Спецвипуск до Дня захисту даних — Стеження за метаданими та Nym

Матеріал від Nym за участю головної наукової співробітниці Nym Клаудії Діас (Claudia Diaz), у якому досліджується механіка метаданих, їхня критична роль у сучасному стеженні, особисті дані, які вони розкривають, та кроки, які ми можемо зробити, щоб повернути нашу приватність.

Ця стенограма є доступною копією оригінальної стенограми відео (відкривається в новій вкладці), опублікованої Nym. Її було злегка відредаговано для зручності читання.

Вступ (0:04)

Що таке комунікаційні метадані? Це стосується всього, що пов'язано зі спілкуванням, окрім самого змісту того, що насправді йдеться. Це включає, наприклад, джерело зв'язку, пункт призначення, час відправлення інформації, обсяг надісланої інформації та будь-які виявлені закономірності, зокрема час і розмір пакетів, якими обмінюються.

Комунікаційні метадані (0:27)

Комунікаційні метадані відкриті за замовчуванням у всіх інтернет-протоколах: TCP/IP, HTTP, UDP, FTP. Навіть безпечні протоколи, такі як TLS або безпечний DNS, які захищають вміст за допомогою наскрізного шифрування, все одно показують комунікаційні метадані: джерело, пункт призначення, час, тривалість тощо.

Отже, ця інформація відкрита, але для кого? Хто може її отримати?

Хто отримує доступ до метаданих (1:10)

Існує низка організацій, які є посередниками в інтернет-комунікаціях і мають доступ до цих комунікаційних метаданих. До них належать великі гравці інтернет-інфраструктури, такі як інтернет-провайдери, точки обміну трафіком, автономні системи, BGP-маршрутизатори та загалом учасники магістральних мереж Інтернету; вони можуть отримати доступ до великої кількості комунікаційних метаданих.

Але навіть дрібні гравці, наприклад, ті, хто керує Wi-Fi-маршрутизатором або локальною мережею, чи ті, хто має можливість локально підслуховувати, також отримують доступ до комунікаційних метаданих. І, звісно, відомо, що супротивники на рівні національних держав, такі як АНБ (NSA), збирають метадані у великих масштабах і аналізують їх, щоб отримати різноманітну розвідувальну інформацію.

Чому метадані важливі (2:00)

Існують й інші причини, чому метадані є дуже цікавим типом даних для збору та використання. Вони машинозчитувані, оскільки розмовляють мовою комп'ютерів; по суті, це мова, яка дозволяє комп'ютерам належним чином маршрутизувати повідомлення від джерела до пункту призначення. Отже, вони машинозчитувані, а це означає, що машини можуть дуже легко обробляти їх у великих масштабах, на відміну від природної людської мови, яку набагато складніше інтерпретувати, оскільки люди можуть використовувати слова певним чином або з певними нюансами, і це набагато важче зрозуміти. З іншого боку, метадані — це дуже просто.

Вони також мають набагато менший обсяг, ніж сам контент. Якщо подумати про відео на YouTube, наприклад, сам контент може займати кілька гігабайтів, але метадані включатимуть лише URL-адресу відео, кількість байтів, які воно містить, і час, коли його переглядали. Тому їхній обсяг може бути набагато меншим за фактичний контент, і ними також легко керувати з огляду на розмір.

Метадані також мають набагато нижчий рівень захисту, ніж контент. Незаконно просто перехоплювати повідомлення людей і переглядати їхній вміст, це захищено законом. Але метадані, оскільки вони не вважаються настільки конфіденційними, мають набагато слабший захист. Тому багато організацій можуть на законних підставах збирати ці метадані та аналізувати їх, щоб дізнатися інформацію про те, що люди роблять в Інтернеті.

Тож чи це велика проблема? Ми можемо сказати: «Ну, це просто метадані. Поки ви не знаєте, що я говорю, чи варто мені справді хвилюватися про те, що ви знаєте, з ким я розмовляю і в який час?»

