Sicherheitsüberblick
Die Startseite gibt ein Versprechen: Du teilst Bilder mit den Menschen, die du aussuchst, und niemand sonst — wir eingeschlossen — kann sie ansehen. Diese Seite ist für alle, die vor dem Glauben wissen wollen, worauf dieses Versprechen ruht.
Deine Schlüssel entstehen auf deinem Gerät und verlassen es nie in einer Form, die ein anderer benutzen könnte. Ein Bild wird verschlossen, bevor es hochgeladen wird, und der Schlüssel, der es öffnet, wird in einen versiegelten Umschlag gepackt, der an genau eine Person adressiert ist. Wir bewahren das verschlossene Bild und die versiegelten Umschläge auf. Zu beidem haben wir keinen Schlüssel. Das ist keine Richtlinie, deren Einhaltung wir versprechen — es ist eine Anordnung, in der wir nichts haben, das wir herausgeben, verkaufen, bei einem Einbruch verlieren oder auf behördliche Anordnung vorlegen könnten.
An jeder Freigabe sind drei Beteiligte im Spiel, und nur zwei von ihnen können überhaupt etwas öffnen.
Erzeugt deine Schlüssel, verschließt jedes Bild und versiegelt einen Umschlag je Person, mit der du teilst.
Kann alles von dir öffnen
Bewahrt verschlossene Bilder und versiegelte Umschläge auf und prüft, wer gerade welche holen darf.
Kann nichts öffnen
Öffnet den an es adressierten Umschlag und damit die Bilder, die du erlaubt hast — auf dem Bildschirm, in der App.
Kann öffnen, was du erlaubt hast
Auf die mittlere Spalte kommt es an. Ein Dienst, der dir deine eigenen Bilder auf einem neuen Gerät zeigen kann, ohne dass du etwas beisteuerst, ist ein Dienst, der deinen Schlüssel hält. Unserer kann das nicht: Melde dich auf einem neuen Gerät an, und du wirst nach deiner Wiederherstellungs-Passphrase gefragt, weil es keinen anderen Weg zurück zu deinem privaten Schlüssel gibt. Die Unbequemlichkeit ist der Beweis.
Das ist der Teil, den Leute meinen, wenn sie fragen, ob das „einzelne Teilen“ wirklich eines ist — oder nur ein Schalter in einer Datenbank, der entscheidet, wem was gezeigt wird.
Jeder Ordner hat seinen eigenen Schlüssel, und jedes Bild darin hat obendrein noch einen eigenen. Wenn du jemanden hineinlässt, versiegelt dein Gerät eine Kopie des Ordnerschlüssels so, dass nur dessen Gerät sie öffnen kann. Drei Menschen heißt drei getrennte versiegelte Kopien, von denen jede den anderen beiden nichts nützt:
Vier Folgen ergeben sich daraus, und sie sind der Grund, warum die Anordnung den Aufwand wert ist:
Die Person, mit der du teilst, muss nicht online sein und nicht einmal die App öffnen, damit die Freigabe vorbereitet werden kann — ihre öffentliche Hälfte genügt, und genau dafür ist ein öffentlicher Schlüssel da. Was sie nicht kann: irgendetwas empfangen, bevor sie eine Verbindungsanfrage von dir angenommen hat.
Verschlüsselung schützt Inhalte. Sie verbirgt nicht, dass etwas geschehen ist, und eine Seite, die etwas anderes nahelegt, ist nicht ehrlich zu dir.
| Wir sehen | Wir sehen nicht |
|---|---|
| Benutzernamen, E-Mail-Adressen, öffentliche Schlüssel | Private Schlüssel — deiner erreicht uns nie in brauchbarer Form |
| Welche Konten verbunden sind und wer mit wem geteilt hat | Ordner- und Bildschlüssel, zu keinem Zeitpunkt, in keiner Form, die wir öffnen können |
| Wie viele Bilder ein Ordner enthält, wie groß sie sind, wann sie ankamen | Die Bilder und Videos selbst |
| Dass ein Ordner besteht | Wie der Ordner heißt |
| Wer was wann geholt hat | Deine Wiederherstellungs-Passphrase und deine 24 Wörter |
Ein Widerruf wirkt sofort: Von diesem Moment an verweigert der Server dieser Person jeden Teil dieses Ordners, und ihre versiegelte Schlüsselkopie wird vernichtet. Alles, was du danach hinzufügst, ist mit einem neuen Schlüssel verschlossen, den sie nie bekommen hat.
Hier ist die Grenze, deutlich gesagt, weil die Alternative eine bequeme Lüge wäre: Ein Widerruf reicht nicht zurück in das, was jemand bereits gesehen hat. Material, das vor dem Widerruf da war, war eine Zeit lang rechtmäßig auf ihrem Gerät lesbar. Von da an hält unsere Zugriffsprüfung sie davon fern, nicht die Rechenkunst. Wer dir erzählt, ein Widerruf mache ein Bild ungesehen, will dir etwas verkaufen.
Dieselbe Ehrlichkeit gilt für die Fristen — ein festes Enddatum, ein Zeitfenster, das mit dem ersten Öffnen beginnt, oder ein einziges Ansehen. Sie entscheiden, wie lange die App etwas zeigt. Sie entscheiden nicht, woran sich ein Mensch erinnert oder was eine zweite Kamera aufgenommen hat.
Dein privater Schlüssel lässt sich auf einem neuen Gerät aus deiner Wiederherstellungs-Passphrase wiederherstellen oder aus den 24 Wörtern, die du bei der Anmeldung aufgeschrieben hast. Was wir dafür aufbewahren, ist selbst mit etwas verschlossen, das nur du weißt, und wir geben es nicht auf einen Benutzernamen hin heraus — du musst dich anmelden oder über einen Link an deine E-Mail-Adresse bestätigen, bevor es überhaupt freigegeben wird.
Womit der unbequeme Teil zutrifft: Verlierst du Passphrase und Wörter, sind deine Medien fort. Nicht zurückgehalten, bis der Kundendienst antwortet — fort, für uns genauso wie für dich. Ein Dienst, der dich daraus retten kann, ist ein Dienst, der immer mitlesen konnte.
Behauptungen sind billig. Dies sind die, die nachweisbar falsch wären, wenn wir lögen — und genau das macht sie wert, aufgestellt zu werden.
Tauchten deine Bilder nach einer frischen Installation je wieder auf, ohne mehr als eine gewöhnliche Anmeldung, dann hielten wir deinen Schlüssel. Achte darauf.
Sieh dir die Liste der Menschen an, mit denen du geteilt hast. Alles darin, was du nicht selbst dorthin gesetzt hast, wäre ein Eintrag, den wir gar nicht hätten anlegen können.
Bitte uns darum. Die Antwort wird nein sein, in jedem Fall, für immer — auch in den Fällen, in denen ein Ja für uns weit angenehmer wäre.
Eine Browserseite kann nicht verhindern, dass gespeichert wird, was sie zeigt. Trotzdem eine zu bauen wäre der stille Moment, in dem aus dem Versprechen Werbung wird.