Kai viduryje nieko nėra

Du žmonės, vienas pokalbis

Kai du žmonės kambaryje kalbasi akis į akį, niekas kitas neturi žadėti, kad nieko negirdėjo. Negirdėjo, nes jo ten nebuvo. Kai du žmonės perduoda popieriaus lapą iš rankų į rankas, niekam per vidurį nereikia prisiekinėti, kad jo neskaitė. Viduryje nieko nėra.

Dauguma dalykų kasdieniame gyvenime veikia būtent taip. Mes nepasirašome konfidencialumo sutarčių su oru, kuris perduoda mūsų balsą, ar su popieriumi, kurį laikome. Pokalbio privatumas nesiremia tarpininko pažadu, nes nėra jokio tarpininko. Tai yra viena stipriausių privataus buvimo formų: ne todėl, kad kažkas ar kažkas gerai elgiasi, o todėl, kad to kažko ar kažko paprasčiausiai nėra.

Kai pokalbis perkeliamas į skaitmeninį kanalą, tai pagal nutylėjimą pasikeičia. Įprastas modelis yra toks: du žmonės prisijungia prie serverio, serveris gauna pranešimą, jį užšifruoja arba išsaugo užšifruotą, ir pristato jį gavėjui. Serveris yra viduryje. Serveris gali būti sąžiningas. Jis gali būti audituojamas. Jis gali veikti palankioje jurisdikcijoje ir laikytis griežtos privatumo politikos. Visa tai gali būti tiesa. Tačiau serveris yra viduryje.

Skirtumas tarp šifravimo ir nerinkimo (antra dalis)

Ankstesniame šios pačios serijos straipsnyje teigiame, kad turinio šifravimas ir metaduomenų nerinkimas nėra tas pats. Yra dar vienas žingsnis, kurį reikėtų aiškiai suformuluoti: tai, kas praeina per serverį, užšifravimas ir serverio neturėjimas taip pat nėra tas pats.

Pirmasis modelis — serveris per vidurį, turinys užšifruotas — apsaugo turinį nuo serverio operatoriaus, jo priežiūros personalo, išorinio įsibrovėlio, pažeidžiančio sistemą. Ir tai yra svarbu. Bet tai nepašalina serverio: jis vis dar ten, apdoroja metaduomenis, yra pažeidžiamas teismo įsakymų, teisinio įsikišimo, politinio spaudimo ar saugumo pažeidimų. Trumpai tariant, jis išlieka tašku, kuriame reikia pasikliauti kažkuo.

Antrasis modelis, be serverio tarp dviejų galų, užšifruoto turinio neapsaugo geriau: jei kriptografija tvirta, turinys abiem atvejais yra apsaugotas. Keičiasi pats klausimas: „kas nutinka serveriui?“ tampa beprasmis, nes nėra serverio, apie kurį būtų galima paklausti.

Pasitikėjimas, nebuvimas ir skirtumas tarp jų

Pasitikėjimas gali būti gerai pagrįstas. Sąžiningos įmonės egzistuoja. Griežti auditoriai egzistuoja. Vartotojui palankūs teisės aktai egzistuoja. Rimtos paslaugos, kurios kruopščiai atitinka visus šiuos reikalavimus, egzistuoja. Pasitikėjimas, kai jis suteikiamas operatoriui, kuris jo nusipelno, nėra blogas susitarimas.

Bet pasitikėjimas, kad ir koks stiprus būtų, lieka pasitikėjimu. Tai socialinis, o ne techninis sprendimas. Įmonės savininkai gali pasikeisti, jurisdikcijoje gali pasikeisti vyriausybė, teismo įsakymas gali ateiti rytoj, nauja spraga gali būti rasta kitą mėnesį. Niekas iš to nevyksta iš piktos valios: tai vyksta, nes operatorius egzistuoja, o viskas, kas egzistuoja, yra pavaldu pasaulio atsitiktinumams.

Operatoriaus nebuvimas nepriklauso nuo tų pačių aplinkybių. Teismo įsakymas negali prašyti duomenų iš serverio, kurio nėra. Užpuolikas negali kompromituoti serverio, kurio nėra. Įmonės politikos pasikeitimas negali paveikti duomenų, kurių ta įmonė niekada neturėjo. Pagrindinė frazė yra paprasta: duomenų, kurie neegzistuoja, neįmanoma prarasti.

