Her ciddi günlükçünün eninde sonunda çarptığı bir an vardır. Aylardır dizüstünde yazıyorsundur — dürüstçe, ancak başka hiç kimsenin asla okumayacağından emin olduğunda yazdığın gibi — ve sonra bir trendesindir, ya da bir bekleme odasında, ya da gece 2'de elinde telefonla uykusuz yatıyorsundur ve şimdi yazılması gereken düşünce gelir. Ve günlüğün öbür makinededir.
Dijital günlük tarihinin büyük bölümünde bu anın tam iki çıkışı vardı ve ikisi de sana bir şeye mal oluyordu.
Kimsenin Adını Koymadığı Üçlem
Her günlük uygulaması, üç köşesi olan bir üçgenin içinde bir yere konumlanmak zorundadır: gizlilik, senkronizasyon ve kolaylık. Uzun süre en fazla iki köşeye sağlam basabildin.
Yalnızca-yerel uygulamalar gizliliği ve sadeliği seçti. Girişlerin tek bir cihazdaki dosyalarda yaşıyordu; hiçbir sunucuya dokunmadıkları için hiçbir sunucu okuyamıyordu. Bu sahiden güvenlidir — ve sahiden kısıtlayıcı. Günlüğün tek bir makineye zincirlidir. Cihazı kaybet, arşivi kaybet. Onsuz yola çık; trende gelen düşünce yazılmadan kalır ki bu, bir günlük pratiği için sessiz bir başarısızlık türüdür.
Buluta senkronize uygulamalar senkronizasyonu ve kolaylığı seçti — ve işte hakkaniyetli olmaya değer kısım. Çoğunun girişlerini sunucularında okunabilir tutmasının nedeni özensizlik ya da kötü niyet değil. Okunabilir girişlerin, "her yerden giriş yap, günlüğün belirsin" özelliğini çalıştırmanın kolay yolu olması. Sunucu verini okuyabiliyorsa, doğru hesap kimlik bilgilerini gösteren her cihaza onu verebilir. Arama anında çalışır. Parola sıfırlamak zahmetsizdir. Destek sana yardım edebilir. Sunucu tarafı okunabilirlik en az mühendislik direncinin yoludur ve düz metin not araçlarından, sunucularında şifreleyip anahtarları kendinde tutan uygulamalara kadar neredeyse bütün sektör o yoldan gitti. Sonuç, derecesi değişse de türce aynıdır: gizliliğin matematiğe değil, bir politikaya — "bakmayacağız"a — yaslanır. Özel günlük uygulamalarını gerçekte neyin ayırdığını daha önce yazmıştık; ayrım çizgisi budur: bakmayız ile bakamayız.
O halde dürüst soru "hangi uygulamalar kötü" değil — bir mühendislik sorusu. Üç köşeye birden sahip olabilir misin? Bir günlük, onu saklayan şirket için matematiksel olarak okunmaz olup yine de sahip olduğun her cihazda açılabilir mi — üstelik senden, casus romanındaki bir kurye gibi anahtar dosyalarını elde taşımanı istemeden?
Olabilirsin. Tekniğin adı zarf şifrelemesi; onu görmezden gelen uygulamaların çoğundan daha eski ve daha iyi sınanmış durumda — ve ürünümüzü hiç kullanmasan bile anlamaya değer, çünkü bir kez anladıktan sonra "senkronize etmek için verini okumamız gerekiyor" cümlesini bir daha asla doğa kanunu diye kabul etmezsin.
Önce Anahtar Sorunu — Kelimenin Tam Anlamıyla
Sıfır-bilgi bir günlüğün tek cihazda nasıl çalıştığından başla. Hesabını oluşturduğunda cihazın rastgele 256-bitlik bir anahtar üretir. Yazdığın her giriş cihazından ayrılmadan önce o anahtarla şifrelenir — gizli bilgiler için güvenilen standart olan AES-256-GCM ile. Sunucuya giden şey şifreli metindir. Sunucunun sakladığı şey şifreli metindir. Anahtar cihazında kalır; dolayısıyla sunucuyu işleten şirket yazdığın tek kelimeyi okuyamaz. "Okumamayı seçiyor" değil. Okuyamıyor.
Bu mimarinin bir ünlü, bir de daha sessiz sonucu vardır. Ünlü sonuç: anahtarını kaybedersen kimse seni kurtaramaz — gerçek gizliliğin hem bedeli hem kanıtı budur. Sessiz sonuç ise senkronizasyon sorunudur: anahtar yalnızca dizüstünde varsa, şifreli girişlerinin kusursuz bir kopyasını tutan telefonun, okuyamadığı bir dilde bir kitap tutuyordur. Şifreli metni senkronize etmek çocuk oyuncağı. Onu okuma yeteneğini senkronize etmek — bütün mesele bu.
Naif çözüm — anahtarı sunucuya gönder ki diğer cihazlarına iletsin — her şeyi yok eder. Anahtarın kullanılabilir halde sunucuda durduğu anda, sıradan bulut günlüğünü fazladan adımlarla yeniden inşa etmişsindir. Şirket girişlerini yine okuyabilir; matematik, bir vaatle geri takas edilmiştir.
Zarf şifrelemesi, naif olmayan çözümdür.
Zarf Şifrelemesi, Sade Dille
Fikrin tamamı şu: anahtar da veridir ve veri şifrelenebilir.
Günlük anahtarını fiziksel bir anahtar gibi düşün — yazdığın her şeyi tutan kasayı açan tek anahtar. O anahtarın telefonunda belirmesi gerekiyor. Açıktan postalayamazsın, çünkü postane (sunucu) onu yolda kopyalayıp sonsuza dek elinde tutabilir.
