Problem: ślepe zaufanie
Gdy instalujesz aplikację elektronicznej niani, dajesz jej dostęp do bardzo prywatnego miejsca: pokoju swojego dziecka. Aplikacja nasłuchuje, a czasem także obserwuje. Jednocześnie rodzice często nie widzą, co dzieje się w tle: czy transmisje przechodzą przez serwery firm trzecich, czy zbierane są dane o korzystaniu z aplikacji, kto technicznie może uzyskać dostęp do czegokolwiek?
Szczera odpowiedź brzmi: w przypadku wielu aplikacji nie wiesz tego. Kod jest zamknięty, a architektura pozostaje tylko deklaracją. Ostatecznie masz po prostu zaufać dostawcy.
Zamknięty kod, otwarte luki
W ostatnich latach pojawiło się wystarczająco dużo doniesień o zhakowanych elektronicznych nianiach. Obce osoby mogły podsłuchiwać, sterować kamerami lub mówić przez głośniki. Najczęściej nie były to wyrafinowane ataki, lecz poważne błędy: nieszyfrowane połączenia, domyślne hasła, brak uwierzytelniania.
W przypadku własnościowego oprogramowania osoby z zewnątrz często dostrzegają te słabości dopiero po fakcie. Badacze bezpieczeństwa, niezależni programiści i rodzice patrzą na gotowy produkt z zewnątrz. W przypadku urządzenia w pokoju dziecka to słaby model.
Przejrzystość jako zasada bezpieczeństwa
W bezpieczeństwie informacji obowiązuje stara, przydatna zasada: zasada Kerckhoffsa. Bezpieczeństwo nie może zależeć od tego, że sposób działania systemu pozostaje tajemnicą. System powinien być bezpieczny nawet wtedy, gdy ktoś wie, jak został zbudowany.
Otwarcie udokumentowany kod sam w sobie nie czyni oprogramowania bezpiecznym. Sprawia jednak, że deklaracje można zweryfikować. Osoby znające się na tym mogą sprawdzić przepływy danych, wyprowadzanie kluczy i zasady działania zamiast czytać teksty marketingowe.
Podejście Timmy: oddzielony rdzeń bezpieczeństwa
W Timmy bardzo wyraźnie oddzielam teraz elementy, które naprawdę są kluczowe dla bezpieczeństwa. Nie każda linia interfejsu decyduje o tym, czy produkt zasługuje na zaufanie. Kluczowe są logika backendu, kontrakty sygnalizacyjne, kryptografia parowania oraz to, jakie dane trafiają na serwer.
Dlatego rdzeń bezpieczeństwa znajduje się teraz w publicznym repozytorium baby-monitor-timmy-core. Pełny kod aplikacji nie jest obecnie publiczny. Elementy kluczowe dla bezpieczeństwa zostały wyodrębnione z interfejsu i logiki produktu, aby można było je osobno udokumentować i zweryfikować.
Co to oznacza w praktyce?
- Jasne granice: elementy bezpieczeństwa są oddzielone od interfejsu i logiki produktu.
- Sprawdzalne przepływy danych: parowanie, sygnalizację i interfejsy backendu można dokumentować osobno.
- Bez ukrytych trackerów: kluczowe ścieżki zawierają tylko to, co jest tam technicznie potrzebne.
- Łatwiejsze utrzymanie w dłuższej perspektywie: oddzielny rdzeń łatwiej zweryfikować niż nieuporządkowany monolit.
Wnioski: rodzice zasługują na przejrzystość
Gdy aplikacja ma dostęp do pokoju dziecka, powinna konkretnie odpowiadać na kluczowe pytania: jakie dane powstają? Dokąd trafiają? Kto może je odczytać? Rodzice zasługują na coś więcej niż znaczek prywatności w stopce.
Baby Monitor Timmy ma pokazać, że dobry produkt i sprawdzalne bezpieczeństwo mogą iść w parze. Dla mnie nie oznacza to ujawniania każdego zakątka aplikacji. Oznacza otwarcie tych części, które decydują o parowaniu, sygnalizacji, dostępie do backendu i przepływach danych.