Раскрытие анонимности как называется

Анонимность и псевдоанонимность: учимся различать

Анонимность — одна из базовых ценностей криптомира. Однако всегда ли мы правильно употребляем это слово? В рубрике Flashback сегодня вспоминаем основы теории и практики анонимности блокчейна. Спикер: Ник Байло, блокчейн-разработчик (ex-Satoshi.Fund).

Подлинная анонимность: три критерия

Что Сатоши Накамото подразумевал под анонимностью блокчейна и биткоина?

Одним из обязательных критериев криптомира, блокчейна и биткоина в частности, является анонимность. Анонимность — частный случай двух более глобальных понятий: приватность и конфиденциальность. В блокчейне и финансовом мире анонимность означает три базовые вещи:

1) невмешательство в данные;

2) возможность их изоляции от внешних действий;

3) право их не раскрывать.

В криптовалютах есть такое понятие, применимое к деньгам, как fungibility — способность к взаимозаменяемости. Анонимность в данном случае позволяет утверждать, что это право взаимозаменяемости обеспечено.

Действительно ли биткоин анонимен?

Допустим, у нас есть купюра в сто долларов. Мы не знаем, откуда она, каков был ее путь, за что ей платили, за какой товар (законный или нет) — купюра остается с тем же номиналом и значением.

В случае с биткоином все входы ссылаются на предыдущие выходы. Присутствуют компоненты связи и отслеживания, которые определяют псевдоанонимность. Связываемость в данном случае обеспечивается ссылками из входов на предыдущие выходы, отслеживаемость — точными суммами, которые один пользователь отправляет другому. С помощью этих данных возможна деанонимизация.

Одно из решений, позволяющих деанонимизировать адреса и цепочку всех транзакций — платформа Chainalysis. Приобретая пакет услуг, вы сможете выяснить, откуда пришел биткоин. Это нарушает fungibility. Взаимозаменяемость страдает, когда фирма не хочет принимать биткоин с темной историей и с историей вообще.

Анонимность может быть нарушена самим пользователем. Публичные адреса могут быть слинкованы в самом неожиданном месте.

Над вопросом анонимности на базе биткоина активно работают. Предпринимаются попытки достичь приватности высокого уровня. Отсутствие таких решений в самом протоколе привело к появлению надстроек.

Первые подобные предложения сделал в 2013 году кор-разработчик Грегори Максвелл. Ему принадлежит идея CoinJoin-транзакций, когда все входы и выходы группы пользователей собираются в одну транзакцию и принадлежность становится непонятной.

CoinJoin-подход в любом случае требует центрального оператора для смешивания. Существует эволюция этого метода под названием Coin Shuffle, где нет центрального оператора и пользователи сами смешивают транзакции.

Следующим шагом в этом направлении является метод Confidential Transactions, когда сумма скрывается (известна только отправителю и получателю). Достигается с помощью разных криптографических приемов.

Приведем пример: 8+2=10. Если каждое из этих слагаемых и результат умножить на одно и то же число, например на десять, получится 80+20=100. Равенство сохранится, а числа будут другими.

Таким образом происходит валидация либо инвалидация транзакции. Сумма входов, выходов и комиссии транзакции должна быть равна нулю. В таком случае нет допечатки монет и появления средств из воздуха.

Для совершения конфиденциальных или CoinJoin-транзакций в рамках сети биткоин необходима определенная инфраструктура. Офчейн-разработка не вшита в протокол биткоина и требует доработки, создания кошельков и написания софта. Это процесс довольно трудозатратный, но в перспективе реализуемый.

ZKProof: цели и виды

Что такое доказательство с нулевым разглашением (zero-knowledge proof)?

Есть некий криптографический секрет и мы должны криптографически доказать знание этого секрета, не разглашая его самого. Это и будет доказательство с нулевым разглашением. Оно делится на два типа — интерактивное и неинтерактивное.

Существует яркий пример, доступно объясняющий механику интерактивного доказательства. Человек, который не различает цвета, берет два шарика, разворачивается, меняет их местами. Потом поворачивается к человеку, различающему цвета, и спрашивает, изменилось ли положение шариков. Если ответ будет верным, то мы получаем подтверждение доказательства. Игра повторяется несколько раз и с большой долей вероятности мы сможем сказать, что шарики разных цветов, не зная точно, какого они цвета. Этот пример иллюстрирует интерактивное взаимодействие, когда устанавливается контакт между двумя пользователями — один доказывает, другой валидирует.

В случае неинтерактивного доказательства с нулевым разглашением, его еще называют публично верифицируемым, не нужно устанавливать контакты. Вместо этого заранее заготавливается необходимый пруф. Такой вид доказательства считается передним краем науки и находится в стадии разработки. Оно использует сгенерированные публичные ключи, которые создаются на основе приватных и вшиты в саму систему.

Какую роль играет неинтерактивный протокол с нулевым разглашением в приватности сети Zcash?

Обладание приватным ключом может скомпрометировать всю систему, поэтому у Zcash, криптовалюты, построенной на основе неинтерактивного доказательства, была целая церемония генерации приватных ключей. Шести людям дали задание купить компьютеры в определенном месте, удалить ненужный софт и следовать правилам генерации. Церемония, по замыслу организаторов, была направлена на то, чтобы ни один ключ не был скомпрометирован.

Zcash приватен не по умолчанию. Чтобы получить неотслеживаемость и неслинкованность, необходимо делать транзакции особого вида, используя скрытые адреса. Они стоят дороже и ресурсозатратнее стандартных транзакций, на их генерацию может уйти до минуты.

