Quando diciamo che la tua chiave sta "nel chip", la maggior parte delle persone annuisce educatamente e immagina una specie di scatola nera. Comprensibile — "crittografia" è una di quelle parole che fanno appannare lo sguardo. Ecco il tentativo di spiegarlo senza una sola parola di crittografia. Con una cassaforte e una cassetta delle lettere.

La cassaforte che non consegna nulla

Immagina che il tuo telefono abbia una minuscola cassaforte incorporata — non simbolicamente, ma letteralmente un componente separato e isolato sulla scheda. I telefoni moderni ce l'hanno davvero: Apple la chiama Secure Enclave, Google/Android StrongBox. In HIY la chiamiamo semplicemente il chip.

Quando apri HIY per la prima volta, questo chip genera una coppia di chiavi — due sequenze di numeri collegate tra loro, una pubblica e una segreta. Quella segreta non lascia mai il chip. Non "salvata cifrata", non "conservata al sicuro in un database" — fisicamente non lascia mai il chip. Il chip può fare cose con essa (firmare, decifrare), ma non la consegna a nessuno, nemmeno all'app che gira sullo stesso telefono.

Questa è la differenza rispetto a "la password è salvata cifrata". Un valore cifrato può, con la controchiave giusta, essere decifrato di nuovo — da qualche parte esiste una strada per tornare al testo in chiaro. Un valore che non lascia mai il chip non ha alcuna strada di ritorno. Non c'è nulla da rubare, perché non esiste da nessuna parte una copia da rubare.

La cassetta delle lettere che non può leggere nulla

Ora al relay — il server attraverso cui passano i tuoi messaggi prima di arrivare alla tua amica. Si potrebbe pensare che un server attraverso cui deve passare ogni messaggio sia automaticamente un punto debole. Lo è — se può leggere di nascosto. Il nostro non può, ed è merito della cassaforte descritta sopra.

Prima ancora che tu e la tua amica possiate scrivervi, i vostri due chip scambiano le metà pubbliche delle rispettive coppie di chiavi — la metà che chiunque può tranquillamente vedere. Dalla sua metà pubblica e dalla tua metà segreta si può calcolare un codice comune che solo voi due conoscete. Durante questo scambio il relay vede solo le metà pubbliche — è come dare a qualcuno il tuo indirizzo postale. Utile, ma di per sé senza valore.

Ogni messaggio che passa poi per il relay è cifrato con esattamente questo codice comune. Il server vede un pacchetto di dati che non può aprire — sa solo dove inoltrarlo. Questa è la cassetta delle lettere: trasporta in modo affidabile la busta sigillata, ma cosa c'è scritto dentro non la riguarda. Anche se qualcuno copiasse l'intero contenuto del server — cartelle di posta, database, tutto — rimarrebbe rumore di dati illeggibile, perché il codice che lo renderebbe leggibile non è mai stato sul server.

Perché è più di un trucco tecnico

La differenza pratica si vede esattamente quando qualcosa va storto — un server violato, una richiesta delle autorità, un dipendente disonesto. Con un servizio che può leggere di nascosto, "consegneranno i miei messaggi?" è una questione di fiducia e politica aziendale. In HIY è risolta tecnicamente: non c'è nulla di leggibile da consegnare. Non si può costringere nessuno a mostrare qualcosa che nemmeno lui stesso può vedere.

Questo non significa che HIY sia immune a tutto — chi mette le mani sul tuo telefono sbloccato accede alle tue chat, come con qualsiasi app. Il chip protegge il percorso di trasporto e i messaggi lungo la strada, non il dispositivo che hai in mano. È una minaccia diversa con una soluzione diversa (blocco schermo, cifratura del dispositivo), e non vogliamo vendere il chip come una soluzione miracolosa che non è.

Il difetto che non nascondiamo

Un chip che non consegna nulla non può consegnare nulla nemmeno a te. Se perdi il telefono senza aver prima impostato un recupero, perdi anche la chiave — definitivamente, non "chiama l'assistenza e la ripristineranno". È esattamente il tema del nostro articolo su cosa recuperi e cosa no. Nessuna formula, nessun "end-to-end" come parola alla moda senza nulla dietro — solo una cassaforte che non consegna nulla, e una cassetta delle lettere che non può leggere nulla. Tecnicamente non c'è altro, anche se suona più sofisticato con le parole giuste.