنة. لا يستطيع فتح صندوقك. لا يملك المفتاح. ولو أراد موظف غير أمين أن يتطفّل غدًا، لما استطاع: القفل لا يُفتح من دون مفتاحك. ولو دخل اللصوص وحملوا الخزنة كلها، لوجدوا بين أيديهم علبة معدنية مغلقة لا يعرفون كيف يفتحونها.

يقدّم لك البنك خدمة — أمان الخزنة — دون أن يشترط الوصول إلى ما تضعه في الداخل.

والتشفير من طرف إلى طرف هو هذا بالضبط، مطبَّقًا على الملفات الرقمية.

Cashfulness هو البنك: يقدّم لك الخزنة، أي خوادمنا التي تُحفظ فيها مستنداتك.

وأنت الوحيد الذي يملك مفتاح الصندوق.

ونحن، مثل البنك، نحرس من دون أن نقدر على الفتح.

ماذا يحدث عمليًا حين ترفع مستندًا

لنفترض أنك تريد أن تحفظ داخل Cashfulness كشف حسابك المصرفي، أو فاتورة كهرباء، أو عقد إيجار، أو وثيقة تأمين.

هذه هي المستندات التي يمكنك رفعها داخل Cashfulness: كشوف الحساب، والفواتير، والعقود، ووثائق التأمين. مواد مليئة ببياناتك — الاسم الكامل، والعنوان، ورقم الآيبان، والمبالغ، وأسماء الأطراف الأخرى.

وإليك التسلسل.

تختار الملف من هاتفك أو من حاسوبك.

قبل أن ينطلق، وهو ما يزال على جهازك، يُشفَّر المستند. فيصير كتلة الضجيج التي كنت أتحدث عنها.

وبعد ذلك فقط، وهو مشفَّر أصلًا، يسافر نحو خوادمنا.

يصل إلى الخادم ضجيجًا. ويبقى على الخادم ضجيجًا.

وحين تريد أنت أن تقرأه من جديد، يعود المستند إلى جهازك وهو ما يزال مشفَّرًا، وهناك — وهناك فقط، بمفتاحك أنت — يعود مقروءًا.

لحظة التشفير هي الجزء المهم: تحدث عندك، قبل الانطلاق. لا "ما إن يصل إلى الخادم حتى نقفله لك بالمفتاح". فتلك ستكون حالة البنك الذي يحتفظ بنسخة من مفتاحك في درج المدير.

لا. المفتاح لا يكون بحوزتنا أبدًا. يولد عندك ويبقى عندك.

أين يعيش مفتاحك

سؤال في محلّه عند هذه النقطة: وماذا لو أضعتُ هذا المفتاح؟ أين أحتفظ به؟

مفتاح مستنداتك يولد من شيئين يخصّانك.

الأول كلمة المرور التي تدخل بها إلى Cashfulness.

والثاني سلسلة من 24 كلمة تحصل عليها حين تفعّل هذه الحماية. وهو أسلوب مستعمل في مواضع أخرى أيضًا لحفظ أكثر المفاتيح حساسية — أربع وعشرون كلمة شائعة، بترتيب معيّن، تعادل معًا مفتاحًا رئيسيًا للاستعادة.

ومن هذين الشيئين، على جهازك أنت، يُبنى المفتاح الذي يشفّر مستنداتك ويفكّ تشفيرها.

وهنا النقطة التي تساوي المقال كله: ذلك المفتاح لا يغادر جهازك أبدًا.

لا يمرّ عبر خوادمنا. ولا نحفظه في أي مكان. ولا نراه يمرّ.

الأمر أشبه بمفتاح للصندوق يُصنَع داخل بيتك، بيدك أنت، ولا يخرج منه أبدًا. البنك لم يره قط، ولا للحظة واحدة.

وبالنسبة إلى خوادمنا، أكرّر، كل مستند من مستنداتك هو كتلة ضجيج رقمي، ويبقى كذلك.

من لا يستطيع قراءة مستنداتك (أي: الجميع ما عداك)

سأحاول أن أكون صريحًا، لأن هنا عادةً يصمد وعد الخصوصية أو ينفرغ من الهواء.

