Na soukromí a bezpečí na internetu je kladen čím dál větší důraz. Zvlášť potom, co Edward Snowden odhalil, že masivní a automatické špehovací programy už nejsou sci-fi. Proto pozorujeme značné rozšiřování šifrování, popularizaci anonymizačních nástrojů jako Tor apod. Úplnou anonymitu ale neposkytne žádný. Sítí stále plují určité informace - metadata, podle kterých lze o uživatelích a jejich chování něco zjistit. A jak se zdokonaluje ochrana soukromí, tak se samozřejmě zdokonalují i nástroje, které metadata sbírají a analyzují.
Pokud například Bob opakovaně posílá e-maily terapeutovi, nepřítel se může opodstatněně domnívat, že je jeho pacientem. Nebo když reportér komunikuje s vládním zaměstnancem, může na zaměstnance padnout podezření. Nedávno se představitelé NSA dokonce nechali slyšet, že „když máte hodně metadat, už ani nepotřebujete obsah“ a že „zabíjíme lidi na základě metadat“. To naznačuje, že ochrana metadat v komunikaci je pro dosažení soukromí zásadní,
píše se v paperu (PDF), který představuje nový koncept zvaný Vuvuzela.
Vuvuzelu vyvinula čtveřice výzkumníků ze známého Massachusettského technologického institutu (MIT), jmenovitě Jelle van den Hooff, David Lazar, Matei Zaharia a Nickolai Zeldovich. Cílem je zabránit sběru metadat, resp. ho efektivně znemožnit, a to tak, že si mezi sebou servery vyměňují i falešné zprávy bez významu – vytvářejí v síti šum. Právě odtud název Vuvuzela, podle hudebního nástroje, který používají fanoušci na fotbalových stadionech. Detaily návrhu zatím nejsou známé, ale podívejme se aspoň na základní informace.
Princip fungování
Současný prototyp Vuvuzely je určen pouze pro posílání jednoduchých zpráv, ale teoreticky je možné ho různým způsobem rozšířit. Každá zpráva projde třemi servery, přičemž toto číslo bylo zvoleno arbitrárně. Ideální je samozřejmě zapojení co nejmenšího počtu serverů, protože každý server představuje náklady. Tři je podle autorů číslo, které už stačí zajišťuje velmi slušnou anonymizaci provozu. Každá zpráva je třikrát zašifrována, přičemž každý ze serverů, kterým zpráva projde, odebere jednu vrstvu šifrování. Při zapojení většího množství serverů se ale možnost dohledání odesilatele a příjemce dál snižuje.
Co je důležité, server zprávy neposílá dál v tom pořadí, ve kterém na něj dorazily, ale jejich pořadí promíchává. K tomu, jak už bylo zmíněno, server posílá dál množství falešných zpráv, jejichž účelem je hlavně skrýt případné vzory v komunikaci, které by rovněž mohly částečně usnadnit sledování uživatelů. Případný útočník tedy může zjistit, že jste něco poslali na server Vuvuzely, ale už vaši zprávu nedokáže identifikovat na výstupu serveru a nedozví se, komu vlastně byla adresována. A samozřejmě ani co obsahovala, díky šifrování.
Návrh Vuvuzely předpokládá, že útočník kontroluje všechny kromě jednoho ze serverů Vuvuzely (uživatel nepotřebuje vědět, který to je), ovládá libovolné množství klientů a může monitorovat, blokovat, protahovat nebo vkládat datový tok z jakéhokoliv síťového spojení. Komunikace dvou uživatelů komunikující přes Vuvuzelu by měla být chráněna, pokud jejich dva klienty a alespoň jeden server nejsou kompromitované.
Minimalizace množství metadat
Vuvuzela množství metadat minimalizuje, jak jen to jde. Komunikační protokol Vuvuzely, používaný pro posílání zpráv, odhaluje pouze dvě proměnné: počet uživatelů zapojených v konverzaci a počet uživatelů v konverzaci nezapojených. Neodhaluje uživatele z jedné ani druhé skupiny.
Právě i díky minimálnímu množství metadat lze mnohem snáz vytvořit šum. Není třeba obrovské množství falešných zpráv, aby se ty pravé skryly. Metadata sestávají pouze ze dvou čísel, která navíc v řadě případů budou podobná.
Komunikace funguje na bázi poštovních schránek, resp. mailboxů, jak to nazývají autoři. To je místo na jednom ze serverů, kde si uživatel zprávu vyzvedne. Uživatelé zvolí schránku jako místo, kde se setkají a vymění si zprávu. Výměnná operace umístí novou zprávu do schránky a zjistí, zda zde byla uložena zpráva od jiného uživatele. Pokud dva uživatelé provedou výměnu ve stejné schránce, obdrží vzájemně své zprávy.
Schéma fungování Vuvuzely. Zleva uživatelé, servery, poštovní schránky
Nutno dodat, že Vuvuzela zatím nijak neřeší způsob prvního spojení uživatelů, výměny klíčů a pod. To je totiž další místo, kde mohou ven prosáknout další poměrně zajímavé informace, které mohou vést k identifikaci uživatelů třetí stranou. V každém případě i kdyby zítra vyšel klient Vuvuzely a rozběhly se servery, nepředpokládá se, že by službu začaly používat milióny běžných uživatelů. A pro profesionály by ruční způsob navazování spojení nemusel představovat takovou komplikaci.
Omezení: náročnost a doba doručení
Výzkumníci už svůj prototyp otestovali v relativně velké simulaci. Pro potřeby simulace byly použity virtuální servery Amazon EC2, přes které si milión uživatelů poslal 15 tisíc zpráv za sekundu. Průměrná doba doručení zprávy však byla poměrně vysokých 44 sekund. Nějaká prodleva tu bude vždy, protože jsou zprávy rozesílány v kolech, ale je možné ji dále snižovat. Hromadné rozesílání v kolech totiž opět slouží k maskování metadat. Zatím je to tedy spíš rychlost à la e-mail, ale teoreticky je možné docílit jen několikasekundové prodlevy jako u IM a komunikátorů. Opravdovou real-time komunikaci ale koncept neumožňuje.
Provoz byl také výpočetně náročný, ale po poctivé optimalizaci zřejmě náročnost bude o dost nižší. Velkou část výkonu samozřejmě skouslo i generování a posílání falešných zpráv. Ale možnosti škálování jsou příznivé: Abychom dosáhli těchto výsledků, museli jsme přidat ekvivalent tří set tisíc uživatelů na každý Vuvuzela server, resp. polovinu datového toku. Nicméně toto množství je konstantní a nezávislé na počtu uživatelů a umožňuje Vuvuzelu dál škálovat.
V podstatě lze říct, že je nutné najít ideální kompromis mezi dobou doručení zprávy a potřebným výkonem. Čím kratší totiž budou kola, ve kterých se zprávy posouvají dál, tím víc šumu je nutné použít.
Vuvuzela má ještě mnoho much a nedostatků oproti současným řešením komunikace, ale koneckonců je to prototyp, na kterém výzkumníci dál pracují. Asi jen tak nenahradí běžné komunikátory, ale později by se mohlo jednat o dobrou variantu pro uživatele, kteří opravdu dbají na soukromí. V každém případě nám Vuvuzela připomíná, abychom se nenechali uchlácholit šifrováním. Metadata jsou další hrozba pro soukromí, se kterou se bude třeba nějak vypořádat.