В работе Zcash есть два вызова:

1. Количество пользователей криптовалюты определено специфическим функционалом.

2. Возможное появление ошибок. К примеру — выпуск поддельных монет, не предназначенных для эмиссии.

Направления и перспективы

Можно ли считать монету Monero анонимной и чем она отличается от других?

Monero — это монета со своей инфраструктурой, в которую анонимность встроена по умолчанию. Один ее из разработчиков Рикардо Спаньи, публичная личность с адекватным видением, предупреждает о возможности ошибок или хакерских атак и не советует инвестировать в монету.

Monero включает в себя микс из решений. Это конфиденциальные транзакции и кольцевая подпись от группы пользователей. В случае Monero нельзя сказать точно, какой вход к какому выходу твой. Используется дополнительная группа выходов. Monero отличается от биткоина фактором сокрытия точного значения, и тем, что кольцевая подпись идет не от одного пользователя.

Эта монета объединила в себе все лучшее и недорогое для имплементации и тем самым получила продукт более защищенный, чем другие. Протокол Monero не идеален, в нем присутствуют такие вещи, как слинковка транзакций, над которой еще нужно работать.

Какие проекты решают проблему анонимности?

В список инфраструктурных проектов, которые имеют свой уровень конфиденциальности, кроме Monero, можно включить ZenCash. Они дают возможность отправлять анонимные сообщения, анонимно хранить файлы и доменные имена.

Создание инфраструктуры для анонимных монет начинается с фундаментальных вещей: разработки протокола и определения его применения. Затем уже он обрастает сервисами.

Если Zcash сконцентрирован на разработке протокола и криптографических победах, то ZenCash — реализация этого протокола, имплементация бизнес-кейсов в жизнь с помощью технологии.

Другим примером решения задач, связанных с анонимностью, выступает проект MimbleWimble — модифицированные конфиденциальные транзакции для сокрытия точной суммы и инвалидации. Протокол был создан анонимным пользователем с ником Tom Elvis Jedusor (отсылка к персонажу, в русскоязычном мире известному как Волан-де-Морт). Он опубликовал white-лист с описанием на базе биткоина и с учетом модификации, допускающей удаление скрипта. Скрипт — это язык транзакции в биткоине, который позволяет создавать инфраструктуру поверх блокчейна. MimbleWimble оптимизировал количество данных, хранящихся в этом блокчейне, и мигрировал в проект Green, который претендует как раз на анонимность.

Насколько актуальна на рынке разработка монет с повышенной анонимностью?*

Фокус на данном направлении определенно присутствует, но не самый первостепенный.

Разработчики Ethereum рассматривают в будущем* возможность имплементации протокола, на котором работает Zcash. Фундаментальные проекты мыслят в сторону внедрения анонимности, но только время может показать, что монету не сломали и криптографии можно доверять.

Людей, которые понимают и разбираются в технологиях повышенной анонимности, можно пересчитать по пальцам. Однако прослеживаются положительные тенденции, вовлекается все больше специалистов.

Разработчики Monero принимают вызовы, связанные с масштабируемостью, поскольку блокчейн очень тяжелый, имеет много неопознанных выходов и другие проблемы.

Биткоин также сталкивается с разного рода вызовами. Биткоин — это цифровое золото, это база, которая требует оптимальных, легких и проверенных решений, способных обеспечить полную конфиденциальность данных.

*Подкаст был записан в октябре 2018 года.

Анонимность в интернете: проблемы и особенности Текст научной статьи по специальности «СМИ (медиа) и массовые коммуникации»

Аннотация научной статьи по СМИ (медиа) и массовым коммуникациям, автор научной работы — П. А. Ивлиев

В статье рассмотрена проблема анонимности в цифровую эпоху. Определены две противоположные стороны в конфликте по поводу интернет-анонимности, отличающиеся подходом решения проблем этого явления; названы основные особенности цифровой анонимности.

i Надоели баннеры? Вы всегда можете отключить рекламу.

ANONYMITY IN THE INTERNET: PROBLEMS AND FEATURES

In this article phenomenon of anonymity in the digital epoch was reviewed. Two opposite sides in the conflict about web-anonimity were determined. Also, the most important problems and features of this phenomenon were named.

Текст научной работы на тему «Анонимность в интернете: проблемы и особенности»

АНОНИМНОСТЬ В ИНТЕРНЕТЕ: ПРОБЛЕМЫ И ОСОБЕННОСТИ П.А. Ивлиев, студент

Научный руководитель: Г.А. Чеджемов, старший преподаватель Самарский государственный экономический университет (Россия, г. Самара)

Аннотация. В статье рассмотрена проблема анонимности в цифровую эпоху. Определены две противоположные стороны в конфликте по поводу интернет-анонимности, отличающиеся подходом решения проблем этого явления; названы основные особенности цифровой анонимности.

Ключевые слова: анонимность, интернет, анонимизация, свобода, цифровая анонимность.

На сегодняшний день коммуникативные возможности Интернета используются в экономике, политике, государственной деятельности, науке, образовании. Виртуальный мир предоставляет все больше и больше возможностей, которые присущи реальному миру [1].

В современных реалиях Интернет является основным пространством обмена мнениями между людьми. Тысячи форумов, сайтов по интересам и страниц в социальных сетях являются площадками обсуждения всевозможных проблем или событий. Однако, страх открытого изложения своей позиции из-за возможного осуждения, который присущ подавляющему числу людей, породил потребность в сокрытии своей личности. В прошлом люди не подписывали письма или придумывали псевдонимы для публикации своих высказываний. В современном мире развитые информационно-коммуникативные технологии дают нам возможность скрывать личность с помощью различных методов шифрования. Анонимность как явление эволюционирует. Попытаемся выяснить, с какими проблемами сталкивается общество из-за цифровой анонимности, что дает анонимность людям нашего времени, а также, в чем проявляют себя особенности анонимности как явления в высокотехнологичную эпоху.

