Шифрування не означає приватність

Замок, який не захищає все

Значна частина сучасних сервісів обміну повідомленнями рекламує наскрізне шифрування. І це правда: вміст повідомлень передається в зашифрованому вигляді, тому ніхто на шляху, навіть сам провайдер сервісу, не може прочитати текст під час його передачі. До цього моменту твердження є точним.

Проблема в тому, що вміст — це лише частина історії. Навіть якщо ніхто не може прочитати те, що ви кажете, сервіс знає інші речі з дуже високою точністю: з ким ви розмовляєте, о котрій годині, як часто, з якого приблизного місця розташування, на якому пристрої, скільки повідомлень ви надсилаєте і скільки отримуєте, скільки файлів ви поширюєте. Все це називається метаданими (metadata). І метадані в багатьох випадках говорять майже стільки ж, скільки саме повідомлення.

Що розкривають метадані

Не потрібно читати повідомлення, щоб знати багато речей. Якщо людина телефонує або пише онкологу щовівторка вранці о дев'ятій годині протягом шести місяців, не обов'язково чути розмову, щоб здогадатися, що відбувається. Якщо двоє людей обмінюються сотнею повідомлень на день і раптом припиняють це робити, не потрібно читати жодного, щоб зрозуміти, що сталося. Якщо податковий консультант отримує двадцять повідомлень поспіль від одного і того ж клієнта в ніч перед квартальним закриттям, модель говорить сама за себе.

Метадані розкривають поведінкові моделі: хто з ким у стосунках, які графіки у кожної людини, коли вони не сплять, коли сплять, коли подорожують, які клієнти найбільш активні, які професійні відносини найбільш інтенсивні. Сервер, який збирає метадані, може побудувати детальний профіль особистого та професійного життя будь-якого користувача, ніколи не прочитавши жодного слова з того, що він пише.

Є історичний приклад, який ілюструє це жорстко. Колишній директор NSA Майкл Хайден сформулював це прямо у 2014 році: «We kill people based on metadata». Заява стосувалася військових операцій США проти цілей, ідентифікованих виключно на основі їхніх моделей комунікації. Жодного прочитаного повідомлення. Тільки граф контактів і графіки.

Те, що сервіс збирає метадані, означає, що він має можливість використовувати їх проти своїх користувачів, і що третя сторона, яка має доступ до цих даних — за рішенням суду, через витік безпеки або шляхом продажу третім особам, якщо це дозволяють умови надання послуг, — також має таку можливість.

Доступ до адресної книги

Ще один вектор, який проходить майже непоміченим: список контактів. Велика частина месенджерів просить доступ до адресної книги телефону під час реєстрації. Вони завантажують усі номери на свій сервер, щоб показати, хто ще користується сервісом. З цього моменту компанія має повну карту стосунків користувача, навіть якщо він ніколи нікому не написав жодного повідомлення.

Для професіонала, на якого поширюється професійна таємниця — адвоката, лікаря, психолога, консультанта — ця адресна книга містить клієнтів. Якщо адресна книга була завантажена на сервер третьої сторони, імена клієнтів знаходяться в інфраструктурі, юрисдикцію та політику якої професіонал не контролює. Професійна таємниця не порушується в той день, коли хтось зливає розмову: вона була порушена набагато раніше, в момент згоди на завантаження.

Різниця між шифруванням та незбиранням

Шифрувати — означає захищати вміст. Бути приватним — означає не збирати те, що не потрібно. Це різні речі, і різниця є операційно вирішальною. Сервіс може ідеально шифрувати всі повідомлення і водночас знати майже все про своїх користувачів через метадані. Обидва варіанти цілком сумісні. Насправді це домінуюча бізнес-модель у секторі.

Правильне питання для оцінки справжньої конфіденційності сервісу — не «чи шифрує він вміст?». На це питання відповідь відома вже багато років. Правильне питання таке: «які метадані він генерує і де вони зберігаються?». І, перш за все: «які метадані йому не потрібно генерувати?».

Архітектура, яка мінімізує метадані за дизайном (privacy by design) — не за обіцянкою, не за внутрішньою політикою — є структурно більш приватною, ніж архітектура, яка їх збирає та шифрує. Тому що дані, яких не існує, не можуть бути злиті, продані, передані за рішенням суду або втрачені під час зламу.

Замок і карта

Найскладніший замок на ринку нічого не говорить про карту, яка залишається поза ним. Сервіс може ідеально зашифрувати кожне повідомлення і водночас знати, з ким ви розмовляєте, коли, скільки разів і звідки — не прочитавши жодного вашого слова. Для тих, хто має справу з професійною таємницею, дійсно важливим питанням є не те, чи подорожує повідомлення зашифрованим: а те, що було залишено поза шифруванням без чийогось прохання.

Чесна відповідь у більшості сервісів, які рекламуються як приватні, звучить так: майже все.

---

Ця стаття є першою в серії про реальну роботу професійних інструментів комунікації. Наступні випуски будуть присвячені дотриманню GDPR у месенджерах та концепції професійної таємниці в цифрову епоху.