Data and Goliath The Hidden Battles to Collect Your Data and Control Your World

他们的生意就会被那些有能力的公司抢走。

我们也不知道世界上其他国家的竞争性产品和服务会有什么样的增长。欧洲、亚洲和南美的许多公司都在利用这种新的警惕态度。如果上世纪90年代的加密货币战争有什么借鉴意义的话，那么数以百计的非美国公司将提供超出美国法律管辖范围的IT产品:软件产品、云服务、社交网站、网络设备，应有尽有。不管这些新产品是否真的更安全一一其他国家可能会在他们可以控制的产品中建立后门一一或者甚至超出NSA的范围，NSA的监控对美国企业的成本将是巨大的。

企业监控成本商业

没有人会为隐私买单，这几乎已经成为一个公理。这种概括可能曾经是正确的，但人们的态度正在发生变化。

人们现在更加清楚谁可以访问他们的数据，多年来有迹象表明，他们已经准备好为隐私付费。2000年的一项研究发现，如果消费者在购物时感到他们的隐私得到了保护，美国的互联网支出每年将增加60亿美元。2007年的一项研究发现，消费者愿意支付更多的钱来保护他们的隐私:每件价值15美元的商品支付0.60美元。斯诺登事件后，许多公司都在宣传保护自己免受政府监控。

大多数公司不会把隐私作为一种市场差异化特征来提供，但也有例外。DuckDuckGo是一家搜索引擎，其商业模式围绕着不跟踪用户展开。Wickr提供加密消息。Ello是一个不跟踪用户的社交网络。这些社交网络的规模远不及它们的老牌竞争对手，但它们是可行的业务。而且新公司也一直在开业。

我们看到，越来越多的公司设立了首席隐私官，即负责管理公司持有的个人数据的法律和声誉风险的高级管理人员，这使得客户和用户隐私变得越来越重要。这些高管有自己的组织，即国际隐私专业人员协会，即使在没有政府推动的情况下，他们也在制定规章制度。他们这么做，是因为这对企业有利。

隐私

布德。“如果你对隐私没有任何错误的误解，那么你就没有什么要隐藏的， 99这句话是这么说的，很明显，隐私只会帮助不法分子。

然而，如果你仔细想想，这是没有道理的。我们做爱、上厕所、洗澡唱歌都没有做错什么。我们在找工作时没有告诉现在的雇主，也没有做错什么。当我们寻找私人空间进行反思或交谈时，当我们选择不谈论情感或个人的事情时，当我们用信封寄信时，或者当我们向朋友倾诉而不向任何人倾诉时，我们并没有做错什么。

而且，即使那些这么说的人也并不真的相信。在2009年的一次采访中，谷歌CEO埃里克·施密特这样说：“如果你有不想让任何人知道的事情，也许你一开始就不应该做这件事。”但在2005年，施密特禁止员工与CNET的记者交谈，因为一名记者在一篇文章中披露了施密特的个人信息。Facebook的马克·扎克伯格(Mark Zuckerberg)在2010年宣布，隐私不再是一种“社会规范”，但为了确保自己的隐私，他买下了位于帕洛阿尔托(PaloAlto)家附近的四套房子。

很少有秘密是我们不会告诉别人的，即使我们已经告诉了那个人，我们仍然相信有些事情是隐私的。我们给爱人和朋友写亲密的信，和医生说一些我们不会告诉别人的事情，在商务会议上说一些我们不会在公开场合说的话。我们使用假名是为了将职业上的自我与个人生活中的自我区分开来，或者是为了安全地尝试新事物。

Facebook的CEO马克·扎克伯格(Mark Zuckerberg)表示:“你只有一个同一性。你对你的工作朋友或同事以及你认识的其他人有不同形象的日子可能很快就要结束了。拥有两个身份是缺乏诚信的一个例子。

对我们认识的每个人来说，我们都是不一样的。当我们与家人、朋友、同事等在一起时，我们的行为也会有所不同。我们在家和在餐馆有不同的餐桌礼仪。我们给孩子讲的故事和给酒友讲的故事不一样。这并不一定是我们在说谎，尽管有时我们确实在说谎;而是我们向不同的人展示了自己不同的一面。这是人类与生俱来的特质。隐私让我们在任何环境下都能做出适当的行为。在家里或卧室的私密空间里，我们可以以一种别人在身边时无法做到的方式放松。