«Анонимным называется что-либо без указания имени того, кто пишет, сообщает о чём-нибудь без подписи» [2] (Определение из «Толкового словаря Ожегова», С.И.

Ожегов, Н.Ю. Шведова. 1949-1992). Именно так было определено слово «анонимный» в словаре Ожегова в прошлом веке. В общем и целом это определение подходит и в нашем случае.

На просторах медиа-пространства можно прочесть кардинально противоположные взгляды на анонимность: одни считают анонимность неприемлемой, другие говорят об исключительной необходимости для пользователей. Обе эти точки зрения аргументированы. Противники цифрового сокрытия личности вспоминают преступников, которые использовали ано-нимизацию как средство для совершения противоправных деяний. Доподлинно известно, что члены ИГИЛ (запрещенной в России организации) используют конфиденциальность сайтов для распространения радикальных взглядов и запугивания простых пользователей сети Интернет.

23, 24, 28 и 29 статьи Конституции РФ непосредственно касаются защиты прав человека, связанных с его частной жизнью, мыслями, взглядами и т.п. Анонимность в интернете — это по сути своей возможность пользователя сети ощущать действительную свободу выражения мнений без угрозы раскрытия личности. Это главный аргумент защитников цифровой анонимности. Особенно весомо этот аргумент выглядит на фоне существования знаменитого «великого китайского файервола», который в целях борьбы с идеологическими противниками и защиты партийных структур от критики ограничивает доступ

граждан Китая в возможности пользования популярнейшими сайтами [3]. Важно отметить, что в России некоторое время назад обсуждали законопроекты по ограничению анонимности в сети. Также часто о необходимости запрета анонимизации говорят и представители РПЦ (Русской православной церкви). Так, недавно митрополит Казанский и Татарский Феофан Ашур-ков призвал ограничить анонимность [4].

Анонимность в интернете не абсолютна. Наивно полагать, что раскрытие личности действительно невозможно. Форумы, сайты и другие интернет-организации, на которых возможно общение людей, скрывающих свои имена, чаще всего предоставляют информацию об 1Р пользователей по запросу уполномоченных служб. В 2018 году социальная сеть «ВКонтакте» передала следователям данные обвиняемой в экстремизме жительнице Барнаула Марии Мотузной. Администрация сайта сообщила данные об ^-адресах, с которых страница была активна, об изменении паролей и другую информацию [5].

С другой стороны, получая данные о пользователях, спецслужбы, борющиеся с реальной преступностью, узнают лишь о компьютере или сервере, с которого совершалось преступления или с которого преступник связывался с сообщниками. Но далеко не всегда принадлежность № человеку говорит о том, что этим 1Р пользуется только владелец. Мы не можем с точностью утверждать, что за каждым конкретным 1Р скрывается один человек. Тем более, что в цифровом пространстве существуют специальные методы анонимизации через использование поддельного или подставного 1Р. Для этого используются прокси-сервера, УР^ специальные браузеры (к примеру, ТОЯ), расширения для обычных браузеров.

Свобода является основой демократического общества, к построению которого стремится Россия. С точки зрения многих

пользователей Интернета, именно анонимность в сети может дать импульс к достижению этой важной цели. Интернет -платформа обсуждения политики, экономики, культуры и общества в целом. Это место, где люди могут предлагать новые решения проблем. Здесь одновременно могут находиться представители всех регионов России, что вне интернета реализуется только в Федеральном собрании РФ. И анонимность в этой среде позволяет побороть страхи осуждения. Ведь часто человека без образования или связей журят даже за предложения по решению проблем, в которых он якобы несведущ.

Но анонимность порождает проблему обезличенности общения между людьми. Если в реальном мире за каждой фразой стоит человек, который по идее несет ответственность за свои слова и поступки, то в условиях анонимности такое не происходит. Аноним примеряет на себя разные «Я». Он не боится общественных санкций. Исследование 2005 года показало, что четверть подростков в Интернете выдают себя за представителей другого пола, этноса, политических взглядов , сексуальной ориентации [6]. Анонимы могут отходить от норм морали или права, оскорбляя представителей других конфессий, людей иных политических воззрений. В различных чатах обезличенные сообщения очень часто не несут в себе полезной информации.

Подводя итог статьи, можно сказать, в условиях кардинальных изменений всех сфер общественной жизни особое значение приобретает информационное пространство [7], и анонимность в нем — это неоднозначное явление, которое практически невозможно регулировать без серьезных ограничений граждан в их правах и свободах. Анонимность с одной стороны может породить среду активного поиска лучших путей развития обществ и государства, а с другой стороны — среду деятельности преступников и «троллей».

1. Белоножко Е.С., Чеджемов Г.А. Мошенничество в сети Интернет // Наука XXI Века: актуальные направления развития. — 2017. — №1. — С. 86.

2. Ожегов С.И., Шведова Н.Ю. Толковый словарь Ожегова. 1949-1992.

3. Радайкин М. Ф. Кратко о проблеме анонимности в сети Интернет. Пробелы в российском законодательстве // Юридический журнал. — 2013. — № 2. — С. 25-28.

