Data and Goliath The Hidden Battles to Collect Your Data and Control Your World

PART THREE

WHAT TO DO ABOUT IT

原理

大规模监控带来的危害是多方面的，对个人和整个社会造成的损失不成比例地超过了好处。我们能够而且必须做些什么来控制它。在提出具体的法律、技术和社会建议之前，我想以一些一般原则作为本节的开始。这些都是关于监控以及我们应该如何应对的普遍真理，适用于政府和企业。

阐明原则是比较容易的部分。在具体情况下应用这些原则要困难得多。“生命、自由和追求幸福”是我们都同意的原则，但我们只需要看看华盛顿特区，就会知道实施这些原则有多困难。我参加过许多小组讨论和辩论，在这些讨论和辩论中，这个问题的各方都同意关于数据收集、监视、监督、安全和隐私的一般原则，尽管他们在如何将这些原则应用到手头的世界上存在激烈的分歧。

安全和隐私

通常争论的特点是“安全与隐私”。这种过于简单化的观点要求我们在两者之间做出某种根本性的取舍:为了变得安全，我们必须牺牲自己的隐私，让自己受到监控。而如果我们想要某种程度的隐私，我们必须认识到，为了得到它，我们必须牺牲一些安全。

这是一种虚假的取舍。首先，有些安全措施要求人们放弃隐私，但有些根本不侵犯隐私:飞机上的门锁、高围栏、警卫、加固的驾驶舱门。其次，隐私和安全从根本上是一致的。当我们没有隐私时，我们会感到暴露和脆弱;我们会觉得不那么安全。同样，如果我们的个人空间和记录不安全，我们的隐私就会减少。美国宪法第四修正案谈到了“人民享有人身、房屋、文件和财产安全的权利”(斜体mine)。它的起草者认识到，隐私对于个人安全至关重要。

将对话框定为以安全换取隐私，会导致不平衡的评估。通常，这种权衡是以货币成本的形式呈现的：“你愿意为隐私支付多少钱？”或者“你愿意为安全支付多少钱？”但这也是一种错误的权衡。不安全感的代价是真实的、发自内心的，即使是抽象的;隐私丧失的成本在抽象中是模糊的，只有当有人面对其后遗症时，才会变得有形。这就是为什么我们在拥有隐私的时候会低估它的价值，而只有在失去隐私的时候才会认识到它的真正价值。这也是为什么我们经常听到没有人愿意为隐私付费，因此安全绝对胜过隐私的原因。

12

当安全与隐私的权衡被框定为生死抉择时，所有理性的辩论都结束了。当生命危在旦夕时，谁还能谈论隐私呢?害怕的人会更容易为了安全感而牺牲隐私。这就解释了为什么美国政府在9/11事件后可以如此自由地进行大规模监控。政府基本上是说，我们所有人都必须放弃自己的隐私，以换取安全;我们大多数人都不知道，因此接受了浮士德式的交易。

问题是，不安全感的全部重量与对隐私的增量侵犯进行了比较。美国法院经常这样做，说的是这样的话：“我们同意在这个或那个政府项目中存在隐私损失的风险，但在纽约引爆核弹的风险太大了。”这是对这种取舍的草率描述。这并不是说，如果我们监视，核爆炸就不可能发生，或者如果我们不监视，核爆炸就不可避免。这种可能性已经非常小了，正在考虑的理论上侵犯隐私的安全计划只能将这个数字略微降低。这就是需要考虑的取舍。

更一般地说，我们的目标不应该是在安全和隐私之间找到一个可以接受的权衡，因为我们可以也应该把两者都维护在一起。

安全重于监控

安全和监视是相互冲突的设计要求。为安全而构建的系统更难被监控。相反，为方便监控而构建的系统更难确保安全。系统中内置的监控能力是不安全的，因为我们不知道如何构建一个只允许适当类型的人进行监控的系统。我们在第11章已经看到了这一点。

我们需要认识到，对于整个社会来说，安全比监控更重要。也就是说，我们需要选择一个能够抑制监控的安全的信息基础设施，而不是一个允许容易监控的不安全的基础设施。

这个推理适用于一般情况。我们的基础设施既有好的用途，也有坏的用途。银行劫匪在高速公路上开车，用电，在五金店购物，在通宵餐厅吃饭，就像诚实的人一样。无辜者和罪犯一样使用手机、电子邮件和Dropbox。正义和不正义都在下雨。

