Шифроването не е поверителност

Катинарът, който не защитава всичко

Голяма част от днешните услуги за съобщения рекламират шифроване от край до край. И това е вярно: съдържанието на съобщенията пътува шифровано, така че никой по пътя, дори и доставчикът на услугата, да не може да прочете текста, докато е в транзит. Дотук твърдението е точно.

Проблемът е, че съдържанието е само част от историята. Въпреки че никой не може да прочете какво казвате, услугата знае други неща с много висока точност: с кого говорите, по кое време, колко често, от какво приблизително местоположение, на какво устройство, колко съобщения изпращате и колко получавате, колко файла споделяте. Всичко това се нарича метаданни. А метаданните в много случаи казват почти толкова, колкото и самото съобщение.

Какво разкриват метаданните

Не е необходимо да се чете съобщение, за да се знаят много неща. Ако човек се обажда или пише на онколог всеки вторник сутрин в девет часа в продължение на шест месеца, не е необходимо да се слуша разговорът, за да се предположи какво става. Ако двама души обменят сто съобщения на ден и изведнъж спрат, не е необходимо да четете нито едно, за да разберете какво се е случило. Ако данъчен консултант получи двадесет съобщения подред от един и същ клиент в нощта преди тримесечно приключване, моделът говори сам за себе си.

Метаданните разкриват поведенчески модели: кой с кого е в отношения, какви графици има всеки човек, кога е буден, кога спи, кога пътува, кои клиенти са най-активни, кои професионални отношения са най-интензивни. Сървър, който събира метаданни, може да изгради подробен профил на личния и професионалния живот на всеки потребител, без някога да е прочел нито една дума от това, което той пише.

Има исторически пример, който илюстрира това твърдо. Бившият директор на NSA Майкъл Хейдън го формулира направо през 2014 г.: „We kill people based on metadata“. Твърдението се отнасяше за американски военни операции срещу цели, идентифицирани изключително въз основа на техните комуникационни модели. Нито едно прочетено съобщение. Само графика на контактите и графиците.

Това, че дадена услуга събира метаданни, означава, че има способността да ги използва срещу своите потребители и че трета страна с достъп до тези данни – чрез съдебна заповед, пробив в сигурността или продажба на трети страни, ако условията за ползване го позволяват – също я има.

Достъпът до адресната книга

Друг вектор, който преминава почти незабелязано: списъкът с контакти. Голяма част от услугите за съобщения искат достъп до адресната книга на телефона при регистрация. Те качват всички номера на своя сървър, за да покажат кой друг използва услугата. От този момент компанията има пълна карта на отношенията на потребителя, дори ако той никога не е писал нито едно съобщение на никого.

За професионалист, обвързан с професионална тайна – адвокат, лекар, психолог, консултант – тази адресна книга съдържа клиенти. Ако адресната книга е качена на сървър на трета страна, имената на клиентите се намират в инфраструктура, чиято юрисдикция и политики професионалистът не контролира. Професионалната тайна не се нарушава в деня, в който някой изтече разговор: тя е била нарушена много по-рано, в момента на съгласието за качване.

Разликата между криптиране и несъбиране

Криптирането е защита на съдържанието. Поверителността е несъбиране на това, което не е необходимо. Това са различни неща и разликата е оперативно решаваща. Една услуга може перфектно да криптира всички съобщения и същевременно да знае почти всичко за потребителите си чрез метаданни. И двете неща са напълно съвместими. Всъщност това е доминиращият бизнес модел в сектора.

Правилният въпрос за оценка на действителната поверителност на една услуга не е „криптира ли съдържанието?“. На този въпрос е отговорено от години. Правилният въпрос е: „какви метаданни генерира и къде се съхраняват?“. И преди всичко: „какви метаданни не е необходимо да генерира?“.

Архитектура, която минимизира метаданните чрез дизайн – не чрез обещание, не чрез вътрешна политика – е структурно по-поверителна от архитектура, която ги събира и криптира. Тъй като данни, които не съществуват, не могат да бъдат изтекли, нито продадени, нито предадени на съдебно разпореждане или изгубени при пробив в сигурността.

Катинарът и картата

Най-усъвършенстваният катинар на пазара не казва нищо за картата, която остава извън него. Една услуга може да шифрова всяко съобщение перфектно и в същото време да знае с кого говорите, кога, колко пъти и откъде — без да е прочела нито една ваша дума. За този, който борави с професионална тайна, въпросът, който наистина има значение, не е дали съобщението пътува шифровано: а какво е оставено извън шифроването, без никой да го е искал.

Честният отговор при повечето услуги, които се рекламират като частни, е: почти всичко.

---

Тази статия е първата от поредица за реалното функциониране на професионалните инструменти за комуникация. Следващите броеве ще разгледат спазването на GDPR при съобщенията и концепцията за професионална тайна в цифровата ера.