4. [Электронный ресурс]. — Режим доступа: URL: https://www.znak.com/2018-10-24/v_rpc_predlozhili_ogranichit_anonimnost_v_seti_chtoby_my_ne_unichtozhili_drug_druga

5. [Электронныйресурс]. — Режим доступа: URL: https://snob.ru/news/164436

6. Бочавер А.А., Хломов К.Д. Кибербуллинг: травля в пространстве современных технологий // Психология. Журнал Высшей школы экономики. — 2014. — №3. — С. 178.

7. Бондарев С.И., Ургалкин Ю.А., Чеджемов Г.А. Формаирование интернет-культуры студентов в процессе преподавания политологии и социологии // Социальное поведение молодежи в интернете: новые тренды в эпоху глобализации. — 2015. — 376 с.

ANONYMITY IN THE INTERNET: PROBLEMS AND FEATURES P.A. Ivliev, student

Supervisor: G.A. Chedzhemov, senior lecturer Samara state university of economics (Russia, Samara)

Abstract. In this article phenomenon of anonymity in the digital epoch was reviewed. Two opposite sides in the conflict about web-anonimity were determined. Also, the most important problems and features of this phenomenon were named.

Keywords: anonymity, the Internet, freedom, anonymization, web-anonymity.

У вас есть право на анонимность. Часть 1. Введение и мировая практика

Право на анонимность уже стало мировым стандартом для обеспечения фундаментальных прав человека и гражданина в цифровую эпоху, прежде всего – права на свободу выражения мнения и права на тайну частной жизни / прайваси.

Так что же такое «право на анонимность», если мы говорим про интернет-пространство:

✓ Право на анонимный сёрфинг (поиск информации в сети) и анонимную отправку личных сообщений (e-mail, мессенджеры)

Анонимное соединение — это главное субъективное право, необходимое любому пользователю Интернета. Анонимным соединением считается соединение с сервером назначения, когда этот сервер не имеет возможности ни установить происхождение (IP-адрес/местонахождение) этого соединения, ни присвоить ему какой-либо идентификатор.

Пользователи должны иметь право на анонимный поиск информации в интернете, в том числе скрывать свои IP-адреса и отправлять сообщения анонимно. Осенью 2016 года Европейский суд справедливости (European Court of Justice) рассмотрел запрос немецкого Федерального Суда, связанного с иском представителя немецкой Пиратской партии к федеральному правительству. Жалоба была подана немецким гражданином в отношении хранения на правительственных сайтах динамических IP адресов после того, как пользователь покидает сайт. Европейский суд в своем решении признал динамический адреса (как и ранее статические адреса) персональными данными и указал, что операторы не имеют права сохранять динамические IP-адреса, кроме как для защиты от кибератак.

✓ Право на анонимный постинг (публикации информации в интернете, в т.ч. в социальных сетях)

В связи с появлением онлайн-цензуры, сбора и прослушки данных рядовых пользователей с дальнейшим их преследованием, пользователи интернета должны иметь право пользоваться технологиями по предоставлению анонимного доступа к сети и анонимному размещению материалов (посты, комментарии и другое) в интернете. Это позволяет реализовать права гражданина на свободу мнения и его выражения в цифровую эпоху. Такого мнения придерживается Совет по правам человека ООН, утвердивший доклад, посвященный проблеме анонимности пользователей в сети.

✓ Право на анонимные платежи (включая использование криптовалют)

Общепринято, что благотворительность должна быть анонимной. Благотворитель может иметь разные причины сохранять свою анонимность: желание не раскрывать своё финансовое состояние, нежелание возникновения персонифицированного чувства благодарности и т. д.

✓ Право на анонимное создание и распространение произведений

Ст. 1265 Гражданского кодекса РФ предусматривает, что право автора на имя предусматривает право использовать или разрешать использование произведения под своим именем, под вымышленным именем (псевдонимом) или без указания имени, то есть анонимно. Аналогичное положение содержится и в Бернской конвенции, устанавливающей, что авторское право на произведение обнародованное анонимно либо под псевдонимом действует в течение 50 лет после даты его правомерного обнародования.

Однако, право на анонимность прямо не зафиксировано ни в одном международном документе, подлежащим обязательному исполнению национальными государствами и может претендовать пока лишь на рекомендации независимых международных организаций (прежде всего ООН) и стейкхолдеров, а также выработанную судебную практику. Вместе с тем, в 2016 году была принята расширенная резолюция об «онлайн-правах» со стороны Совета по правам человека ООН. В итоговой резолюции Генассамблея ООН призвала страны «…пересмотреть свои процедуры, практику и законодательные акты, касающиеся перлюстрации переписки, а также применяемые ими меры перехвата и сбора личной информации, включая практику массовой слежки, в целях защиты права на неприкосновенность частной жизни».

В США право на анонимное высказывание мнения защищается первой поправкой, а необходимость его защиты была неоднократно признана Верховным судом. В Совете Европы и Европейском союзе также была выработана определенная правовая позиция по праву на анонимность. Например, Комитет министров Совета Европы принял декларацию о свободе коммуникаций и интернете в мае 2003 года. Пункт 7 документа предусматривает, что:

«для обеспечения защиты от онлайн-наблюдения и повышения свободного выражения информации и идей, государства-члены должны уважать желание пользователей сети интернет не раскрывать свою личность. Это не препятствует членам Союза предпринимать меры и координировать свои действия для отслеживания лиц, вовлеченных в преступную деятельность в соответствии с национальным законодательством и Конвенцией и защите прав человека и основных свобод, а также международными договорами в сфере правосудия и национальной политики».

