Większość przewodników po bezpieczeństwie sygnalistów otwiera się z listą narzędzi: użyj Tora, użyj Signala, użyj Tailsa. Ta kolejność jest odwrotna. Każda wiarygodna organizacja zajmująca się bezpieczeństwem cyfrowym, współpracująca ze źródłami ryzyka — Fundacja Elektronicznej Granicy, Fundacja Wolności Prasy i redakcje prowadzące Bezpieczny upadek — zaczyna od tego samego: zanim cokolwiek zainstalujesz, dowiedz się, o kogo się martwisz, co mogą zobaczyć i co się stanie, jeśli to zobaczą.
Zacznij od modelu zagrożenia, a nie listy narzędzi
Model zagrożenia to tylko trzy pytania zapisane uczciwie. Kto chciałby Cię zidentyfikować – menedżer, zespół ds. bezpieczeństwa korporacyjnego, agencja rządowa, zagraniczny wywiad? Jaki dostęp już mają – do Twojego służbowego adresu e-mail, rejestrów identyfikatorów, zapisów rozmów telefonicznych, sieci Wi-Fi w budynku? I jaki jest faktyczny koszt, jeśli im się to uda – trudna rozmowa, rozwiązanie umowy, pozew, a w niektórych krajach – oskarżenie? Odpowiedź zmienia wszystko inne w tym przewodniku. Osoba zgłaszająca oszustwo związane z raportami wydatków do wewnętrznej linii ds. zgodności potrzebuje znacznie mniej niż osoba przygotowująca się do przekazania dziennikarzowi tajnych materiałów. Stosowanie nawyków zapewniających maksymalny poziom bezpieczeństwa nie jest bezpłatne: jest powolne, przyciąga uwagę i zwiększa ryzyko pominięcia kroku pod presją. Dopasuj wysiłek do rzeczywistego ryzyka.
Zasada pierwsza: nigdy nie używaj służbowego urządzenia ani sieci służbowej
Jest to najczęstszy błąd w sprawach sygnalistów, a jednocześnie najłatwiej go uniknąć. Laptop należący do firmy może obsługiwać monitorowanie punktów końcowych, synchronizację historii przeglądarki i oprogramowanie do zdalnego zarządzania, które raportuje do działu IT niezależnie od tego, co robisz w przeglądarce. Sieć korporacyjna rejestruje, do jakich systemów wewnętrznych i kiedy uzyskałeś dostęp, a także może rejestrować, do których witryn zewnętrznych dotarłeś nawet za pośrednictwem protokołu HTTPS, ponieważ sama nazwa witryny (za pośrednictwem DNS lub uzgadniania TLS) jest często widoczna dla operatora sieci, nawet jeśli zawartość strony jest zaszyfrowana. Praktyczna zasada: przeglądaj, komunikuj się i przygotowuj dokumenty wyłącznie na urządzeniu osobistym, w sieci niezwiązanej z Twoim pracodawcą – nie w firmowej sieci Wi-Fi, a najlepiej nie w domu, jeśli ryzyko jest wysokie, ponieważ dostawca usług internetowych może być również zmuszony do przekazania dzienników połączeń.
Bezpieczne dotarcie do dziennikarza: SecureDrop
SecureDrop to oprogramowanie typu open source prowadzone przez organizacje informacyjne i organizacje pozarządowe, aby źródła mogły przesyłać dokumenty i wiadomości bez ujawniania, kim są. Obecnie zarządzają nim między innymi takie gazety, jak The Washington Post, The Guardian, Der Spiegel i francuski dziennik śledczy Disclose, a utrzymaniem samego projektu zajmuje się Fundacja Freedom of the Press. Każdy newsroom ma własny serwer, więc pomiędzy źródłem a ujściem nie ma żadnej strony trzeciej, a SecureDrop wyraźnie stwierdza, że nie rejestruje adresu IP, przeglądarki ani komputera nadawcy.
- Uzyskaj dostęp do instancji SecureDrop tylko za pośrednictwem przeglądarki Tor, pobranej z oficjalnej strony torproject.org — nigdy nie jest to zmodyfikowana ani kompilacja strony trzeciej.
- Przed przesłaniem ustaw poziom bezpieczeństwa przeglądarki Tor na „Najbezpieczniejszy”, co wyłącza funkcje skryptowe najczęściej używane do pobierania odcisków palców lub wykorzystywania przeglądarki.
- Zrób to za pomocą urządzenia i połączenia niepowiązanego z Twoją tożsamością ani pracodawcą — komputer osobisty w sieci, z której zwykle nie korzystasz, jest bezpieczniejszy niż Twój codzienny laptop podłączony do domowej sieci Wi-Fi.
