Особые случаи: источники, границы и когда просить о помощи

Предыдущие уроки выстроили общий метод: назвать противника, взвесить вероятность и последствия, выбрать соразмерные меры защиты. Некоторые ситуации достаточно распространены среди журналистов, юристов и сотрудников НКО, чтобы заслуживать отдельного внимания, и конкретного ответа на вопрос, к которому вёл весь курс: когда стоит перестать делать это самостоятельно?

Защита источника ещё до того, как он с вами свяжется

Рекомендации Freedom of the Press Foundation прямо говорят о сроках: «усилия по защите ваших источников должны начинаться ещё до того, как они с вами свяжутся» (the effort to protect your sources needs to start before they contact you). К моменту, когда источник выходит на связь, номер телефона, заголовок письма или запись в приложении контактов уже могут существовать где-то вне вашего контроля. Практические рекомендации включают перенос чувствительного первого контакта в Signal, а не в канал, привязанный к номеру телефона, продуманный подход к тому, что собирает горячая линия или страница для связи, и отношение к собственной адресной книге как к отдельному активу — сам список «кто общается с этим журналистом» уже чувствителен, даже без содержания сообщений. Та же логика применима к юристам, хранящим список клиентов: то, кого вы представляете, может быть не менее важно, чем то, что было сказано.

Конфиденциальность клиента — это модель угроз, а не просто обязанность

Этическая обязанность юриста соблюдать конфиденциальность и модель угроз безопасности описывают одну и ту же проблему с двух сторон. Противником может быть противная сторона, стремящаяся заранее узнать стратегию, правительство, желающее получить доказательства для дела о предоставлении убежища клиента до их подачи, или просто общий офисный компьютер, где привилегия конфиденциальности может быть случайно нарушена. Применение метода предыдущего урока — что является активом, кто его хочет, как он мог бы его получить — превращает «сохранять конфиденциальность» в конкретные шаги: отдельное хранилище для самых чувствительных файлов, внимание к тому, какой облачный сервис их хранит (курс «Облачная безопасность» в этом университете рассматривает, кто ещё мог бы получить доступ к этим данным), и осторожность перед обсуждением дела по незашифрованному каналу.

Досмотры устройств на границах

Руководство Electronic Frontier Foundation по цифровой конфиденциальности на границе США объясняет, что пограничники в настоящее время заявляют о полномочиях досматривать устройства путешественников «с индивидуальным подозрением или без него» (with or without individualized suspicion) — эта власть шире той, что действует вдали от границы, и юридически оспаривается. Её конкретные советы по подготовке включают: минимизировать то, что вы везёте с собой, оставляя чувствительные устройства дома или перенося данные в хранилище, доступное после прибытия, а не физически хранящиеся на устройстве; включить полное шифрование диска с надёжным, запомненным паролем, а не полагаться на границе только на разблокировку по отпечатку или лицу; и выключать устройства перед тем, как подойти к контрольно-пропускному пункту. Если устройство досматривают или сотрудник просит пароль, по рекомендации EFF ваши варианты зависят от гражданства и иммиграционного статуса — гражданину США не могут отказать во въезде за отказ, но неграждан могут ждать другие последствия, — и это именно то решение, которое стоит спланировать заранее, а не во время досмотра.

Когда привлекать помощь эксперта

Метод анализа риска из этого курса рассчитан на то, чтобы хорошо справляться с повседневными решениями. Он не рассчитан на замену помощи эксперта, когда ставки переходят определённую черту — противник государственного уровня, активная юридическая угроза или источник, чья безопасность зависит от того, чтобы всё сделать правильно с первого раза. Специально для этого пробела существуют три организации. Access Now ведёт Линию цифровой безопасности, предлагающую, по её собственному описанию, «быстрое реагирование на инциденты цифровой безопасности» (rapid response for digital security incidents) на десяти языках с типичным временем ответа в два часа для групп гражданского общества, журналистов и правозащитников. Команда цифровой безопасности Freedom of the Press Foundation работает напрямую с редакциями и репортёрами именно по описанным выше ситуациям защиты источников и репортажей с мест. Руководство «Самооборона от слежки» EFF — это тот источник, на который опирался весь этот курс, и с самой EFF можно связаться напрямую (её руководство по границам указывает адрес [email protected] для случаев нарушения прав на границе).

Практическое правило

Если честный ответ на вопрос «насколько плохи последствия, если я ошибусь», заданный в первом уроке этого курса, звучит так, что кто-то может пострадать, быть арестован или проиграть дело о предоставлении убежища, — перестаньте полагаться на общие рекомендации, включая этот курс, и обратитесь в одну из перечисленных выше организаций. Ни одна из них, ни какой-либо инструмент не могут обещать безопасность. Что они могут дать — это актуальные, привязанные к конкретной ситуации знания, которых не может дать курс, написанный для широкой аудитории.