В своей судебной практике ЕСПЧ (дело K.U. v Finland, Appl. No.2872/02 от 02 Декабря 2008, дело Delfi v Estonia, App. No.64569/09 от 10 Октября 2013) также неоднократно признавал важность анонимности для прав на свободу выражения мнения и неприкосновенность частной жизни. В то же время, суд прояснил, что анонимность не может быть абсолютной и может быть ограничена для защиты других интересов, особенно защиты уязвимых групп:

«Анонимность и конфиденциальность в интернете не должны побуждать государства отказываться от защиты прав потенциальных жертв, преступных действия, совершенных в сети. Хотя свобода выражения мнений и конфиденциальность сообщений являются первичными соображениями, а пользователям телекоммуникаций и интернет сервисов должны предоставляться гарантии того, что их личная неприкосновенность и свобода выражения будут соблюдаться, такая гарантия не может быть абсолютной и должна иногда подчиняться другим законным императивам, таким как предотвращение беспорядков или преступлений или защита прав и свобод других лиц».

В 2015 году специальный докладчик ООН Дэвид Кей в своем докладе по вопросу о поощрении и защите права на свободу мнений и их свободное выражение в эпоху цифровых технологий особо отметил важную роль использования средств шифрования и анонимности для защиты и укрепления свободы выражения мнений.

Дэвид Кэй так объясняет необходимость защиты права на анонимность:

«Анонимность — это состояние избегания идентификации. Анонимность, будучи обычным человеческим желанием защитить свою личность от толпы, способна дать возможность пользователю исследовать и распространять свои идеи и мнения в большем объеме, чем если бы он делал это под своей реальной личностью. Физические лица в онлайне могут использовать псевдонимы (или, к примеру, выдуманные e-mail или аккаунты в соц.сетях) для того, чтобы сокрыть свою личность, лицо, голос, местонахождения и т.д., однако конфиденциальность, предоставляемая с помощью таких псевдонимов, является поверхностной и легко нарушается правительствами или другими лицами, обладающими необходимым опытом. В случае отсутствия набора инструментов по шифрованию и анонимизации, цифровые следы, которые оставляет пользователь, легко позволяют его идентифицировать. Пользователи, желающие обеспечить полную анонимность или скрыть свою личность (например, скрывающие свой IP-адрес) от правительственных органов или преступного вторжения могут использовать такие инструменты как виртуальные частные сети (VPN), прокси-серверы, анонимные сети, приложения, и P2P-сети. Наиболее известный инструмент анонимности TOR. Развертывает более 6000 децентрализованных компьютерных серверов по всему миру, для того, чтобы получать и ретранслировать информацию несколько раз для сокрытия идентифицирующих сведений о конечных точках, создавай при этом сильную защиту анонимности пользователей».

В сегменте социальных сетей, анонимность также стала важным стандартом, претендующим на то, чтобы стать обычаем делового оборота. Так, например, компания Facebook в свое время отказалась от разработанной ей «политики реальных имен» после массового общественного протеста. Крупнейшая в мире соцсеть также сделала еще один весьма интересный шаг — открыла своё представительство в анонимной сети Tor, тем самым прививая интерес пользователей к сетевым инструментам, повышающих защиту личных данных.

Однако, российские власти, видя в анонимности абсолютное зло, вслед за Китаем и странами мусульманского мира продолжают игнорировать это право, и более того, стремятся различными способами (как законодательными, так и правоприменительными) эту анонимность в Рунете уничтожить, а также запретить технические средства, позволяющие находиться в сети анонимно. В настоящее время ведется работа по блокировке ресурсов, обеспечивающих анонимный доступ к веб-ресурсам, предпринимаются попытки давления на VPN-сервисы и компрометации сети TOR.

Так что же происходит с проблематикой анонимности и прайваси в России?

Подготовлено:
Саркис Дарбинян, Артём Козлюк, Алёна Рыжикова для Центра защиты цифровых прав

Как дата-журналистам использовать анонимизацию для защиты персональных данных

В ходе работы над историей у журналистов часто возникает необходимость скрывать личность источника. Договоренность об этом была необходимой предпосылкой множества журналистских работ, которые имели влияние на общество. Тем не менее, поиск баланса между публикацией информации, необходимой для журналистского материала, и защитой лица, стоящего за этой информацией, может оказаться нелегкой задачей, особенно когда личная безопасность источника – под угрозой.

Используя в качестве источника набор данных, журналисты вынуждены самостоятельно оценивать конфиденциальность имеющейся у них информации.

Эти проблемы особенно обостряются в наш век, когда сбор данных становится повсеместным. Достижения в области вычислительной техники сделали возможным обработку больших объемов данных, что, в свою очередь, способствует попыткам монетизировать данные или использовать их для слежки. Во многих случаях неприкосновенность частной жизни рассматривается как препятствие, а не как необходимое требование. Недавняя история изобилует примерами нарушений конфиденциальности: использование личных данных Cambridge Analytica для таргетинга рекламы или непрерывный сбор наших данных с помощью интеллектуальных устройств. Из-за множества нарушений безопасности и утечек данных, надежды на конфиденциальность, похоже, становятся совсем призрачными.

Объемы данных, доступные журналистам, беспрецедентно велики, и эти данные все чаще используются в журналистских материалах. Но, как и в случае с конфиденциальными источниками, журналист должен уметь определить, какую информацию публиковать, чтобы без необходимости не раскрывать персональные данные. Какие-то личные сведения, конечно, могут быть нужны, но вряд ли в большинстве статей вам нужно идентифицировать каждого из людей в наборе данных. Можно защитить их конфиденциальность с помощью разных методов деидентификации и анонимизации.

