Apabila tiada sesiapa di tengah

Dua orang, satu perbualan

Apabila dua orang bercakap secara bersemuka di dalam bilik, tiada orang lain yang perlu berjanji bahawa mereka tidak mendengar apa-apa. Mereka tidak mendengar kerana mereka tidak ada di situ. Apabila dua orang menghulurkan sehelai kertas dari satu tangan ke tangan yang lain, tiada siapa di tengah-tengah perlu bersumpah bahawa mereka tidak membacanya. Tiada siapa di tengah-tengah.

Kebanyakan perkara dalam kehidupan seharian berfungsi dengan cara ini. Kami tidak menandatangani perjanjian kerahsiaan dengan udara yang memancarkan suara kami, mahupun dengan kertas yang kami pegang. Privasi perbualan tidak bergantung pada janji pihak perantara, kerana tiada pihak perantara. Ini ialah salah satu bentuk kerahsiaan yang paling kukuh yang wujud: bukan kerana sesuatu atau seseorang berkelakuan baik, tetapi kerana ketiadaan sesuatu atau seseorang itu.

Apabila perbualan beralih ke saluran digital, hal ini berubah secara lalai. Model lazimnya adalah seperti berikut: dua orang menyambung ke pelayan, pelayan menerima mesej, menyulitkannya atau menyimpannya dalam keadaan disulitkan, dan menghantarnya kepada penerima. Pelayan berada di tengah. Pelayan tersebut mungkin jujur. Ia mungkin telah diaudit. Ia mungkin beroperasi dalam bidang kuasa yang menyokong dan di bawah dasar privasi yang ketat. Kesemua itu mungkin benar. Namun, pelayan tersebut berada di tengah.

Perbezaan antara penyulitan dan ketiadaan pengumpulan (bahagian kedua)

Dalam artikel sebelum ini dalam siri yang sama ini, kami berpendapat bahawa penyulitan kandungan dan bukan pengumpulan metadata adalah perkara yang berbeza. Terdapat langkah lebih jauh yang perlu dirumuskan dengan jelas: menyulitkan apa yang melalui pelayan dan tidak mempunyai pelayan juga bukanlah perkara yang sama.

Model pertama — pelayan di tengah, kandungan tersulit — melindungi kandungan daripada pengendali pelayan, kakitangan penyelenggaraan, atau penyerang luar yang menceroboh sistem. Dan itu adalah penting. Tetapi ia tidak menyingkirkan pelayan tersebut: ia masih ada, memproses metadata, terdedah kepada perintah mahkamah, campur tangan undang-undang, tekanan politik atau pelanggaran keselamatan. Ia masih, secara ringkasnya, satu titik yang menuntut kita meletakkan kepercayaan kepada seseorang.

Model kedua, tanpa pelayan di antara dua hujung tersebut, tidak semestinya melindungi kandungan tersulit dengan lebih baik: jika kriptografinya kukuh, kandungan dilindungi dalam kedua-dua kes. Apa yang berubah adalah persoalan itu sendiri: «apa yang berlaku dengan pelayan itu?» tidak lagi relevan, kerana tiada pelayan untuk dipersoalkan.

Kepercayaan, ketiadaan, dan perbezaan antara keduanya

Kepercayaan mungkin diletakkan pada tempat yang betul. Syarikat yang jujur memang wujud. Juruaudit yang teliti memang wujud. Undang-undang yang memihak kepada pengguna memang wujud. Perkhidmatan serius yang teliti mematuhi semua perkara di atas memang wujud. Kepercayaan, apabila diberikan kepada pengendali yang layak, bukanlah suatu pengaturan yang buruk.

Namun kepercayaan, walau sekuat mana pun, tetap sekadar kepercayaan. Ia merupakan penyelesaian sosial, bukan penyelesaian teknikal. Sebuah syarikat boleh bertukar tangan, sesebuah bidang kuasa boleh bertukar kerajaan, perintah mahkamah mungkin tiba esok, kerentanan baharu mungkin ditemui bulan depan. Tiada satu pun daripada ini berlaku atas niat jahat: ia berlaku kerana pengendali itu wujud, dan semua yang wujud tertakluk pada kemungkinan yang tidak dijangka di dunia ini.

Ketiadaan pengendali tidak tertakluk kepada kemungkinan yang sama. Perintah mahkamah tidak boleh meminta data daripada pelayan yang tidak wujud. Penyerang tidak boleh menjejaskan pelayan yang tidak wujud. Perubahan dalam polisi syarikat tidak boleh menjejaskan data yang syarikat itu tidak pernah miliki. Frasa kuncinya adalah mudah: data yang tidak wujud tidak boleh hilang.

