Co-writer TLS mengatakan kami telah kehilangan plot privasi

Saya bertemu dengan Christopher Allen di tangga Internet Archive selama konferensi FtC di San Francisco. ia berbagi cerita tentang budaya internet awal, dan saya bertanya-tanya bagaimana seseorang yang telah menghabiskan dekade membangun sistem yang aman dan terbuka merasa tentang ke mana hal-hal menuju sekarang?

Christopher co-author TLS 1.0, protokol kriptografi di balik HTTPS yang masih mengamankan sebagian besar situs web dan aplikasi saat ini. dia juga membantu mengembangkan standar W3C Decentralized Identifier (DID), sebuah fondasi untuk identitas digital. dia adalah pendiri Blockchain Commons dan seorang pendukung lama untuk standar terbuka dan infrastruktur yang berpusat pada manusia.

Kami baru-baru ini terhubung kembali untuk berbicara tentang privasi, paksaan, dan apa yang hilang ketika sistem skala lebih cepat dari nilai-nilai yang membimbing mereka.

Apa arti privasi bagi Anda, dan mengapa itu masih penting di dunia yang diperdagangkan untuk kenyamanan?

Saya telah menghabiskan beberapa dekade bekerja dalam keamanan, kriptografi, dan identitas digital, dan selama bertahun-tahun, saya telah cukup bijaksana tentang bagaimana saya menggunakan kata itu.PrivasiIni bukan hanya beberapa fitur yang Anda tekan - itu adalah prinsip. sesuatu yang mendasar.

Pada awal 90-an, saya mendukung kebebasan ekspor untuk alat-alat seperti PGP dan co-author standar SSL / TLS.Teknologi PrivasiSaya lebih suka berbicara tentang kepercayaan, kerahasiaan, dan integritas.

Bahkan sekarang, saya bukan penggemar besar dari istilahPrivasiSaya ingat pergi ke konferensi privasi dan menyadari betapa berbeda orang menggunakan kata itu. tidak hanya orang-orang dari negara yang berbeda, tetapi dari latar belakang yang berbeda, pengalaman hidup, gender ... Semua orang mengatakan "privasi," tetapi mereka tidak berbicara tentang hal yang sama sama sama sekali.

Saya telah melihat privasi sebagai muncul dalam empat cara yang berbeda.defensive privacyHal-hal seperti melindungi kartu kredit Anda atau kunci Ethereum dari dicuri.

Kemudian adahuman rights privacyMelindungi kemampuan Anda untuk berbicara, berkumpul, dan berpartisipasi secara ekonomi.Ketika privasi semacam itu dikompromikan, itu membuka pintu untuk paksaan dan pengecualian.

Jenis ketiga - apa yang saya sebutpersonal privacyIde bahwa “jendela yang baik membuat tetangga yang baik.” saya harus dapat melakukan apa yang saya inginkan di ruang saya sendiri, dengan syarat saya sendiri, selama itu tidak menyakiti siapa pun. perspektif itu cenderung muncul lebih sering di Barat atau konteks libertarian, tetapi tidak secara eksklusif.

Dan akhirnya,relational privacy.Ini adalah kebutuhan untuk menjaga bagian-bagian kehidupan Anda terpisah: Sebagai contoh, Anda mungkin tidak ingin identitas profesional Anda bercampur dengan peran Anda sebagai seorang ibu, atau kehidupan Anda sebagai seorang seniman bercampur dengan pekerjaan Anda sebagai akuntan.

Kategori-kategori ini jelas berlapis, tetapi masing-masing melindungi sesuatu yang bermakna: keselamatan Anda, kebebasan Anda, hubungan Anda, dan rasa diri Anda.Empat Jenis Privasi. yang

Masalah besar sekarang adalah bahwa kami telah menormalkan pengawasan. kenyamanan sangat menggoda – mudah untuk memberikan sedikit dari diri sendiri hanya untuk mendapatkan sesuatu dilakukan lebih cepat. tetapi privasi masih merupakan salah satu pertahanan terakhir yang kita miliki terhadap paksaan. tanpa itu, perselisihan menjadi berbahaya. kreativitas mulai berkurang. identitas berubah menjadi sesuatu yang dikeluarkan oleh sistem, bukan sesuatu yang kita bentuk sendiri.

Itulah mengapa itu masih penting - mungkin lebih dari sebelumnya. dan itu adalah sesuatu yang saya mencoba untuk menjaga di depan setiap kali kita berbicara tentangmerancang sistem dengan nilai-nilai di inti mereka. yang

Privasi sebagai anti-kekerasan mengingatkan saya pada nilai cypherpunk. apa yang akan dikatakan cypherpunks tahun 80-an dan 90-an tentang bagaimana hal-hal saat ini?

