中身を知らない設計とは
要点：
中身を知らない設計とは、暗号化されたデータを預かりながら、その鍵をひとつも持たない仕組みのことです。私たちが受け持つのは機械のほうだけで、そこに何が入っているかは知りようがありません。
🔐 貸倉庫のたとえ
警備のある貸倉庫を思い浮かべてください。
- ふつうの雲の上。 区画を借りると、管理人が予備の鍵を持ちます。あなたが鍵をなくしたときのために、という理屈です。つまり管理人はいつでも開けられ、中を見られ、誰かに見せることもできます。
- 中身を知らない設計。 区画を借り、自分の錠を掛けます。その鍵を持つのはあなただけです。管理人は建物には入れてくれますが、区画は開けられません。中身を問われれば、正直にこう答えられます。存じません。
⚙️ 仕組み
ふつうのアプリでは、合言葉をサーバーへ送り、サーバーが照らし合わせ、あなたのためにデータを開きます。
こちらでは、そのふたつの役目を切り離しています。
- 本人であることを示す。 合言葉の一部をかき混ぜてサーバーへ送ります。誰を通すかを判断するためだけの用途です。
- ノートを開く。 もう一方は端末に残り、暗号化の鍵を作ります。この鍵は外へ出ません。
錠はサーバーに、鍵は手元に。 データがあることは分かっても、それを読める文章に変える手立てが向こうにはありません。
⚖️ 手間をかける価値
これは掛け声ではなく、何ができて何ができないかを変えます。
- 公的な要請。 データを求められても、渡せるのは意味をなさない暗号だけです。読めないものを復号せよと迫ることはできません。
- 侵入。 サーバーが破られても、持ち去られるのは雑音です。
- 私たち自身。 ここで働く全員が誠実だと信じる必要はありません。信じるのは数学だけで足ります。
🛡️ TaskNote での意味
ここでのプライバシーは、こちらの善意ではなく、あなたの鍵の上に立っています。
登録の際、鍵はあなたのブラウザの中で作られます。こちらに置かれるのは、ノートやタスクや札の暗号化された塊です。合言葉も鍵も、こちらでは保管しません。
❓ よくある質問
合言葉を忘れたとき、なぜそちらで作り直せないのですか。
こちらは初めから知らないからです。この作りの仕組みに、管理者用の裏口はありません。合言葉と復旧鍵を両方失えば、ノートは戻りません。
付随する情報も見えないのですか。
おおむね見えませんが、すべてではありません。本文と表題は読めません。ただ、動かすためにサーバーが知っておく事務的な事実はあります。この利用者には暗号化された書類が五十ある、直近の同期は今朝だった、といった程度です。必要最小限にとどめています。
ノートを人と分け合えますか。
分け合えます。舞台裏の手間は増えます。相手の公開鍵を使って、あなたの端末がそのノートの鍵を包みます。サーバーは包みを運ぶだけで、開けることはできません。