Kryptering er ikke privatliv

Hængelåsen, der ikke beskytter alt

En stor del af nutidens beskedtjenester reklamerer med end-to-end kryptering. Og det er sandt: indholdet af beskederne rejser krypteret, så ingen undervejs, ikke engang tjenesteudbyderen, kan læse teksten, mens den er undervejs. Indtil da er påstanden korrekt.

Problemet er, at indholdet kun er en del af historien. Selvom ingen kan læse, hvad du siger, ved tjenesten andre ting med meget høj præcision: hvem du taler med, hvornår, hvor ofte, fra hvilken omtrentlig placering, på hvilken enhed, hvor mange beskeder du sender og hvor mange du modtager, hvor mange filer du deler. Alt dette kaldes metadata. Og metadata fortæller i mange tilfælde næsten lige så meget som selve beskeden.

Hvad metadata afslører

Man behøver ikke læse en besked for at vide mange ting. Hvis en person ringer eller skriver til en onkolog hver tirsdag morgen klokken ni i seks måneder, er det ikke nødvendigt at høre samtalen for at gætte, hvad der foregår. Hvis to personer udveksler hundrede beskeder om dagen og pludselig holder op, behøver man ikke læse en eneste for at forstå, hvad der er sket. Hvis en skatterådgiver modtager tyve beskeder i træk fra den samme kunde aftenen før en kvartalsafslutning, taler mønsteret for sig selv.

Metadata afslører adfærdsmønstre: hvem der er i relation med hvem, hvilke tidsplaner hver person har, hvornår de er vågne, hvornår de sover, hvornår de rejser, hvilke kunder der er mest aktive, hvilke professionelle relationer der er mest intense. En server, der indsamler metadata, kan opbygge en detaljeret profil af enhver brugers personlige og professionelle liv uden nogensinde at have læst et eneste ord af, hvad vedkommende skriver.

Der er et historisk eksempel, der illustrerer dette med hårdhed. Den tidligere direktør for NSA, Michael Hayden, formulerede det uden omsvøb i 2014: "We kill people based on metadata". Udtalelsen henviste til amerikanske militæroperationer mod mål, der udelukkende blev identificeret ud fra deres kommunikationsmønstre. Ikke en eneste læst besked. Kun kontaktgrafen og tidsplanerne.

At en tjeneste indsamler metadata betyder, at den har kapacitet til at bruge dem mod sine brugere, og at en tredjepart med adgang til disse data — via en retskendelse, et sikkerhedsbrud eller salg til tredjepart, hvis servicevilkårene tillader det — også har den.

Adgang til kontaktbogen

En anden vektor, der næsten går ubemærket hen: kontaktlisten. En stor del af messaging-tjenesterne beder om adgang til telefonens kontaktbog ved tilmelding. De uploader alle numre til deres server for at vise, hvem der ellers bruger tjenesten. Fra det øjeblik har virksomheden et komplet kort over brugerens relationer, selvom denne aldrig har skrevet en eneste besked til nogen.

For en professionel med tavshedspligt – advokat, læge, psykolog, rådgiver – indeholder denne kontaktbog klienter. Hvis kontaktbogen er uploader til en tredjepartsserver, befinder klienternes navne sig i en infrastruktur, hvis jurisdiktion og politikker den professionelle ikke kontrollerer. Tavshedspligten brydes ikke den dag, nogen lækker en samtale: Den blev brudt længe før, i det øjeblik uploaden blev accepteret.

Forskellen mellem at kryptere og ikke at indsamle

At kryptere er at beskytte indholdet. At være privat er ikke at indsamle det, der ikke er brug for. Det er forskellige ting, og forskellen er operativt kritisk. En tjeneste kan kryptere alle beskeder perfekt og samtidig vide næsten alt om sine brugere via metadata. De to ting er perfekt kompatible. Faktisk er det den dominerende forretningsmodel i branchen.

Det rigtige spørgsmål til at vurdere den reelle privatlivsbeskyttelse for en tjeneste er ikke "krypterer den indholdet?". Det spørgsmål har været besvaret i årevis. Det rigtige spørgsmål er: "hvilke metadata genererer den, og hvor gemmes de?". Og frem for alt: "hvilke metadata behøver den ikke at generere?".

En arkitektur, der minimerer metadata ved design – ikke ved løfte, ikke ved intern politik – er strukturelt mere privat end en arkitektur, der indsamler og krypterer dem. Fordi data, der ikke eksisterer, ikke kan lækkes, sælges, overgives til en retskendelse eller gå tabt i et sikkerhedsbrud.

Låsen og kortet

Den mest avancerede lås på markedet siger intet om det kort, der ligger udenfor den. En tjeneste kan kryptere hver eneste besked perfekt og samtidig vide, hvem du taler med, hvornår, hvor mange gange og hvorfra —uden at have læst et eneste ord fra dig. For dem, der håndterer tavshedspligt, er det vigtige spørgsmål ikke, om beskeden rejser krypteret: det er, hvad der er blevet udeladt af krypteringen, uden at nogen har bedt om det.

Det ærlige svar, i de fleste tjenester der markedsføres som private, er: næsten alt.

---

Denne artikel er den første i en serie om, hvordan professionelle kommunikationsværktøjer reelt fungerer. Næste udgaver vil behandle GDPR-overholdelse i messaging og konceptet for tavshedspligt i den digitale tidsalder.