El problema: confiança cega
Quan instal·les una aplicació de vigilabebès, li dones accés a un espai molt privat: l'habitació del teu nadó. L'aplicació escolta i, de vegades, també hi mira. Alhora, els pares sovint no poden veure què passa en segon pla: les transmissions passen per servidors de tercers, es recullen dades d'ús, qui pot accedir tècnicament a res?
La resposta honesta és que, amb moltes aplicacions, no ho saps. El codi és tancat i l'arquitectura no deixa de ser una afirmació. Al final, et demanen que confiïs en el proveïdor.
Codi tancat, punts febles oberts
En els darrers anys hi ha hagut prou informes de vigilabebès piratejats. Desconeguts podien escoltar, moure càmeres o parlar a través dels altaveus. La majoria de vegades no eren atacs sofisticats, sinó errors greus: connexions sense xifrar, contrasenyes predeterminades o manca d'autenticació.
Amb programari propietari, sovint les persones de fora només veuen aquestes febleses quan ja ha passat alguna cosa. Investigadors de seguretat, desenvolupadors independents i pares observen un producte acabat des de fora. Per a un dispositiu a l'habitació del nadó, és un model feble.
La transparència com a principi de seguretat
La seguretat de la informació té una regla antiga i útil: el principi de Kerckhoffs. La seguretat no ha de dependre que el disseny es mantingui en secret. Un sistema ha de continuar sent segur encara que algú sàpiga com està construït.
Que el codi estigui documentat obertament no fa que el programari sigui segur per si sol. Però permet comprovar les afirmacions. Les persones que en saben poden examinar els fluxos de dades, la derivació de claus i les regles, en lloc de llegir textos de màrqueting.
L'enfocament de Timmy: un nucli de seguretat separat
A Timmy, ara separo amb molta claredat quines parts són realment crítiques per a la seguretat. No totes les línies de la interfície decideixen si el producte mereix confiança. Les peces decisives són la lògica del backend, els contractes de senyalització, la criptografia d'aparellament i la qüestió de quines dades arriben a un servidor.
Per això el nucli de seguretat ara es troba al repositori públic baby-monitor-timmy-core. El codi complet de l'aplicació no és públic ara mateix. Els blocs de construcció crítics per a la seguretat se separen de la interfície i de la lògica del producte perquè es puguin documentar i revisar per si sols.
Què vol dir això, concretament?
- Límits clars: els components de seguretat estan separats de la interfície i de la lògica del producte.
- Fluxos de dades auditables: l'aparellament, la senyalització i les interfícies del backend es poden documentar per separat.
- Sense rastrejadors ocults: els camins crítics només contenen allò que tècnicament hi ha de ser.
- Mantenibilitat a llarg termini: un nucli separat és més fàcil de revisar que un monòlit desestructurat.
Conclusió: els pares mereixen transparència
Quan una aplicació té accés a l'habitació del nadó, ha de ser concreta sobre les qüestions crítiques: quines dades es creen? On van? Qui les pot llegir? Els pares mereixen més que una insígnia de privacitat al peu de pàgina.
Baby Monitor Timmy ha de demostrar que un bon producte i una seguretat auditable poden anar de la mà. Per a mi, això no vol dir fer públic cada racó de l'aplicació. Vol dir obrir les parts que decideixen l'aparellament, la senyalització, l'accés al backend i els fluxos de dades.