Kad vidū neviena nav

Divi cilvēki, viena saruna

Kad divi cilvēki istabā runā aci pret aci, nevienam citam nav jāapsola, ka viņš neko nedzirdēja. Viņš nedzirdēja, jo viņa tur nebija. Kad divi cilvēki nodod papīra lapu no rokas rokā, nevienam pa vidu nav jāzvēr, ka viņš to nelasīja. Pa vidu neviena nav.

Lielākā daļa lietu ikdienā darbojas tieši šādi. Mēs neparakstām konfidencialitātes līgumus ar gaisu, kas pārraida mūsu balsi, vai ar papīru, ko turam rokās. Sarunas privātums nebalstās uz starpnieka solījumu, jo starpnieka nav. Tas ir viens no spēcīgākajiem veidiem, kā būt privātam: nevis tāpēc, ka kaut kas vai kāds uzvedas labi, bet gan tāpēc, ka tur nekā un neviena nav.

Kad saruna pāriet uz digitālo kanālu, pēc noklusējuma tas mainās. Parastais modelis ir šāds: divi cilvēki savienojas ar serveri, serveris saņem ziņojumu, šifrē to vai saglabā šifrētu, un nogādā saņēmējam. Serveris ir pa vidu. Serveris var būt godīgs. Tas var būt auditēts. Tas var darboties labvēlīgā jurisdikcijā saskaņā ar stingru privātuma politiku. Tas viss var būt patiesība. Taču serveris ir pa vidu.

Atšķirība starp šifrēšanu un neievākšanu (otrā daļa)

Iepriekšējā šīs pašas sērijas rakstā mēs apgalvojam, ka satura šifrēšana un metadatu neievākšana nav viens un tas pats. Ir vēl viens solis, kas būtu skaidri jāformulē: tā šifrēšana, kas iet caur serveri, un servera neesamība arī nav viens un tas pats.

Pirmais modelis — serveris pa vidu, šifrēts saturs — aizsargā saturu no servera operatora, tā apkalpojošā personāla, ārēja uzbrucēja, kas kompromitē sistēmu. Un tas ir svarīgi. Bet tas nenovērš serveri: tas joprojām tur atrodas, apstrādājot metadatus, pakļauts tiesas pieprasījumam, juridiskai iejaukšanās, politiskam spiedienam vai drošības pārkāpumam. Tas galu galā joprojām ir punkts, kurā ir jāuzticas kādam.

Otrais modelis, bez servera starp diviem galiem, neaizsargā šifrēto saturu labāk: ja kriptogrāfija ir spēcīga, saturs ir aizsargāts abos gadījumos. Tas, kas mainās, ir pats jautājums: «kas notiek ar serveri?» vairs nav aktuāls, jo nav servera, par ko jautāt.

Uzticēšanās, prombūtne un atšķirība starp tām

Uzticēšanās var būt labi pamatota. Pastāv godīgi uzņēmumi. Pastāv stingri auditori. Lietotājam labvēlīgi tiesību akti pastāv. Nopietni pakalpojumi, kas rūpīgi atbilst visiem iepriekš minētajiem, pastāv. Uzticēšanās, ja tā tiek piešķirta operatoram, kurš to ir pelnījis, nav slikts risinājums.

Bet uzticēšanās, lai cik tā būtu spēcīga, joprojām ir uzticēšanās. Tas ir sociāls, nevis tehnisks risinājums. Uzņēmums var mainīt īpašniekus, jurisdikcija var mainīt valdību, tiesas rīkojums var tikt izdots rīt, jauna neaizsargātība var tikt atklāta nākamajā mēnesī. Nekas no tā nenotiek ļaunprātības dēļ: tas notiek tāpēc, ka operators pastāv, un viss, kas pastāv, ir pakļauts pasaules nejaušībām.

Operatora neesamība nav pakļauta šīm pašām nejaušībām. Tiesas rīkojums nevar pieprasīt datus no servera, kura nav. Uzbrucējs nevar kompromitēt serveri, kura nav. Uzņēmuma politikas izmaiņas nevar ietekmēt datus, kuru šim uzņēmumam nekad nav bijis. Galvenā frāze ir vienkārša: datus, kas neeksistē, nevar pazaudēt.

