Když není nikdo uprostřed

Dva lidé, jeden rozhovor

Když spolu dva lidé mluví tváří v tvář v místnosti, nikdo jiný nemusí slibovat, že nic neslyšel. Neslyšel, protože tam nebyl. Když si dva lidé z ruky do ruky podávají kus papíru, nikdo uprostřed nemusí přísahat, že ho nečetl. Uprostřed totiž nikdo není.

Většina věcí v každodenním životě funguje právě takto. Nepodepisujeme dohody o mlčenlivosti se vzduchem, který přenáší náš hlas, ani s papírem, který držíme. Soukromí rozhovoru nespočívá na slibu zprostředkovatele, protože žádný zprostředkovatel neexistuje. To je jeden z nejsilnějších způsobů, jak zajistit soukromí: ne proto, že se něco nebo někdo chová dobře, ale proto, že tam nic nebo nikdo není.

Když se rozhovor přesune do digitálního kanálu, situace se standardně mění. Obvyklý model je následující: dva lidé se připojí k serveru, server přijme zprávu, zašifruje ji nebo ji uloží zašifrovanou a doručí ji příjemci. Server je uprostřed. Server může být čestný. Může být auditován. Může fungovat v příznivé jurisdikci a podle přísných zásad ochrany osobních údajů. To vše může být pravda. Ale server je uprostřed.

Rozdíl mezi šifrováním a nesbíráním (druhá část)

V předchozím článku této série tvrdíme, že šifrování obsahu a nesbírání metadat není totéž. Je zde ještě jeden krok dál, který je vhodné jasně formulovat: šifrování toho, co prochází serverem, a absence serveru také není totéž.

První model — server uprostřed, šifrovaný obsah — chrání obsah před provozovatelem serveru, jeho personálem údržby, před externím útočníkem, který by narušil systém. A to je důležité. Ale neodstraňuje server: ten tam stále je, zpracovává metadata, je vystaven soudnímu příkazu, zákonnému zásahu, politickému tlaku nebo narušení bezpečnosti. Stručně řečeno, stále je to bod, který vyžaduje vložení důvěry do někoho.

Druhý model, bez serveru mezi oběma konci, nechrání šifrovaný obsah lépe: pokud je kryptografie silná, obsah je chráněn v obou případech. Co se mění, je samotná otázka: „co se stane se serverem?“ přestává mít smysl, protože žádný server, na který by se dalo ptát, neexistuje.

Důvěra, absence a rozdíl mezi nimi

Důvěra může být zasloužená. Čestné firmy existují. Přísní auditoři existují. Legislativa nakloněná uživateli existuje. Seriózní služby, které svědomitě splňují vše výše uvedené, existují. Důvěra, pokud je udělena operátorovi, který si ji zaslouží, není špatné uspořádání.

Ale důvěra, jakkoli silná, je stále jen důvěra. Je to sociální řešení, ne technické řešení. Společnost může změnit majitele, jurisdikce může změnit vládu, soudní příkaz může přijít zítra, nová zranitelnost může být objevena příští měsíc. Nic z toho se neděje ve zlé víře: děje se to proto, že provozovatel existuje, a vše, co existuje, podléhá nahodilostem světa.

Absence operátora těmto nahodilostem nepodléhá. Soudní příkaz nemůže žádat data od serveru, který neexistuje. Útočník nemůže kompromitovat server, který neexistuje. Změna v politice firmy nemůže ovlivnit data, která tato firma nikdy neměla. Klíčová věta je jednoduchá: data, která neexistují, nelze ztratit.

O legitimním argumentu na straně serveru

Kdo nabízí profesionální messaging se serverem uprostřed, obvykle uvádí tři naprosto platné argumenty. Za prvé, že server je nezbytný k zajištění doručení, když je příjemce odpojen. Za druhé, že šifrování obsahu je robustní a operátor jej tedy nemůže číst. Za třetí, že služba splňuje evropskou legislativu a data jsou chráněna zákonem.

Všechny tři argumenty jsou pravdivé. Žádný z nich nemění podstatu věci. Je pravda, že server umožňuje ukládání zpráv pro odložené doručení; je také pravda, že odložené doručení lze vyřešit jiným způsobem, prostřednictvím protokolů přímé komunikace mezi zařízeními, které jsou zdokonalovány po desetiletí a fungují i dnes. Je pravda, že šifrování obsahu při přenosu je u seriózních služeb robustní. A je pravda, že evropská legislativa chrání uživatele více než v mnoha jiných částech světa.

Otázkou není, zda jsou služby se serverem uprostřed legální, bezpečné nebo zda chrání obsah. Mohou být, jsou legální a obvykle bezpečné. Otázkou je, že mít server uprostřed je architektonická volba, nikoli technická nutnost. A každá volba má své následky. Architektura se serverem uprostřed nutně generuje aktéra, kterému je třeba důvěřovat. Architektura bez serveru uprostřed nikoli.

Co říká zákon a co dělá architektura

GDPR nevyžaduje konkrétní architektonický model. Vyžaduje výsledky: minimalizaci údajů, omezený účel, ochranu od návrhu a standardně, schopnost prokázat soulad. Služba se serverem uprostřed může splnit všechny tyto požadavky. Služba bez serveru uprostřed splňuje několik z nich ze své podstaty, nikoli jen prohlášením. Absolutní minimalizace — nesbírat nic, co není nezbytně nutné k doručení zprávy — je triviální, když neexistuje žádný server, který by mohl něco sbírat.

Pro běžné nesenzitivní použití je architektura se serverem naprosto rozumná a důvěra v seriózního operátora je platným uspořádáním. Pro ostatní případy — ty, které podléhají profesnímu tajemství, ty, které nesou deontologickou odpovědnost, ty, které se týkají zvláště citlivých informací — není absence bodu důvěry luxusem, ale strukturální výhodou.

Zbytečný svědek

Návrat do původní místnosti pomáhá upevnit myšlenku. To, že nikdo neslyšel konverzaci, nezávisí na tom, že se svědek choval slušně: závisí to na tom, že tam žádný svědek nebyl. Prostřední server může být poctivý, auditovaný, splňovat každý článek GDPR, a přesto zůstává právě svědkem. Pro toho, kdo nakládá s profesním tajemstvím, není skutečně důležitou otázkou, zda si onen svědek zaslouží důvěru: ale to, zda bylo vůbec nutné, aby v té místnosti byl.

Odpověď u většiny profesionálních komunikačních služeb, které dnes existují, zní, že to nutné nebylo — a přesto tam byl.

---

Tento článek uzavírá úvodní cyklus Cuadernos Lacre. Po probrání šifrování, metadat a profesního tajemství doplňujeme architektonický obraz: šifrování obsahu a absence serveru uprostřed jsou různé věci. Obě mohou být legální; pouze jedna však eliminuje bod důvěry.