Книга: Глобальное управление Интернетом и безопасность в сфере использования ИКТ: Ключевые вызовы для мирового сообщества

Раздел VII Левиафан в Сети: защита права на тайну частной жизни после событий 2013 г.

Раздел VII

Левиафан в Сети: защита права на тайну частной жизни после событий 2013 г.

За небольшой промежуток времени начиная с июня 2013 г. бывший сотрудник Агентства национальной безопасности (АНБ) США Эдвард Сноуден оказал огромное влияние на международную политику, общественную и экспертную дискуссию в сфере ИКТ, управления Интернетом и, прежде всего, соблюдения прав пользователей на тайну частной жизни в Сети. Несмотря на то что сообщество технических экспертов в сфере информационной безопасности имело представление о ключевых практиках, раскрытых Сноуденом широкой общественности, эффект совершенных разоблачений представляется отчетливым и необратимым.

Информация, раскрытая экс-сотрудником Агентства национальной безопасности (АНБ) США Эдвардом Сноуденом, продемонстрировала политическим лидерам и международной общественности глубину кризиса доверия в отношениях государства со своими партнерами в мире, а также со своими собственными гражданами и гражданами других стран.

Международно-политический итог разоблачений Сноудена несводим к удару по авторитету США в вопросах защиты прав и свобод человека в Сети.

Он фундаментальнее и заключается в констатации того, что ИКТ и Интернет являются не только глобальным генератором прогресса, но и инструментом систематического одностороннего контроля государства над обществом и внешними контрагентами. Не неся ничего фундаментально нового для технических специалистов, разоблачения программ АНБ подтвердили, что кибершпионаж, киберагрессия и незаконный сбор персональных данных в Сети в должном масштабе несут стратегическое преимущество для государств, которые практикуют такие методы, и в то же время создают стратегическую угрозу безопасности и интересам стран – объектов такой деятельности.

ИКТ и Интернет обусловили для шпионажа и вторжения в частную жизнь возможности, никогда не существовавшие прежде:

• глобальный характер – кампании АНБ и британских спецслужб охватили одновременно многие десятки стран мира, включая членов и союзных блоков НАТО, и дружественных коалиций;

• массовость – вероятно, впервые в истории сбор персональных данных и слежка за гражданами вообще утратили избирательность. Гражданин стал объектом электронного наблюдения по умолчанию в результате развития технологий и инфраструктуры, необходимых для работы с Big Data;

• незаметность – технологический арсенал АНБ позволял годами собирать данные десятков миллионов пользователей, включая политических лидеров других стран, успешно сохраняя все в тайне до лета – осени 2013 г.;

• безопасный характер – несмотря на имиджевые и политические потери, США не потеряли ни одного агента, равно как и технику, в результате разоблачений Сноудена, благодаря трансграничной природе Интернета, не требующей присутствия людей «на месте».

Таблица 6. Ключевые разоблачения Эдварда Сноудена

В плане положительных последствий разоблачения Сноудена стимулировали новый виток дискуссии о необходимости выработки международных норм ответственного поведения государств в Сети.

Кроме того, в центре внимания технического сообщества оказался вопрос о первопричинах столь тотальной слежки в Интернете, организованной АНБ и его британскими коллегами. Глобальная сеть с точки зрения ее архитектуры, технологических средств и форм государственного регулирования традиционно считалась оптимальной площадкой для безопасной анонимной коммуникации. Конечно, разрастающиеся кампании кибершпионажа, хакерские атаки и все более активная политика государства в Сети способствовали корректировке этой оценки и до разоблачений Сноудена. Однако именно события 2013 г. показали широкой общественности, что в отношении пользователей и их персональных данных Интернет стал стеклянным домом, практически полностью проницаемым для спецслужб.

В результате вопрос, вставший два года назад перед техническим сообществом, может быть сформулирован так:

• «Является ли феномен масштабного государственного шпионажа в Сети случайным сбоем или системным пороком нынешней модели управления Интернетом?»

• И если речь идет о системном пороке архитектуры Интернета и управления им, «Какие технические и институциональные шаги помогут исправлению ситуации?».