مستنداتك المرفوعة لا نستطيع قراءتها نحن الذين بنينا Cashfulness. لا توجد في مكان ما لوحة تحكّم يفتح فيها تقنيّ عندنا وثيقة تأمينك. هذا غير موجود تقنيًا، لأننا لا نملك المفتاح.

ولا يستطيع قراءتها من يدير الخوادم التي تعمل عليها البيانات.

ولا يستطيع قراءتها مهاجمٌ يخترق أنظمتنا غدًا ويحمل كل شيء: سيجد بين يديه ضجيجًا، ملفات لا تصلح لشيء.

ولا نستطيع تسليمها مقروءة حتى لو طلبتها منّا جهة رسمية بشكل نظامي، لأنها ليست عندنا بصورة واضحة. لا نستطيع تسليم غير الضجيج الذي نحرسه.

عند هذه النقطة، تكفّ جملة "نحن لا نرى مستنداتك" عن كونها طمأنة لطيفة.

وتصير وصفًا تقنيًا لواقعة.

لا نراها لأننا لا نستطيع. والفرق كبير.

الوجه الآخر للعملة (وأفضّل أن أقوله لك أنا، أولًا)

لحماية بهذا الإحكام ثمن، وإخفاؤه سيكون قلّة أمانة.

إن فقدتَ كلمة المرور و فقدتَ أيضًا كلمات الاستعادة الأربع والعشرين، تصبح مستنداتك غير مقروءة. إلى الأبد. حتى بالنسبة إلينا.

لا يوجد زرّ يقول "نسيتُ كل شيء، أعيدوا إليّ ملفاتي". ولا يوجد عندنا تقنيّ يستطيع أن يدخل من النافذة ويستعيدها لك.

ولنَعُد إلى الصندوق في البنك: إن فقدتَ مفتاحك ولم يكن لدى أحد آخر نسخة منه، يبقى كل شيء داخل الصندوق، لكن لا أحد يفتحه بعد ذلك.

أفهم أن الأمر بهذه الصيغة قد يبعث شيئًا من القلق. لكن انظر إليه من الجهة الأخرى، وهي سبب اختيارنا له.

لو وُجدت في مكان ما "نسخة احتياطية" من مفتاحك — على خادمنا، في درج المدير — لكانت تلك النسخة نقطة الضعف في النظام كله. لكانت أول ما يبحث عنه مهاجم. ولكانت البابَ الذي قد تطلب منّا جهة رسمية فتحه. ولكانت الملف الذي قد ينسخه موظف غير أمين لنفسه.

أما مفتاح لا يوجد إلا على جهازك أنت، فهو ببساطة لا يفتح ذلك الباب.

اخترنا أن نعطيك السيطرة كاملة — بما تحمله من ثقل — بدل أن نحتفظ لأنفسنا بطريق مختصر كان سيصير، عاجلًا أو آجلًا، الثقب في السدّ.

والفعل العملي الوحيد الذي نطلبه منك في المقابل هو هذا: احفظ كلماتك الأربع والعشرين كما تحفظ سند ملكية بيتك. مكتوبة، في مكان آمن، بعيدًا عن الأعين. لا داخل بريد ترسله إلى نفسك، ولا في ملاحظة على الهاتف. تلك الكلمات الـ24 هي النسخة الاحتياطية من مفتاحك. احتفظ بها كما تحتفظ بالأشياء التي تهمّ.

توضيح صادق: التشفير من طرف إلى طرف يغطي هنا المستندات

لا أريد أن أبيعك أكثر مما هو موجود، لأن ذلك سيكون نقيض هذا المقال كله.

التشفير من طرف إلى طرف الذي حدّثتك عنه يحمي المستندات التي ترفعها: كشوف الحساب، والفواتير، والعقود، ووثائق التأمين. تلك هي الطبقة الأكثر حساسية، وفيها وضعنا القفل الأشدّ إحكامًا.