Mereka akan terkejut—tidak karena alat-alat itu tidak ada, tetapi karena kami telah berkompromi pada nilai-nilai kami.

Cypherpunks percaya bahwa kriptografi yang kuat dapat memberdayakan individu di atas lembaga-lembaga.Itu adalah seluruh poin: gunakan matematika untuk menciptakan kebebasan.Tapi hari ini, bahkan di Web3, kita sering melihat teknologi yang dipasarkan sebagai "dekentralisasi" sambil diam-diam memperkuat kontrol terpusat.

Lebih buruk lagi, paksaan kembali dalam mode – sering dibenarkan oleh ancaman seperti terorisme atau keamanan anak-anak.Empat Kuda dari Infokalipsis“Dan sebagai hasilnya, kami memberikan lebih banyak tanah kepada pengawasan dan kontrol.

Tentu saja, banyak cypherpunks masih di sekitar, jadi Anda dapat secara aktif meneliti mereka. tetapi saya percaya bahwa, mengingat konteks waktu, mereka pasti akan, “Kami memberitahu Anda.”

Dalam pandangan belakang, beberapa mungkin sekarang setuju bahwa mereka juga berkontribusi terhadap masalah dengan berbagai cara.Yang sempurna adalah musuh yang baikBanyak yang begitu berfokus pada apa yang ingin mereka lakukan sehingga tidak ada yang dilakukan. dan sekarang saya melihat orang-orang dengan niat baik membuat kompromi - dan saya pikir kita kehilangan pertempuran di sisi lain.

Di mana kita menggambarkan garis? apa keseimbangan antara menjadi pragmatis dan cukup berbasis nilai? ini adalah salah satu tantangan yang paling penting yang kita hadapi. dan kita telah pergi terlalu jauh di jalan “hanya membuatnya bekerja – kita akan memperbaikinya nanti.” 15 atau 20 tahun terakhir telah menunjukkan kepada kita: Beberapa hal ini benar-benar, benar-benar sulit untuk diperbaiki setelah fakta.

Jadi, cypherpunks tidak hanya akan mengkritik negara pengawasan - mereka juga akan memanggil kami teknisi untuk memungkinkan itu.

Apa pendapat Anda tentang gelombang baru upaya privasi di Web3, dari jalur cypherpunk Devcon ke inisiatif seperti Web3PrivacyNow?

Saya menyambut kebangkitan ini, tetapi tetap skeptis tentang kemana arahnya.

Saya tidak terlalu terlibat dalam ekosistem Ethereum saat ini, terutama bagian-bagian yang berpusat pada token.Trompet—Nah, itu memiliki makna ganda sekarang — privasi. insentif mendorong orang untuk mempromosikan token, meningkatkan visibilitas, dan mendorong berbagi.

Saya ingat memiliki percakapan mendalam dengan Vitalik pada tahun 2014, sebelum Ethereum diluncurkan. Pada saat itu, dia mendekati privasi lebih dari perspektif libertarian. baru-baru ini telah menjadi sesuatu yang dia sebut fundamental. tetapi karena itu bukan prioritas awal, banyak masalah saat ini berasal dari keputusan awal itu.

Anda dapat berbicara tentang abstraksi akun dan semua itu, tetapi kami sudah mengatakan lebih dari satu dekade yang lalu: jangan menggunakan kembali kunci yang sama. dan kami bahkan belum benar-benar mulai membuka risiko korelasi. mengambil apa yang kadang-kadang saya sebut kuas korelasi - kontrak cerdas apa yang Anda gunakan, layanan apa yang terlibat, DNS apa yang Anda andalkan untuk mengakses infrastruktur yang didedikasikan untuk terdesentralisasi.

Zero-knowledge (ZK) proofs are gaining traction—but so are Trusted Execution Environments (TEEs).

Saya suka banyak pekerjaan yang dilakukan dengan bukti pengetahuan nol. mereka sejalan dengan tujuan cypherpunk—Pengungkapan selektif dan minimalisasi data, kurang paparan data, lebih banyak verifikasi. tetapi banyak implementasi yang lebih baru merasa kompleks dan tidak jelas. Mereka sulit untuk diaudit. dalam beberapa kasus, kita melihat pengaturan baru yang dapat diandalkan atau penjaga gerbang yang tidak mendapatkan kontrol yang cukup.

