„Zabijamy na podstawie metadanych”. Dlaczego to, z kim rozmawiasz, mówi więcej niż to, co mówisz
Treść rozmowy można zaszyfrować. To, kto dzwonił, do kogo, kiedy i skąd - zostaje. A z tych pozornie nudnych informacji da się odczytać całe życie.
W kwietniu 2014 roku na Uniwersytecie Johnsa Hopkinsa odbyła się debata o inwigilacji. Jednym z uczestników był generał Michael Hayden - wcześniej szef NSA, potem dyrektor CIA. Rozmowa dotyczyła metadanych, czyli informacji o komunikacji, a nie samej jej treści. Hayden zgodził się ze zdaniem, że metadane mówią o człowieku absolutnie wszystko. A potem dodał zdanie, które od tamtej pory cytowane jest w każdej poważnej rozmowie o prywatności:
„Zabijamy ludzi na podstawie metadanych”.
Nie była to przenośnia. Mówił o amerykańskim programie ataków dronów, w którym cele wybierano między innymi na podstawie wzorców połączeń telefonicznych: kto do kogo dzwoni, jak często, z jakich miejsc i o jakich porach. Generał dodał od razu, że metadanych obywateli USA nie wykorzystuje się w ten sposób. Ale sedno zostało powiedziane.
Co to właściwie są metadane
Wyobraź sobie list w kopercie. Treść jest w środku, zaklejona - to dane. Na kopercie jest adres nadawcy, adres odbiorcy, stempel z datą i miejscem nadania, waga przesyłki - to metadane. Listonosz nie musi otwierać koperty, żeby wiedzieć bardzo dużo.
W świecie cyfrowym koperta jest znacznie bardziej rozmowna. Przy rozmowie telefonicznej to numer dzwoniącego i odbierającego, czas, długość połączenia i stacja bazowa, przez którą łączył się telefon - czyli przybliżona lokalizacja. Przy e-mailu to nadawca, odbiorcy, temat, godzina i adres IP. Przy zdjęciu - model telefonu, data, często dokładne współrzędne GPS. Przy wizycie na stronie internetowej - adres strony, czas, przeglądarka, system operacyjny i rozdzielczość ekranu.
Szyfrowanie chroni treść listu. Koperta zwykle zostaje na widoku.
Polityk, który poprosił o swoje dane
W 2009 roku Malte Spitz, niemiecki polityk z partii Zielonych, postanowił sprawdzić, co jego operator komórkowy wie o nim w ramach obowiązującej wówczas w Niemczech retencji danych. Deutsche Telekom nie chciał tych informacji wydać. Spitz poszedł do sądu i ostatecznie dane otrzymał.
Dostał plik z ponad 35 tysiącami rekordów z sześciu miesięcy. Nie było w nim ani jednego słowa z jego rozmów i wiadomości. Były za to godziny połączeń, numery, długość rozmów i lokalizacja telefonu. Spitz przekazał dane dziennikarzom „Zeit Online”, którzy połączyli je z jego publicznymi wpisami w internecie i stworzyli interaktywną mapę jego życia.
Z mapy można było odczytać, gdzie mieszka i gdzie pracuje. O której wstaje i o której idzie spać. Kiedy jedzie pociągiem i ile czasu spędza w Berlinie, a ile w rodzinnych stronach. W jakich godzinach dzwoni do kogo. Kiedy uczestniczy w demonstracjach i spotkaniach partyjnych. Wszystko bez podsłuchania choćby jednej rozmowy.
Eksperyment ze Stanfordu
Krytycy masowej inwigilacji długo słyszeli, że przesadzają, bo „to tylko metadane”. Naukowcy ze Stanfordu postanowili to sprawdzić. Ponad 800 ochotników zainstalowało na telefonach aplikację, która przekazała badaczom metadane ich połączeń i wiadomości - łącznie ponad 250 tysięcy rozmów i 1,2 miliona SMS-ów. Wyniki opublikowano w 2016 roku w prestiżowym czasopiśmie „Proceedings of the National Academy of Sciences”.
Same numery i godziny wystarczyły, by wyciągać bardzo osobiste wnioski. Jeden z uczestników regularnie dzwonił do kardiologa, apteki i infolinii firmy produkującej urządzenia do monitorowania arytmii serca - łatwo było się domyślić, na co choruje. Inny kontaktował się ze sklepem z bronią i działem obsługi klienta producenta karabinów - prawdopodobnie był właścicielem półautomatycznej broni. Badacze wskazali też, że wystarczy kilka miesięcy danych, by trafnie odczytać wzorce cudzego życia. A gdy śledzi się nie tylko jedną osobę, lecz także jej rozmówców i rozmówców jej rozmówców, krąg objętych obserwacją szybko rośnie do dziesiątek tysięcy ludzi.