隐私是一项与生俱来的人权，是维护人类尊严和尊重的必要条件。这是一种选择，并有能力控制如何去做

你向世界展示你自己。互联网人种学家danahboyd是这样说的:“隐私不仅仅取决于机构;能够实现隐私是代理的一种表现。 95

当我们失去隐私时，我们就失去了对自己表现方式的控制。当我们在脸书上对一群人说的话意外地被另一群人分享时，我们就失去了控制;当我们的数据被政府收集时，我们就失去了完全的控制。“他是怎么知道的?我们问道。我是如何失去控制的，不让谁知道我创伤的童年、我对粗俗幽默的嗜好，或者我去多米尼加共和国度假的经历?你可能知道这种感觉:当你妈妈在脸书或其他社交网站上加你为好友时，你会有这种感觉，而这些网站以前只有你和你的朋友。侵犯隐私是一种侵犯。

隐私有很强的生理基础。生物学家彼得·沃茨(PeterWatts)指出，对隐私的渴望是与生俱来的:哺乳动物对监视的反应尤其不好。我们认为这是一种身体上的威胁，因为自然界的动物会受到捕食者的监视。监视让我们觉得自己是猎物，就像它让监视者的行为像捕食者一样。

心理学家、社会学家、哲学家、小说家和技术专家都写过关于持续监控的影响，甚至只是对持续监控的感知。研究表明，无论是身体上还是情感上，我们都不那么健康。我们会感到自卑、抑郁和焦虑。监视剥夺了我们的尊严。它威胁着我们作为个体的自我。这是一种在世界各地的监狱和拘留营中使用的非人性化策略。

侵犯隐私的行为并不都是平等的。情境很重要。运输安全管理局(TSA)的官员在你的行李箱里发现色情片和你的配偶发现色情片是有区别的。警察知道你吸毒和你的朋友知道你吸毒是有区别的。侵犯隐私的伤害并不都是一样的。我们这些处于社会经济边缘的人，以及被边缘化的种族、政治、民族和宗教群体，受到的影响更大。我们这些身居要职、受制于人们持续认可的人受到的影响更大。我们中的一些人的生活依赖于隐私。

我们的隐私正受到不断监视的侵犯。了解这种情况是如何发生的，对于理解什么是利害攸关的至关重要。

短暂的

在历史的大部分时间里，我们的互动和对话都是短暂的。这是我们对对话的自然思考方式。例外情况非常罕见，值得注意:保存下来的日记，速记员抄录的法庭诉讼程序，政治候选人录制的演讲。

这种情况已经发生了变化。公司面对面的会议减少了。朋友们在网上社交。我和妻子通过短信进行亲密对话。我们都表现得好像这些对话是短暂的，但事实并非如此。它们以我们所没有的方式保存着

无法控制。

记录在案的对话很难删除。奥利弗·诺斯(OliverNorth)早在1987年就明白了这一点，当时他以为已经删除的信息，结果却被白宫的PROFSNotes系统保存了下来，这是电子邮件的一种早期形式。十年后，比尔·盖茨也明白了这一点，当时他的对话电子邮件作为微软反垄断诉讼发现过程的一部分，被提供给了对方律师。2014年，100多名女名人也知道了这一点，当时她们的iCloud账户上的私密自拍一一其中一些据说已被删除一一被窃取，并被分享到比她们预想的更广泛的地方。

想要短暂存在越来越难了。语音对话在很大程度上仍未被录制，但这种情况能持续多久?零售商店的监控系统会记录下我们的存在，即使我们除了浏览什么都不做.即使我们买什么都用现金支付。有些酒吧会记录每一个进来的人的身份证。甚至在飞机上用现金买一杯酒都不行了。无处不在的生活记录仪会让情况变得更糟。