Определение персональной информации

Формальное определение личной информации (персональных данных) появилось только с реформой законодательства в конце двухтысячных. Журналистам уже долгое время приходилось определять, поставит ли раскрытие данных, намеренное или случайное, конфиденциальность частных лиц под угрозу. После того, как в 2006 году AOL опубликовала в интернете миллионы поисковых запросов, и журналисты смогли воссоздать персональные данные исходя исключительно из истории поиска человека, в том числе выяснив конфиденциальные сведения о состоянии здоровья и предпочтениях некоторых людей при поиске партнеров для свиданий. Аналогично, после разоблачения Эдвардом Сноуденом слежки со стороны Агентства национальной безопасности (NSA), многие исследователи показали, как метаданные соединений — информация, генерируемая нашими мобильными устройствами, — могут использоваться для идентификации пользователей или слежки.

Если имя человека находится в списке поклонников страницы на Facebook, то риск, связанный с разглашением его данных, небольшой. Однако если это имя находится в списке политических диссидентов, то риск резко возрастает.

При использовании в качестве источника истории набора данных, журналисты оказываются в новой нестандартной ситуации, когда им приходится самостоятельно оценивать конфиденциальность имеющейся информации. Для этого сперва нужно понять, что является персональной информацией, а что нет.

Персональные данные, позволяющие установить личность (Personally identifiable infromation = PII) – в юридических документах в зависимости от страны называются «персональные данные» или «персональная (личная) информация». Обычно под ними подразумевают всё, что позволяет напрямую идентифицировать человека. Однако важно отметить, что существует целый спектр уровней идентифицируемости и конфиденциальности персональных данных, позволяющих установить личность. Например, имена или адреса электронной почты имеют высокую ценность с точки зрения идентифицируемости, но относительно низкую степень конфиденциальности, поскольку их публикация обычно не подвергает человека опасности. Данные о местоположении или данные из личной медицинской карты, возможно, в меньшей степени идентифицируемы, но в большей степени конфиденциальны. Для иллюстрации рассмотрим идентифицируемость и конфиденциальность различных типов персональных данных, позволяющих установить личность.

Персональные данные заметно различаются по идентифицируемости и конфиденциальности. Иллюстрация: Datajournalism.com

Степень, в которой информация позволяет определить личность и является конфиденциальной, зависит как от контекста, так и от результата сопоставления данных. Если имя человека находится в списке поклонников страницы на Facebook, то риск, связанный с его разглашением, небольшой. Однако если это имя находится в списке политических диссидентов, то риск для конфиденциальности, связанный с публикацией, резко возрастает. Ценность информации также меняется в сочетании с другими данными. Набор данных, содержащий историю покупок, может быть сложно связать с каким-либо конкретным лицом; однако в сочетании с информацией о местоположении или номерами кредитных карт может возрасти как идентифицируемость, так и конфиденциальность. (Тут можно вспомнить, как бывшего президента России Дмитрия Медведева выдали … обычные кроссовки — прим.ред.)

В 2016 году Департамент здравоохранения Австралии опубликовал деидентифицированные фармацевтические данные для исследовательских целей; но ученые смогли расшифровать одно из деидентифицированных полей. Таким образом, появилась возможность раскрытия персональной информации. Австралийский Уполномоченный по вопросам конфиденциальности провёл расследование этого дела. Еще один пример: в 2016 году журналисты Buzzfeed, расследующие мошенничество со стороны профессиональных теннисистов, опубликовали анонимизированные данные, использованные при подготовке их материала. Группе студентов бакалавриата удалось реидентифицировать (заново идентифицировать) теннисистов, о которых шла речь, используя общедоступные сведения. Эти примеры показывают, что для определения конфиденциальности набора данных журналисту следует тщательно оценить как содержащуюся в нем информацию, так и ту информацию, которая уже является общедоступной.

Казалось бы, имена теннисистов анонимизированы. Тем не менее, в исходниках BuzzFeed содержались и другие данные, допускающие возможность повторной идентификации. Иллюстрация: Datajournalism.com

Что такое деидентификация?

Чтобы скрыть личность источника, журналист может сослаться на анонимность, или использовать псевдоним — например, в публикациях о Уотергейтском скандале использовался псевдоним Глубокая Глотка. При работе с информацией процесс удаления персональных данных называется деидентификацией, обезличиванием или анонимизацией, в зависимости от законодательства разных стран. Методы деидентификации данных использовались журналистами еще задолго до появления интернета. К примеру, в публикуемых документах из утечек вымарывали имена. Сегодня для защиты конфиденциальности в цифровой среде журналистам доступны новые методы и инструменты деидентификации, которые упрощают анализ и использование все больших объемов данных.

Цель деидентификации сведений — избежать возможной реидентификации (т.е. повторной идентификации после публикации — прим.ред.); иными словами, нужно анонимизировать данные, чтобы их нельзя было использовать для установления личности. Есть некоторое общее законодательное регулирование анонимизации данных, но для каждой отдельно взятой отрасли она обычно определяется по-своему. Например, первичная медицинская документация в Соединенных Штатах должна соответствовать Акту об обмене данными и подотчетности медицинского страхования (HIPAA), который требует анонимизации прямых идентификаторов, таких как имена и фамилии, адреса и номера социального страхования, перед публикацией для общего пользования. В Европейском союзе, согласно Общему регламенту по защите данных (General Data Protection Regulation — GDPR), требуется анонимизация как прямых идентификаторов (имен, фамилий, физических адресов и адресов электронной почты), так и косвенных идентификаторов (должностей и почтовых индексов).