- Podaj sobie hasło wygenerowane przez system SecureDrop i zapisz je w trybie offline; jest to jedyny sposób sprawdzenia odpowiedzi i nie można go odzyskać w przypadku utraty.
Tails: system operacyjny, który nie pozostawia śladów
Tails — Amnesic Incognito Live System — to pełny system operacyjny, który uruchamia się z napędu USB zamiast z wewnętrznego dysku komputera. Jego dwie właściwości definiujące, jak je opisuje projekt, to to, że domyślnie kieruje cały ruch internetowy przez sieć Tor oraz to, że ma amnezję: nigdy nie zapisuje na dysku twardym komputera hosta, działa całkowicie z pamięci i kasuje tę pamięć po wyłączeniu. Oznacza to, że używanie Tailsa na pożyczonym lub współdzielonym komputerze nie pozostawia później żadnych śladów na tym komputerze, a zainfekowany lub monitorowany zwykły system operacyjny na tym samym laptopie nie może zobaczyć, co dzieje się w sesji Tails, ponieważ Tails go nie dotyka. Kompromis jest realny: Tails jest celowo restrykcyjny, niektóre strony internetowe zachowują się dziwnie w stosunku do Tora, a wygodne korzystanie z Tora pod presją czasu wymaga prawdziwej sesji ćwiczeń — i właśnie dlatego należy go testować w spokojnej chwili, a nie po raz pierwszy podczas faktycznego ujawnienia.
Sygnały i znikające komunikaty: co chronią, a czego nie
Signal szyfruje treść wiadomości od początku do końca i jest rozsądnym rozwiązaniem domyślnym w przypadku rozmowy z dziennikarzem lub prawnikiem po nawiązaniu pierwszego kontaktu za pośrednictwem bezpieczniejszego kanału, takiego jak SecureDrop. Funkcja znikających wiadomości, opisana w dokumentacji pomocy Signal, usuwa wiadomości z urządzeń nadawcy i odbiorcy po ustawionym przez Ciebie czasie — od kilku sekund do tygodni. Zmniejsza to ilość historii rozmów zapisanej na telefonie, którą można później przejąć, odblokować lub fizycznie sprawdzić.
Pułapka metadanych: co kryje się w Twoich plikach, nagłówkach i wydrukach
Dokument może być całkowicie anonimowy w swojej widocznej treści i nadal identyfikować Cię poprzez to, co jest do niego dołączone w niewidoczny sposób. Pliki pakietu Office i pliki PDF zazwyczaj zawierają w metadanych nazwiska autorów, nazwy firm i historię edycji, chyba że zostaną one celowo usunięte. Zdjęcia robione telefonem zazwyczaj zawierają współrzędne GPS i sygnaturę czasową w danych EXIF. Nagłówki wiadomości e-mail zawierają informacje o serwerze wysyłającym, a czasami także wewnętrzny adres IP, dlatego wyciek przez osobiste konto poczty internetowej, do którego można uzyskać dostęp za pośrednictwem Tora, jest bezpieczniejszy niż przesyłanie dalej z służbowej skrzynki odbiorczej.
Drukowane i zeskanowane dokumenty niosą ze sobą mniej oczywiste ryzyko. Jak udokumentowała fundacja Electronic Frontier Foundation, wiele kolorowych drukarek laserowych dodaje na każdej stronie wzór składający się z prawie niewidocznych żółtych kropek śledzących, kodując takie informacje, jak numer seryjny drukarki oraz data i godzina wydruku. Według EFF rząd Stanów Zjednoczonych nakłonił producentów do dodania tej technologii na potrzeby dochodzeń w sprawie fałszerstw, która od tego czasu jest wykorzystywana do śledzenia dokumentów, które wyciekły do urządzenia, które je wyprodukowało, w tym szeroko opisywanej sprawy z 2017 r. dotyczącej ujawnienia dokumentu NSA. Jeśli musisz zeskanować wydrukowaną stronę, pamiętaj, że kropki mogą już znajdować się na niej, zanim dotkniesz skanera.
Ochrona prawna różni się znacznie w zależności od tego, gdzie się znajdujesz
Ostrożność techniczna pozwala zyskać czas i zmniejszyć narażenie, ale nie zastępuje zrozumienia, jaka ochrona prawna, jeśli w ogóle, ma zastosowanie w Twojej sytuacji – a to zależy od kraju, sektora i sposobu zgłaszania. Dyrektywa Unii Europejskiej (UE) 2019/1937 wymaga od państw członkowskich ochrony osób zgłaszających naruszenia prawa UE, zarówno w organizacjach sektora publicznego, jak i prywatnego, przed odwetem, takim jak zwolnienie, degradacja lub umieszczenie na czarnej liście, a także zapewnienia im określonego wyboru między wewnętrznymi, zewnętrznymi i – pod pewnymi warunkami – publicznymi kanałami zgłaszania.