Mengenai hujah yang sah di pihak pelayan

Sesiapa yang menawarkan perkhidmatan pemesejan profesional dengan pelayan di tengah biasanya mengemukakan tiga hujah yang sah sepenuhnya. Pertama, pelayan diperlukan untuk menjamin penghantaran apabila penerima berada di luar talian. Kedua, penyulitan kandungan adalah mantap dan oleh itu pengendali tidak boleh membacanya. Ketiga, perkhidmatan tersebut mematuhi perundangan Eropah dan data dilindungi oleh undang-undang.

Ketiga-tiga hujah itu adalah benar. Tiada satupun yang mengubah sifat perkara itu. Memang benar bahawa pelayan membenarkan penyimpanan mesej untuk penghantaran tertunda; juga benar bahawa penghantaran tertunda boleh diselesaikan dengan cara lain, melalui protokol komunikasi langsung antara peranti yang telah diperhalusi selama berdekad-dekad dan beroperasi hari ini. Memang benar penyulitan kandungan dalam transit adalah mantap dalam perkhidmatan yang serius. Dan memang benar perundangan Eropah melindungi penggunanya melebihi banyak tempat lain.

Persoalannya bukan sama ada perkhidmatan yang menggunakan pelayan di tengah itu sah, sama ada ianya selamat, atau sama ada ia melindungi kandungan. Ia mungkin sedemikian, ia adalah sah, dan ia lazimnya selamat. Isunya ialah mempunyai pelayan di tengah-tengah ialah suatu pilihan seni bina, bukannya tuntutan teknikal. Dan setiap pilihan ada akibatnya. Seni bina dengan pelayan di tengah semestinya mewujudkan satu pelakon yang mesti diberi kepercayaan. Sebaliknya, seni bina tanpa pelayan di tengah tidak memerlukan hal tersebut.

Apa yang dikatakan oleh undang-undang, dan apa yang dilakukan oleh seni bina

GDPR tidak memerlukan model seni bina yang khusus. Ia menuntut hasil: meminimumkan data, had tujuan, perlindungan reka bentuk secara lalai, serta keupayaan membuktikan pematuhan. Perkhidmatan dengan pelayan di tengah boleh memenuhi segala keperluan ini. Perkhidmatan tanpa pelayan di tengah memenuhi kebanyakannya secara semula jadi menurut struktur binaan, bukan sekadar deklarasi. Peminimuman mutlak — tidak mengumpul apa-apa yang tidak benar-benar perlu untuk menghantar mesej — adalah mudah apabila tiada pelayan yang dapat mengumpulkan apa-apa.

Untuk penggunaan harian yang tidak sensitif, penggunaan seni bina pelayan ialah wajar, dan meletakkan kepercayaan kepada pengendali yang serius merupakan tindakan yang munasabah. Untuk kegunaan lain — yang melibatkan kerahsiaan profesional terkawal, yang membawa tanggungjawab deontologi, yang menyentuh maklumat yang sangat sensitif — ketiadaan titik kepercayaan bukanlah satu kemewahan, ia adalah kelebihan struktur.

Saksi yang tidak diperlukan

Kembali ke bilik asal membantu menetapkan idea tersebut. Hakikat bahawa tiada siapa yang mendengar perbualan tidak bergantung pada saksi yang berkelakuan baik: ia bergantung pada ketiadaan saksi. Pelayan perantaraan mungkin jujur, diaudit, mematuhi setiap artikel GDPR, dan masih kekal sebagai seorang saksi. Bagi seseorang yang mengendalikan kerahsiaan profesional, persoalan yang benar-benar penting bukanlah sama ada saksi itu layak dipercayai: tetapi sama ada dia perlu berada di dalam bilik tersebut.

Jawabannya, dalam kebanyakan perkhidmatan pemesejan profesional yang ada pada hari ini, adalah bahawa dia tidak diperlukan — dan dia tetap berada di sana.

---

Artikel ini menutup kitaran awal Cuadernos Lacre. Selepas bercakap tentang penyulitan, metadata dan rahsia profesional, kami melengkapkan gambaran seni bina: menyulitkan kandungan dan tidak mempunyai pelayan di tengah adalah perkara yang berbeza. Kedua-duanya boleh jadi sah di sisi undang-undang; hanya satu yang menghapuskan titik kepercayaan.