Nikt nie musiał podsłuchiwać. Wystarczyło policzyć.
Dlaczego metadane są groźniejsze od treści
Brzmi to paradoksalnie, ale dla kogoś, kto prowadzi masową obserwację, metadane bywają cenniejsze od treści. Treść jest chaotyczna, wielojęzyczna, pełna niedomówień. Żeby ją zrozumieć, trzeba ją przeczytać. Metadane są uporządkowane, łatwe do zapisania i przeszukania przez komputer. Można je przechowywać latami, zestawiać, sortować i nakładać na siebie.
Dla dziennikarza oznacza to coś bardzo konkretnego. Nawet jeśli rozmowa ze źródłem była zaszyfrowana, sam fakt, że w dniu przed publikacją jego telefon połączył się z telefonem urzędnika ministerstwa, może wystarczyć, żeby wskazać informatora. W wielu krajach właśnie w ten sposób namierzano sygnalistów - nie przez podsłuch, tylko przez billingi.
Nie dotyczy to wyłącznie państw autorytarnych. W 2013 roku wyszło na jaw, że amerykański Departament Sprawiedliwości, szukając źródła przecieku, potajemnie zdobył billingi ponad dwudziestu linii telefonicznych agencji Associated Press z okresu dwóch miesięcy - w tym numerów redakcji i prywatnych telefonów dziennikarzy. Nikt nie słuchał ich rozmów. Wystarczyło sprawdzić, kto do kogo dzwonił.
Europa i retencja danych
W Unii Europejskiej przez lata obowiązywała dyrektywa, która nakazywała operatorom przechowywać metadane wszystkich klientów nawet do dwóch lat. W kwietniu 2014 roku Trybunał Sprawiedliwości UE unieważnił ją, uznając, że masowe gromadzenie danych o całych społeczeństwach narusza prawo do prywatności. Kolejne wyroki to potwierdzały.
Mimo to w wielu państwach członkowskich krajowe przepisy o retencji przetrwały w różnych formach. W Polsce operatorzy przechowują dane o połączeniach przez 12 miesięcy, a służby i policja według raportów organizacji pozarządowych sięgają po nie ponad milion razy rocznie, często bez zgody sądu. Na poziomie Unii co jakiś czas wraca też pomysł obowiązkowego skanowania prywatnej korespondencji. Za każdym razem uzasadnienie brzmi podobnie: bezpieczeństwo. Za każdym razem dotyczy to wszystkich, a nie tylko podejrzanych.
Jak wygląda ochrona w praktyce
Dobra wiadomość jest taka, że metadane też da się ograniczać. Najlepsze narzędzia od początku projektuje się z myślą o tym, żeby wiedziały o użytkowniku jak najmniej.
Kiedy w 2016 roku amerykański sąd zażądał od twórców komunikatora Signal danych dotyczących dwóch numerów telefonów, firma mogła przekazać tylko dwie informacje: kiedy konto zostało założone i kiedy ostatnio łączyło się z serwerem. Nic więcej nie miała - ani listy kontaktów, ani informacji o tym, kto z kim rozmawiał. Nie dlatego, że odmówiła. Dlatego, że tych danych po prostu nie zbierała.
Ta sama zasada dotyczy innych narzędzi. Tor ukrywa przed obserwatorem, z jakimi stronami się łączysz, a przed stroną - skąd się łączysz. Systemy bez telemetrii nie wysyłają producentowi informacji o tym, jakich programów używasz i kiedy. Usunięcie metadanych ze zdjęć i dokumentów przed ich wysłaniem sprawia, że plik nie zdradza, gdzie i na jakim urządzeniu powstał. Osobne telefony i osobne tożsamości do różnych celów utrudniają sklejenie ich w jeden profil.
Żadne z tych rozwiązań nie jest kompletne samo w sobie. Razem tworzą coś, co specjaliści nazywają minimalizacją śladu: nie chodzi o to, żeby zniknąć, tylko o to, żeby zostawiać po sobie jak najmniej materiału do analizy.
Koperta, która mówi za dużo
Kiedy ktoś mówi „nie mam nic do ukrycia”, zwykle ma na myśli treść: nie piszę niczego nielegalnego, nie planuję niczego złego. Ale koperta i tak mówi. Mówi, z kim się przyjaźnisz, do jakiego lekarza chodzisz, z kim się spotykasz po godzinach, kiedy byłeś na proteście i kto do Ciebie zadzwonił tuż przed ważną publikacją.
Generał Hayden powiedział prawdę, choć zapewne nie w tym celu. Metadane wystarczą, by podejmować decyzje o ludzkim życiu. Dlatego warto, by o Twoim życiu mówiły jak najmniej.