尽管如此，社会仍在继续运转，因为对基础设施的诚实、积极和有益的使用远远超过了不诚实、消极和有害的使用。我们高速公路上的司机中银行抢劫犯的比例可以忽略不计，电子邮件用户中罪犯的比例也可以忽略不计。为我们大多数人设计所有这些系统更有意义，因为我们需要罪犯、电话推销员，有时甚至是我们自己的政府提供安全保障。

通过优先考虑安全问题，我们将保护世界的信息流—一包括我们自己的信息流一一免受窃听以及盗窃和破坏等更具破坏性的攻击。我们将保护我们的信息流不受政府、非国家行为体和犯罪分子的侵犯。我们将使整个世界更加安全。

Tor就是一个很好的例子。它是免费的开源软件，你可以用它来浏览在互联网上匿名浏览。首先由美国海军研究实验室资助，然后由国务院资助，它被世界各地的持不同政见者用来逃避监视和审查。当然，犯罪分子也会出于同样的目的使用它。Tor的开发人员不断更新该程序，以逃避中国政府的禁令。我们知道，NSA一直在试图破解它，至少从斯诺登披露的2007年NSA文件来看，一直没有成功。我们知道联邦调查局在2013年和2014年入侵了电脑，因为它无法破解Tor。与此同时，我们相信在NSA和GCHQ工作的个人都在匿名帮助保持Tor的安全。但这是一个困境:Tor要么强大到足以保护我们喜欢和不喜欢的人的匿名性，要么它不够强大到足以保护两者的匿名性。

当然，永远不会有一个没有人监视的未来。那就是naive。从历史开始，政府就一直在监视;甚至在旧约中也有一些间谍的故事。问题是我们想要走向什么样的世界。我们是否希望通过限制政府的监督、审查和控制能力来减少权力失衡?还是允许政府对我们拥有越来越大的权力？

当然，“安全高于监视”并不是绝对的规则。有时候，有必要设计一个系统来保护我们中少数不诚实的人。飞机安全就是一个例子。与非恐怖分子相比乘坐飞机的恐怖分子数量微不足道，但我们围绕着这几个人设计整个机场，因为飞机上的安全故障比任何地方的恐怖主义炸弹都要致命。不过，我们(还)没有围绕预防恐怖主义来设计我们的整个社会。

有时候，我们也需要在系统中设计适当的监控。我们希望航运服务能够实时跟踪包裹。我们希望急救人员能够知道紧急手机电话来自哪里。当然，在这些情况下，我们不会使用“监视”这个词;我们会用一些不那么情绪化的术语，比如“包裹追踪”。

这里的一般原则是，系统应该在设计时尽可能少地进行必要的监视，以使其发挥作用，而在需要监视的地方，系统应该收集尽可能少的必要信息，并在尽可能短的时间内保留这些信息。

透明度

透明对于任何开放和自由的社会都是至关重要的。政府公开法和信息自由法让公民知道政府在做什么，并使他们能够履行监督政府活动的民主义务。公司信息披露法在私人领域也发挥着类似的作用。当然，公司和政府都有一定的保密需求，但它们越能公开，我们就越能明智地决定是否信任它们。现在在美国，我们有强有力的开放政府和信息自由法，但太多的信息不受它们的约束。

对于个人数据，透明度是相当直接的:人们应该有权知道关于他们的哪些数据被收集了，关于他们的哪些数据被存档了，关于他们的数据是如何被使用的一一以及被谁使用的。在一个国际互联网与各国有关监视和控制的具体法律相结合的世界里，我们需要知道关于我们的数据被存储在哪里。如果我们知道这些事情，我们就更有可能对任何级别的监视感到舒服。隐私政策应该提供这些信息，而不是太长，故意混淆，以至于它们没有揭示什么。

我们还需要让那些根据我们的数据来判断我们的算法透明化，要么公布代码，要么解释它们是如何工作的。现在，我们无法判断TSA算法的公平性，这些算法会选择我们中的一些人进行“特殊筛选”。我们也无法判断IRS选择我们中的一些人进行审计的算法。搜索引擎算法决定我们看到哪些网页，预测性警务算法决定带谁来问话，哪些社区需要巡逻，信用评分算法决定谁可以获得抵押贷款，这些都是一样的。其中一些保密是必要的，这样人们就不会想出如何与系统博弈，但大部分不是这样。《欧盟数据保护指令》已经要求披露其中的大部分信息。

这似乎让我自相矛盾。一方面，我主张保护个人隐私，而不是强制监控。另一方面，我主张政府和企业透明，而不是机构保密。我之所以对两者都说“是”，是因为人与机构之间现存的权力失衡。制度自然比人拥有更大的权力。制度保密增加了制度权力，这种权力差距就会扩大。这本质上不利于个人自由。个人隐私增加了个人权力，从而减少了这种权力差异。这有利于自由。透明度和监督也是一样。制度的透明减少了权力的不平衡，这是好事。对个人的制度性监督加剧了权力的不平衡，这是不好的。