أما بياناتك المحاسبية نفسها — الحسابات، والأرصدة، والحركات التي تكوّن تحديد موقعك، أي صافي ثروتك — فتتبع منطقًا مختلفًا.

هي تعيش في قاعدة بيانات لنا، على خوادم أوروبية، وهي واضحة على جانب الخادم. وهذا خيار تقني ضروري: فهي لازمة لإبقاء محاسبتك متوافقة بين الهاتف والحاسوب، ولحساب المؤشرات التي نعرضها عليك في الوقت الفعلي. وتشفيرها بالطريقة نفسها تمامًا التي نشفّر بها المستندات سيجعل التطبيق بطيئًا للغاية، وغير قابل للاستعمال عمليًا.

لكن — وهنا الجزء الذي لا يتوقعه كثيرون — تلك الأرقام تسافر من دون سيرتك الذاتية ملتصقة بها.

حين تسجّل، نطلب منك اسمًا مستعارًا (ما شئت، ولو من نسج الخيال)، وبريدًا إلكترونيًا، وكلمة مرور. ولا نطلب منك اسمًا ولا لقبًا ولا رقمًا ضريبيًا ولا تاريخ ميلاد ولا عنوانًا ولا هاتفًا.

وهكذا، حتى لو وصل أحدهم إلى قاعدة البيانات، لرأى اسمًا مستعارًا ومعه حسابات وأرصدة وحركات — لكن دون أي وسيلة لربط تلك الأرقام بالشخص الحقيقي الذي هو أنت.

وعن كيفية عمل هذه الطبقة الثانية، وعن سبب بنائنا لها على مستويين بدل مستوى واحد، هناك مقال مخصّص: خصوصية جذرية: طبقتان ووعد واحد. وأتوقف هنا، لأن موضوع اليوم هو مفتاح الصندوق.

والنقطة التي كان يهمّني تثبيتها هي هذه: حين نقول إن التشفير من طرف إلى طرف يجعل مستنداتك غير مقروءة، فنحن نتحدث عن المستندات. أما ما عداها فتسري عليه حماية مختلفة، لا تقلّ جدّية. وأفضّل أن أقول لك هذا بدقّة، بدل أن أتركك تصدّق تشفيرًا سحريًا يغطي كل شيء.

لماذا كان الأمر يعنينا إلى هذا الحدّ

كان بإمكاني أن أختم هنا عند الجانب التقني. لكن التقنية وحدها ليست السبب.

السبب أن التمويل الشخصي هو المكان الذي تحفظ فيه أشياء لا تحبّ الحديث عنها حتى مع الأصدقاء. كم تكسب في الحقيقة. كم ادّخرت، أو كم قلّ ما ادّخرت. ودَينٌ يثقل عليك.

وإن بقي في قرارة نفسك، ما إن تفتح تطبيقًا من هذا النوع، شكٌّ في أن أحدًا، في مكان ما، قد يلقي نظرة، فلن يعطيك ذلك التطبيق أبدًا الشيء الذي وُجد من أجله.

نحن نسمّي ذلك الشيء الهدوء. The calm side of money، الجانب الهادئ من المال. والهدوء، إن لم تكن أرقامك في أمان حقيقي، ليس إلا كلمة على الموقع.

التشفير من طرف إلى طرف للمستندات ليس جائزة تقنية تُعرض في الواجهة. إنه الأرضية التي يقوم عليها كل ما عداه: من دونه تصير المؤشرات وتحديد الموقع أثاثًا موضوعًا على الفراغ.

لهذا كتبناه في الأساسات، ولم نُضفه لاحقًا كمفتاح تشغيل إضافي.

في سطر واحد

أتركها لك في أقصر صيغة عندي.

مستنداتك تُغلقها في صندوق. ومفتاح الصندوق عندك وحدك، ولا يغادر جهازك أبدًا. ونحن نحرس الصندوق مغلقًا، ولا نستطيع فتحه.

ليس لأننا وعدنا بأن نكون أهلًا للثقة.

بل لأننا حرمنا أنفسنا، عن قصد، من إمكانية ألّا نكون كذلك.

— Vittorio