Bu yüzden anahtarı bir kilitli kutuya koyarsın. Kutu, ikinci bir anahtarla mühürlenir — yalnızca senin kafanda var olan özel bir paroladan türetilen bir anahtarla. Artık kutuyu postaneye gönül rahatlığıyla teslim edebilirsin. Saklayabilirler, taşıyabilirler, yedekleyebilirler, yıllarca tutabilirler. Onlar için işe yaramazdır. Açamadıkları bir kutudur; içinde, açamadıkları bir kasanın anahtarı vardır. İki katman "yapamaz" — ve iki katman da matematiktir.
Telefonundan oturum açtığında sunucu kutuyu teslim eder. Özel parolanı yazarsın — telefonda, yerel olarak — telefon parolandan açma anahtarını türetir, kutuyu bellekte açar ve günlük anahtarın ikinci cihazına adımını atar. Baştan beri okunmaz şifreli metin olarak serbestçe senkronize olan bütün şifreli geçmişin, okunması gereken tek yerde okunur hale gelir: senin önünde.
Bütün bunlar olurken sunucunun neye tanık olduğuna bak: hiçbir şeye. Parolanı görmedi — o cihazdan hiç çıkmaz. Açma anahtarını görmedi — o, paroladan yerel olarak türetilir. Günlük anahtarını açıkta görmedi — yalnızca mühürlü kutuyu gördü. Sunucunun rolü kalıcı olarak "kelimelerinin güvenilir bekçisi"nden "içine bakamadığı kutuların kuryesi"ne indirildi. Bütün başarı, o rütbe indirimidir.
Pratikte Bunun Hissettirdiği
İyi kriptografinin en dikkat çekici yanı, birlikte yaşamanın ne kadar sıkıcı olduğudur. The Architect'te bütün bu aparat, tek bir isteğe bağlı ayardır: özel bir parola seçersin ve o andan itibaren günlüğün iPhone'unda da masaüstünde de açılır. Gece 2 düşüncesi telefonda yakalanır. Uzun pazar girişi masada yazılır. Seninle birlikte okuyan mentor iki parça değil, tek bir kesintisiz hayat görür — martta dizüstünde fark ettiği örüntü, temmuzda telefondan yazarken hâlâ görüş alanındadır; çünkü o tek bir günlüktür, her yerde, ve sen olmayan herkese hâlâ okunmaz.
Bir tasarım kararı ilk bakışta göründüğünden daha önemli: özel parola, hesap girişinden ayrıdır. Girişin, sunucuya kim olduğunu kanıtlar. Özel parolan, günlüğüne kim olduğunu kanıtlar — ve sunucu onu asla öğrenmez. Bu ayrım bilinçlidir. Hesap girişi, sunucunun doğrulaması gereken — dolayısıyla hakkında bir şey bilmesi gereken — bir şeydir. Özel parola ise sunucunun asla doğrulayamaması, bilememesi ve sıfırlayamaması gereken bir şeydir; çünkü sunucunun sıfırlayabildiği her şeyi, sunucu fiilen açabilir.
Sıfır-Bilginin Dürüst Sınırı
Kendi küçük harflerini saklayan bir gizlilik yazısı pazarlamadır; o yüzden bizimki apaçık burada. The Architect'te sıfır-bilgi, depolamayı tanımlar: yazılan her şey, hatırlanan her şey, durağan haldeki her şey bizim çözemediğimiz şifreli metindir. Yapay zekâ gidiş-dönüşünü tanımlamaz. Mentorun bir girişe cevap verdiğinde, o girişin metni çıkarım anında modele gönderilir — model, okuyamadığı kelimeler üzerine düşünemez. O düz metin cevabı üretmek için kullanılır, tutulmaz ve asla modeli eğitmek için kullanılmaz. Bir ürün sana yapay zekâsının şifreli günlüğünü düz metne hiç dokunmadan okuduğunu söylüyorsa şüpheci ol; bugünkü teknolojiyle o iddia, tam olarak buradaki gibi bir adımı gizliyordur. Biz adımı gizlemektense adını koymayı yeğleriz: durağan halde sıfır-bilgi, eğitimde kullanılmıyor, döngüde asla insan yok — ve buradaki hiç kimsenin, mimari olarak, yazdıklarına göz atma imkânı yok.
En Derin Katman Hâlâ Kurtarma Anahtarı
Peki özel parolayı unutursan? Tasarım, önceliklerini burada gösterir. Parola değiştirilebilir ya da özellik kapatılabilir — senin tarafından, günlüğünün zaten açık olduğu bir cihazdan — ama bir sıfırlama e-postası yoktur; çünkü özel parolanı sıfırlayabilen bir şirket, maymuncuk tutan bir şirket olurdu ve bütün mesele, öyle bir anahtarın var olmamasıdır.
Her şeyin altında, çoklu-cihaz açılışından da eski olan katman durur: kurtarma anahtarın — günlük anahtarının insan-okur biçimi; başladığın gün cihazında üretildi, yalnızca sende. Zarf, anahtarı yolculuğa çıkarır; kurtarma anahtarı ise ona sahip olduğunun kanıtıdır. Onu bir parola yöneticisinde ya da bir çekmecede basılı tut; hiçbir unutulmuş parola, kaybolmuş telefon ya da batmış şirket arşivini senden alamaz. Kullanım koşulları yerine matematikle icra edilen sahiplik budur.
Yıllarca üçlem, dürüst yazmak isteyen herkesten sessizce vergi aldı: ya gizlilikle öde, ya erişimle. Zarf şifrelemesi bu vergiyi emekliye ayırıyor. Kutu yolculuk eder; anahtar senin kalır; günlük ise sadece oradadır — trende, masada, gece 2'de — ve hâlâ başka hiç kimsenin değildir.