Когато няма никой по средата

Двама души, един разговор

Когато двама души говорят лице в лице в стая, никой друг не трябва да обещава, че не е чул нищо. Не е чул, защото не е бил там. Когато двама души си подават лист хартия от ръка на ръка, никой по средата не трябва да се кълне, че не го е чел. По средата няма никой.

Повечето неща в ежедневието функционират по този начин. Не подписваме споразумения за поверителност с въздуха, който предава гласа ни, нито с хартията, която държим. Поверителността на разговора не се основава на обещанието на посредник, защото няма посредник. Това е един от най-силните начини за поверителност: не защото нещо или някой се държи добре, а защото нещо или някой изобщо не съществува.

Когато разговорът се премести в цифров канал, това се променя по подразбиране. Обичайният модел е следният: двама души се свързват със сървър, сървърът получава съобщението, шифрова го или го съхранява шифровано и го доставя на получателя. Сървърът е по средата. Сървърът може да бъде честен. Може да бъде одитиран. Може да работи в благоприятна юрисдикция и под строга политика за поверителност. Всичко това може да е вярно. Но сървърът е по средата.

Разликата между шифроване и несъбиране (втора част)

В предишна статия от същата поредица твърдим, че шифроването на съдържанието и несъбирането на метаданни не са едно и също нещо. Има още една стъпка напред, която е добре да формулираме ясно: шифроването на това, което преминава през сървър, и липсата на сървър също не са едно и също нещо.

Първият модел — сървър по средата, криптирано съдържание — защитава съдържанието от оператора на сървъра, от неговия обслужващ персонал, от външен нападател, който би компрометирал системата. И това е важно. Но не премахва сървъра: той все още е там, обработва метаданни, изложен е на съдебни разпореждания, правни намеси, политически натиск или пробив в сигурността. Накратко, това все още е точка, която изисква да се доверим на някого.

Вторият модел, без сървър между двете крайни точки, не защитава криптираното съдържание по-добре: ако криптографията е силна, съдържанието е защитено и в двата случая. Това, което се променя, е самият въпрос: „какво се случва със сървъра?“ губи своя смисъл, защото не съществува сървър, за който да се пита.

Доверие, отсъствие и разликата между тях

Доверието може да бъде добре гласувано. Съществуват честни компании. Съществуват строги одитори. Съществуват законодателства, благоприятни за потребителя. Съществуват сериозни услуги, които спазват стриктно всичко изброено по-горе. Доверието, когато се предоставя на оператор, който го заслужава, не е лоша уговорка.

Но доверието, колкото и да е силно, си остава доверие. Това е социално решение, а не техническо решение. Компанията може да смени собственика си, юрисдикцията може да смени правителството си, съдебно решение може да пристигне утре, нова уязвимост може да бъде открита следващия месец. Нито едно от тези неща не се случва злонамерено: те се случват, защото операторът съществува, а всичко, което съществува, е обект на случайностите в света.

Отсъствието на оператор не е обект на същите тези случайности. Едно съдебно разпореждане не може да изисква данни от сървър, който не съществува. Един нападател не може да компрометира сървър, который не съществува. Промяна в политиката на една компания не може да засегне данни, които тази компания никога не е имала. Ключовата фраза е проста: данните, които не съществуват, не могат да бъдат загубени.

Относно легитимния аргумент от страна на сървъра

Всеки, который предлага професионална услуга за съобщения със сървър по средата, обикновено изтъква три напълно валидни аргумента. Първо, че сървърът е необходим, за да гарантира доставката, когато получателят е офлайн. Второ, че шифроването на съдържанието е стабилно и следователно операторът не може да го прочете. Трето, че услугата спазва европейското законодателство и че данните са защитени от закона.

И трите аргумента са верни. Никой от тях не променя същността на въпроса. Вярно е, че един сървър позволява съхраняване на съобщения за забавена доставка; също така е вярно, че забавената доставка може да бъде решена по друг начин чрез протоколи за директна комуникация между устройства, прецизирани от десетилетия и действащи днес. Вярно е, че шифроването на съдържанието при транзит е стабилно в сериозните услуги. И е вярно, че европейското законодателство защитава потребителите повече от това на много други места.

Въпросът не е дали услугите със сървър по средата са законни, нито дали са сигурни, нито дали защитават съдържанието. Те могат да бъдат такива, те са законни и обикновено са сигурни. Въпросът е, че наличието на сървър по средата е архитектурен избор, а не техническа наложеност. И всеки избор има последствия. Архитектура със сървър по средата неизбежно създава участник, на когото трябва да се вярва. Архитектура без сървър по средата — не.

Това, което законът казва, и това, което архитектурата прави

GDPR не изисква конкретен архитектурен модел. Изисква резултати: минимизиране на данните, ограничена цел, защита по дизайн и по подразбиране, способност за доказване на съответствието. Една услуга със сървър по средата може да отговаря на всички тези изисквания. Една услуга без сървър по средата отговаря на няколко от тях чрез конструкцията си, а не чрез декларация. Абсолютното минимизиране — несъбирането на нищо, което не е строго необходимо за доставяне на съобщението — е тривиално, когато не съществува сървър, който да събере нещо.

За ежедневни нечувствителни нужди архитектурата със сървър е напълно разумна и доверието в сериозен оператор е валидна уговорка. За другите нужди — тези, които включват регламентирана професионална тайна, тези, които носят етична отговорност, тези, които засягат особено чувствителна информация — липсата на точка на доверие не е лукс, а структурно предимство.

Ненужният свидетел

Връщането в стаята от началото помага за затвърждаване на идеята. Това, че никой не е слушал разговора, не зависи от това дали свидетеля се е държал добре: зависи от това, че не е имало свидетел. Междинен сървър може да бъде честен, одитиран, да спазва всеки член на GDPR и въпреки това да си остане точно свидетел. За този, който борави с професионална тайна, истински важният въпрос не е дали този свидетел заслужава доверие: а дали изобщо е било нужно да бъде в стаята.

Отговорът, при повечето професионални услуги за съобщения днес, е че не е било нужно — а все пак е бил там.

---

Тази статия затваря първоначалния цикъл на Cuadernos Lacre. След като говорихме за шифроването, метаданните и професионалната тайна, допълваме архитектурната картина: шифроването на съдържанието и липсата на сървър по средата са различни неща. И двете могат да бъдат законни; само едната премахва точката на доверие.