Šifravimas nėra privatumas

Spyna, kuri neapsaugo visko

Didžioji dalis dabartinių susirašinėjimo paslaugų reklamuoja ištisinį šifravimą. Ir tai tiesa: žinučių turinys keliauja užšifruotas taip, kad niekas pakeliui, net ir paslaugos teikėjas, negali perskaityti teksto jo perdavimo metu. Iki šios vietos teiginys yra tikslus.

Problema ta, kad turinys yra tik dalis istorijos. Nors niekas negali perskaityti to, ką sakote, paslauga žino kitus dalykus labai dideliu tikslumu: su kuo kalbate, kurią valandą, kaip dažnai, iš kokios apytikslės vietos, kokiame įrenginyje, kiek žinučių siunčiate ir kiek gaunate, kiek failų bendrinate. Visa tai vadinama metaduomenimis. O metaduomenys daugeliu atvejų sako beveik tiek pat, kiek ir pati žinutė.

Ką atskleidžia metaduomenys

Nereikia skaityti žinutės, kad žinotum daug dalykų. Jei asmuo skambina arba rašo onkologui kiekvieną antradienio rytą devintą valandą šešis mėnesius, nebūtina girdėti pokalbio, kad nuspėtum, kas vyksta. Jei du asmenys per dieną pasikeičia šimtu žinučių ir staiga nustoja tai daryti, nereikia skaityti nei vienos, kad suprastum, kas nutiko. Jei mokesčių konsultantas gauna dvidešimt žinučių iš eilės iš to paties kliento naktį prieš ketvirčio pabaigą, modelis kalba pats už save.

Metaduomenys atskleidžia elgsenos modelius: kas su kuo palaiko santykius, kokie yra kiekvieno asmens tvarkaraščiai, kada jie pabudę, kada miega, kada keliauja, kurie klientai yra aktyviausi, kurie profesiniai santykiai yra intensyviausi. Metaduomenis renkantis serveris gali sukurti išsamų bet kurio vartotojo asmeninio ir profesinio gyvenimo profilį, niekada neperskaitęs nei vieno jo rašomo žodžio.

Yra istorinis pavyzdys, kuris tai iliustruoja labai griežtai. Buvęs NSA direktorius Michael Hayden tai tiesiai suformulavo 2014 m.: „We kill people based on metadata“. Teiginys nurodė į JAV karines operacijas prieš taikinius, identifikuotus išimtinai pagal jų komunikacijos modelius. Nei vienos perskaitytos žinutės. Tik kontaktų grafas ir tvarkaraščiai.

Tai, kad paslauga renka metaduomenis, reiškia, kad ji turi galimybę juos panaudoti prieš savo vartotojus, ir kad trečioji šalis, turinti prieigą prie šių duomenų — pagal teismo orderį, dėl saugumo pažeidimo ar juos pardavus trečiosioms šalims, jei tai leidžia paslaugos teikimo sąlygos — taip pat turi tokią galimybę.

Prieiga prie kontaktų knygos

Kitas vektorius, kuris lieka beveik nepastebėtas: kontaktų sąrašas. Didelė dalis susirašinėjimo paslaugų registruojantis prašo prieigos prie telefono kontaktų knygos. Jie įkelia visus numerius į savo serverį, kad parodytų, kas dar naudojasi paslauga. Nuo tos akimirkos įmonė turi pilną vartotojo santykių žemėlapį, net jei jis niekada niekam neparašė nei vienos žinutės.

Profesionalui, saugančiam profesinę paslaptį – advokatui, gydytojui, psichologui, konsultantui – toje kontaktų knygoje yra klientai. Jei kontaktų knyga buvo įkelta į trečiosios šalies serverį, klientų pavardės yra infrastruktūroje, kurios jurisdikcijos ir politikos profesionalas nekontroliuoja. Profesinė paslaptis nėra pažeidžiama tą dieną, kai kas nors nutekina pokalbį: ji buvo pažeista daug anksčiau, įkėlimo sutikimo momentu.

Skirtumas tarp šifravimo ir nerinkimo

Šifruoti reiškia saugoti turinį. Būti privačiam reiškia nerrinkti to, ko nereikia. Tai skirtingi dalykai, ir skirtumas yra operatyviai lemiamas. Paslauga gali puikiai šifruoti visas žinutes ir tuo pačiu metu per metaduomenis žinoti beveik viską apie savo vartotojus. Abu dalykai yra visiškai suderinami. Tiesą sakant, tai yra dominuojantis verslo modelis sektoriuje.

Teisingas klausimas norint įvertinti tikrąjį paslaugos privatumą nėra „ar ji šifruoja turinį?“. Į šį klausimą atsakyta jau prieš kelerius metus. Teisingas klausimas yra: „kokius metaduomenis ji generuoja ir kur jie saugomi?“. Ir, svarbiausia: „kokių metaduomenų jai nereikia generuoti?“.

Architektūra, kuri minimizuoja metaduomenis pagal projektą (privacy by design) – ne pagal pažadą, ne pagal vidinę politiką – yra struktūriškai privatesnė nei architektūra, kuri juos renka ir šifruoja. Nes duomenys, kurių nėra, negali būti nutekinti, parduoti, perduoti pagal teismo sprendimą ar prarasti per saugumo pažeidimą.

Spyna ir žemėlapis

Sudėtingiausia spyna rinkoje nieko nesako apie žemėlapį, kuris lieka už jos ribų. Paslauga gali tobulai užšifruoti kiekvieną žinutę ir tuo pat metu žinoti, su kuo kalbate, kada, kiek kartų ir iš kur —neperskaičiusi nė vieno jūsų žodžio. Tam, kuris dirba su profesine paslaptimi, tikrai svarbus klausimas yra ne tai, ar žinutė keliauja užšifruota: o tai, kas buvo palikta už šifravimo ribų niekam neprašius.

Sąžiningas atsakymas daugumoje paslaugų, kurios reklamuojamos kaip privačios, yra: beveik viskas.

---

Šis straipsnis yra pirmasis iš serijos apie tikrąjį profesionalių komunikacijos įrankių veikimą. Būsimuose numeriuose bus nagrinėjamas BDAR laikymasis susirašinėjimo programėlėse ir profesinės paslapties koncepcija skaitmeniniame amžiuje.