Несмотря на то что на данный момент окончательный ответ на эти вопросы так и не представлен международному сообществу и интернет-пользователям, спустя два года с начала разоблачений Сноудена версия, согласно которой глобальные программы электронной слежки являются случайной аберрацией и не зависят от существующих пороков архитектуры безопасности Сети, выглядит все более сомнительной.

Многие эксперты как в техническом сообществе, так в частном секторе склонны рассматривать глобальную электронную слежку именно как системный порок, возникший в результате стремительного технического прогресса и глобализации Интернета, которыми не могли не воспользоваться спецслужбы различных государств. С учетом постоянного возникновения новых очагов нестабильности по всему миру, которые так или иначе позволяют спецслужбам технологически развитых государств обосновать пристальную массовую слежку за пользователями, компаниями и правительственными органами, возникает вопрос – какие технические, правовые и институциональные шаги могут сбалансировать интересы обеспечения национальной/глобальной безопасности с правом граждан на тайну частной жизни?

Признание системной проблемы в механизме управления Сетью может повлечь далеко идущие последствия на архитектурном и техническом уровне, включая уровень технической инфраструктуры Сети и интернет-протоколы. Речь в том числе идет об изменении параметров и средств защиты от перехвата пакетов данных за счет обновления наиболее распространенных протоколов уровня приложений и транспортного уровня (HTTP, TCP/IP и проч.), а также стандартов шифрования трафика в Интернете. Подобные предложения звучали в рамках заседания рабочей группы по проектированию Интернета (IETF) в ноябре 2013 г. в г. Ванкувер, Канада.

Несмотря на то что с начала разоблачающей кампании Сноудена прошло более двух лет, поставленные вопросы до сих пор не получили исчерпывающего ответа. Представляется, что для его решения необходимо провести экспертную работу с привлечением членов технического сообщества, рассмотренных в разделе VI (IAB, IETF, IANA, ISOC, W3C и проч.). Площадка для такой работы может быть создана в рамках форума по вопросам управления Интернетом и инициативы его усиления и реформирования, а деятельность вестись в рамках процесса подготовки Договора о принципах управления Интернетом. При постоянном исполнительном секретариате IGF может быть создана экспертная комиссия по исследованию фундаментальных уязвимостей архитектуры Сети и модели управления ей.

Важно обеспечить участие в работе подобного механизма наряду с техническими экспертами представителей государств, – в частности, стран, пострадавших от деятельности АНБ и британского Центра правительственной связи (что совсем не исключает возможности участия в работе такой комиссии представителей США и Великобритании).

Если рассматриваемый формат взаимодействия технических экспертов окажется плодотворным, на выходе могут быть востребованы рекомендации практического характера, связанные со снижением уязвимости Сети и сужением технического окна возможностей по осуществлению массового сбора персональных данных в Сети.

На сегодняшний день, вне зависимости от возможных выводов технических экспертов, можно выделить ряд направлений, работа по которым может помочь уменьшению объема массовой слежки в Интернете:

• уже отмеченная представителями технического сообщества необходимость усиления защиты трафика на уровне наиболее часто используемых интернет-протоколов. Одна из решаемых задач в этой сфере – добиться шифрования по умолчанию максимальной доли интернет-трафика, передаваемого в Сети, за счет обновления параметров одного из наиболее распространенных протоколов уровня приложений (HTTP/2). Систематическая работа в этом направлении ведется с 2013 г. рабочей группой HTTP-bis в рамках IETF, а 17 февраля 2015 г. проект предлагаемого стандарта второй версии протокола был опубликован руководящей группой по проектированию Интернета (IESG);

• устранение фундаментальных уязвимостей в наиболее распространенных алгоритмах и стандартах криптографии (SSL, RSA), которые были «скомпрометированы» спецслужбами. На региональном уровне речь может идти и о продвижении полностью «нетрадиционных» СЗИ, таких как система российских стандартов шифрования ГОСТ, уже получившая импульс к наращиванию экспортного потенциала (в частности, в страны арабского мира);

• стимулирование развития сетевых коммуникаций на основе новых технологических решений, в том числе сетей, способных работать как в рамках Интернета, так и в обход него (сети Mesh, P2P и т. д.). Также могут рассматриваться варианты развития инструментов анонимизации наподобие TOR, однако исключительно при условии нивелирования их криминогенного потенциала (вопрос, выходящий за рамки компетенции технических экспертов).