科幻作家查尔斯·斯特罗斯(Charles Stross)将此描述为史前时代的终结。我们不会忘记任何事情，因为我们总能从某些计算机的内存中检索到它。这对我们人类来说是全新的，对未来的历史学家和现在想要更好的数据进行自我评估和反思的我们来说都是一个福音。

把所有的东西都记录下来并永久地获取，将会改变我们个人和整个社会。我们的感知和记忆并不像我们想象的那么敏锐。我们无法注意到一些事情，即使是重要的事情。我们记错了，即使是我们确信自己记对的事情。我们会忘记一些我们确信自己永远不会忘记的重要事情。写日记的人知道这一点;旧的条目读起来就像别人写的一样。我已经注意到，拥有20年来所有电子邮件的记录，会让我对个人过去的看法发生很大变化。

四分之一的美国成年人有犯罪记录。即使是轻微的违法行为也可能永远跟着人们，并对他们的生活产生巨大的影响—一这就是为什么许多政府都有在一段时间后删除犯罪记录的程序。失去短暂性意味着你所说的和所做的一切将永远与你联系在一起。

有一出现就消失的对话是一种社会规范，它能让我们更放松、更舒服，也能说一些如果录音机开着可能不会说的话。长此以往，遗忘一一以及记错—一就是我们处理历史的方式。遗忘是宽恕的重要促成因素。个人和社会的记忆会褪色，过去的伤痛会变得不那么尖锐;这有助于我们原谅过去的错误。我不相信我的婚姻会因为有能力记录过去的争吵而得到改善。失去转瞬即逝的东西将是一个巨大的社会和心理变化，我认为我们的社会还没有做好准备。

算法监控

对大规模监控的常见防御之一是，它是由算法而不是人来完成的，所以它不会损害我们的隐私。这是完全错误的。

人类监控和计算机监控之间的区别在政治上很重要。自从斯诺登向记者提供了大量绝密文件以来，我们已经了解了NSA的各种文字游戏。根据美国国防部的说法，“收集”这个词有一个非常特殊的定义。它的意思不是收集;它的意思是一个人看，或者分析数据。2013年，美国国家情报总监詹姆斯·克拉珀(JamesClapper)将NSA积累的大量数据比作一座图书馆。所有这些书都被存放在书架上，但真正被阅读的却很少。“因此，为了维护安全，维护公民自由和隐私，我们的任务是在图书馆寻找我们需要打开并真正阅读的书籍时尽可能精确。 99

想想你的朋友，他家里有成千上万本书。根据这个荒谬的定义，他唯一能自称收藏的书就是他读过的书。

这就是为什么克拉珀在参议院听证会上对“NSA是否收集数百万或数亿美国人的任何类型的数据”的问题回答“不”时声称他没有撒谎的原因。从军方的角度来看，即使国防人员或承包商开发和实施的算法已经对这些数据进行了多次分析，但在有人看到这些数据之前，这也不是监视。

这并不是我们第一次听到这样的说法。在Gmail早期，这是Gmail捍卫其上下文敏感广告的核心。b谷歌的计算机检查每封电子邮件，并在页脚插入与内容相关的广告。但是没有人会读那些Gmail信息，只有电脑会读。正如Gmail早期的一位高管私下告诉我的那样，“担心电脑阅读你的电子邮件，就像担心你的狗看到你的裸体一样。

但事实并非如此，狗的例子说明了其中的原因。当你被狗注视时，你不会过度担心，原因有三。狗不能像其他人一样理解或处理它所看到的东西。狗不会像其他人那样记住或根据它所看到的东西做出未来的决定。而且狗不能告诉任何人——无论是人还是另一只狗——它看到了什么。

当你被一台电脑监视时，狗的类比就不适用了。计算机正在处理它所看到的东西，并根据它采取行动。你可能被告知计算机没有保存数据，但你不能保证这是真的。你可能会被告知，如果计算机感知到感兴趣的东西，它不会提醒一个人，但你无法知道这是否是真的。你无法确定没有人会察觉到计算机做出的任何决定，也无法确定你不会因为计算机看到的东西而受到评判或歧视。

