«Мы убиваем людей на основе метаданных». Почему то, с кем вы говорите, сообщает больше, чем то, что вы говорите
Содержание разговора можно зашифровать. Кто звонил, кому, когда и откуда - остаётся. А по этим, казалось бы, скучным сведениям можно прочитать целую жизнь.
В апреле 2014 года в Университете Джонса Хопкинса прошли дебаты о слежке. Одним из участников был генерал Майкл Хейден - ранее глава АНБ, затем директор ЦРУ. Разговор шёл о метаданных, то есть о сведениях о коммуникации, а не о её содержании. Хейден согласился с утверждением, что метаданные говорят о человеке абсолютно всё. А потом добавил фразу, которую с тех пор цитируют в каждом серьёзном разговоре о приватности:
«Мы убиваем людей на основе метаданных».
Это не было метафорой. Он говорил об американской программе ударов беспилотников, в которой цели выбирались в том числе на основе шаблонов телефонных звонков: кто кому звонит, как часто, из каких мест и в какое время. Генерал сразу добавил, что метаданные граждан США так не используются. Но суть была высказана.
Что такое метаданные
Представьте письмо в конверте. Содержание внутри, запечатано - это данные. На конверте - адрес отправителя, адрес получателя, штемпель с датой и местом отправки, вес отправления - это метаданные. Почтальону не нужно вскрывать конверт, чтобы знать очень многое.
В цифровом мире конверт гораздо разговорчивее. Для телефонного звонка это номер звонящего и принимающего, время, продолжительность разговора и базовая станция, через которую подключался телефон, то есть приблизительное местоположение. Для e-mail - отправитель, получатели, тема, время и IP-адрес. Для фотографии - модель телефона, дата, часто точные GPS-координаты. Для посещения сайта - адрес страницы, время, браузер, операционная система и разрешение экрана.
Шифрование защищает содержание письма. Конверт обычно остаётся на виду.
Политик, который запросил свои данные
В 2009 году Мальте Шпиц, немецкий политик из партии зелёных, решил выяснить, что знает о нём его мобильный оператор в рамках действовавшего тогда в Германии хранения данных. Deutsche Telekom не хотела выдавать эти сведения. Шпиц обратился в суд и в итоге получил данные.
Он получил файл с более чем 35 тысячами записей за шесть месяцев. В нём не было ни одного слова из его разговоров и сообщений. Зато были время звонков, номера, продолжительность разговоров и местоположение телефона. Шпиц передал данные журналистам Zeit Online, которые объединили их с его публичными записями в интернете и создали интерактивную карту его жизни.
По карте можно было понять, где он живёт и где работает. Во сколько встаёт и во сколько ложится спать. Когда едет поездом и сколько времени проводит в Берлине, а сколько - в родных краях. В какие часы кому звонит. Когда участвует в демонстрациях и партийных собраниях. Всё это - без прослушивания хотя бы одного разговора.
Эксперимент Стэнфорда
Критикам массовой слежки долго говорили, что они преувеличивают, ведь «это всего лишь метаданные». Учёные из Стэнфорда решили это проверить. Более 800 добровольцев установили на телефоны приложение, которое передало исследователям метаданные их звонков и сообщений - в общей сложности более 250 тысяч звонков и 1,2 миллиона SMS. Результаты опубликовали в 2016 году в престижном журнале Proceedings of the National Academy of Sciences.
Одних номеров и времени хватало, чтобы делать очень личные выводы. Один из участников регулярно звонил кардиологу, в аптеку и на горячую линию компании, производящей устройства для мониторинга сердечной аритмии, - нетрудно было догадаться, чем он болен. Другой связывался с оружейным магазином и службой поддержки производителя винтовок - вероятно, он владел полуавтоматическим оружием. Исследователи также указали, что нескольких месяцев данных достаточно, чтобы точно прочитать закономерности чужой жизни. А если следить не только за одним человеком, но и за его собеседниками и собеседниками его собеседников, круг наблюдения быстро разрастается до десятков тысяч людей.
