Integritet

Din bils data är dina. Här är exakt hur vi håller det så — i klartext, inga överraskningar med fin stil.

Kortversionen

Det är den del ingen annan Tesla-logger erbjuder. Vi utformade BlackCurrent så att ha dina data och läsa dina data är två olika saker: vi har dem, du har nyckeln. Du har kontroll över nyckeln, så du har kontroll över data — och vi behöver aldrig be dig att bara lita på oss.

Vad detta betyder för dig

• Ett intrång i vår databas ger angriparen chiffertext — oanvändbar utan din lösenfras.
• Vårt eget team ser alltid bara chiffertext i lagringen. Det finns ingen intern ”visa den här användarens körningar”-brytare.
• Om vi någon gång köps upp, eller får en begäran om din historik, kan vi bara vidarebefordra chiffertext. Vi kan inte dekryptera det vi inte har nyckeln till.
• Ingen analys, annonsinriktning eller datahandel på ditt innehåll — arkitekturen tillåter det inte, även om vi ville.
• Vår enda affärsmodell är din prenumeration. Det är överenskommelsen.

Så fungerar det

När du registrerar dig skapar din lösenfras en privat nyckel på vår server. Vi låser den nyckeln med din lösenfras — med en medvetet långsam lösenordsförstärkningsprocess utformad för att göra råstyrka opraktisk — och lagrar bara det låsta blocket. Din lösenfras kastas innan registreringsbegäran returnerar.

När du loggar in härleder vi nyckeln på nytt ett kort ögonblick, låser upp din krypteringsnyckel, låser den igen med en kortlivad sessionshemlighet, lagrar den sessionslåsta versionen i vår cache och glömmer lösenfrasen igen. Varje sida du laddar dekrypterar bara så mycket data som behövs för att rita den sidan, i minnet, och kastar det sedan.

När din Tesla skickar oss ny telemetri kan vi bara skriva — vi förseglar varje parti med din offentliga nyckel så att vi inte kan läsa tillbaka det förrän du loggar in.

Vad vi ser, och vad vi inte ser

Vad vi prenumererar på från din Tesla

Teslas Fleet Telemetry låter oss välja en exakt lista över signaler bilen strömmar till oss. Vi väljer brett över signalkategorier som driver befintliga funktioner och dem vi väntar oss att släppa de närmaste 6-12 månaderna. Resonemanget: att lägga till en signal senare kostar månader av historisk ackumulering innan någon funktion byggd på den har data att rita. Den billigare riktningen är ”samla nu, bygg senare”. Varje signal krypteras med din nyckel innan den landar i vår lagring, så bredden i insamlingen ändrar inte vem som kan läsa den (fortfarande bara du).

Vad vi medvetet inte prenumererar på, och varför

Tesla sänder många fler signaler än vi hämtar. Undantagen nedan är inte godtyckliga — de är ett varumärkeslöfte. Krypteringen skyddar data från oss, men blotta förekomsten av bevisdata på ditt konto inbjuder till tredjeparts domstolsorder i tvister om krock, försäkring eller brottsbekämpning. Då skulle det vara du som tvingades lämna ut din nyckel. Att inte samla in dem kringgår hela samtalet.

Inget av detta är spärrat av Teslas API; vi ber helt enkelt inte om dem. Om en framtida funktion verkligen behöver en av dem förklarar vi varför på den här sidan och släpper ett samtycke per fordon i stället för att slå på det för alla.

Historisk noggrannhet och fallet med ”den tysta bilen”

Teslas telemetri sänder bara en signal när dess värde ändras. En bil parkerad i en månad sänder väldigt lite. För att det att bläddra tillbaka till förra månadens vy av (till exempel) laddningsnivå fortfarande ska visa en graf i stället för ett tomt fält, ber vi Tesla att skicka nyckelsignaler på nytt i en fast takt även när inget ändrats. Omsändningen är hastighetsbegränsad och slår bara in på programvara 2024.44.32 eller senare; äldre programvara fungerar fortfarande, grafen blir bara tunnare i lugna perioder.

Hur molnkryptering passar in

Tre krypteringslager står mellan en utomstående angripare och dina fordonsdata. Varje försvarar mot ett olika hot. Bara ett av dem gör att integritetslöftet håller. Vi vill vara precisa med vilket som är vilket, för att säga ”vi krypterar allt” utan att skilja på vem som har vilken nyckel är det enklaste sättet att vilseleda på.

Vad detta betyder konkret:

• En laglig domstolsorder riktad mot molnleverantören kan tvinga dem att dekryptera lager 1 och 2. De lämnar ut granskningsloggar, Teslas behörighetstoken (som ger den som begär samma insyn i din Tesla som vi har — Teslas realtidskanal, inte din historik) och de krypterade block som lagrar dina fordonsdata. Själva blocken kan de inte dekryptera; det kräver din lösenfras, som leverantören aldrig sett och som vi kastar direkt efter inloggning.
• Ett intrång i vår kod eller våra operatörsuppgifter begränsas av samma arkitektur. Lager 2 går att granska — vi ser vem som låste upp vilken session och när. Lager 3 är oläsbart för oss oavsett om vi är komprometterade, eftersom den upplåsta krypteringsnyckeln bara finns i minnet medan du aktivt använder appen.
• Ett komprometterande av dig (din lösenfras, din enhet) är det enda denna arkitektur inte kan försvara mot. Det är den inneboende kostnaden av att ha nyckeln själv: ingen annan kan tappa bort den, och ingen annan kan återställa den åt dig. Skriv ner den.