Par leģitīmo servera puses argumentu

Ikviens, kas piedāvā profesionālu ziņapmaiņas pakalpojumu ar serveri pa vidu, parasti formulē trīs pilnīgi pamatotus argumentus. Pirmkārt, serveris ir nepieciešams, lai nodrošinātu piegādi, kad saņēmējs ir bezsaistē. Otrkārt, satura šifrēšana ir spēcīga, un tādēļ operators to nevar izlasīt. Treškārt, pakalpojums atbilst Eiropas tiesību aktiem un datus aizsargā likums.

Visi trīs argumenti ir patiesi. Neviens nemaina lietas būtību. Tā ir taisnība, ka serveris ļauj saglabāt ziņojumus aizkavētai piegādei; ir arī taisnība, ka aizkavētu piegādi var atrisināt citādi, izmantojot tiešās saziņas protokolus starp ierīcēm, kas ir pilnveidoti gadu desmitiem un darbojas jau šodien. Tiesa, pārraides satura šifrēšana nopietnos pakalpojumos ir spēcīga. Un taisnība, ka Eiropas tiesību akti aizsargā lietotājus labāk nekā daudzās citās vietās.

Jautājums nav par to, vai pakalpojumi ar serveri pa vidu ir legāli, droši vai aizsargā saturu. Tie tādi var būt, ir legāli un parasti droši. Jautājums ir tāds, ka serveris pa vidu ir arhitektūras izvēle, nevis tehniska prasība. Un katrai izvēlei ir sekas. Arhitektūra ar serveri pa vidu neizbēgami rada spēlētāju, kuram ir jāuzticas. Arhitektūra bez servera pa vidu to nedara.

Ko saka likums, un ko dara arhitektūra

VDAR neprasa konkrētu arhitektūras modeli. Tas prasa rezultātus: datu minimizēšanu, mērķa ierobežojumu, integrētu datu apstrādes aizsardzību un aizsardzību pēc noklusējuma, spēju pierādīt atbilstību. Pakalpojums ar serveri pa vidu var izpildīt visas šīs prasības. Pakalpojums bez servera pa vidu atbilst vairākām no tām pēc konstrukcijas, nevis pēc deklarācijas. Absolūta minimizācija — nevākt neko, kas nav stingri nepieciešams ziņojuma piegādei — ir triviāla, ja nav servera, kas varētu kaut ko savākt.

Ikdienas, ne pārāk sensitīvai lietošanai arhitektūra ar serveri ir pilnīgi saprātīga, un uzticēšanās nopietnam operatoram ir derīgs risinājums. Citiem lietojumiem — tiem, kas saistīti ar regulētu profesionālo noslēpumu, tiem, kas ietver deontoloģisko atbildību, tiem, kas skar īpaši jutīgu informāciju — uzticības punkta neesamība nav luksuss, bet gan strukturāla priekšrocība.

Nevajadzīgais liecinieks

Atgriešanās pie sākotnējās istabas palīdz nostiprināt šo ideju. Tas, ka neviens nav klausījies sarunu, nav atkarīgs no tā, ka liecinieks uzvedies labi: tas ir atkarīgs no tā, ka liecinieka nebija. Starpniekserveris var būt godīgs, auditēts, ievērot katru VDAR pantu, taču tas joprojām paliek tieši liecinieks. Cilvēkam, kurš strādā ar profesionālo noslēpumu, patiesi svarīgais jautājums nav tas, vai šis liecinieks ir pelnījis uzticību: bet gan tas, vai viņam vispār bija jāatrodas telpā.

Atbilde lielākajā daļā mūsdienu profesionālo ziņojumapmaiņas pakalpojumu ir tāda, ka nevajadzēja — un tomēr viņš tur bija.

---

Šis raksts noslēdz Cuadernos Lacre sākotnējo ciklu. Pēc sarunām par šifrēšanu, metadatiem un profesionālo noslēpumu, mēs pabeidzam arhitektūras ainu: satura šifrēšana un servera neesamība ir divas dažādas lietas. Abas var būt legālas; tikai viena no tām izslēdz uzticības punktu.