Работая над материалом, журналисты принимают решение, какая информация необходима для материала, а какую можно опустить. Часто оказывается, что чем ценнее информация, тем выше ее конфиденциальность. Например, исследователям в области здравоохранения требуется доступ к данным о диагностике и другим медицинским данным, но если эти данные связаны с конкретным лицом, их конфиденциальность может быть очень высока. Чтобы сохранить баланс между полезностью и конфиденциальностью данных, принимая решение о том, что публиковать, журналисты могут использовать целый ряд методов деидентификации.

Вымарывание данных

Пример отредактированного документа ЦРУ с купюрами. Иллюстрация: Wikimedia.

Самый простой способ деидентификации набора данных — удаление или вымарывание любых персональных или конфиденциальных данных. Несмотря на очевидный недостаток — возможную потерю информативности — вымарывание чаще всего используется для прямых идентификаторов, таких как имена, фамилии, адреса или номера социального страхования, которые обычно не связаны с сутью материала.

Тем не менее, с развитием технологий и растущей доступностью данных, потенциал идентификации по косвенным идентификаторам будет расти. Поэтому журналистам не следует полагаться на редактирование или вымарывание данных как на единственное средство деидентификации.

Псевдонимизация

В некоторых случаях полное удаление информации ограничивает полезность сведений. Одно из возможных решений — псевдонимизация, то есть замена идентифицируемых данных псевдонимами, которые генерируются случайным образом или с помощью алгоритма. Наиболее распространенными методами псевдонимизации являются хеширование и шифрование. Хеширование выполняется с помощью математических функций, благодаря которым данные преобразуются в нечитаемые хэши. Шифрование же подразумевает двунаправленное алгоритмическое преобразование данных. Основное различие между этими двумя методами заключается в том, что зашифрованные данные можно расшифровать с помощью ключа, тогда как хеширование информации необратимо. Многие системы баз данных, например MySQL и PostgreSQL, позволяют осуществлять как хеширование, так и шифрование данных.

В некоторых случаях сами алгоритмы, используемые для создания псевдонимов, могут быть взломаны третьими сторонами или имеют внутренние уязвимости.

Псевдонимизация данных сыграла важную роль в расследовании Offshore Leaks, проведенной Международным центром расследовательной журналистики (ICIJ). Учитывая огромный объем данных, которые необходимо было обработать, журналисты применили уникальные коды, связанные с каждым физическим или юридическим лицом, фигурировавшим в просочившихся документах. Эти псевдонимизированные коды использовались для отображения связей между просочившимися документами, даже в тех случаях, когда имена физических или юридических лиц не совпадали.

Информация считается псевдонимизированной, если ее нельзя связать с физическим лицом без использования дополнительных данных. В то же время, из-за возможности комбинировать псевдонимизированные данные с другими наборами данных, псевдонимизация потенциально становится слабым методом деидентификации. Даже само по себе многократное использование одного и того же псевдонима в наборе данных может снизить его эффективность, так как вероятность найти взаимосвязи между переменными растет с каждым появлением псевдонима. Наконец, в некоторых случаях сами алгоритмы, используемые для создания псевдонимов, могут быть взломаны третьими лицами или имеют внутренние уязвимости, поэтому журналистам следует осторожнее использовать псевдонимизацию для сокрытия персональных данных.

Статистический шум

Как вымарывание данных, так и псевдонимизация связаны с риском повторной идентификации, поэтому их часто сочетают с методами статистического шума, такими как k-анонимизация. В нём для заданного количества лиц будут использованы одни и те же косвенные идентификаторы, что усложнит процесс реидентификации. Рекомендуется использовать не менее 10 записей с уникальными комбинациями идентификаторов. Распространенными методами введения статистического шума в набор данных являются генерализация, например, замена названия страны материком, и группирование, то есть преобразование чисел в диапазоны. В дополнение к методам статистического шума часто используются вымарывание данных и псевдонимизация, чтобы обеспечить отсутствие уникальных комбинаций идентификаторов в наборе данных. В следующем примере данные в некоторых столбцах обобщены или отредактированы с целью предотвращения реидентификации отдельных записей.

Добавление статистического шума для предотвращения реидентификации. Иллюстрация: Datajournalism.com

Агрегирование данных

Когда нет необходимости сохранения исходных данных, журналисты могут прибегать к деидентификации путем агрегирования. Вместо публикации полного набора, можно публиковать данные в форме сводок без указания каких-либо прямых или косвенных идентификаторов. Главное в агрегировании обеспечить, чтобы наименьшие сегменты агрегированных данных были достаточно большими и не могли указать на конкретных лиц. Это особенно актуально, когда в агрегированных данных возможно объединение по нескольким измерениям.

Рабочие процессы деидентификации

Для журналистов, стремящихся сдать материал в срок, деидентификация может показаться второстепенной в сравнении с более важными задачами, например, оценкой качества данных или выбором варианта визуализации набора данных. Тем не менее, обеспечение конфиденциальности частных лиц должно занимать значимое место в журналистской работе, хотя бы потому, что неправильное обращение с персональными данными может подорвать доверие к материалу. Кроме того, возможное нарушение законодательства о конфиденциальности может повлечь ответственность, особенно если издание занималось сбором или обработкой данных. Поэтому деидентификация должна стать частью рабочего процесса журналистики данных, что подразумевает ответ на следующие вопросы:

Содержит ли ваш набор данных персональную информацию?