Одна из требующих поддержки мер на уровне взаимодействия государства и бизнеса – развитие формата корпоративных «отчетов о прозрачности» (англ. Transparency Reporting). Одной из компаний, задавших сам формат отчета о прозрачности, стал Google, впервые опубликовавший такую отчетность в 2009 г. Одноименный и почти идентичный по формату продукт в 2011 г. выпустил Twitter, а в марте 2013 г. компания Microsoft опубликовала собственный Law Enforcement Report. Однако действительно широкое распространение практика Transparency Reporting получила именно после первой волны разоблачений Сноудена в 3–4 кв. 2013 г. В августе 2013 г. Глобальный отчет по государственным запросам (Global Government Requests) впервые выпустила сеть Fаcebook, в сентябре того же года свой отчет о прозрачности опубликовала Yahoo!. Стремление крупнейших игроков сектора нивелировать репутационные риски, возникшие в результате разоблачений Сноудена, привело к тому, что отчет о прозрачности, по сути, превратился в новый стандарт отчетности в интернет-отрасли.

Кроме того, с конца 2013 г. к практике публикации отчетов о прозрачности стали подключаться и компании телекоммуникационного сектора, сперва американские (AT&T, Verizon), чуть позднее – британские (Vodafone). Причины по большей части были теми же самыми – новые разоблачения масштабных программ сотрудничества со спецслужбами США и Великобритании нанесли серьезный ущерб репутации западных телекоммуникационных гигантов.

Добровольное раскрытие корпорациями информации, отражающей статистику запросов государственных структур различных стран на предоставление данных интернет-пользователей, а также статистику реагирования на такие запросы со стороны компаний, само по себе не обеспечивает пользователям защиту от действий спецслужб. Но тем не менее такая деятельность повышает осведомленность пользователей о защите и обработке их данных, и стимулирует более активную позицию гражданского общества по данному вопросу. В течение 2013–2014 гг. предметом юридических споров между компаниями и государством стала частичная деклассификация и право первых на публикацию в отчетах точных цифр, отражающих статистику запросов секретных служб и судов (ранее публикация таких данных была запрещена). В настоящее время некоторые компании также публикуют данные о запросах на блокирование и удаление контента на основании претензий правообладателей на определенной территории, а также статистику интернет-трафика (Google, Twitter, Yahoo!).

Сегодня практика Transparency Reporting наглядно высвечивает устойчивый рост интереса государств к данным пользователей. Согласно отчету Google за январь – июнь 2014 г. число правительственных запросов выросло на 15 % в первой половине 2014 г. и на 150 % в течение последних пяти лет. Однако тот факт, что задокументированные в них данные об официально оформленных запросах – лишь верхушка айсберга в глобальном масштабе доступа спецслужб к данным пользователей этих и прочих сервисов, несколько обесценивает их значение.

Наконец, на международно-политическом уровне перед государствами и другими заинтересованными сторонами стоит несколько задач:

• Сокращение потенциала глобальной слежки в Сети на технологическом уровне. Требуется проработать возможности ограничения оборота и криминализации ПО, посредством которого осуществляется электронный сбор данных. Такие меры в принципе могут охватить далеко не весь спектр возможностей АНБ. Однако вместе с тем «шпионское» ПО (ПО для прослушивания голосовых коммуникаций, кейлоггеры, оборудование программ PRISM и Optic Nerve), не всегда причисляемое к вредоносному, составляет отдельную рыночную нишу. Однако эффективное регулирование и сокращение этой ниши возможно лишь при условии, что для этого будут задействованы механизмы международного сотрудничества, опирающиеся на международно-правовые механизмы.

• Однако до конца 2014 г. ни одна из попыток должным образом закрепить недопустимость массового шпионажа и нарушения права на тайну частной жизни в Сети не дала убедительного результата. На форуме NETmundial в апреле 2014 г. вопрос не получил должного внимания в финальной резолюции, хотя был основным стимулом к самой организации форума. Ни параграф в итоговом документе NETmundial, ни Резолюция ГА ООН A/RES/68/167 от 18.12.2013, во-первых, не обладают обязательной юридической силой, а во-вторых, не предлагают конкретных мер ответственности государств за осуществляемые ими действия в части массовой слежки в Сети.

