Casi speciali: fonti, confini, e quando chiedere aiuto

Le lezioni precedenti hanno costruito un metodo generale: nomina l’avversario, soppesa probabilità e impatto, scegli controlli proporzionati. Alcune situazioni sono abbastanza comuni tra giornalisti, avvocati, e operatori di ONG da meritare un’attenzione specifica, e una risposta specifica alla domanda verso cui ha costruito tutto questo corso: quando smetti di farlo da solo?

Proteggere una fonte, prima che ti contatti mai

La guida della Freedom of the Press Foundation è schietta sui tempi: “lo sforzo per proteggere le tue fonti deve iniziare prima che ti contattino.” Nel momento in cui una fonte si fa avanti, un numero di telefono, un’intestazione email, o una voce nell’app dei contatti potrebbero già esistere da qualche parte fuori dal tuo controllo. La sua guida pratica include spostare il primo contatto sensibile su Signal invece che su un canale basato su numero di telefono, essere deliberati su cosa raccoglie una linea di segnalazione o una pagina di contatto, e trattare la tua stessa rubrica come un bene a sé stante — un elenco di “chi parla con questo giornalista” è di per sé sensibile, anche senza il contenuto dei messaggi. La stessa logica si applica agli avvocati che detengono un elenco di clienti: chi rappresenti può contare quanto ciò che è stato detto.

La confidenzialità del cliente è un modello di minaccia, non solo un dovere

Il dovere etico di confidenzialità di un avvocato e un modello di minaccia di sicurezza descrivono lo stesso problema da due angolazioni. L’avversario potrebbe essere la controparte che cerca un accesso anticipato alla strategia, un governo che cerca le prove di asilo di un cliente prima che vengano depositate, o semplicemente un computer d’ufficio condiviso dove il privilegio potrebbe essere rinunciato per errore. Applicare il metodo della lezione precedente — qual è il bene, chi lo vuole, come potrebbe ottenerlo — trasforma “mantienilo confidenziale” in passaggi concreti: archiviazione separata per i file più sensibili, attenzione a quale servizio cloud li detiene (il corso di sicurezza del cloud di questa università tratta chi altro potrebbe accedere a quei dati), e cautela prima di discutere un caso su un canale non cifrato.

Le ispezioni dei dispositivi ai confini

La guida dell’Electronic Frontier Foundation sulla privacy digitale al confine statunitense spiega che gli agenti di frontiera attualmente rivendicano l’autorità di ispezionare i dispositivi dei viaggiatori “con o senza sospetto individualizzato”, un potere più ampio di quello che si applica lontano dal confine e legalmente contestato. Il suo consiglio pratico di preparazione include: minimizzare cosa porti con te lasciando a casa i dispositivi sensibili o spostando i dati verso un’archiviazione a cui puoi accedere dopo l’arrivo invece che dati fisicamente sul dispositivo; attivare la cifratura completa del disco con una password forte e memorizzata invece di affidarti solo allo sblocco tramite impronta digitale o volto all’attraversamento; e spegnere i dispositivi prima di raggiungere il checkpoint. Se un dispositivo viene ispezionato o un funzionario chiede una password, la guida dell’EFF è che le tue opzioni dipendono dalla tua cittadinanza e dal tuo stato di immigrazione — a un cittadino statunitense non può essere negato l’ingresso per essersi rifiutato, ma i non cittadini potrebbero affrontare conseguenze diverse — il che è esattamente il tipo di decisione che vale la pena pianificare prima di essere al banco, non durante.

Quando coinvolgere aiuto esperto

Il metodo di analisi del rischio di questo corso è pensato per gestire bene le decisioni quotidiane. Non è pensato per sostituire l’aiuto esperto una volta che la posta in gioco supera una certa linea — un avversario a livello statale, una minaccia legale attiva, o una fonte la cui sicurezza dipende dal fare le cose giuste la prima volta. Tre organizzazioni esistono specificamente per questa lacuna. Access Now gestisce una Digital Security Helpline che offre, nella propria descrizione, “risposta rapida per incidenti di sicurezza digitale” in dieci lingue con un tempo di risposta tipico di due ore, per gruppi della società civile, giornalisti e difensori dei diritti umani. Il team di sicurezza digitale della Freedom of the Press Foundation lavora direttamente con redazioni e reporter esattamente sulle situazioni di protezione delle fonti e giornalismo sul campo sopra descritte. La guida Surveillance Self-Defense dell’EFF è il riferimento da cui ha attinto tutto questo corso, e l’EFF stessa può essere contattata direttamente (la sua guida di frontiera elenca [email protected] per le violazioni dei diritti a un attraversamento).

Una regola pratica

Se la risposta onesta a “quanto sono gravi le conseguenze se fallisco”, dalla prima lezione di questo corso, è che qualcuno potrebbe essere ferito, arrestato, o perdere il proprio caso di asilo — smetti di affidarti a una guida generale, incluso questo corso, e chiedi a una delle organizzazioni sopra. Nessuna di esse, né alcuno strumento, può promettere sicurezza. Ciò che possono fare è portare conoscenza attuale e specifica per la situazione che un corso scritto per un pubblico generale non può.