Ko vmes ni nikogar

Dva človeka, en pogovor

Ko se dve osebi pogovarjata iz oči v oči v sobi, nikomur drugemu ni treba obljubiti, da ni ničesar slišal. Ni slišal, ker ga ni bilo tam. Ko si dve osebi iz rok v roke podata kos papirja, nikomur na sredini ni treba priseči, da ga ni prebral. Na sredini ni nikogar.

Večina stvari v vsakdanjem življenju deluje tako. Ne podpisujemo sporazumov o zaupnosti z zrakom, ki prenaša naš glas, niti s papirjem, ki ga držimo. Zasebnost pogovora ne sloni na obljubi posrednika, ker posrednika ni. To je eden najmočnejših načinov zasebnosti: ne zato, ker bi se nekaj ali nekdo dobro obnašal, temveč zato, ker nečesa ali nekoga ni.

Ko se pogovor preseli v digitalni kanal, se to privzeto spremeni. Običajni model je naslednji: dve osebi se povežeta s strežnikom, strežnik prejme sporočilo, ga šifrira ali shrani šifriranega in ga dostavi prejemniku. Strežnik je vmes. Strežnik je lahko pošten. Lahko je revidiran. Lahko deluje v ugodni jurisdikciji in pod strogo politiko zasebnosti. Vse to je lahko res. Toda strežnik je vmes.

Razlika med šifriranjem in nezbiranjem (drugi del)

V prejšnjem članku v tej isti seriji trdimo, da šifriranje vsebine in nezbiranje metapodatkov nista isto. Obstaja še korak naprej, ki ga je vredno jasno formulirati: šifriranje tistega, kar gre skozi strežnik, in odsotnost strežnika prav tako nista isto.

Prvi model — strežnik na sredini, šifrirana vsebina — ščiti vsebino pred operaterjem strežnika, njegovim vzdrževalnim osebjem in zunanjim napadalcem, ki bi kompromitiral sistem. In to je pomembno. Vendar strežnika ne odpravi: še vedno je tam, obdeluje metapodatke, izpostavljen sodnim odredbam, pravnim posredovanjem, političnim pritiskom ali varnostnim vdorom. Konec koncev ostaja točka, ki zahteva zaupanje v nekoga.

Drugi model, brez strežnika med obema koncema, ne ščiti šifrirane vsebine bolje: če je kriptografija trdna, je vsebina v obeh primerih zaščitena. Spremeni se samo vprašanje: »kaj pa strežnik?« postane brezpredmetno, ker strežnika, o katerem bi se lahko vprašali, sploh ni.

Zaupanje, odsotnost in razlika med njima

Zaupanje je lahko dobro naloženo. Poštena podjetja obstajajo. Dosledni revizorji obstajajo. Zakonodaje, naklonjene uporabniku, obstajajo. Resne storitve, ki strogo izpolnjujejo vse zgoraj navedeno, obstajajo. Zaupanje, ko je podeljeno operaterju, ki si ga zasluži, ni slab dogovor.

Toda zaupanje, ne glede na to, kako trdno je, še vedno ostaja zaupanje. To je družbena, ne tehnična rešitev. Podjetje lahko zamenja lastnika, v jurisdikciji se lahko zamenja vlada, sodna odredba lahko pride jutri, nova ranljivost se lahko odkrije naslednji mesec. Nič od tega se ne zgodi iz zlobe: zgodi se, ker operater obstaja, in vse, kar obstaja, je podvrženo nepredvidljivostim tega sveta.

Odsotnost operaterja ni podvržena tem istim naključjem. Sodni nalog ne more zahtevati podatkov od strežnika, ki ne obstaja. Napadalec ne more kompromitirati strežnika, ki ne obstaja. Sprememba politike podjetja ne more vplivati na podatke, ki jih to podjetje nikoli ni imelo. Ključni stavek je preprost: podatkov, ki ne obstajajo, ni mogoče izgubiti.

O legitimnem argumentu na strane strežnika

Kdor ponuja profesionalno storitev sporočanja s strežnikom vmes, običajno formulira tri popolnoma veljavne argumente. Prvič, da je strežnik potreben za zagotavljanje dostave, ko je prejemnik odklopljen. Drugič, da je šifriranje vsebine robustno in zato operater ne more brati. Tretjič, da storitev izpolnjuje evropsko zakonodajo in da so podatki zaščiteni z zakonom.

Vsi trije argumenti so resnični. Noben ne spremeni narave zadeve. Res je, da strežnik omogoča shranjevanje sporočil za zapoznelo dostavo; res je tudi, da se zapoznela dostava lahko reši drugače, prek protokolov neposredne komunikacije med napravami, ki so se izpopolnjevali desetletja in delujejo danes. Res je, da je šifriranje vsebine v tranzitu robustno v resnih storitvah. In res je, da evropska zakonodaja ščiti uporabnike bolj kot tista v mnogih drugih krajih.

Vprašanje ni, ali so storitve s strežnikom vmes zakonite, niti ali so varne, niti ali ščitijo vsebino. Lahko so, so zakonite in so običajno varne. Vprašanje je, da je imeti strežnik vmes arhitekturna izbira, ne tehnična nujnost. In vsaka izbira ima posledice. Arhitektura s strežnikom vmes nujno ustvari akterja, ki mu je treba zaupati. Arhitektura brez strežnika vmes ne.

Kaj pravi zakon in kaj naredi arhitektura

Splošna uredba o varstvu podatkov (GDPR) ne zahteva določenega arhitekturnega modela. Zahteva rezultate: zmanjšanje količine podatkov, omejitev namena, zaščito s snovanjem in privzeto, sposobnost dokazovanja skladnosti. Storitev s strežnikom vmes lahko izpolnjuje vse te zahteve. Storitev brez strežnika vmes jih več izpolnjuje s konstrukcijo, ne z deklaracijo. Absolutno zmanjšanje — nezbiranje ničesar, kar ni nujno potrebno za dostavo sporočila — je trivialno, ko ni strežnika, ki bi lahko karkoli zbral.

Za vsakodnevne neobčutljive uporabe je strežniška arhitektura popolnoma razumna in zaupanje v resnega operaterja je veljaven dogovor. Za druge uporabe — tiste, ki vključujejo regulirano poklicno skrivnost, tiste, ki prinašajo deontološko odgovornost, tiste, ki se dotikajo posebej občutljivih informacij — odsotnost točke zaupanja ni luksuz, temveč strukturna prednost.

Nepotreben nujni priča

Vrnitev v začetno sobo pomaga utrditi zamisel. To, da nihče ni poslušal pogovora, ni odvisno od tega, ali se je priča lepo obnašala: odvisno je od tega, da priče sploh ni bilo. Vmesni strežnik je lahko pošten, nadzorovan, v skladu z vsakim členom GDPR, a kljub temu ostaja točno to – priča. Za nekoga, ki ravna s poklicno skrivnostjo, resnično pomembno vprašanje ni, ali ta priča vzbuja zaupanje: pomembno je vprašanje, ali je bilo sploh potrebno, da je priča v sobi.

Odgovor v večini današnjih profesionalnih storitev za pošiljanje sporočil je, da to ni bilo potrebno — pa je bila priča vseeno prisotna.

---

Ta članek zaključuje začetni cikel Cuadernos Lacre. Po pogovoru o šifriranju, metapodatkih in poklicni skrivnosti dopolnjujemo arhitekturno sliko: šifriranje vsebine in odsotnost strežnika vmes sta različni stvari. Obe sta lahko zakoniti; le ena odpravi točko zaupanja.