De digitale dead man's switch, maar dan veilig

De dead man’s switch is een oud, elegant idee: de handgreep van een machinist die de trein stopt zodra de hand verslapt. Toegepast op je digitale leven geeft een dead man’s switch vrij wat je klaarzette, wachtwoorden, documenten, instructies, brieven, wanneer je het zelf niet meer kunt overdragen. Het idee klopt precies. De meeste uitvoeringen ervan niet, en de manieren waarop ze falen zijn het begrijpen waard voordat je er een vertrouwt.

De naïeve versie: een inactiviteitstimer

De klassieke doe-het-zelf-opzet: een dienst die je geheimen naar je partner mailt tenzij je elke dertig dagen op een controlelink klikt, of hetzelfde geknutseld met een script. Simpel, en fout in beide richtingen.

Hij gaat af wanneer het niet moet. Een lange reis, een ziekenhuisopname, een kwijtgeraakte telefoon of simpele vergeetachtigheid, en je bankoverzicht en hoofdwachtwoorden landen in een inbox terwijl je springlevend bent. Vrijgegeven geheimen terughalen kan niet; je kunt alleen beginnen met wachtwoorden wijzigen.

Hij weigert wanneer het wel moet. De controlemail belandt in de spam en je klikt hem uit gewoonte weg; of de dienst zelf sterft eerder dan jij, wat op een schaal van decennia heel gewoon is, zoals we beschreven in wat er met je data gebeurt als een bedrijf stopt. Stilte is zwak bewijs van overlijden, en een onbeheerde timer is een zwakke bewaker van je gevoeligste informatie.

Er is ook een bezorgprobleem: geheimen per e-mail betekent platte tekst die voor altijd in een mailbox ligt, onversleuteld, door te sturen. Zelfs als de trigger klopt, wordt de lading slecht behandeld.

Wat een veilige vrijgave echt vraagt

Het ontwerpdoel is asymmetrisch: een dag te laat vrijgeven is een klein oponthoud; vrijgeven aan de verkeerde persoon, of terwijl je leeft, is een ramp. Een betrouwbare switch stapelt daarom onafhankelijke waarborgen:

1. Een mens start het, geen timer. De vrijgave begint wanneer je gekozen persoon er actief om vraagt, iemand die wéét dat je overleden bent, in plaats van een klok die alleen weet dat je stil werd.
2. Identiteit wordt geverifieerd. De aanvrager moet bewijzen de specifieke persoon te zijn die jij koos, niet degene die toevallig een doorgestuurde link heeft.
3. Jij bent de laatste verdedigingslinie. Een wachtperiode waarin je via elk kanaal gewaarschuwd wordt en met één tik kunt annuleren. Een valse trigger kost dan niets; hij strandt op het feit dat jij leeft om bezwaar te maken.
4. De inhoud blijft versleuteld tot het einde. Alleen te ontsleutelen door de geverifieerde ontvanger, nooit leesbaar op een server of in een inbox.

Zo werkt de vrijgave in Kinfolder: niets wordt gedeeld tot jij het kiest, delen kun je desgewenst nu al, en de volledige vrijgave is een bewust proces in meerdere stappen met waarborgen tegen per ongeluk afgaan. De werking staat op onze beveiligingspagina, en de ontvangende kant, wat je vertrouwenspersoon meemaakt, op de toegangspagina.

De switch is maar het halve systeem

Een perfecte trigger die chaos vrijgeeft, laat je familie alsnog verdwaald achter. Achter de switch hoort het geordende dossier zelf: de hoofdwachtwoorden, het rekeningoverzicht, de wensen en de brieven. Bouw eerst de map; geef hem daarna een zorgvuldige switch. In die volgorde wordt het oude machinistenidee wat het altijd had moeten zijn: bescherming die precies één keer in werking treedt, precies wanneer het moet.