透明度来之不易。有权有势的人不喜欢被监视。例如，警察越来越不喜欢被监视。在美国各地，警察骚扰并起诉那些对他们进行录像的人，一些司法管辖区已经裁定这是非法的。芝加哥的警察故意遮挡摄像头，显然是为了掩盖自己的行为。圣地亚哥警察局则拒绝了所有提供警方录像的要求，声称这是正在进行的调查的一部分。在2014年密苏里州弗格森的抗议活动中，在警察杀死一名手无寸铁的黑人男子之后，警察经常阻止抗议者录制他们的视频，有几名记者因记录事件而被捕。洛杉矶警方甚至在巡逻车上破坏法院授权的录音设备。

政府和企业经常抵制各种透明度法律。但保密的世界正在发生变化。隐私法学者彼得·斯维尔(Peter Swire)写了一篇关于秘密半衰期的文章。他观察到的是，一般来说，秘密比以前暴露得更快。科技让秘密更难被保守，而互联网的本质让秘密更难被长期保守。按下“发送”按钮就能传递信息

千兆字节的信息瞬间传遍互联网。一个u盘每年可以存储更多的数据。政府和组织都需要假设，他们的秘密比以往任何时候都更有可能被曝光，而且曝光得更快。

秘密半衰期缩短的影响之一是，它们的披露更具破坏性。斯诺登的一份文件显示，NSA监听了德国总理安吉拉·默克尔的手机。这份文件没有注明日期，但显然是最近几年的内容。如果这份文件在20年后公布于众，德国的反应将与2013年发生的公众骚动大不相同，当时默克尔仍在执政，该事件是当前事件，而不是历史事件。

文化的变化也让保密变得更加难以保守。在过去，保守机构机密是一种终身文化的一部分。情报界会在人的职业生涯早期招募他们，并给他们提供终身工作。这是一个私人的男人俱乐部，充满了暗语和秘密知识。企业界也到处都是终身工作者。那些日子已经一去不复返了。情报部门的许多工作现在都外包了，企业界也不再有终身工作的文化。劳动力是灵活的，工作是外包的，人是可以牺牲的。从一个雇主换到另一个雇主是现在的常态。这意味着秘密会被更多的人分享，而那些人对秘密的关心就更少了。回想一下，美国有500万人拥有安全许可，其中大多数是承包商，而不是政府雇员。

人们也更加信仰开放的价值，尤其是在年轻人中。年轻人在分享个人信息方面比他们的长辈要自在得多。他们认为信息想要自由，安全来自于公众的知识和辩论。他们在网上说过非常私人的事情，也在社交网站上晒过自己的尴尬照片。他们在公开的网络论坛上被恋人甩过。他们以最妥协的方式被掩盖，却完好无损地活了下来。要说服这群人相信政府的保密胜过公众的知情权，难度更大。

这些技术和社会趋势是一件好事。只要有可能，我们就应该争取透明度。

监督和问责

为了让大多数社会正常运转，人们必须赋予他人管理自己的权力。让出权力本身就是一件危险的事情，几千年来，我们在这样做的同时，已经形成了一个保护自己的框架:透明度、监督和问责制。如果我们知道人们是如何使用我们赋予他们的权力的，如果我们能确保他们没有滥用权力，如果我们能在他们滥用权力时惩罚他们，那么我们就能更安全地将权力托付给他们。这是民主的基本社会契约。

监督有两个层面。第一个层面是战略层面:我们实施的规则是否正确?例如，NSA可以实施自己的程序来确保遵守规则，但它不应该决定应该遵守哪些规则。这个

前NSA局长迈克尔·海登(MichaelHayden)很好地解释了这一点：“给我一个你允许我在里面操作的盒子。”我将在这个框框的边缘发挥作用....你们，美国人民，通过你们选出的代表，给我一个发挥的空间，我将非常积极地发挥。”从某种意义上说，他是对的;制定规则并不是他的职责。但另一方面他是错的，我会在第13章讨论这个。

无论哪种情况，我们都需要在战略监督方面做得更好。我们需要就应该对政府和政府监督施加哪些限制展开更公开的辩论。我们需要立法机构进行有意义的监督，并制定前瞻性的应对措施。我们还需要公开、独立的法院执行法律，而不是橡皮图章机构的做法，定期报道政府行为，充满活力的公共部门媒体和监督团体分析和辩论掌权者的行为，是的，还有一个举报的法律框架。以及一个关心的公众。我也会在第13章中讲到这个。