Є кілька цитат, які показують, наскільки метадані насправді вважаються надзвичайно цінними. Головний юрисконсульт АНБ Стюарт Бейкер (Stewart Baker) сказав, що метадані абсолютно все розповідають про чиєсь життя — якщо у вас достатньо метаданих, вам насправді не потрібен контент. Ось наскільки вони потужні для розуміння того, чим людина цікавиться, яка в неї соціальна мережа, які в неї хобі, які в неї наміри, які в неї інтереси. Вам насправді не потрібно чути, що вони говорять; достатньо того, що ви можете спостерігати за всіма метаданими.

А Вітфілд Діффі (Whitfield Diffie) та Сьюзен Ландау (Susan Landau) у своїй книзі Privacy on the Line зазначають, що саме аналіз трафіку, а не криптоаналіз, є основою комунікаційної розвідки. Це тому, що ви можете збирати його у великих масштабах, аналізувати у великих масштабах, і він дасть вам усі великі закономірності, загальну картину, яка потім дозволить вам наблизити деталі, щоб зламати конкретні цілі, які ви вважаєте найцікавішими. Але спочатку ви знаходите їх за допомогою аналізу трафіку на основі метаданих.

Аналіз трафіку метаданих може навіть використовуватися для відновлення зашифрованого контенту без злому криптографії. Припустімо, що ми маємо ідеальну криптографію: жоден криптоаналіз не здатний її зламати, а секретні ключі є абсолютно секретними. Ми повинні бути впевнені, що цей контент захищений і зловмисник не зможе про нього дізнатися.

Однак існує багато ситуацій, коли аналіз трафіку комунікаційних метаданих може діяти як побічний канал, який розкриває цей зашифрований контент.

Стеження за метаданими (5:15)

Одним із прикладів є перегляд вебсайту за допомогою HTTPS. У принципі, оскільки зв'язок із цим вебсайтом зашифрований, той, хто спостерігає за вашим спілкуванням, не може сказати, до якої саме сторінки на вебсайті ви звертаєтеся. Наприклад, якщо ви заходите на WebMD, щоб перевірити хвороби, спостерігач або той, хто підслуховує, зможе побачити: «Гаразд, ви перевіряєте медичну інформацію на WebMD», але він не зможе сказати, яку саме хворобу ви шукаєте.

Однак спосіб дізнатися, що хтось робить у цьому сценарії, полягав би в тому, щоб зловмисник спочатку завантажив усі сторінки на сайті та записав для кожної сторінки шаблон пакетів, які видно на лінії зв'язку. По суті, яка кількість пакетів іде в якому напрямку, які розміри цих пакетів і який період між одним пакетом і наступним.

Роблячи це, ви можете створити відбиток кожної з цих сторінок, так що коли ціль завантажує сторінку із зашифрованого сайту, ви можете зіставити кількість пакетів у кожному напрямку та їхні розміри, щоб вгадати, яку саме вебсторінку вона переглядає, хоча сама вебсторінка зашифрована і ви не повинні мати змоги дізнатися цей контент.

Це, очевидно, викликає занепокоєння. Незважаючи на те, що ми можемо мати наскрізне шифрування, ми ще дуже далекі від завершення роботи щодо захисту приватності наших комунікацій.

Список побажань для приватних комунікацій (6:40)

Отже, якби ми хотіли скласти список побажань щодо того, що пропонувала б ідеально безпечна комунікаційна мережа, які властивості ми б хотіли бачити?

Очевидно, ми хочемо захистити те, що користувач говорить через зашифрований канал, і наскрізне шифрування вже є дуже важливим кроком для досягнення цього. Але не тільки це, ми також хочемо приховати, з ким спілкується користувач, тобто хто є партнером по комунікації, від кого ви отримуєте пакети або кому ви їх надсилаєте. Також місцезнаходження, тобто звідки ви спілкуєтеся; коли і як довго ви спілкуєтеся; скількома байтами даних ви обмінюєтеся; і будь-які інші закономірності в комунікації. І можна навіть піти так далеко, щоб сказати, що ми хочемо приховати, чи спілкується хтось узагалі, чи ні.

Усі ці властивості анонімні комунікаційні системи прагнуть забезпечити, і в просторі рішень мікснети (mixnets) є одними з найкращих рішень, які ми маємо для забезпечення таких властивостей.