В этой связи одним из перспективных вариантов видится распространение на программно-аппаратное обеспечение слежки и технологии его разработки механизмов Вассенаарских договоренностей по экспортному контролю за обычными вооружениями и товарами и технологиями двойного применения (ВД). На сегодняшний день участниками Вассенаарской договоренности, подписанной в 1996 г., являются 40 государств, включая США, Россию и большинство стран ЕС – т. е. весьма значительная часть ведущих разработчиков и распространителей информационных технологий «двойного назначения». Конкретным шагом в этом русле могло бы стать формирование реестра или банка данных программного и аппаратного обеспечения (в том числе образцов исходного кода ПО), которое может быть использовано для тайного сбора данных пользователей в Сети или иных форм электронной слежки.

Также в рамках механизмов международно-правового института ответственности в случае повторения эпизодов, аналогичных тем, что были раскрыты Сноуденом в 2013 г., могла бы быть проработана возможность использования механизмов международных санкций. В случае достаточной консолидации международного сообщества, в новой резолюции ГА ООН можно сформулировать рекомендательные критерии и условия применения коммерческих, процессуальных и (или) иных санкций против государства, уличенного в массовом электронном шпионаже.

В числе потенциальных критериев, которые, как видится, могли бы обусловливать применение санкций, можно упомянуть:

• Несомненное нарушение права на тайну частной жизни, выраженное в характере собираемых данных (персональные данные, частная переписка и т. д.), за исключением метаданных; в отношении государств и организаций – сбор сведений, имеющих конфиденциальный характер, коммерческую, служебную либо государственную тайну.

• Массовый, неизбирательный характер слежки в Сети (собираются данные не отдельных лиц, а больших групп, либо сбор данных ведется вообще неизбирательно (тотальный шпионаж)).

• Глобальная угроза безопасности – т. е. государство в своей деятельности выходит за рамки своих национальных границ, собирает данные граждан, компаний и иных субъектов в нескольких или многих государствах сразу.

• Систематический характер деятельности – речь не идет о разовой акции, которая может быть продиктована случайным либо ошибочным мотивом; шпионаж и сбор персональных данных ведутся на постоянной либо долгосрочной основе; для сбора данных создается специальная инфраструктура.

• Отсутствие чрезвычайных обстоятельств, оправдывающих массовую электронную слежку с правовой точки зрения. Определение таких обстоятельств в терминах права – непростая задача; показателен как раз пример США, ведь программы АНБ, вызвавшие бурю негодования даже у ближайших союзников Вашингтона, с точки зрения самого американского законодательства по большей части вполне легитимны.

После терактов 11 сентября 2001 г., когда была очевидна острая угроза национальной безопасности, возникла срочная потребность в получении информации, которая помогла бы предотвратить возможные дальнейшие теракты и атаки. Косвенно к тотальной слежке американских спецслужб в Интернете привел принятый в октябре 2001 г. Патриотический акт (US PATRIOT Act), а именно секция 215, расширяющая полномочия спецслужб в плане массового сбора метаданных, который за десять лет стремительно эволюционировал. Поправка 2008 г. (FISA Amendment Act) вывела эти полномочия за пределы территории США при условии их применения к неамериканцам; технические же средства сбора данных лишь прогрессировали с развитием интернет-сервисов. Таким образом, с точки зрения законодательства США, программы спецслужб, раскрытые Эдвардом Сноуденом, оставались легитимными. Однако 1 июня 2015 г. срок действия секции 215 истек, и Конгресс вынужден был решать, как заменить механизмы сбора данных и полномочия спецслужб, возникшие в эру президентства Джорджа Буша-младшего, и есть ли в этом необходимость. За реформирование Акта о патриотизме выступали крупнейшие интернет-корпорации, чей бизнес зависит от уверенности пользователей в приватности их коммуникаций и соразмерности действий спецслужб по обеспечению национальной безопасности. С учетом растущей угрозы терроризма, активизации Исламского государства (ИГИЛ – запрещено в России) и других очагов нестабильности в различных регионах, существовала вероятность того, что действие закона будет продлено до конца 2019 г. Однако этого не случилось, взамен был принят повторно внесенный в Конгресс USA FREEDOM Act, т. н. «Акт о свободе». В числе прочих положений нового закона явно прописан запрет на принятие норм, вновь разрешающих массовый сбор спецслужбами метаданных пользователей; запрет вступает в силу через 180 дней после принятия Акта о свободе. Таким образом, авторы закона позаботились о том, чтобы статья 215 Акта о патриотизме не «возродилась» вновь усилиями президентской администрации. Однако многочисленные критики Акта о свободе утверждают, что в реальности массовый сбор данных американских граждан все же будет продолжаться на основании статьи 702 поправок 2008 г. к Акту о наблюдении за иностранной разведкой от 1978 г. В целом вопрос о наличии правовых оснований и реальном продолжении электронного шпионажа АНБ и другими правительственными агентствами США и ряда других стран остается открытым.

