Cosa vede comunque un relay che non può leggere

Tra il tuo browser e Tinfoil c’è un nostro piccolo server: il relay. Esiste per verificare chi sta chiedendo, per inserire la nostra chiave Tinfoil e per addebitare la quota. Non può leggere i tuoi messaggi, perché sono cifrati per la chiave dell’enclave prima di raggiungerlo. Ma «non può leggere» non vuol dire «non vede nulla», e vale la pena essere precisi sulla differenza.

Cosa vede

• Chi sta chiedendo: il tuo account o la tua chiave, che controlla prima di inoltrare qualsiasi cosa.
• Quando, e quanto: l’ora e la dimensione di ogni richiesta, e la dimensione della risposta.
• Quale enclave ha risposto: Tinfoil indica l’enclave del modello in un header della risposta, che il relay legge per stabilire il prezzo della richiesta.
• Il tuo indirizzo IP, tramite il nostro provider di hosting.
• Due indicazioni che lo spazio di lavoro aggiunge per il prezzo: che una richiesta ha usato la ricerca web, e quante immagini contiene e quanto sono grandi.

Cosa non vede

Le parole che scrivi, i file che alleghi e le risposte che ricevi. Non vede nemmeno quale modello hai chiesto, solo quale enclave ha risposto, e non può contare i token, perché si trovano dentro il testo cifrato.

Addebitare ciò che non può leggere

Così il relay addebita in base alle dimensioni. Al momento in cui scriviamo conta come un token 3 byte di richiesta e 130 byte di risposta, entrambi scelti per sbagliare per eccesso, al prezzo del modello che ha risposto, o del modello più costoso quando non può stabilirlo. In base alla dimensione, le immagini verrebbero sovrastimate di circa cento volte, quindi lo spazio di lavoro le dichiara, e ciascuna viene addebitata come 3.000 token di input.

Il relay non può confermare le indicazioni dello spazio di lavoro. Un client modificato potrebbe omettere l’indicazione della ricerca, o dichiarare che una parte maggiore della richiesta è costituita da immagini, per pagare meno. I budget giornalieri per persona e totali limitano quanto può costare, e la verifica prima di ogni richiesta limita ogni singolo sforamento. Abbiamo preferito questo a leggere le richieste per stabilirne il prezzo esatto.

Cosa inoltra, e cosa conserva

• Inoltra solo agli host di Tinfoil, e solo corpi che portano un header di cifratura, quindi non può essere indirizzato altrove né far passare testo in chiaro.
• Restituisce tre header di Tinfoil e scarta gli altri.
• I suoi log contengono solo nomi delle route, codici di stato e tempi: mai prompt, risposte, ID degli account o chiavi. I test lo verificano.
• Per la pagina sulla trasparenza conta richieste ed errori come totali giornalieri, senza nulla per persona.

Perché dire tutto questo

I metadati sono il punto in cui le promesse sulla privacy di solito si ammorbidiscono: orari, dimensioni e identità possono dire molto da soli. Un relay che non può leggere è un vero miglioramento rispetto a uno che può, eppure sa ancora quando lavori, quanto e da dove. Se questo conta per ciò che fai, il modello di minaccia illustra chi potrebbe vedere ciascuna parte, e la pagina sulla privacy dice per quanto tempo viene conservata ciascuna.