Trusted Execution Environments—TEEs—adalah cerita yang berbeda. saya tidak pernah menjadi penggemar. Setiap kali seseorang mengatakan, “Oh, kami telah memperbaiki masalah Intel,” masalah muncul lagi dalam bentuk lain. serangan side-channel, backdoors vendor, lock-in—ini adalah daftar panjang.

Bahkan ketika orang mencoba melakukan hal yang benar, stack perangkat keras terhalang.Ruang SilikonBanyak orang cerdas bekerja pada hal itu, tetapi mereka masih memukul dinding yang sama: Anda dapat membuka bagian-bagian dari chip, tentu saja - tetapi setelah Anda turun ke substrat, itu semua milik sendiri. kecuali Anda memiliki pabrik manufaktur (dan bahkan kemudian, Anda terikat oleh kontrak dan paten), Anda terjebak dengan asumsi kepercayaan yang tidak dapat Anda verifikasi.

Itulah sebabnya saya lebih tertarik pada multi-party computing.Lokasi sekitar Frost, yang memindahkan model kepercayaan dari setiap mesin tunggal. Tentu saja, Anda bisa melakukan serangan saluran samping pada satu anggota kuorum - tetapi kemudian Anda harus melakukan hal yang sama untuk semua orang lainnya.

Apa pun alat – ZK, TEE, atau apa pun lainnya – itu membutuhkanMenerapkan prinsip yang lebih mendalam: meminimalkan data, akses yang paling tidak diperlukan, kepercayaan progresif, dan pengungkapan selektif. privasi tidak hanya tentang apa yang Anda buktikan.

Apakah ini juga masalah sentralisasi?

Tentu saja – itu adalah sisi lain dari TEE. Ketika saya adalah VP dari Hubungan Pengembang di Blackphone, kami memiliki seperempat miliar dana, dan masih tidak dapat mengakses pekerjaan chip kustom.

Mereka menemukan solusi dengan memasukkan penerjemah MicroPython di dalam zona kepercayaan untuk menjalankan kode Trezor dan mendukung SecP – tetapi itu hanya dikirim ke beberapa perangkat. bahkan Apple, dengan semua kekuatannya, dibatasi oleh hukum perjanjian.

Apple dan Google dapat secara efektif mengatakan, “Apakah Anda ingin identitas digital yang aman di ponsel? maka Anda melakukannya dengan cara kami.” Saya tidak akan menyebutnya paksaan dalam arti yang paling kuat, tetapi itu benar-benar bentuk kontrol pusat.

Apa saja tanda-tanda peringatan awal bahwa sesuatu telah ditangkap?

Saya telah bercanda menyebut ini sebagai "The Allen's Impossibility Theorem" - semacam sepertiTeorema ArrowArrow menunjukkan tidak ada sistem pemungutan suara yang sempurna karena nilai-nilai yang Anda optimalkan akhirnya mulai berkonflik. saya pikir hal yang sama berlaku untuk desentralisasi. setiap arsitektur membuat kompromi, dan jika Anda tidak jujur tentang kompromi itu, mereka diam-diam menarik sistem dari nilai-nilainya.

Bitcoin adalah bukti nyata pertama bahwa konsensus terdesentralisasi dapat bekerja pada skala. Protokol sebelumnya membutuhkan supermajoritas - dua pertiga atau lebih - untuk mencapai kesepakatan. Bitcoin menunjukkan bahwa mayoritas sederhana dari kekuatan hash cukup, yang cukup menakjubkan. Tetapi salah satu pilar Bitcoin adalah Bitcoin Core - sekelompok kecil pengembang yang ketat membatasi perubahan ke basis kode. Jadi ketat, pada kenyataannya, bahwa banyak yang berpendapat bahwa Bitcoin bahkan tidak harus diimplementasikan kembali dalam bahasa lain. Anda perlu menggunakan kode C yang sama persis - bug dan semua. Itu menciptakan semacam sentralitas. Saya akan menyebutnya diktatur yang baik hati, tetapi itu adalah titik godaan.

Saya telah melihat dinamika yang sama dimainkan dalam identitas digital. credentials yang dapat diperiksa, misalnya, biasanya berasal dari pemerintah atau lembaga – penerbit terpusat. “Anda diizinkan mengemudi” menjadi “Anda diizinkan naik pesawat” atau “memasuki bar.”

Di India, misalnya, Anda sering tidak dapat menyewa kamar atau mobil tanpa memberikan nomor Aadhaar Anda.

Bukti usia, bukti asuransi, bukti lulus ujian mengemudi – masing-masing berasal dari sumber yang berbeda, bukannya semuanya berasal dari satu otoritas.