Однако деятельность, затрагивающая интересы и права государств и пользователей по всему миру, не должна регулироваться исходя из интересов национальной безопасности одного или нескольких государств.

• Ответственность политического руководства государства за данные действия. Речь идет о тех случаях, когда акты электронного шпионажа не являются произволом отдельных исполнителей в спецслужбах, а планируются и санкционируются на том уровне принятия решений, который предполагает осведомленность политического руководства государства.

В практическом смысле едва ли уместно прорабатывать возможности применения мер воздействия по подобным основаниям в рамках СБ ООН. Однако возможная резолюция ГА ООН может послужить «модельным текстом» для региональных организаций, в том числе ЕС, Совета Европы, ОБСЕ, АСЕАН. В этом случае можно рассматривать возможность согласования и применения против государства, ведущего глобальный шпионаж в Интернете, таких санкций, как ограничение сотрудничества в сфере ИКТ и эмбарго на отдельные виды ИТ-продукции. Также представляется возможной с правовой точки зрения проработка различных опций процессуальных санкций, таких как приостановка членства и (или) иных полномочий государства в соответствующей международной организации.

Обсуждение подготовки такой резолюции ГА ООН могло бы состояться на площадке ГПЭ ООН или же всемирного Форума по управлению Интернетом.

1. Куликова А.Отчет о прозрачности и политика конфиденциальности ИКТ-корпораций до и после разоблачений Сноудена // Электронный бюллетень ПИР-Центра «Пульс кибермира». 2014. № 1 (108). URL: http://www.pircenter.org/articles/1691-transparency-reporting-and-confidentiality-policies-of-ict-corporations-before-and-after-snowden (дата обращения: 01.03.2016).

2. Куликова А. Магистерская диссертация «The Importance of Being Transparent: Looking at the ICT Companies' Transparency Reports Through the Prism of the NSA Surveillance Leak», Лондонская школа экономики и политических наук (LSE), 30.08.2013. URL: http://papers.ssrn.com/sol3/papers.cfm?abstract_id=2429707 (дата обращения: 01.03.2016).

1. IETF 88 Proceedings. Vancouver, CA 2013-11-03. Internet Engineering Task Force. URL: https://www.ietf.org/proceedings/88/ (дата обращения: 01.03.2016).

2. Резолюция Генеральной Ассамблеи ООН от 18.12.2013 A/RES/68/167 «Право на неприкосновенность личной жизни в цифровой век». URL: http://www.un.org/ru/documents/ods.asp?m=A/RES/68/167 (дата обращения: 01.03.2016).

3. Отчет о государственных запросах. Веб-сайт Facebook, 2015. URL: https://govtrequests.facebook.com/ (дата обращения: 01.03.2016).

4. Transparency Report. Communicate fearlessly to build trust. Веб-сайт Twitter. URL: https://transparency.twitter.com/ (дата обращения: 01.03.2016).

5. Access to information. Data that sheds light on how laws and policies affect Internet users and the flow of information online. Веб-сайт Google Inc. URL: http://www.google.com/transparencyreport/ (дата обращения: 01.03.2016).

6. The Wassenaar Arrangement on Export Controls for Conventional Arms and Dual-Use Goods and Technologies. Official website. URL: http://www.wassenaar.org/ (дата обращения: 01.03.2016).

Оглавление книги