Никому не пришлось подслушивать. Достаточно было посчитать.
Почему метаданные опаснее содержания
Звучит парадоксально, но для того, кто ведёт массовую слежку, метаданные бывают ценнее содержания. Содержание хаотично, многоязычно, полно недомолвок. Чтобы его понять, его нужно прочитать. Метаданные упорядочены, их легко сохранить и искать компьютером. Их можно хранить годами, сопоставлять, сортировать и накладывать друг на друга.
Для журналиста это означает нечто очень конкретное. Даже если разговор с источником был зашифрован, одного факта, что накануне публикации его телефон соединялся с телефоном чиновника министерства, может хватить, чтобы указать на информатора. Во многих странах именно так выслеживали информаторов - не через прослушку, а через распечатки звонков.
Это касается не только авторитарных государств. В 2013 году выяснилось, что Министерство юстиции США, разыскивая источник утечки, тайно получило распечатки звонков за два месяца по более чем двадцати телефонным линиям агентства Associated Press - включая номера редакций и личные телефоны журналистов. Никто не слушал их разговоры. Достаточно было проверить, кто кому звонил.
Европа и хранение данных
В Евросоюзе много лет действовала директива, обязывавшая операторов хранить метаданные всех клиентов до двух лет. В апреле 2014 года Суд ЕС её аннулировал, признав, что массовый сбор данных о целых обществах нарушает право на частную жизнь. Последующие решения это подтвердили.
Тем не менее во многих государствах-членах национальные законы о хранении данных сохранились в разных формах. В Польше операторы хранят данные о соединениях 12 месяцев, а спецслужбы и полиция, по данным отчётов неправительственных организаций, обращаются к ним более миллиона раз в год, часто без санкции суда. На уровне ЕС время от времени возвращается и идея обязательного сканирования личной переписки. Каждый раз обоснование звучит похоже: безопасность. Каждый раз это касается всех, а не только подозреваемых.
Как выглядит защита на практике
Хорошая новость в том, что метаданные тоже можно ограничивать. Лучшие инструменты с самого начала проектируют так, чтобы они знали о пользователе как можно меньше.
Когда в 2016 году американский суд потребовал от создателей мессенджера Signal данные о двух номерах телефонов, компания смогла передать только две вещи: когда аккаунт был создан и когда он в последний раз подключался к серверу. Больше у неё ничего не было - ни списка контактов, ни сведений о том, кто с кем разговаривал. Не потому, что она отказалась. А потому, что просто не собирала эти данные.
Тот же принцип применим и к другим инструментам. Tor скрывает от наблюдателя, с какими сайтами вы соединяетесь, а от сайта - откуда вы подключаетесь. Системы без телеметрии не отправляют производителю сведения о том, какими программами вы пользуетесь и когда. Удаление метаданных из фотографий и документов перед отправкой означает, что файл не выдаст, где и на каком устройстве он создан. Отдельные телефоны и отдельные личности для разных целей затрудняют их склеивание в единый профиль.
Ни одно из этих решений не является полным само по себе. Вместе они создают то, что специалисты называют минимизацией следа: цель не в том, чтобы исчезнуть, а в том, чтобы оставлять после себя как можно меньше материала для анализа.
Конверт, который говорит слишком много
Когда кто-то говорит «мне нечего скрывать», он обычно имеет в виду содержание: я не пишу ничего незаконного, не планирую ничего плохого. Но конверт всё равно говорит. Он рассказывает, с кем вы дружите, к какому врачу ходите, с кем встречаетесь после работы, когда вы были на протесте и кто позвонил вам прямо перед важной публикацией.
Генерал Хейден сказал правду, хотя, вероятно, не с этой целью. Метаданных достаточно, чтобы принимать решения о человеческих жизнях. Поэтому стоит позаботиться о том, чтобы о вашей жизни они говорили как можно меньше.