Salah satu pendekatan yang menjanjikan adalah apa yang dilakukan Utah denganHukum Identitas Digital BaruMereka tidak mengeluarkan identitas sendiri. sebaliknya, mereka telah menetapkan persyaratan dan memungkinkan pihak ketiga untuk mengajukan permohonan untuk pengesahan.Jika solusi memenuhi kriteria mereka, negara menerima itu.

Tetapi jenis inovasi ini jarang terjadi. Apa yang sering saya lihat adalah sistem yang memprioritaskan pengiriman atas prinsip-prinsip. Ini adalah spec-first, nilai-later. Pemerintahan ditangkap oleh insider. DNS, toko aplikasi, penarikan, dan kepatuhan—semua menjadi titik-titik. kontrol tanpa tanggung jawab.

Saya ingat berbicara dengan regulator di Belanda yang mengatakan, “Kami memiliki tiga tingkat otentikasi – jadi mari kita hanya menuntut yang tertinggi untuk segalanya. sidik jari, pemindaian iris, pekerjaan.”

Belanda adalah salah satu negara yang paling toleran di Eropa sebelum Perang Dunia II, tetapi masih memiliki salah satu tingkat kematian Holocaust tertinggi. Sekitar 75% orang Yahudi dibunuh di sana, dibandingkan dengan 25% di Perancis, negara yang secara historis kurang toleran.Dipersenjatai. yang

Anda tidak harus memindai sidik jari Anda hanya untuk melaporkan lubang di jalan.Ketika Anda meminta orang untuk over-authenticate untuk tindakan sipil sederhana, Anda mengubah partisipasi publik menjadi tanggung jawab.

Dan kita melihat bentuk-bentuk baru dari ini setiap hari. platform seperti Facebook dan Google menghentikan akses tanpa pemberitahuan. Anda tidak hanya kehilangan profil Anda - Anda kehilangan email Anda, iklan Anda, kalender Anda, bisnis Anda. tidak ada manusia untuk berbicara dengan. tidak ada proses banding.

Sistem yang paling berbahaya adalah yang gagal diam-diam.Ketika Anda mulai melihat pola-pola seperti pemerintahan yang tidak jelas, kontrol terpusat, dan tidak ada jalan keluar - itulah saat sinyal alarm harus dimatikan.Karena jika arsitektur Anda tidak menahan paksaan atau mengurangi korelasi, itu tidak terdesentralisasi.

Jika Anda membangun sistem privasi pertama hari ini, apa yang tidak dapat diperdagangkan dalam desainnya?

Pertama adalah minimalisasi data:Paling sedikit privasi, paling sedikit aksesSaya harus bisa mengatakan, “Saya tidak memberi Anda informasi ini.”

Orang cenderung meremehkan betapa berbahayanya data terhubung yang disimpan.Mungkin Anda telah menggunakan pengungkapan selektif untuk membuktikan sesuatu sekali – katakanlah, Anda berusia di atas 18 tahun atau Anda tinggal di alamat tertentu.Tapi jika verifier menyimpannya dan menghubungkannya dengan pengungkapan lain kemudian, privasi Anda rusak seiring waktu.Sistem yang baik membuat tidak mungkin untuk mengungkapkan lebih dari yang dibutuhkan.

Yang kedua adalahKepercayaan progresifDan bahkan kemudian, saya bukan penggemar kata "percaya" - karena itu berarti "Saya percaya Anda" atau "Saya tidak."

Ketika kami bertemu di Internet Archive, kami memiliki konteks bersama. Anda dapat memeriksa siapa saya, membaca tentang pekerjaan saya, melihat apakah saya responsif. Itu tidak berarti Anda segera menyerahkan informasi sensitif - tetapi itu cukup untuk mengambil risiko kecil.

Hal ketiga adalah skala. saya menjadi waspada ketika seseorang berkata, “Ini adalah solusi untuk dunia.”

Jika Anda melihat karya pemenang Nobel Elinor Ostrom, dia mengatakan hal yang sama: Anda membutuhkan tingkat subsidiaritas yang tepat dalam sistem ini.

Bagaimana jika, sebaliknya, Anda membangun sesuatu untuk sekelompok kecil? katakanlah, 70 orang di guild World of Warcraft yang membutuhkan lebih banyak kepercayaan untuk muncul untuk serangan tepat waktu.

Itu adalah jenis desain yang saya peduli. membangun kecil. membangun dengan sengaja. dan merancang sistem yang mencerminkan bagaimana orang benar-benar hidup dan berhubungan satu sama lain.