Efekt Snowdena

W ciągu ostatnich dwóch lat coś drgnęło w podejściu wiodących korporacji technologicznych do prywatności i bezpieczeństwa danych. Apple zwiększyło poziom zabezpieczenia danych na swoich serwerach – od niedawna są one szyfrowane w sposób, który w zasadzie wyklucza możliwość ich masowego przechwytywania przez NSA i FBI. Podobne zmiany w systemie zabezpieczeń wprowadziła w ofercie biznesowej firma Box.com. Jeszcze dalej poszła popularna aplikacja WhatsApp, wprowdzając domyślne szyfrowanie komunikacji swoich użytkowników (na bazie oprogramowania Open WhisperSystems). W nowej linii telefonów komórkowych firma Apple zablokowała również możliwość przekazania policji danych bez udziału osoby, której telefon jest przeszukiwany.

Trudno oceniać, na ile ten trend to trwały „efekt Snowdena”, a na ile testowanie nowej strategii marketingowej, którą za chwilę zastąpić może coś innego. W końcu rozmawiamy o przedsiębiorstwach zorientowanych na zysk i żyjących z komercjalizacji danych, przed którą nie sposób się chronić tak długo, jak powierzamy nasze dane tego typu pośrednikom. Realna zmiana, którą proponują kolejne firmy, to ochrona przed masowym, niejawnym przeczesywaniem wirtualnych serwerów przez służby wywiadowcze.

Imperium kontratakuje

Władze tolerowały ten wolnościowy trend – być może ze względu na oburzenie wywołane doniesieniami Edwarda Snowdena. Teraz zmieniły jednak zdanie: wystarczył jeden tragiczny incydent, by antyterrorystyczna retoryka i wszystko, co się z nią wiąże, wróciło z pełną mocą. Premier Wielkiej Brytanii publicznie skrytykował dostawców usług komunikacyjnych, których zabezpieczenia nie pozwalają na przechwycenie komunikacji: „Czy w naszym kraju naprawdę chcemy pozwolić na narzędzia umożliwiające taką komunikację między ludźmi, której nie możemy przechwycić?”.

Wtóruje mu Barack Obama: „Jeśli mamy dowody na istnienie siatki terrorystycznej, znamy numer telefonu podejrzanej osoby, jej konto społecznościowe albo adres e-mail, a mimo to nie możemy zapoznać się z przekazywanymi komunikatami, to mamy problem”. Prezydent Obama zasugerował, że tę właśnie kwestię próbują rozgryźć firmy z Doliny Krzemowej, które w imię patriotyzmu przekazują dane NSA i FBI.

Do ofensywy dołączyły też same służby bezpieczeństwa, domagając się zagwarantowania łatwego dostępu do zaszyfrowanej komunikacji elektronicznej (tzw. backdoor). Głos w tej debacie zabrali szef FBI, europejski koordynator antyterrorystyczny Gilles de Kerchove, dyrektor GCHQ i dyrektor NSA. Wszystkich połączyła jedna obawa: jeśli pozwolimy każdemu szyfrować komunikację, z pewnością skorzystają z tej możliwości również przestępcy i terroryści. Ta logika prowadzi donikąd: równie dobrze można by rozważyć zakaz swobodnego przemieszczania się (z pewnością korzystają z niego przestępcy), a już na pewno zakaz produkcji broni (z definicji służy do zabijania; cóż z tego, że czasem w obronie własnej).

Cytowane wystąpienia szefów rządów i służb trudno odczytać inaczej, niż jako próby wywarcia politycznego nacisku na firmy, które nie chcą ułatwiać masowej inwigilacji. Nawet jeśli nie wszystkie liczące się firmy ulegają tej presji, retoryka wpływowych polityków przebija się do głównego nurtu i inspiruje inne organy. I tak, na przykład w Hiszpanii grupa anarchistów została oskarżona o bezprawne działania m.in. dlatego, że korzystała z bezpiecznego serwisu e-mail (Riseup.net). Oskarżyciel oraz badający sprawę sędzia uznali, że sam fakt podejmowania wysiłku dla zachowania poufności komunikacji jest okolicznością obciążającą w sprawie.

To prosta droga do konstatacji, że każdy, kto zabezpiecza swoją komunikację, zasługuje na status podejrzanego. Dokładnie tą logiką posługują się służby wywiadowcze i policja w wielu krajach, wyodrębniając użytkowników takich usług jak TOR czy poczty e-mail z funkcją szyfrowania (jak OpenPGP) i przyglądając się ich aktywności z większą uwagą (tzw. „flagowanie”). W efekcie, osoby, które powinny wykorzystywać bezpieczną komunikację (np. dziennikarze, prawnicy, aktywiści walczący z autorytarnymi reżimami), stają przed trudnym dylematem: czy korzystać z popularnych i niezabezpieczonych narzędzi, ryzykując przechwycenie komunikacji, czy własnoręcznie umieścić się na celowniku służb?

