Kryptering er nicht det samme som privatliv: Hvad metadata fortæller om dig

Hængelåsen, der ikke beskytter alt

En stor del af nutidens messaging-tjenester reklamerer med ende-til-ende-kryptering. Og det er sandt: Indholdet af beskederne rejser krypteret, så ingen undervejs – ikke engang tjenesteudbyderen – kan læse teksten, mens den er i transit. Indtil videre er påstanden korrekt.

Problemet er, at indholdet kun er en del af historien. Selvom ingen kan læse, hvad du siger, ved tjenesten andre ting med meget høj præcision: hvem du taler med, hvornår, hvor ofte, fra hvilken omtrentlig placering, på hvilken enhed, hvor mange beskeder du sender og hvor mange du modtager, hvor mange filer du deler. Alt dette kaldes metadata. Og metadata fortæller i mange tilfælde næsten lige så meget som selve beskeden.

Hvad metadata afslører

Man behøver ikke læse en besked for at vide mange ting. Hvis en person ringer eller skriver til en onkolog hver tirsdag morgen klokken ni i seks måneder, er det ikke nødvendigt at høre samtalen for at gætte, hvad der foregår. Hvis to personer udveksler hundrede beskeder om dagen og pludselig holder op, behøver man ikke læse en eneste for at forstå, hvad der er sket. Hvis en skatterådgiver modtager tyve beskeder i træk fra den samme kunde aftenen før en kvartalsafslutning, taler mønsteret for sig selv.

Metadata afslører adfærdsmønstre: hvem der er i relation med hvem, hvilke tidsplaner hver person har, hvornår de er vågne, hvornår de sover, hvornår de rejser, hvilke kunder der er mest aktive, hvilke professionelle relationer der er mest intense. En server, der indsamler metadata, kan opbygge en detaljeret profil af enhver brugers personlige og professionelle liv uden nogensinde at have læst et eneste ord af, hvad vedkommende skriver.

Der er et historisk eksempel, der illustrerer dette med hårdhed. Den tidligere direktør for NSA, Michael Hayden, formulerede det uden omsvøb i 2014: "We kill people based on metadata". Udtalelsen henviste til amerikanske militæroperationer mod mål, der udelukkende blev identificeret ud fra deres kommunikationsmønstre. Ikke en eneste læst besked. Kun kontaktgrafen og tidsplanerne.

At en tjeneste indsamler metadata, betyder ikke nødvendigvis, at den vil bruge dem mod sine brugere. Det betyder, at den har evnen til at gøre det, og at en tredjepart med adgang til disse data – ved retskendelse, ved sikkerhedsbrud eller ved salg til tredjepart, hvis servicevilkårene tillader det – også har den.

Adgang til kontaktbogen

En anden vektor, der næsten går ubemærket hen: kontaktlisten. En stor del af messaging-tjenesterne beder om adgang til telefonens kontaktbog ved tilmelding. De uploader alle numre til deres server for at vise, hvem der ellers bruger tjenesten. Fra det øjeblik har virksomheden et komplet kort over brugerens relationer, selvom denne aldrig har skrevet en eneste besked til nogen.

For en professionel med tavshedspligt – advokat, læge, psykolog, rådgiver – indeholder denne kontaktbog klienter. Hvis kontaktbogen er uploader til en tredjepartsserver, befinder klienternes navne sig i en infrastruktur, hvis jurisdiktion og politikker den professionelle ikke kontrollerer. Tavshedspligten brydes ikke den dag, nogen lækker en samtale: Den blev brudt længe før, i det øjeblik uploaden blev accepteret.

Forskellen mellem at kryptere og ikke at indsamle

At kryptere er at beskytte indholdet. At være privat er ikke at indsamle det, der ikke er brug for. Det er forskellige ting, og forskellen er operativt kritisk. En tjeneste kan kryptere alle beskeder perfekt og samtidig vide næsten alt om sine brugere via metadata. De to ting er perfekt kompatible. Faktisk er det den dominerende forretningsmodel i branchen.

Det rigtige spørgsmål til at vurdere den reelle privatlivsbeskyttelse for en tjeneste er ikke "krypterer den indholdet?". Det spørgsmål har været besvaret i årevis. Det rigtige spørgsmål er: "hvilke metadata genererer den, og hvor gemmes de?". Og frem for alt: "hvilke metadata behøver den ikke at generere?".

En arkitektur, der minimerer metadata ved design – ikke ved løfte, ikke ved intern politik – er strukturelt mere privat end en arkitektur, der indsamler og krypterer dem. Fordi data, der ikke eksisterer, ikke kan lækkes, sælges, overgives til en retskendelse eller gå tabt i et sikkerhedsbrud.

Til den professionelle læser

Hvis din professionelle aktivitet indebærer tavshedspligt, fortrolighed eller blot respekt for tredjeparts informationer, er det tilrådeligt at stille spørgsmålene i denne rækkefølge:

1. Krypterer den applikation, jeg bruger til at kommunikere, indholdet? (Sandsynligvis ja.)
2. Krypterer den metadata? (Sandsynligvis nej.)
3. Genererer den metadata, som den ikke har brug for for at fungere? (Næsten sikkert ja.)
4. Hvor er disse metadata gemt og under hvilken jurisdiktion? (Sandsynligvis uden for Det Europæiske Økonomiske Samarbejdsområde.)
5. Ved min klient eller patient, at deres data er der?

Det sidste spørgsmål er det ubehagelige. For det ærlige svar er i de fleste tilfælde nej.

---

Denne artikel er den første i en serie om, hvordan professionelle kommunikationsværktøjer reelt fungerer. Næste udgaver vil behandle GDPR-overholdelse i messaging og konceptet for tavshedspligt i den digitale tidsalder.