Veil e Keybase a confronto

Cosa faceva Keybase#

Keybase è nato nel 2014. Creavi una chiave e poi pubblicavi una dichiarazione firmata su ognuno dei tuoi account: un tweet, un gist su GitHub, un post su Reddit, un file o un record DNS sul tuo dominio. Chiunque poteva seguire quelle prove e vedere che chiave e account erano della stessa persona. Keybase teneva la catena di firme di ogni utente in un albero di Merkle e scriveva la radice dell’albero in transazioni Bitcoin, così una modifica fatta di nascosto alla storia di qualcuno si poteva scoprire da fuori.

Sopra le prove aveva costruito una chat cifrata, cartelle condivise e team. Zoom ha comprato l’azienda nel maggio 2020 e le persone di Keybase sono passate a lavorare sulla cifratura di Zoom. Il servizio funziona ancora e riceve aggiornamenti di manutenzione, ma da allora di nuovo è arrivato pochissimo.

La stessa idea, rifatta da capo#

Veil è la rubrica pubblica delle identità crittografiche. Una scheda lega le chiavi di una persona o di un’organizzazione agli account con cui la gente la conosce, come Discord, GitHub, un’email, un dominio o il Fediverso. Cerchi qualcuno da un account che conosci già e ottieni la sua chiave, controllata nel tuo browser. E siccome le chiavi restano sui dispositivi di chi le possiede, chi ruba uno di quegli account non può comunque firmare a suo nome.

Keybase l’ha fatto per primo, e l’idea Veil la deve a lui. Le differenze stanno in chi controlla le dichiarazioni, in come diventano pubbliche e nel punto da cui Veil è partita.

Dove Veil è diversa#

• Ogni modifica a una scheda è una voce di un registro pubblico. Testimoni indipendenti del Witness Network, tra cui il team trasparenza di Google, Mullvad e Geomys, controfirmano i checkpoint del registro, e un checkpoint vale solo con almeno due delle loro firme. Se Veil mostrasse a te una scheda e a un altro una scheda diversa, le due storie non potrebbero tornare entrambe con quello che i testimoni hanno firmato.
• Il controllo avviene nel browser di chi legge. La pagina scarica la scheda, la sua voce nel registro, la prova che la voce è nell’albero e il checkpoint controfirmato, e li verifica sul tuo computer. Finché questi controlli non passano, la risposta del server non conta. La riga di comando veil fa gli stessi controlli in un terminale.
• Discord è venuto prima. È il primo caso d’uso di Veil, quindi un account Discord è un collegamento a pieno titolo, provato con l’accesso di Discord stesso, e l’app Veil su Discord mostra la scheda di chiunque con un clic destro. Le altre piattaforme funzionano allo stesso modo, e se ne aggiungono una alla volta.
• Le organizzazioni hanno una scheda loro, con proprietari e membri. Un membro mostra il logo dell’organizzazione accanto al nome solo quando entrambe le parti hanno firmato l’adesione.
• Un sito può offrire Accedi con Veil, cioè OpenID Connect con la scheda come account. Il consenso lo firma la chiave di dispositivo del browser, quindi non c’è una password da rubare.

Cosa ha Keybase che Veil non ha#

Keybase ha uno spazio per i file cifrati e una lunga storia di app per il telefono. Veil ha una chat su chat.veil.pub in cui il tuo utente è la tua scheda, ma non ha cartelle condivise e non cifra i file al posto tuo. Se il tuo team oggi tiene i file su Keybase, Veil non lo sostituisce.

Keybase accettava anche prove da Twitter, Reddit e Hacker News. Oggi Veil collega account Discord, GitHub, email, domini e account del Fediverso.

Portare su Veil un’identità di Keybase#

Non c’è niente da importare, perché una prova di Keybase non dice nulla su una scheda di Veil. Le chiavi invece possono venire con te. Se su Keybase usavi una chiave PGP, metti la sua metà pubblica sulla scheda come chiave pubblica di altri sistemi. Firmi una breve sfida con la chiave privata sul tuo computer, e da quel momento la scheda mostra la chiave a tutti, controllata nel loro browser. Veil non chiede mai la chiave privata. Poi ricolleghi i tuoi account, ognuno con la sua prova.