Há uma frase que repetimos muitas vezes quando falamos do Cashfulness.
"Não vemos os teus documentos."
É uma frase fácil de dizer. Muitas aplicações dizem-na.
A questão é o que está por baixo dessa frase. Porque "não olhamos para eles" e "não podemos olhar para eles" são duas promessas muito diferentes.
A primeira é uma promessa de boa vontade: confia que não o fazemos.
A segunda é uma promessa de impossibilidade: mesmo que quiséssemos, não podemos.
No Cashfulness, para os documentos que carregas, vale a segunda. E a palavra técnica que a torna verdadeira chama-se encriptação ponta a ponta.
Em inglês vais encontrá-la abreviada como E2EE, de end-to-end encryption: encriptação "de uma ponta à outra".
Sei que soa a coisa de informáticos. Prometo-te: no fim deste artigo vais tê-la percebido mesmo que nunca tenhas escrito uma linha de código na vida. E vais ter percebido porque é que, numa aplicação onde guardas os números lá de casa, é uma escolha que muda tudo.
Primeiro, as palavras certas
Comecemos pelo verbo. Encriptar um ficheiro significa transformá-lo numa sequência ilegível.
Não escondê-lo atrás de uma palavra-passe que pede "deixa-me entrar". Transformá-lo mesmo: pegar no texto, nos números, nas imagens, e reduzi-los a um bloco de caracteres que não querem dizer nada para quem não tem a chave certa.
Aquilo que devolve esse bloco à forma legível chama-se chave. É um pedaço de informação — imagina-a como uma palavra-passe muito, muito comprida e gerada pelo computador — sem a qual o ficheiro continua a ser ruído.
Encriptas com a chave. Desencriptas com a chave. Sem chave, é parede.
Guarda estas duas palavras — encriptar e chave — porque tudo o resto gira à volta de onde vive a chave.
O cofre de segurança no banco
Vou dar o exemplo que, para mim, esclarece tudo.
Conheces os cofres de segurança dos bancos? Aqueles onde as pessoas guardam documentos importantes, algumas joias, as coisas que não querem ter em casa.
Funcionam assim.
O banco dá-te uma câmara-forte blindada, vigiada, à prova de ladrão. Lá dentro está o teu cofre.
Mas a chave do teu cofre tens-na tu. Só tu.
O banco guarda a câmara-forte. Não pode abrir o teu cofre. Não tem a chave. Se amanhã um funcionário desonesto quisesse bisbilhotar, não conseguiria: a fechadura não abre sem a tua chave. Se entrassem ladrões e levassem a câmara-forte inteira, ficariam com uma caixa de metal fechada que não sabem abrir.
O banco oferece-te um serviço — a segurança da câmara-forte — sem exigir acesso àquilo que lá pões dentro.
A encriptação ponta a ponta é exatamente isto, aplicado aos ficheiros digitais.
O Cashfulness é o banco: oferece-te a câmara-forte, ou seja, os nossos servidores onde os teus documentos ficam guardados.
Tu és o único que tem a chave do cofre.
E nós, tal como o banco, guardamos sem poder abrir.
O que acontece, na prática, quando carregas um documento
Digamos que queres guardar dentro do Cashfulness o extrato do banco, uma fatura da luz, o contrato de arrendamento, uma apólice.
São estes os documentos que podes carregar para o Cashfulness: extratos bancários, faturas, contratos, apólices. Coisas cheias de dados teus — nome por extenso, endereço, IBAN, valores, contrapartes.
Eis a sequência.
Tu escolhes o ficheiro no telefone ou no computador.
Antes de sair, ainda no teu dispositivo, o documento é encriptado. Torna-se aquele bloco de ruído de que falava.
Só depois, já encriptado, viaja para os nossos servidores.
Ao servidor chega ruído. No servidor continua a ser ruído.
Quando és tu a querer voltar a lê-lo, o documento regressa ao teu dispositivo ainda encriptado, e é aí — só aí, com a tua chave — que volta a ser legível.
O momento da encriptação é a parte importante: acontece em ti, antes da partida. Não é "assim que chega ao servidor, nós fechamo-lo à chave por ti". Isso seria o banco a guardar uma cópia da tua chave na gaveta do diretor.
Não. A chave nunca a temos. Nasce em ti e fica em ti.
Onde vive a tua chave
Pergunta justa, a esta altura: e se eu perder essa bendita chave? Onde é que a guardo?
A chave dos teus documentos nasce de duas coisas tuas.
A primeira é a tua palavra-passe, aquela com que entras no Cashfulness.
A segunda é uma sequência de 24 palavras que recebes quando ativas esta proteção. É um sistema usado também noutros lugares para guardar as chaves mais delicadas — são vinte e quatro palavras comuns, numa certa ordem, que juntas valem como uma chave-mestra de recuperação.
A partir destas duas coisas, no teu dispositivo, é construída a chave que encripta e desencripta os teus documentos.
E aqui está o ponto que vale o artigo inteiro: essa chave nunca sai do teu dispositivo.
Não passa pelos nossos servidores. Não a guardamos em lado nenhum. Não a vemos passar.
É como se a chave do cofre fosse forjada dentro da tua casa, por ti, e nunca saísse de lá. O banco nunca a viu, nem por um instante.
Para os nossos servidores, repito, cada documento teu é e continua a ser um bloco de ruído digital.
Quem não pode ler os teus documentos (ou seja: todos menos tu)
Vou tentar ser explícito, porque normalmente é aqui que uma promessa de privacidade ou aguenta ou se desfaz.
Os documentos que carregas não os podemos ler nós, que construímos o Cashfulness. Não há um painel algures onde um técnico nosso abra a tua apólice. Tecnicamente não existe, porque não temos a chave.