Apie teisėtą serverio pusės argumentą

Tas, kas siūlo profesionalią pranešimų paslaugą su serveriu viduryje, paprastai pateikia tris visiškai pagrįstus argumentus. Pirma, serveris būtinas norint užtikrinti pristatymą, kai gavėjas yra atsijungęs. Antra, turinio šifravimas yra tvirtas, todėl operatorius negali jo perskaityti. Trečia, paslauga atitinka Europos teisės aktus, o duomenis saugo įstatymas.

Visi trys argumentai yra teisingi. Nė vienas iš jų nekeičia reikalo esmės. Tiesa, kad serveris leidžia saugoti pranešimus atidėtam pristatymui; taip pat tiesa, kad atidėtas pristatymas gali būti išspręstas kitu būdu, naudojant tiesioginio bendravimo tarp įrenginių protokolus, tobulinamus jau dešimtmečius ir veikiančius šiandien. Tiesa, kad perkeliamo turinio šifravimas yra tvirtas rimtose paslaugose. Ir tiesa, kad Europos teisės aktai saugo vartotojus labiau nei daugelyje kitų vietų.

Klausimas ne tame, ar paslaugos su serveriu viduryje yra legalios, ar saugios, ar jos apsaugo turinį. Jos gali tokios būti, yra legalios ir paprastai saugios. Klausimas tas, kad turėti serverį viduryje yra architektūrinis pasirinkimas, o ne techninė prievolė. Ir kiekvienas pasirinkimas turi pasekmių. Architektūra su serveriu viduryje neišvengiamai sukuria aktorių, kuriuo reikia pasitikėti. Architektūra be serverio viduryje to nedaro.

Ką sako įstatymas ir ką daro architektūra

BDAR nereikalauja konkretaus architektūrinio modelio. Jis reikalauja rezultatų: duomenų minimizavimo, tikslo apribojimo, pritaikytosios ir standartinės duomenų apsaugos, gebėjimo įrodyti atitiktį. Paslauga su serveriu viduryje gali atitikti visus šiuos reikalavimus. Paslauga be serverio viduryje atitinka kelis iš jų pagal konstrukciją, o ne pagal deklaraciją. Visiškas minimizavimas — nerinkti nieko, kas nėra griežtai būtina pranešimui pristatyti — yra trivialus, kai nėra serverio, kuris galėtų ką nors rinkti.

Kasdieniams jautrumo nereikalaujantiems atvejams architektūra su serveriu yra visiškai pagrįsta, o pasitikėjimas rimtu operatoriumi yra galiojantis susitarimas. Kitiems atvejams — tiems, kurie apima reguliuojamą profesinę paslaptį, tiems, kurie susiję su deontologine atsakomybe, tiems, kurie liečia ypač jautrią informaciją — pasitikėjimo taško nebuvimas yra ne prabanga, o struktūrinis pranašumas.

Nereikalingas liudytojas

Grįžimas į pradžios kambarį padeda įtvirtinti šią idėją. Tai, kad niekas nesiklausė pokalbio, priklauso ne nuo to, kad liudytojas elgėsi gerai: tai priklauso nuo to, kad liudytojo nebuvo. Tarpinis serveris gali būti sąžiningas, audituojamas, atitikti kiekvieną BDAR straipsnį ir vis tiek išlikti būtent liudytoju. Tam, kuris tvarko profesinę paslaptį, iš tikrųjų svarbus klausimas yra ne tai, ar šis liudytojas vertas pasitikėjimo: svarbu, ar jam apskritai reikėjo būti tame kambaryje.

Atsakymas daugelyje šiandien egzistuojančių profesionalių pranešimų siuntimo paslaugų yra tas, kad nereikėjo — bet jis vis tiek ten buvo.

---

Šis straipsnis užbaigia pradinį Cuadernos Lacre ciklą. Pakalbėję apie šifravimą, metaduomenis ir profesinę paslaptį, užbaigiame architektūrinį paveikslą: turinio šifravimas ir serverio nebuvimas viduryje yra skirtingi dalykai. Abu gali būti legalūs; tik vienas panaikina pasitikėjimo tašką.