另一种监督是战术上的:规则被遵守了吗?这种监督的机制包括程序、审核、审批、故障排除协议等等。例如，美国国家安全局(NSA)对其分析师进行管理其工作的法规培训，审核系统以确保这些法规得到切实遵守，并在他们没有遵守这些法规的情况下建立报告和纪律处分程序。

不同的组织会对彼此进行战术监督。授权程序就是一个例子。当然，我们可以相信警察只在他们应该进行搜查时才进行搜查，但相反，我们要求他们将他们的请求提交给中立的第三方一一法官—一他确保他们在发布法院命令之前遵守规则。

强有力的监督的关键是独立性。这就是为什么我们总是对内部审查持怀疑态度，即使这些审查是由一个强有力的倡导者进行的。这是DHS首席隐私官的一个关键问题。我记得玛丽·艾伦·卡拉汉(MaryEllen Callahan)，她从2009年到2012年担任该职位。她是隐私的伟大倡导者，并建议该机构取消几个项目，因为隐私问题。但她向DHS部长珍妮特·纳波利塔诺(JanetNapolitano)汇报，而她所能做的就是提出建议。如果卡拉汉不在DHS工作，她就会有更正式的监管权力。由人手充足、知识渊博的外部评估人员进行监管，效果会好得多。

你可以把战术监督和战略监督的区别看作是正确做事和正确做事的区别。两者都是必需的。

没有问责制，这两种监督都无法发挥作用。那些被赋予权力的人不能随意滥用权力而不受惩罚;滥用权力必须受到惩罚。没有问责制的监督意味着什么都改变不了，这是我们一次又一次学到的。或者，正如风险分析师纳西姆·塔勒布(NassimTaleb)所指出的那样，当人们参与其中时，组织滥用权力的可能性就会降低。

说“透明、监督和问责”很容易，但要让这些原则在实践中发挥作用要困难得多。尽管如此，我们必须尝试一一我将在下一章讨论如何做到这一点。这三点使我们有信心信任强大的机构。如果

如果我们要让他们拥有凌驾于我们之上的权力，我们需要保证他们会为我们的利益行事，不会滥用这种权力。

弹性设计

在系统架构中，为弹性而设计是一个重要的、近乎哲学的原则。技术解决方案通常被认为是完美的。然而，我们都知道，完美是不可能的一一人、组织和系统本质上是有缺陷的。从政府机构到大型跨国公司，所有组织都存在缺陷。

这些不完美并不仅仅是良好系统内的不良行为者的结果。不完美可能是平凡的、普通的、官僚主义的随波逐流。不完美的一种形式是任务蠕变。另一种是来自组织内部的人，他们只关注组织的狭隘需求，而不关注他们行为的广泛影响。不完美也来自社会变革:随着时间的推移，我们的价值观发生了变化。先进的技术给现有系统增加了新的扰动，造成了不稳定。

如果系统性缺陷是不可避免的，我们就必须接受它们一一无论是法律、政府机构、企业、个人还是社会。我们必须设计出能预料到缺陷并能在缺陷存在的情况下正常工作的制度。如果某件事将要失败或中断，我们需要它以一种可预测的方式失败。这就是韧性。

在系统设计中，弹性来自于多种要素的组合:容错、缓解、冗余、适应性、可恢复性和可生存性。在我在本书中描述的复杂且不断变化的威胁环境中，这是我们所需要的。

我提倡为我们的监视系统和控制监视的系统提供几种不同的弹性:对硬件和软件故障的弹性，对技术创新的弹性，对政治变革的弹性，以及对胁迫的弹性。安全架构提供了应对不断变化的政治突发事件的弹性，这可能使政治监视合法化。多个重叠的权力机构提供了应对强制压力的弹性。适当的成文法律提供了应对不断变化的技术能力的弹性。自由为威权主义提供弹性。当然，要完全抵御这些事情中的任何一件，更不用说所有的事情，都是不可能的。但我们必须尽我们所能做好，甚至要假设我们的复原力不完美。

同一个世界，同一个网络，同一个答案

美国目前关于监控的争论主要围绕NSA的权力，以及限制NSA是否在某种程度上授权了其他人。这种争论是错误的。如果NSA停止监视，我们不能选择一个中国、俄罗斯和以色列停止监视的世界。我们必须决定的是，我们是要发展一个易受所有攻击者攻击的信息基础设施，还是一个对所有用户都安全的信息基础设施。

