La privacitat digital no sempre implica afegir més tecnologia. Selvum, una nova aplicació catalana de seguretat digital, aposta precisament per reduir les dependències i mantenir la informació sensible directament al dispositiu de l’usuari. Desenvolupada per Xavier Llanes, l’eina funciona com una volta digital per emmagatzemar contrasenyes, targetes, notes segures i frases llavor sense necessitat de connexió al núvol.

El projecte parteix d’una premissa clara: sense núvol, sense rastreig i sense subscripcions. Selvum està disponible per a iOS i Android, incorpora català, castellà i anglès i es basa en un pagament únic de 19,90 euros, amb actualitzacions futures incloses.

La idea, explica Llanes en declaracions a Metadata, va sorgir de voler tenir una eina que no depengués de cap proveïdor extern. “Volia un gestor de contrasenyes que fos meu de veritat, no un servei que depengués de si una empresa continuava existint”, assenyala.

Per al desenvolupador, aquesta dependència és especialment rellevant quan es tracta d’informació sensible. Els gestors que funcionen al núvol centralitzen grans quantitats de dades en servidors connectats a internet i, per tant, poden convertir-se en objectius per als atacants. Selvum planteja una aproximació diferent: si les dades no surten del dispositiu, desapareix la necessitat d’un servidor central que les custodiï.

Una volta que no necessita el núvol

La diferència principal de Selvum respecte dels gestors basats en el núvol és, precisament, la seva arquitectura. L’aplicació no necessita servidors per emmagatzemar ni sincronitzar la informació i, segons Llanes, tampoc disposa de permisos de xarxa ni envia telemetria.

Selvum és una volta digital catalana per gestionar contrasenyes, targetes, notes segures i frases llavor des del mateix dispositiu.

Les dades s’emmagatzemen xifrades al dispositiu. Selvum utilitza AES-256-GCM per al xifratge i deriva la clau a partir de la frase de recuperació de l’usuari mitjançant Argon2id a Android i PBKDF2 a iOS.

Aquesta arquitectura permet eliminar una part dels riscos associats a la centralització de dades. “Tota la informació es xifra localment abans de guardar-se, i l’aplicació no té permisos de xarxa: no sincronitza res al núvol, no envia telemetria, no fa cap connexió sortint”, explica Llanes.

La conseqüència, segons el fundador, és que desapareix una categoria sencera d’amenaces: “No hi ha servidor per hackejar ni base de dades centralitzada que robar”.

Ara bé, aquest model també implica una responsabilitat directa per a l’usuari: si la informació només existeix localment, la pèrdua del dispositiu pot ser un problema. És per això que Selvum incorpora un sistema específic de recuperació.

Un sistema pensat per sobreviure a l’empresa

El Kit de Recuperació és un dels elements diferencials de l’aplicació. Selvum genera un fitxer HTML que permet recuperar i desxifrar la volta de l’usuari sense connexió a internet, sense instal·lar cap aplicació i sense necessitat que els servidors de Selvum continuïn actius.

El mecanisme utilitza la frase de recuperació de 12 paraules de l’usuari i pot funcionar en un navegador modern. La filosofia és que les dades continuïn sent accessibles encara que l’empresa desaparegui.

Selvum funciona 100% offline i emmagatzema les dades sensibles directament al dispositiu de l’usuari.

“Em vaig fer una pregunta senzilla mentre ho dissenyava: si Selvum com a empresa desapareixia demà, què li passaria a les dades de l’usuari?”, explica Llanes. “La resposta havia de ser ‘res, continuen sent seves’ i no ‘les perds’.”

El fitxer de recuperació també està pensat per ser verificable. El codi JavaScript no està ofuscat, de manera que un usuari amb coneixements tècnics pot inspeccionar què fa abans d’utilitzar-lo.

Aquesta filosofia porta la idea de sobirania de les dades un pas més enllà: no només la informació es queda al dispositiu, sinó que tampoc cal confiar en Selvum per recuperar-la en el futur.