Francja dokonała transpozycji, a następnie wzmocniła tę dyrektywę za pomocą dwóch ustaw. Loi nr 2016-1691 z dnia 9 grudnia 2016 r. – znana jako loi Sapin II – po raz pierwszy nadała prawu francuskiemu formalną definicję „lanceur d’alerte” i trzyetapowej procedury zgłaszania, obejmującej obowiązki w zakresie poufności poparte sankcjami karnymi dla każdego, kto naruszy tożsamość sygnalisty. Ustawa nr 2022-401 z dnia 21 marca 2022 r. – znana jako loi Waserman – następnie poszerzyła zakres tego, kto liczy się jako chroniony, rozszerzyła ochronę na osoby, które jedynie pomagają sygnaliście, oraz wzmocniła rolę francuskiego Défenseur des droits jako zewnętrznego kanału zgłaszania.
W Stanach Zjednoczonych ustawa o ochronie sygnalistów z 1989 r. chroni pracowników federalnych i kandydatów, którzy ujawniają naruszenia prawa, rażące niewłaściwe zarządzanie, rażące marnowanie środków, nadużycie władzy lub istotne zagrożenie dla zdrowia lub bezpieczeństwa publicznego, w przypadku roszczeń rozpatrywanych przez Biuro Radcy Specjalnego i rozstrzyganych przez Radę Ochrony Merit Systems. Samo w sobie nie obejmuje pracowników sektora prywatnego, których ochrona zależy raczej od konkretnego prawa właściwego dla ich branży lub charakteru ich ujawniania – przepisy dotyczące papierów wartościowych, opieki zdrowotnej, ochrony środowiska i podatków podlegają w USA oddzielnym przepisom dotyczącym sygnalistów, na których obowiązują inne zasady.
Organizacje stworzone specjalnie po to, by pomagać
Nie musisz nad tym pracować sam, istnieje kilka organizacji, które służą właśnie temu celowi. Fundacja Freedom of the Press szkoli dziennikarzy i źródła w zakresie bezpieczeństwa cyfrowego oraz utrzymuje SecureDrop; jego wskazówki obejmują wszystko, od zabezpieczenia konta Signal po ochronę źródła przed nawiązaniem pierwszego kontaktu. Transparency International opowiada się za zaostrzeniem przepisów dotyczących sygnalistów na całym świecie i poprzez sieć Centrów Rzecznictwa i Porad Prawnych oferuje bezpłatne porady prawne w wielu krajach. Szczególnie we Francji Maison des Lanceurs d’Alerte oferuje bezpłatną pomoc prawną, psychologiczną, medialną, a nawet finansową osobom, które już zgłosiły taką sytuację lub rozważają takie rozwiązanie, i twierdzi, że od momentu jej założenia w 2018 r. wsparła kilkuset sygnalistów.
- Fundacja Wolności Prasy — szkolenia w zakresie bezpieczeństwa cyfrowego i wskazówki dotyczące ochrony źródeł dla dziennikarzy i ich źródeł.
- Samoobrona obserwacyjna EFF — bezpłatny, prosty przewodnik po modelowaniu zagrożeń i narzędziach dla dziennikarzy, aktywistów i innych zagrożonych użytkowników.
- Międzynarodowa Przejrzystość — rzecznictwo, poradnictwo prawne i centra rzecznictwa i porad prawnych na poziomie krajowym.
- Maison des Lanceurs d’Alerte — bezpłatne wsparcie prawne, psychologiczne i medialne dla sygnalistów we Francji.
Jaką rolę odgrywają FireAI i HisnLabs
FireAI’s role here is modest and worth being honest about: on a personal Mac, Paranoid mode and the kill switch reduce what installed apps can quietly send out while you work, but it does not make you anonymous, does not encrypt your DNS, and is not a substitute for Tor, Tails or SecureDrop when the job is actually getting a document to a journalist.
FireAI to własny produkt HisnLabs: zapora sieciowa z AI działająca bezpośrednio na Macu. Pokazuje prostym językiem każde połączenie nawiązywane przez twoje aplikacje i pozwala ci decydować, co opuszcza twojego Maca — jej AI działa lokalnie, więc twój ruch nigdy nie jest wysyłany do nas ani do nikogo innego. Zespół badań nad bezpieczeństwem HisnLabs dba o to, by te decyzje pozostały trafne: kataloguje, które domeny to zwykła telemetria, a które prawdziwa usługa, śledzi kraj i sieć stojące za połączeniem oraz trenuje lokalny model (funkcję Autopilot) na rzeczywistych wzorcach ruchu — a nic z tego nie opuszcza twojego Maca.
Możesz przeczytać o decyzjach technicznych, które za tym stoją, albo wypróbować FireAI przez 17 dni na FireAI od HisnLabs.