Kryptering innebär inte integritet

Hänglåset som inte skyddar allt

En stor del av dagens meddelandetjänster marknadsför ändpunkt-till-ändpunkt-kryptering. Och det är sant: innehållet i meddelandena färdas krypterat, så att ingen på vägen, inte ens tjänsteleverantören själv, kan läsa texten medan den är i transit. Fram till denna punkt är påståendet exakt.

Problemet är att innehållet bara är en del av historien. Även om ingen kan läsa vad du säger, vet tjänsten andra saker med mycket hög precision: vem du pratar med, när, hur ofta, från vilken ungefärlig plats, på vilken enhet, hur många meddelanden du skickar och hur många du tar emot, hur många filer du delar. Allt detta kallas metadata. Och metadata berättar i många fall nästan lika mycket som själva meddelandet.

Vad metadata avslöjar

Man behöver inte läsa ett meddelande för att veta mycket. Om en person ringer eller skriver till en onkolog varje tisdagsmorgon klockan nio under sex månader, behövs det inte höras vad som sägs för att ana vad som pågår. Om två personer utbyter hundra meddelanden om dagen och plötsligt slutar, behöver man inte läsa ett enda för att förstå vad som har hänt. Om en skatterådgivare får tjugo meddelanden i rad från samma kund kvällen före ett kvartalsskifte, talar mönstret för sig självt.

Metadata avslöjar beteendemönster: vem som umgås med vem, vilka tider varje person har, när de är vakna, när de sover, när de reser, vilka kunder som är mest aktiva, vilka yrkesmässiga relationer som är mest intensiva. En server som samlar in metadata kan bygga en detaljerad profil av varje användares personliga och yrkesmässiga liv utan att någonsin ha läst ett enda ord av vad som skrivits.

Det finns ett historiskt exempel som illustrerar detta med skärpa. Den tidigare chefen för NSA, Michael Hayden, formulerade det utan krusiduller 2014: "We kill people based on metadata". Påståendet syftade på amerikanska militäroperationer mot mål som identifierats enbart genom deras kommunikationsmönster. Inte ett enda läst meddelande. Bara kontaktgrafen och tiderna.

Att en tjänst samlar in metadata innebär att den har kapaciteten att använda dem mot sina användare, och att en tredje part med tillgång till de uppgifterna — genom domstolsbeslut, säkerhetsintrång eller försäljning till tredje part om användarvillkoren tillåter det — också har det.

Tillgången till kontaktboken

En annan vektor som nästan går obemärkt förbi: kontaktlistan. En stor del av meddelandetjänsterna ber om tillgång till telefonens kontaktbok vid registrering. De laddar upp alla nummer till sin server för att visa vilka andra som använder tjänsten. Från det ögonblicket har företaget en komplett karta över användarens relationer, även om denne aldrig har skrivit ett enda meddelande till någon.

För en yrkesutövare med tystnadsplikt – advokat, läkare, psykolog, rådgivare – innehåller den kontaktboken klienter. Om kontaktboken har laddats upp till en tredjepartsserver finns klienternas namn i en infrastruktur vars jurisdiktion och policyer yrkesutövaren inte kontrollerar. Tystnadsplikten bryts inte den dag någon läcker en konversation: den bröts långt tidigare, i det ögonblick uppladdningen accepterades.

Skillnaden mellan att kryptera och att inte samla in

Kryptering är att skydda innehållet. Integritet är att inte samla in det som inte behövs. Det är olika saker, och skillnaden är operativt kritisk. En tjänst kan kryptera alla meddelanden perfekt och samtidigt veta nästan allt om sina användare genom metadata. De två sakerna är fullt kompatibla. Faktum är att det är den dominerande affärsmodellen i branschen.

Den rätta frågan för att utvärdera en tjänsts verkliga integritet är inte "krypterar den innehållet?". Den frågan har varit besvarad i åratal. Den rätta frågan är: "vilken metadata genererar den och var lagras den?". Och framför allt: "vilken metadata behöver den inte generera?".

En arkitektur som minimerar metadata genom design – inte genom löften eller interna policyer – är strukturellt mer privat än en arkitektur som samlar in och krypterar den. Eftersom data som inte finns inte kan läckas, säljas, lämnas ut vid ett domstolsbeslut eller förloras vid ett intrång.

Hänglåset och kartan

Det mest sofistikerade hänglåset på marknaden säger ingenting om kartan som ligger utanför det. En tjänst kan kryptera varje meddelande perfekt och samtidigt veta vem du pratar med, när, hur många gånger och varifrån —utan att ha läst ett enda ord från dig. För den som hanterar tystnadsplikt är den verkligt viktiga frågan inte om meddelandet färdas krypterat: det är vad som har lämnats utanför krypteringen utan att någon har bett om det.

Det ärliga svaret, i de flesta tjänster som marknadsförs som privata, är: nästan allt.

---

Den här artikeln är den första i en serie om hur professionella kommunikationsverktyg fungerar i verkligheten. Kommande delar kommer att behandla GDPR-efterlevnad i messaging och konceptet tystnadsplikt i den digitala tidsåldern.