Šifrování neznamená soukromí

Zámek, který nechrání vše

Značná část dnešních komunikačních služeb inzeruje koncové šifrování (end-to-end). A je to pravda: obsah zpráv cestuje zašifrovaný, takže nikdo po cestě, a to ani poskytovatel služby, nemůže text při přenosu přečíst. Potud je toto tvrzení přesné.

Problém je, že obsah je jen částí příběhu. I když nikdo nemůže číst, co říkáte, služba zná jiné věci s velmi vysokou přesností: s kým mluvíte, v kolik hodin, jak často, z jaké přibližné polohy, na jakém zařízení, kolik zpráv odesíláte a kolik přijímáte, kolik souborů sdílíte. Tomu všemu se říká metadata. A metadata v mnoha případech vypovídají téměř tolik jako samotná zpráva.

Co metadata odhalují

Není třeba číst zprávu, abychom věděli mnoho věcí. Pokud někdo volá nebo píše onkologovi každé úterý v devět ráno po dobu šesti měsíců, není nutné poslouchat rozhovor, abychom tušili, co se děje. Pokud si dva lidé vymění sto zpráv denně a najednou s tím přestanou, není třeba číst žádnou, abychom pochopili, co se stalo. Pokud daňový poradce obdrží dvacet zpráv v řadě od stejného klienta noc před čtvrtletní uzávěrkou, vzorec mluví sám za sebe.

Metadata odhalují vzorce chování: kdo se s kým stýká, jaký má kdo rozvrh, kdy bdí, kdy spí, kdy cestuje, kteří klienti jsou nejaktivnější, které profesní vztahy jsou nejintenzivnější. Server, který sbírá metadata, může sestavit podrobný profil osobního i profesního života kteréhokoli uživatele, aniž by kdy přečetl jediné slovo z toho, co dotyčný píše.

Existuje historický příklad, který to ilustruje velmi tvrdě. Bývalý ředitel NSA Michael Hayden to v roce 2014 formuloval bez obalu: "We kill people based on metadata". Tvrzení se týkalo amerických vojenských operací proti cílům identifikovaným výhradně na základě jejich komunikačních vzorců. Ani jedna přečtená zpráva. Pouze graf kontaktů a časové údaje.

Pokud služba shromažďuje metadata, znamená to, že má schopnost použít je proti svým uživatelům, a že třetí strana s přístupem k těmto údajům – na základě soudního příkazu, narušení bezpečnosti nebo prodeje třetím stranám, pokud to podmínky služby umožňují – má tuto schopnost také.

Přístup ke kontaktům

Další vektor, který prochází téměř bez povšimnutí: seznam kontaktů. Velká část messagingových služeb žádá při registraci o přístup k telefonnímu seznamu. Nahrají všechna čísla na svůj server, aby ukázaly, kdo další službu používá. Od té chvíle má společnost kompletní mapu vztahů uživatele, i když ten nikdy nikomu nenapsal jedinou zprávu.

Pro profesionála s profesním tajemstvím – právníka, lékaře, psychologa, poradce – tento seznam obsahuje klienty. Pokud byl seznam nahrán na server třetí strany, jména klientů jsou v infrastruktuře, jejíž jurisdikci a politiku profesionál nekontroluje. Profesní tajemství se neporuší v den, kdy někdo unikne konverzaci: bylo porušeno mnohem dříve, v okamžiku souhlasu s nahráním.

Rozdíl mezi šifrováním a nesbíráním

Šifrovat znamená chránit obsah. Být v soukromí znamená nesbírat to, co není potřeba. Jsou to odlišné věci a rozdíl je operativně kritický. Služba může všechny zprávy dokonale šifrovat a zároveň o svých uživatelích vědět téměř vše prostřednictvím metadat. Obě věci jsou dokonale kompatibilní. Ve skutečnosti je to dominantní obchodní model v odvětví.

Správná otázka pro posouzení skutečného soukromí služby nezní "šifruje obsah?". Tato otázka je považována za zodpovězenou již léta. Správná otázka zní: "jaká metadata generuje a kde se ukládají?". A především: "jaká metadata nepotřebuje generovat?".

Architektura, která minimalizuje metadata záměrně (by design) – nikoli slibem, nikoli interní politikou – je strukturálně soukromější než architektura, která je sbírá a šifruje. Protože data, která neexistují, nelze uniknout, prodat, předat na základě soudního příkazu ani ztratit při narušení bezpečnosti.

Zámek a mapa

Nejsofistikovanější zámek na trhu neříká nic o mapě, která leží mimo něj. Služba může dokonale zašifrovat každou zprávu a zároveň vědět, s kým mluvíte, kdy, kolikrát a odkud —aniž by si přečetla jediné vaše slovo. Pro toho, kdo nakládá s profesním tajemstvím, není skutečně důležitá otázka, zda zpráva cestuje zašifrovaná: ale co bylo ponecháno mimo šifrování, aniž by o to někdo žádal.

Upřímná odpověď u většiny služeb, které se inzerují jako soukromé, zní: téměř vše.

---

Tento článek je první ze série o skutečném fungování profesionálních komunikačních nástrojů. Příští díly se budou věnovat souladu s GDPR v messagingu a konceptu profesního tajemství v digitální éře.