Çoğu finans uygulaması “gizliliğinize saygı duyuyoruz” sözünü kimsenin okumadığı bir ayarlar menüsüne, dört bin kelimelik bir politikanın yanına yazar. Biz Amunta’nın verilerinizle ne yaptığına dair net bir açıklama sunmak istedik; bunu bir pazarlama metninden değil, uygulamanın kendi kodundan doğruladık.
Varsayılan: hiçbir şey telefonunuzdan çıkmaz
Amunta defteri — harcamalar, gelirler, borçlar, faturalar, bütçeler ve raporlar — cihazınızdaki yerel bir veritabanında saklanır. Kayıt ekranı yok, e-posta alanı yok, uygulamayı kullanmaya başlamak için telefon numarası gerekmez. Açarsınız ve çalışır.
Amunta reklam izleyicileri, Google Analytics veya Facebook SDK içermez. Kararlılığı artırmak için sınırlı ve anonim teknik bilgiler gönderilebilir; bunlar tutar, finansal kayıt, kişi veya fotoğraf içermez ve sizi bir kişi olarak tanımlamaz.
İsterseniz PIN kilidi kullanabilirsiniz. PIN belirlediğinizde uygulama kodun kendisini değil, SHA-256 biçiminde özetini saklar — güvenliği ciddiye alan her sistemde parolaların saklandığı yöntemle aynı. Biri uygulamanın ham verilerine ulaşsa bile kodunuzu bir dosyada yazılı bulamaz.
İsteğe bağlı kısım: bir defteri başka biriyle paylaşmak
Amunta ayrıca iki kişinin defterlerini bağlamasına izin verir — sizin ve eşinizin, ev arkadaşınızın veya iş yaptığınız birinin, her birinizin aynı işlemi iki kez girmesine gerek kalmadan ortak bir cari hesap tutmak istemesi durumunda kullanışlıdır. Bu tamamen isteğe bağlıdır. Temel uygulama bunu asla istemez.
Açtığınızda tam olarak şu olur; çünkü “tam olarak ne olduğu”nun, “gizliliğinizi ciddiye alıyoruz” demekten daha dürüst bir cevap olduğunu düşünüyoruz.
Kodda incelediğimiz A-Link kayıt yoluna göre telefonunuz, SF-XXXXXXX biçiminde görünen bir ağ kimliği almak için bir şifreleme anahtar çifti üretir, ardından açık anahtarı, seçtiğiniz para birimini ve uygulama türünü belirten bir işareti içeren bir istek gönderir. Bu istekte adınız, telefon numaranız veya e-postanız yoktur. Uygulamanın başka bir yerinde telefon numarası veya e-posta yazdıysanız, bunlar yerel depolamada kalır ve kayıt isteğine dahil edilmez.
Burada şifreleme ne anlama geliyor?
İki kişi bağlandığında ortak işlemler telefonları arasında bir aktarma sunucusu (relay) üzerinden senkronize edilir. “Uçtan uca şifreli” ifadesinin belirli bir şey mi yoksa sadece bir söz mü olduğu tam burada anlaşılır. Amunta’da belirli bir şeydir:
- Her cihazın bir anahtar çifti vardır. Bağlı bir kişiye işlem gönderilirken iki açık anahtar, eliptik eğriler üzerinde X25519 anahtar değişimiyle birleştirilir ve ortak bir sır üretilir.
- Bu ortak sır, sabit bir şifreleme anahtarı elde etmek için HKDF-SHA256’dan geçirilir.
- İşlem verileri cihazdan çıkmadan önce AES-256-GCM ile şifrelenir.
Bu yolda özel anahtar cihazda üretilir, güvenli depolamada saklanır ve ortak sırrı üretmek için yerel olarak kullanılır. A-Link protokolü onu ne aktarma sunucusuna ne de karşı tarafa gönderir.
“Şifreleme” iddialarının çoğunun atladığı kısım
Burada çoğu uygulamanın zahmet ettiğinden daha titiz olmak istiyoruz. Bağlı cihazlar arasında mesajları ileten aktarma sunucusu içlerindekini okuyamaz — içerik AES-256-GCM ile şifrelenmiş metindir ve sunucuda anahtar yoktur. Ama sunucu yönlendirme bilgilerini görür: mesajı hangi ağ kimliğinin gönderdiğini, hangi kimliğe yönlendirildiğini ve ne zaman gönderildiğini. Bir sunucunun mesajı doğru alıcıya ulaştırması gereken her sistemde bu kaçınılmazdır; Signal gibi sistemlerin de kabul ettiği aynı ödünleşimdir.
Aktarma sunucusu mesajı arşiv olarak da tutmaz: şifreli içerik, alıcı cihaz başarıyla aldığını ve işlediğini onaylayana kadar geçici olarak saklanır, sonra kalıcı olarak silinir. Teslim edilmezse veya onay gelmezse süresi dolar ve 24 saat sonra otomatik olarak silinir.
Dolayısıyla bu protokol sınırları içinde doğru cümle şudur: aktarma sunucusu yönlendirme kimliklerini ve zamanlamayı görebilir, ama işlemin içeriğini okumak için gereken anahtara sahip değildir.
Bu neden bir gizlilik politikasından daha önemli?
Gizlilik politikası davranışa dair bir sözdür; mimarinin incelenmesi ise bilinen yolların gerçekte neyi taşıdığını gösterir. İncelediğimiz kısımlara göre A-Link kayıt isteği kişi listesini taşımaz, aktarılan mesajlar işlem içeriğini okunabilir biçimde taşımaz ve PIN kodu düz metin olarak saklanmaz.
Bu, herhangi bir yazılımın hatasız veya risksiz olduğu iddiası değildir. Amaç, mutlak garantiler yerine incelenebilecek belirli bir açıklama sunmaktır. Gerçekte neyin internet gerektirdiğini ve şifreli yedeklemenin nasıl çalıştığını da okuyabilirsiniz.