Não os pode ler quem gere os servidores onde os dados correm.
Não os conseguiria ler um atacante que amanhã violasse os nossos sistemas e levasse tudo: ficaria com ruído nas mãos, ficheiros inutilizáveis.
E também não os poderíamos entregar legíveis nem sequer se uma autoridade no-los pedisse formalmente, porque não os temos em claro. Só podemos entregar o ruído que guardamos.
A frase "não vemos os teus documentos", a esta altura, deixa de ser uma gentil garantia.
Passa a ser a descrição técnica de uma realidade.
Não os vemos porque não podemos. É diferente.
O reverso da medalha (e prefiro ser eu a dizer-to, primeiro)
Uma proteção tão apertada tem um preço, e seria desonesto escondê-lo.
Se perderes a tua palavra-passe e perderes também as tuas 24 palavras de recuperação, os teus documentos tornam-se ilegíveis. Para sempre. Também para nós.
Não há um botão "esqueci-me de tudo, reenviem-me os ficheiros". Não existe um técnico nosso que possa entrar pela janela e recuperá-los para ti.
Voltemos ao cofre do banco: se perderes a tua chave e mais ninguém tiver uma cópia, lá dentro fica tudo, mas já não há quem o abra.
Percebo que, dito assim, possa dar alguma ansiedade. Mas olha para isso pelo outro lado, que é a razão de o termos escolhido.
Se existisse algures uma "cópia de segurança" da tua chave — no nosso servidor, na gaveta do diretor — essa cópia seria o ponto fraco de todo o sistema. Seria a primeira coisa que um atacante procuraria. Seria a porta que uma autoridade nos poderia pedir para abrir. Seria o ficheiro que um funcionário desonesto poderia copiar.
Uma chave que só existe no teu dispositivo, essa porta, simplesmente, não a abre.
Escolhemos dar-te o controlo inteiro — com o peso que isso implica — em vez de ficarmos com um atalho que, mais tarde ou mais cedo, se tornaria o furo na barragem.
O gesto prático que te pedimos em troca é um só: guarda as tuas 24 palavras como guardarias a escritura da tua casa. Escritas, num sítio seguro, longe de olhares. Não dentro de um email para ti próprio, não numa nota no telefone. Essas 24 palavras são a cópia de reserva da tua chave. Trata-as como tratas as coisas que contam.
Uma precisão honesta: aqui o E2EE cobre os documentos
Não te quero vender mais do que aquilo que há, porque seria o contrário de todo este artigo.
A encriptação ponta a ponta de que te falei protege os documentos que carregas: extratos bancários, faturas, contratos, apólices. Esses são o nível mais delicado, e foi aí que pusemos a fechadura mais apertada.
Os teus dados contabilísticos propriamente ditos — as contas, os saldos, os movimentos que formam o teu ponto de situação, ou seja, o teu património líquido — seguem uma lógica diferente.
Vivem numa base de dados nossa, em servidores europeus, e estão em claro do lado do servidor. É uma escolha técnica necessária: servem para manter a tua contabilidade alinhada entre o telefone e o computador, e para calcular em tempo real as métricas que te mostramos. Encriptá-los exatamente da mesma maneira que os documentos tornaria a aplicação lentíssima e, na prática, inutilizável.
Mas — e aqui está a parte que muitos não esperam — esses números viajam sem a tua biografia agarrada.
Quando te registas pedimos-te uma alcunha (a que quiseres, mesmo inventada), um email e uma palavra-passe. Não te pedimos nome completo, número de identificação fiscal, data de nascimento, endereço, telefone.
Assim, mesmo quem tivesse acesso à base de dados veria uma certa alcunha com contas, saldos e movimentos — mas sem forma de ligar esses números à pessoa real que tu és.
Sobre como funciona esta segunda camada, e sobre porque a construímos em dois níveis em vez de um, há um artigo dedicado: Privacidade radical: dois níveis, uma só promessa. Aqui fico por aqui, porque o assunto de hoje é a chave do cofre.
O ponto que me interessava fixar é este: quando dizemos que a encriptação ponta a ponta torna os teus documentos ilegíveis, falamos dos documentos. Sobre o resto vale uma proteção diferente, igualmente séria. E prefiro ser eu a dizer-to com precisão, em vez de te deixar acreditar numa encriptação mágica que cobre tudo.
Porque nos importava tanto, até este ponto
Podia fechar aqui, na parte técnica. Mas a técnica, sozinha, não é a razão.
A razão é que as finanças pessoais são o sítio onde guardas as coisas de que não falas de bom grado nem com os amigos. Quanto ganhas mesmo. Quanto puseste de lado, ou quão pouco. Uma dívida que pesa.
Se, mal abres uma aplicação destas, te fica no fundo a dúvida de que alguém, algures, possa dar uma espreitadela, essa aplicação nunca te vai dar aquilo para que existe.
Nós chamamos a isso calma. The calm side of money, o lado calmo do dinheiro. E a calma, se os teus números não estiverem realmente seguros, é só uma palavra no site.
A encriptação ponta a ponta nos documentos não é um troféu técnico para exibir. É o chão sobre o qual assenta tudo o resto: sem ele, as métricas e o ponto de situação são móveis pousados no vazio.
Por isso escrevemo-la nas fundações, em vez de a acrescentar depois como mais um interruptor.
Numa linha
Deixo-ta na forma mais curta que tenho.
Os teus documentos fechas-los num cofre. A chave do cofre só tu a tens, e nunca sai do teu dispositivo. Nós guardamos o cofre fechado, e não o podemos abrir.
Não porque prometemos ser gente séria.
Porque decidimos tirar a nós próprios, de propósito, a possibilidade de o não sermos.
— Vittorio