自1952年成立以来，NSA一直肩负着双重使命。首先，信号情报(SIGINT)涉及拦截美国敌人的通信。第二，通信安全，或COMSEC，涉及保护美国人

军方和一些政府通信不被拦截。将这两项任务结合起来是有道理的，因为了解如何窃听是保护自己不被窃听所必需的，反之亦然。

这两个任务是互补的，因为不同的国家使用不同的通信系统，军事人员和平民也使用不同的通信系统。但正如我在第五章所描述的那样，那个世界已经不复存在了。今天，NSA的两项任务发生了冲突。

法律可能决定哪些监视方法是合法的，但技术决定哪些是可能的。当我们考虑应该实施什么样的安全技术时，我们不能只看我们自己的国家。我们必须放眼世界。

我们不能在削弱敌人网络的同时保护自己的网络。情报机构用来互相监视的漏洞也被犯罪分子用来窃取你的金融密码。因为我们都在使用同样的产品、技术、协议和标准，我们要么让每个人都更容易监视每个人，要么让任何人都更难监视任何人。这是自由与控制的较量，我们都是同甘共苦。哈佛大学法学教授、乔治·w·布什时期的前助理司法部长杰克·戈德史密斯(JackGoldsmith)写道，“每一种进攻性武器都是我们防御的(潜在)漏洞—一反之亦然。 99

例如，美国的CALEA法要求电话交换机允许窃听。我们或许可以接受让美国警方拥有这种能力，因为我们通常信任司法授权程序，并认为警方不会滥用权力。但是那些电话交换机在世界范围内销售一一还记得第十一章中关于希腊手机窃听的故事吗？它们具有同样的技术窃听能力。这是我们的选择:要么每个人都拥有这种能力，要么没有人拥有。

截取手机通话和元数据的imsi-catch也是如此。StingRay可能曾经是FBI的秘密，但这项技术已经不再是秘密了。有几十个这样的设备分散在华盛顿特区和国家其他地方，由谁知道什么政府或组织运营。下一个是犯罪用途。通过确保手机网络易受这些设备的攻击，这样我们就可以利用它们来破案，我们必然会允许外国政府和犯罪分子利用它们来对付我们。

我在第11章给出了更多的例子。总的来说，我们要决定如何建立我们的通信基础设施：安全与否，监控与否，隐私与否，恢复与否。然后每个人都可以使用这个基础设施。

13

政府的解决方案

斯诺登事件曝光后，奥巴马建议对NSA的情报进行改革。监控，2013年，奥巴马总统没有出现短缺，成立了一个关于监控和国家情报的审查委员会;该委员会提出了46项NSA政策建议。2014年，包括我在内的全球500个组织、专家和官员签署了《将人权应用于通信监控的国际原则》，通常被称为“必要和相称”原则。美国国会就几项法案进行了辩论，提出了一些小的改革;你读到这篇文章的时候，可能已经有一两个法案通过了。

在本章中，我将着眼于国家安全和执法，并提出一般性的政策建议，而不是详细的立法规定。其中一些很容易实现，而另一些则更有抱负。所有这些都是我认为政府需要长期努力的方向。

我并不是说政府永远不应该被允许进行监视或破坏。我们已经赋予警察广泛的权力来侵犯公民的隐私和获取我们的数据。我们这样做是明知故犯的，也是心甘情愿的，因为这有助于破案，从而使我们更安全。诀窍在于既要赋予政府机构这种权力，又不能让他们滥用这种权力。我们需要政府提供的安全保障，也需要政府提供的安全保障。这就是像美国宪法和欧洲宪章这样的文件试图做到的，这就是授权程序所做的，这就是我们在9/11袭击后疯狂争夺安全以对抗恐怖分子的平衡。

通信监控适用人权的国际原则-摘要(2014)

合法性:对隐私权的限制必须在法律中明确而准确地规定，并应定期进行审查，以确保隐私保护跟上快速的技术变革。

合法目的:通信监控应该只允许用于追求最重要的国家目标。

必要性:国家有义务证明其通信监控活动对于实现合法目标是必要的。

充分性:通信监督机制在实现其合法目标方面必须是有效的。

相称性:通信监视应被视为一种高度侵入性的行为，它干涉隐私权和意见和言论自由权，威胁到民主社会的基础。相称性的通信监控通常需要获得主管司法机关的事先授权。

主管司法机关:与通信监视有关的决定必须由公正和独立的主管司法机关作出。

正当程序:正当程序要求任何对人权的干涉都受到法律的约束