Ce que voit encore un relais qui ne peut pas lire

Entre votre navigateur et Tinfoil se trouve un petit serveur à nous : le relais. Il sert à vérifier qui fait la demande, à y substituer notre clé Tinfoil et à décompter le quota. Il ne peut pas lire vos messages, car ils sont chiffrés pour la clé de l’enclave avant de lui parvenir. « Ne peut pas lire » ne veut pas pour autant dire « ne voit rien », et il vaut la peine d’être précis sur la différence.

Ce qu’il voit

• Qui fait la demande : votre compte ou votre clé, qu’il vérifie avant de transmettre quoi que ce soit.
• Quand, et combien : l’heure et la taille de chaque requête, et la taille de la réponse.
• Quelle enclave a répondu : Tinfoil nomme l’enclave du modèle dans un en-tête de réponse, que le relais lit pour tarifer la requête.
• Votre adresse IP, par l’intermédiaire de notre hébergeur.
• Deux indications que l’espace de travail ajoute pour la tarification : qu’une requête a utilisé la recherche web, et combien d’images elle contient et quelle est leur taille.

Ce qu’il ne voit pas

Les mots que vous écrivez, les fichiers que vous joignez et les réponses que vous recevez. Il ne peut pas non plus voir quel modèle vous avez demandé, seulement quelle enclave a répondu, et il ne peut pas compter les jetons, puisqu’ils sont dans le texte chiffré.

Facturer ce qu’il ne peut pas lire

Le relais facture donc à partir des tailles. Au moment où nous écrivons, il compte un jeton pour 3 octets de requête et un jeton pour 130 octets de réponse, deux valeurs choisies pour pécher par excès, au prix du modèle qui a répondu, ou du modèle le plus cher quand il ne peut pas le savoir. D’après leur taille, les images seraient surévaluées d’environ cent fois : l’espace de travail les déclare donc, et chacune est facturée comme 3 000 jetons d’entrée.

Le relais ne peut pas confirmer les indications de l’espace de travail. Un client modifié pourrait omettre l’indication de recherche, ou déclarer comme images une plus grande part de la requête qu’en réalité, pour payer moins. Des budgets quotidiens, par personne et au total, limitent ce que cela peut coûter, et la vérification avant chaque requête limite chaque dépassement isolé. Nous avons préféré cela à la lecture des requêtes pour les tarifer exactement.

Ce qu’il transmet, et ce qu’il conserve

• Il ne transmet qu’aux hôtes de Tinfoil, et seulement des corps de requête qui portent un en-tête de chiffrement : on ne peut donc ni le diriger ailleurs ni lui faire transmettre du texte en clair.
• Il renvoie trois en-têtes de Tinfoil et écarte les autres.
• Ses journaux ne contiennent que des noms de routes, des codes de statut et des durées : jamais de prompts, de réponses, d’identifiants de compte ni de clés. Des tests le vérifient.
• Pour la page de transparence, il compte les requêtes et les échecs en totaux par jour, sans rien par personne.

Pourquoi dire tout cela

C’est sur les métadonnées que les promesses de confidentialité faiblissent d’ordinaire : l’heure, la taille et l’identité peuvent en dire long à elles seules. Un relais qui ne peut pas lire est un vrai progrès par rapport à un relais qui le peut, et il sait tout de même quand vous travaillez, combien et d’où. Si cela compte pour ce que vous faites, le modèle de menace expose qui pourrait voir chaque élément, et la page de confidentialité indique combien de temps chacun est conservé.