Бывает, что набор данных, с которым вы работаете, — это метеосводки или общедоступная спортивная статистика. В таком случае вам не нужно беспокоиться о деидентификации. В других случаях наличие имен, фамилий или номеров социального страхования делает риски для конфиденциальности очевидными. Однако зачастую, чтобы понять, можно ли установить личность на основании этих данных, требуется тщательный анализ. Это особенно актуально при работе с утечками, как объясняют в своей обширной статье Сьюзен МакГрегор и Элис Бреннан. Помимо наличия прямых идентификаторов, журналисты должны обращать пристальное внимание на косвенные идентификаторы: IP-адреса, занимаемые должности и географические данные. Общее правило: любая информация, касающаяся человека, должна рассматриваться как угроза конфиденциальности, и обрабатываться соответствующим образом.

Насколько ваши данные конфиденциальны и идентифицируемы?

Персональная информация несет в себе различные риски в зависимости от контекста, в котором она существует, в том числе, от того, возможно ли объединить ее с другими данными. Это означает, что журналистам необходимо оценить две вещи: 1) насколько идентифицируемым является этот фрагмент и 2) насколько эта информация затрагивает конфиденциальность человека. Спросите себя: поставит ли связь человека с журналистским материалом под угрозу его безопасность или репутацию? Можно ли сопоставить имеющиеся данные с другими доступными наборами данных, чтобы установить личность человека? Если да, то перевешивают ли преимущества публикации этих данных риски для конфиденциальности? Чтобы уравновесить общественный интерес, связанный с публикацией, и риск нарушения конфиденциальности из-за раскрытия персональных данных, требуется индивидуальный подход.

Журналисту, пишущему для печатного издания в доинтернетовскую эпоху, не нужно было беспокоиться о том, каким образом будут опубликованы данные, ведь никто не может отправлять дополнительные запросы к иллюстрациям или вырезкам со статистикой. Однако интерактивная визуализация и другие современные инструменты, характерные для журналистики данных, позволяют аудитории подробно изучать данные, использованные для журналистского материала. Например, многие журналисты выбирают открытость исходников и публикуют на GitHub как программный код, так и данные. При этом, в целях заботы о конфиденциальности, все данные должны быть тщательно очищены от персональной информации. Что касается визуализации, некоторые журналисты защищают конфиденциальность, используя предварительно агрегированные данные, что обфусцирует исходный набор данных (то есть их можно использовать, но подробности скрыты). При этом важно проверить, превышают ли агрегированные образцы минимальный порог идентифицируемости.

Какой метод деидентификации подходит для ваших данных?

Учитывая все особенности имеющихся данных, журналистам часто приходится прибегать к сочетанию различных методов деидентификации. Для защиты конфиденциальности прямых идентификаторов — при правильной реализации — обычно достаточно редактирования данных и псевдонимизации. Для косвенных идентификаторов, возможно, следует добавить статистический шум путем группирования данных или обобщения информации, которая не представляет большого значения для журналистского материала. Агрегирование данных — лучший вариант для данных с высокой конфиденциальностью. Для того, чтобы этот подход сработал, журналист должен удостовериться, что диапазон данных достаточно широк, а агрегированные переменные распределены достаточно равномерно, чтобы предотвратить случайное раскрытие персональной информации.

Подавая пример

После того, как данные публикуются в интернете, возможности их изменить или исправить больше нет. Даже если вы считаете, что ваш набор данных очищен от каких-либо персональных данных, остается риск, что кто-то сможет объединить ваши данные с другим источником и реидентифицировать людей, или взломать ваш алгоритм псевдонимизации и раскрыть персональную информацию. Риски реидентификации будут продолжать расти с развитием таких новых технологий, как машинное обучение и распознавание шаблонов, благодаря которым появляются новые возможности комбинирования и преобразования данных.

Существует множество примеров негативных последствий раскрытия личных данных, когда не были приняты меры по обеспечению конфиденциальности.

Помните, что кажущиеся обезличенными данные могут быть использованы для идентификации, стоит только правильно подобрать данные, с которыми их можно объединить. В известной истории о том, как Netflix предложил приз за лучший алгоритм рекомендаций, из имеющихся данных были удалены все персональные идентификаторы. Однако исследователям удалось сопоставить личные кинопредпочтения с данными IMDb.com и других онлайн-источников, чтобы идентифицировать людей в «анонимизированном» наборе данных Netflix.

Несмотря на ограничения сегодняшних методов деидентификации, журналисты всегда должны прилагать максимум усилий для защиты конфиденциальности.

Пример в этом подает ICIJ – при обработке огромных объемов личных данных Консорциум всегда помнит о конфиденциальности. Работая с «Панамским архивом» журналисты защищали анонимность источника утечки, используя псевдоним Джон Доу, и тщательно оценивали, как публиковать персональную информацию, содержащуюся в просочившихся документах. Ничто не мешает и другим журналистам, независимо от тематики и предварительной подготовки, предпринимать аналогичные шаги, чтобы сохранить баланс между конфиденциальностью и общественным интересом к своим материалам.

Существует множество примеров негативных последствий раскрытия личных данных, когда не были приняты меры по обеспечению конфиденциальности — например, личные драмы после утечки информации с сайта Ashley Madison [сайт знакомств для тех, кто уже состоит в браке] или массовое раскрытие конфиденциальных данных, связанных с Wikileaks. Журналистам следует стремиться избегать таких ошибок и всегда подавать пример ответственной работы с данными в своих материалах.

Другие материалы по теме:

Войтех Седлак — ученый, специализирующийся на работе с данными, который в настоящее время работает в SumOfUs , организации, которая пытается обуздать растущую мощь корпораций. Ранее он работал в Mozilla и OpenMedia, внимательно следит за RStudio, измеряет резервы и сообщества открытых данных, а также является большим поклонником аналитических методов с открытым исходным кодом.