Criptografia de ponta a ponta

Quase toda a web já criptografa de duas outras formas. A criptografia em trânsito (TLS, o cadeado) protege os dados entre seu dispositivo e um servidor, mas o servidor depois os lê. A criptografia em repouso protege um disco, mas quem tem o disco costuma ter também a chave. A de ponta a ponta tira a chave das mãos da empresa: uma invasão do servidor, uma ordem judicial ao operador ou um funcionário curioso só obtêm bytes embaralhados. Os aplicativos de mensagens popularizaram a ideia: a mensagem é selada num celular e aberta em outro, e nem a empresa que a transporta sabe o que diz, só que algo foi enviado. Protocolos abertos como o Signal mostram que isso funciona de dois amigos a grandes grupos.

Na prática, um dispositivo cria uma chave, cifra cada item com ela antes do envio e só a entrega aos dispositivos que você aprova. O difícil não é o algoritmo, que é padrão (o AES-256-GCM é muito usado), e sim as chaves: como um dispositivo novo recebe uma e o que acontece se você perder todas. Sistemas de ponta a ponta de verdade respondem com uma chave de acesso, uma chave de recuperação ou um dispositivo já confiável, e aceitam uma troca: como ninguém mais consegue abrir seus dados, ninguém mais consegue resgatá-los. É como uma carta numa caixa trancada: o entregador leva a caixa o caminho todo, mas só quem tem a chave lê o conteúdo.

Conheça também os limites. Ela protege os dados do servidor, não de um dispositivo comprometido, de um celular roubado e desbloqueado ou de malware. E um chat de IA não pode ser de ponta a ponta até o modelo: o modelo precisa ler seu texto para responder. O termo vale, portanto, para armazenamento, sincronização, backups e links compartilhados, não para a troca ao vivo com o modelo. Um bom teste é perguntar quem detém a chave. Se for o operador, o serviço pode ser criptografado, mas não de ponta a ponta, e o operador pode ser obrigado ou invadido.

No primeiro uso, seu navegador cria uma chave AES-256-GCM não extraível: a página cifra e decifra com ela, mas nenhum script, nem o nosso, consegue ler seus bytes. Suas conversas, imagens, personagens e memória são cifradas com ela antes da gravação no banco do navegador. Se você ativar a sincronização em Configurações, cada item é cifrado no seu navegador com uma chave de dados que nossos servidores nunca têm, e seu identificador fica opaco. Essa chave é envolvida pela sua chave de acesso e pela de recuperação e selada para cada dispositivo aprovado; todo pedido de sincronização precisa ser assinado por um dispositivo aprovado. Sem chave de acesso, chave de recuperação ou outro dispositivo aprovado, nossa cópia não pode mais ser aberta.

Links de compartilhamento e backup também são cifrados, o backup com sua frase secreta. A parte que não é de ponta a ponta é a própria resposta: sua mensagem passa pelos nossos servidores até o modelo e volta, e a página de transparência informa que ela não é gravada no banco de dados nem nos registros. Isso explica também por que guardamos só itens selados: um vazamento do banco mostraria bytes embaralhados, tamanhos arredondados e horários, e nenhuma das palavras que você escreveu.