Var allt detta bor

All BlackCurrent-infrastruktur körs inom Europeiska unionen, hos en välkänd molnleverantör, i en region styrd av EU:s dataskyddslagstiftning. Dina krypterade data lämnar den aldrig. Vi använder ingen tredjepartsanalys, inga annonsnätverk och inga datamäklare.

De ärliga gränserna

Ingen säkerhetsutformning är absolut, och vi visar dig hellre kanterna än låtsas att de inte finns. Här är de i klartext, var och en med vad vi gör åt den — grovt sorterade efter vem som bör bry sig. De flesta kommer aldrig att röra någon av dem.

1. Medan du är inloggad är din nyckel kort i vårt minne

Din krypteringsnyckel bor i vårt minne under aktiva begäranden. Om våra servrar komprometterades under din session skulle en angripare med åtkomst till det minnet kunna läsa dina data så länge din session hölls öppen. Sträng ände-till-ände-kryptering som Signals skulle utesluta detta; vår gör det inte.

Åtgärder vi har på plats:

• Aggressiva tidsgränser vid inaktivitet (standard: utloggning efter 30 minuters inaktivitet).
• Inga läsbara kopior skrivs någonsin till disk eller loggar — säkerställt av en strukturerad logger med en tillåtlista över säkra fält.
• Produktionsåtkomst granskas; varje gång nyckeltjänsten låser upp en session loggas det anropet och kan granskas.

Är just detta hot din främsta oro, passar ett alternativ med egen server som TeslaMate bättre.

2. En framtida, riktad domstolsorder är det enda vi inte kan konstruera oss bort från

Om en myndighet ålägger oss att avlyssna en viss användares framtida sessioner kan vi tekniskt sett inte vägra. De data vi redan har i vila är oanvändbara för dem (vi kan inte dekryptera dem utan din nyckel), men vi kan inte garantera att en framtida session inte skulle kunna bli föremål för en påtvingad avlyssning. Vi kommer att publicera en transparensrapport.

3. Teslas behörighetstoken hålls med vår nyckel, inte din

Teslas behörighetstoken (det Tesla ger oss för att ta emot dina data å dina vägnar) måste kunna användas medan du är offline — annars kunde vi inte strömma ny telemetri in på ditt konto. Dessa token är krypterade med vår nyckel, inte din. Vi behandlar dem som inloggningsuppgifter till Tesla, inte som dina fordonsdata. Du kan återkalla dem när som helst från ditt Tesla-konto, och vi raderar dem när du avslutar.

4. Ny telemetri är läsbar ett ögonblick när den kommer

När din bil strömmar nya data till vår mottagningsserver finns de i minnet under några hundra millisekunder innan vi förseglar dem med din offentliga nyckel. De skrivs aldrig till disk eller loggar i den formen. Kodbiten som gör denna försegling kommer att publiceras som öppen källkod så att du kan verifiera påståendet.

Vad detta betyder i praktiken

Om vi blir hackade — den stulna databasen, lagringen eller säkerhetskopiorna innehåller bara chiffertext. Angriparen behöver varje enskild användares lösenfras, var för sig, för att läsa något alls.

Om vi får en domstolsorder om din historik — vi lämnar ut chiffertext. Vi kan inte ta fram klartext. Vi berättar för dig att domstolsordern kom, om lagen tillåter det.

Om du vill få ut dina data — funktionen ”Export” bygger en fullständig kopia av dina data inuti din aktiva session och lämnar den till din webbläsare som en fil. Din webbläsare får läsbara data; våra servrar sparar dem aldrig.

Om du tappar bort din lösenfras — dina data är borta för gott. Det är baksidan av att ingen annan kan läsa dem: det finns ingen ”återställ lösenord”-knapp som kunde dekryptera din historik, för en sådan knapp kan inte finnas utan att bryta hela löftet. Välj en lösenfras du kommer ihåg och förvara den i en lösenordshanterare; det är den enda nyckeln till allt.

Verifiering

Vi uppmanar dig att inte lita på vår marknadsföring. Tre saker hjälper dig att verifiera påståendet:

• Kodbiten där läsbara data kort bor (realtidsströmsförseglaren) kommer att publiceras som öppen källkod vid lansering.
• Hela arkitekturdokumentet publiceras tillsammans med koden.
• En tredjeparts säkerhetsgranskning publiceras före allmän tillgänglighet.

Den här sidan är integritetsbeskrivningen i klartext. En separat juridisk integritetspolicy som täcker GDPR-detaljer om personuppgiftsansvarig, information om cookies och regionalt efterlevnadsspråk kommer att publiceras före offentlig lansering. Frågor: hello@blackcurrent.app.