Base de coneixement

Xifratge en repòs

Tots els camps d'un missatge segellats abans d'escriure'ls (cos, assumpte, adreces i bytes dels adjunts), de manera que una còpia de la base de dades és text xifrat i no pas correu.

Encara no

Avui només es segellen així les credencials que ens dones; els cossos, els assumptes i els adjunts es desen tal com van arribar, i el sobre que els segellarà està construït però deliberadament connectat a res.

Detalls

No s'ha llançat. Hi ha una sola cosa que se segella abans d'escriure-la i cap més: un secret de signatura de webhook. Se segella sota una clau derivada pròpia, de manera que un text xifrat extret d'una taula no es pot obrir com el d'una altra, i aquest és l'únic lloc del codi on se segella res. No hi passa cap cos, assumpte, contacte, nota, entrada de calendari ni adjunt.
És una afirmació diferent de les dues que l'envolten, i la diferència és qui té la clau. El xifratge d'extrem a extrem vol dir que la clau és teva i que el correu aquí és il·legible; el xifratge en repòs vol dir que el correu se segella de camí a l'emmagatzematge sota una clau que deriva aquest servidor, de manera que un bolcat de la base de dades, una còpia de seguretat que es perdi o una consulta que algú no hauria d'haver fet són text xifrat, mentre que el servidor mateix encara el pot obrir per enfilar, cercar i resumir. El primer et protegeix de nosaltres. El segon et protegeix de tothom altre, i és el que no para de passar-li a altra gent.
El que és cert avui val més dir-ho clarament que no pas deixar-ho a la deducció: el correu es desa en infraestructura que xifra els seus propis discos, no hi ha cap capa nostra per damunt, i les claus les tenim nosaltres, de manera que el servidor pot llegir el que desa, i les funcions que cerquen i resumeixen el teu correu fan exactament això. La pàgina de privadesa ho diu amb aquestes paraules des que es va escriure, i ho continuarà dient fins que això s'enllesteixi.
Tots els camps vol dir més que el cos. L'assumpte, la llista de remitent i destinataris i el fragment que dibuixa la vista de llista seuen en columnes indexades ordinàries, i també els resums generats a partir d'un missatge, les notes que adjuntes a un fil, els noms dels contactes, els títols i les ubicacions del calendari, i el nom i el tipus de cada fitxer. Una fitxa que digués xifrat mentre la línia d'assumpte queda en clar seria el cadenat que aquest producte es nega a dibuixar en qualsevol altre lloc.
Quant costa era la pregunta oberta, i la meitat de la cerca ara té un número al davant en comptes d'un argument. La cerca d'avui és una consulta sobre els primers 4.000 caràcters del missatge més recent de cada fil, guardats com a text pla. Segellada, esdevé un desxifratge i un escaneig dins del magatzem de la bústia que ja té la clau, fet per trossos en comptes de fila a fila: en un corpus sintètic són uns 100 a 400 mil·lisegons sobre 50.000 converses, i a partir d'unes 200.000 calen resultats que arribin progressivament en comptes de tots alhora. Això es va mesurar en una màquina de desenvolupament contra correu generat, no en una bústia real, de manera que és la forma del cost i no una promesa sobre la teva. Així, la coincidència amb qualsevol fragment de paraula sobreviu exactament com ara, i no cal escriure al disc cap índex de resums de paraules perquè algú l'hi agafi més endavant. Aquest mateix text és el que llegeixen el resumidor, la passada pel cos del puntuador de pesca, la comprovació d'escriptura per IA i qualsevol regla que casi amb paraules, i cadascun l'obre de la mateixa manera, que és la forma honesta d'aquesta afirmació: segellat contra una còpia de la base de dades, mai segellat contra el servidor.
Abans de segellar res d'irreemplaçable, el sobre ha de portar la seva pròpia versió i el seu propi identificador de clau. Avui totes les claus derivades pengen d'un sol secret, i rotar-lo et costa els secrets de signatura dels webhooks; si els cossos estiguessin segellats igual, rotar-lo costaria el correu. Aquesta peça està construïda, i no s'hi ha segellat res. Tots els sobres que fa porten la seva pròpia versió i l'identificador de la clau que l'ha fet, llegibles abans que ningú intenti obrir-lo, i s'enllacen a la fila exacta a què pertanyen: un valor extret d'una fila i deixat caure en una altra no s'obre, i diu que s'ha mogut en comptes de fallar com una clau incorrecta. Encara no hi ha res que el cridi, i aquest és el sentit de construir-lo primer. El format és el compromís; adoptar-lo, camp a camp, és la part que continua sent reversible.
Una sola frase decideix què se segella, de manera que es pugui aplicar a una columna que ningú no s'ha imaginat encara: segella qualsevol cosa que una persona hagi escrit o triat, deixa qualsevol cosa que hagi triat la màquina. Un assumpte, un cos, una nota de fil, un nom de contacte, un títol de calendari, un nom de fitxer, una regla que has escrit: això ve de tu. Un identificador de missatge, un estat de cua, un recompte de reintents, un identificador de fila: això es va generar aquí, i segellar-ho no aporta res mentre costa totes les consultes que ho llegeixen. Al damunt hi ha dues excepcions. Un valor que ja és irreversible, un resum o un digest de testimoni, no es fa més segur pel fet de segellar-lo també. Un valor publicat expressament continua sent llegible, perquè segellar-lo segellaria l'única cosa que existeix per repartir.
Tres coses continuen sent llegibles sota aquesta regla, i cadascuna és una cosa sobre la qual es construeix la bústia i no pas un racó deixat a mitges. Les marques de temps, perquè són la clau d'ordenació i el cursor de paginació, i una bústia que no pot ordenar per data no és una bústia. El teu domini, perquè la consulta que el llegeix és com un missatge entrant troba el llogater a qui pertany, abans que ningú hagi iniciat la sessió i abans de tenir cap clau a la mà. Les claus publicades, perquè un remitent busca la teva. Cadascuna d'aquestes diu alguna cosa sobre la forma d'un compte, i cap d'elles no és el contingut del teu correu.
Segellar sota una clau que deriva el servidor és el primer esglaó i el que s'està construint. El segon, segellar amb la teva clau a mesura que arriba el correu perquè cap clau d'aquí no el pugui obrir, és un canvi més gran i un producte diferent: el cos surt de la cerca i de les funcions d'IA de manera permanent, i la custòdia de claus i una frase de recuperació passen a estar entre tu i el teu propi correu. Això és una decisió que s'ha de prendre deliberadament i no pas un interruptor per accionar, i aquesta fitxa dirà quin dels dos s'ha llançat en comptes d'entremesclar-los.