Antyprywatnościowa ofensywa uderza też w graczy rynkowych. W Stanach Zjednoczonych pojawiły się pierwsze ataki prawne na firmy, które oferują i eksportują narzędzia umożliwiające skuteczne szyfrowanie. Departament Handlu USA nałożył 750 tys. dolarów kary na spółkę-córkę korporacji Intel. Dzięki dokumentom ujawnionym przez Edwarda Snowdena dowiedzieliśmy się też o licznych atakach technicznych służb brytyjskich i amerykańskich na protokoły zabezpieczające poufność komunikacji (TLS, SSL, SSH), które są wykorzystywane przez najpopularniejsze serwisy internetowe, oraz na prywatne, wirtualne sieci (VPN), które do tej pory uważane były za bezpieczny sposób zdalnego komunikowania się w ramach dużych firm i organizacji.

Do czego to wszystko prowadzi?

Walka z narzędziami, które umożliwiają zaszyfrowaną lub anonimową komunikację, uderza w istotę prawa do prywatności – a w sferze komunikacji elektronicznej w zasadzie je eliminuje. Ze względu na techniczne zasady działania Internetu (gdzie każdy pakiet przechodzi przez wiele urządzeń i węzłów) jedyna szansa na zabezpieczenie treści komunikatu to jego zaszyfrowanie, a na zachowanie anonimowości – „zgubienie” numeru IP w sieci takiej jak TOR.

Władza, która walczy z bezpieczną komunikacją, sama generuje nowe zagrożenia, nie tylko w sferze inwigilacji, ale również szeroko pojętej przestępczości. Z osłabionych zabezpieczeń równie chętnie, co brytyjskie, polskie czy amerykańskie służby, skorzystają chińscy i rosyjscy cyberżołnierze, ale też zwyczajni włamywacze. Wprowadzenie backdooru do oprogramowania czy osłabianie szyfrowania – tak by jedna służba miała dostęp do danych – nieuchronnie oznacza, że prędzej czy później z tej luki skorzystają też inni gracze. Rzeczywistą stawką w tej grze jest zatem nasze bezpieczeństwo – to samo, w imię którego władza odbiera nam kolejne sfery wolności i prywatności.

Ten paradoks unaocznił Edward Snowden. Wielokrotnie podkreślał, że rozwijając złośliwe oprogramowanie typu Stuxnet, eksploatując luki w bezpieczeństwie systemów informatycznych (Heartblead), łamiąc zabezpieczenia największych firm internetowych i wbudowując tzw. tylne drzwi w rozmaite urządzania i usługi, służby bardziej nas narażają, niż chronią. Przy czym skutki tych działań są dalekosiężne – użytkownicy tracą zaufanie do firm i serwisów; odpowiedzialni usługodawcy rezygnują z oferowania bezpiecznych rozwiązań, ponieważ czują, że nie są w stanie ich zagwarantować (kazus firmy Lavabit); aktywiści, dziennikarze i wszyscy, którzy promują lub wykorzystują bezpieczne narzędzia komunikacji – w tym organizacje pozarządowe – tracą grunt pod nogami.

Potrzebujemy stogu siana

Którędy prowadzi droga odwrotu z tej ślepej uliczki? Oczywiste wydaje się, że firmy internetowe pokroju Google, Apple czy WhatsApp powinny zrobić wszystko, by odeprzeć polityczne ataki na podejmowane przez nie próby lepszego zabezpieczenia danych. Na uległości w tej sferze mogą tylko stracić. Ale to nie rozwiązuje problemu zwiększonej widoczności tych użytkowników, którzy – idąc wbrew trendowi – decydują się na korzystanie z takich narzędzi jak TOR czy OpenPGP. Z myślą o ich ochronie (przed inwigilacją, ujawnieniem źródeł dziennikarskich czy wręcz bezpośrednim zagrożeniem zdrowia i życia w krajach, gdzie trwa otwarty konflikt), każdy z nas powinien rozważyć podjęcie dodatkowego wysiłku, jakim niewątpliwie jest szyfrowanie czy korzystanie z TOR-a – bo w większym stogu siana trudniej znaleźć igłę.

Rozwiązaniem najprostszym, z propozycją którego znowu wypada zwrócić się do biznesu, byłoby jednak zintegrowanie bezpiecznych narzędzi, takich jak OpenPGP, z najpopularniejszymi usługami (np. Gmail, Snapchat czy WhatsApp). W tak wielkim stogu siana namierzenie garstki osób, którym naprawdę zależy na bezpiecznej komunikacji, stanie się niemożliwe.

Katarzyna Szymielewicz, Kamil Śliwowski
Fundacja Panoptykon