O que um retransmissor que não consegue ler ainda vê

Entre o seu navegador e a Tinfoil fica um pequeno servidor nosso: o retransmissor. Ele existe para verificar quem está pedindo, colocar a nossa chave da Tinfoil e descontar da cota. Ele não consegue ler suas mensagens, porque elas são criptografadas para a chave do enclave antes de chegarem a ele. Mas “não consegue ler” ainda não é “não vê nada”, e vale a pena ser exato sobre a diferença.

O que ele vê

• Quem está pedindo: sua conta ou chave, que ele verifica antes de repassar qualquer coisa.
• Quando, e quanto: o horário e o tamanho de cada solicitação, e o tamanho da resposta.
• Qual enclave respondeu: a Tinfoil indica o enclave do modelo em um cabeçalho da resposta, que o retransmissor lê para calcular o preço da solicitação.
• Seu endereço IP, por meio do nosso provedor de hospedagem.
• Duas indicações que o espaço de trabalho acrescenta para o cálculo do preço: que uma solicitação usou pesquisa na web, e quantas imagens ela leva e de que tamanho.

O que ele não vê

As palavras que você escreve, os arquivos que anexa e as respostas que recebe. Ele também não vê qual modelo você pediu, só qual enclave respondeu, e não consegue contar tokens, já que eles estão dentro do texto cifrado.

Cobrar pelo que não consegue ler

Por isso o retransmissor cobra a partir dos tamanhos. No momento em que escrevemos, ele conta 3 bytes de solicitação e 130 bytes de resposta como um token, ambos escolhidos para errar para cima, ao preço do modelo que respondeu, ou do modelo mais caro quando não consegue saber qual foi. Pelo tamanho, as imagens seriam superestimadas em cerca de cem vezes, então o espaço de trabalho as declara, e cada uma é cobrada como 3.000 tokens de entrada.

O retransmissor não consegue confirmar as indicações do espaço de trabalho. Um cliente modificado poderia omitir a indicação de pesquisa, ou declarar como imagem uma parte maior da solicitação do que a real, para pagar menos. Orçamentos diários por pessoa e totais limitam quanto isso pode custar, e a verificação antes de cada solicitação limita qualquer excesso individual. Preferimos isso a ler as solicitações para calcular o preço exato.

O que ele repassa, e o que ele guarda

• Ele só repassa para os próprios hosts da Tinfoil, e só corpos que levam um cabeçalho de criptografia, então não pode ser apontado para outro lugar nem repassar texto simples.
• Ele devolve três cabeçalhos da Tinfoil e descarta o resto.
• Os logs dele guardam só nomes de rotas, códigos de status e tempos: nunca prompts, respostas, IDs de conta ou chaves. Testes verificam isso.
• Para a página de transparência, ele conta solicitações e falhas como totais por dia, sem nada por pessoa.

Por que dizer tudo isso

Os metadados são onde as promessas de privacidade costumam amolecer: horário, tamanho e identidade podem dizer muito por si sós. Um retransmissor que não consegue ler é uma melhora real em relação a um que consegue, e ainda assim ele sabe quando você trabalha, quanto e de onde. Se isso importa para o que você faz, o modelo de ameaças expõe quem poderia ver cada parte, e a página de privacidade diz por quanto tempo cada uma é guardada.