Un pagament únic contra el model de subscripció

La mateixa filosofia s’estén al model de negoci. Selvum costa 19,90 euros en un únic pagament, en lloc d’oferir una subscripció mensual o anual.

Llanes considera que aquesta fórmula té sentit especialment en una eina destinada a protegir la identitat digital. “Una eina de seguretat t’hauria de protegir independentment de si continues pagant cada mes”, defensa.

L’aplicació catalana aposta per un pagament únic de 19,90 euros i prescindeix de les subscripcions.

El desenvolupador admet que aquesta opció és més difícil de sostenir econòmicament que un model de subscripció, que genera ingressos recurrents. Tot i això, considera que és una decisió coherent amb la proposta de valor de l’aplicació: “Crec que és l’intercanvi correcte pel tipus de confiança que un gestor de contrasenyes hauria de merèixer”.

Amb el pagament únic, Selvum ofereix una volta offline amb entrades il·limitades, xifratge, el sistema de recuperació, exportacions del Kit de Recuperació i futures actualitzacions. L’aplicació tampoc requereix crear un compte ni proporcionar una adreça de correu electrònic.

El català, des del primer dia

Selvum també incorpora una altra particularitat: el català forma part de l’aplicació des del seu llançament, juntament amb l’anglès i el castellà.

Per a Llanes, no és una qüestió simplement lingüística. La decisió connecta amb la mateixa filosofia de sobirania que inspira l’arquitectura de l’aplicació.

El Kit de Recuperació permet recuperar la volta sense servidors, comptes ni necessitat que Selvum continuï existint.

“El català hi és des del primer dia, no com una traducció afegida després”, explica. I estableix un paral·lelisme entre les dues dimensions del projecte: “Hi veig un paral·lelisme real entre la sobirania de les dades i la sobirania lingüística: totes dues van de no dependre de decisions que prengui algú altre lluny teu.”

L’aplicació està disponible globalment a l’App Store i Google Play i permet configurar la interfície en les tres llengües.

Transparència per no haver de confiar en la paraula del creador

En una eina que custodia contrasenyes, dades bancàries i altres informacions sensibles, la confiança és un dels principals reptes. Selvum aposta per respondre-hi amb transparència sobre el funcionament intern del producte.

Llanes ha publicat un repositori independent amb el codi crític de seguretat de l’aplicació, incloent-hi el sistema de xifratge, la derivació de claus, el format de la volta i el Kit de Recuperació. “No demano que ningú es cregui la meva paraula sense més”, afirma el fundador.

El seu fundador Xavier Llanes defensa un model de seguretat basat en la sobirania de les dades i publica el codi crític perquè pugui ser auditat.

El projecte també inclou un kit de verificació amb una volta d’exemple i una frase de recuperació perquè tercers puguin comprovar que el sistema de desxifratge funciona tal com està documentat. L’objectiu és que la seguretat no depengui exclusivament de les afirmacions del desenvolupador.

“Qualsevol amb coneixements tècnics el pot llegir, auditar i executar els tests reals pel seu compte”, explica Llanes, que també ha habilitat un canal de divulgació responsable per comunicar possibles vulnerabilitats o errors.

Recuperar el control de la vida digital

Selvum planteja així una alternativa a un model dominant en el programari de consum: centralitzar les dades, sincronitzar-les entre dispositius i convertir l’accés al servei en una subscripció.

La proposta offline renuncia a part de la comoditat de la sincronització automàtica a canvi d’un major control sobre les dades. En un gestor de contrasenyes, aquesta decisió té una rellevància especial, ja que la volta pot contenir les claus d’accés a serveis bancaris, correus electrònics, xarxes socials, plataformes professionals o carteres de criptomonedes.

La proposta de Llanes es resumeix, per tant, en una idea: que la volta digital sigui realment de l’usuari i no depengui de l’existència d’un proveïdor extern.

Amb Selvum, el desenvolupador català vol traslladar aquesta filosofia al mercat de la seguretat digital amb una eina basada en privacitat local, transparència, independència i sobirania de les dades.