此外，当计算机存储你的数据时，总是存在被暴露的风险。隐私政策可能明天就会改变，允许在没有你明确同意的情况下对旧数据进行新的使用。一些黑客或犯罪分子可能会闯入并窃取你的数据。拥有你的数据的组织可以以某种新的和公开的方式使用它，或者把它卖给另一个组织。联邦调查局可以向数据所有者发出国家安全信函。另一方面，世界上没有一个法庭可以得到你裸体的描述

从你的狗嘴里。

电脑和狗的主要区别在于，电脑能与人交流，而狗不能一一至少，不能很好地与人交流。计算机算法是由人编写的，其输出是供人使用的。而当我们想到计算机算法在监视我们或者分析我们的个人数据时，我们需要考虑这些算法背后的人。无论是否有人真的在看我们的数据，(1)他们可以，(2)他们指导算法这样做的事实，使它成为监视。

你知道这是真的。如果你相信克拉珀所说的话，那么你就不会反对在你的卧室里装摄像头一一只要有规定规定警察什么时候可以看录像。你不会反对被强迫佩戴政府发放的全天候监听设备，只要你的官僚监控人员遵守同样的规则。如果你真的反对，那是因为你意识到隐私损害来自于自动收集和算法分析，而不管一个人是否直接参与了这个过程。

识别和匿名性

我们都有过在互联网上证明自己身份的经历。一些网站将你的在线同一性与你的真实同一性捆绑在一起:银行、一些政府服务网站等等。有些将你的在线同一性与支付系统(通常是信用卡)绑定，有些则与你的银行账户或手机绑定。有些网站并不关心你的真实同一性，只允许你为该网站保留一个唯一的用户名。更多的网站可能以这种方式运作。例如，苹果的iTunes可以被设计成不知道你的真实身份，只知道你被授权访问一组特定的音频和视频文件。

执行身份识别和认证的手段包括密码、生物识别技术和令牌。包括我在内的许多人都写过大量关于各种系统及其相对优缺点的文章。我就不赘述了;结论是，这些系统都不是完美的，但总的来说，它们的应用都足够好。身份验证基本上是有效的。

它起作用是因为参与的人想要被识别。你想让Hotmail相信这是你的账户;你想让你的银行相信这是你的钱。虽然你可能不希望AT&T能够将你在智能手机上浏览的所有互联网信息与你的同一性联系起来，但你确实希望电话网络将你的电话传输给你。所有这些系统都试图回答以下问题：“这是她声称的那个人吗？”这就是为什么在网上很容易收集到我们的数据;这些数据大多来自于我们有意标明自己身份的来源。

将匿名活动归因于特定的人是一个更难的问题。在这种情况下，这个人不一定想要被识别出来。他是在网站上匿名发表评论。或者他在对你的网络发起网络攻击。在这种情况下，系统必须回答一个更难的问题：“这是谁？”

在非常基本的层面上，当恶意对手试图逃避检测时，我们无法识别单个硬件和软件。我们无法将识别信息附加到互联网上传输的数据包上。我们无法验证一个人的同一性他坐在地球上某个地方的随机键盘前。解决这个问题不是克服一些工程挑战的问题;这种无能是互联网固有的工作方式。

这意味着我们无法确定是谁在博客上留下了匿名评论。（它可能是用公共计算机发布的，或者是共享的IP地址。)我们无法确定电子邮件的发件人。(这些邮件头可以被欺骗;垃圾邮件发送者一直都在这么做。)我们无法最终确定谁是一系列登录你的银行账户失败的幕后黑手，或者是针对我们国家基础设施的网络攻击的幕后黑手。

我们甚至不能确定某一特定攻击的源头是犯罪还是军事，或者哪个政府是幕后主使。2007年针对爱沙尼亚的网络攻击，常被称为第一次网络战，其主谋要么是与俄罗斯政府有关联的组织，要么是心怀不满的22岁青年。

当我们设法将攻击归罪于一个淘气的高中生，一个银行抢劫犯，或者一个国家认可的网络战士团队时，我们通常是在进行了广泛的法医分析之后才这样做的或者因为攻击者以其他方式暴露了自己。分析人士花了几个月的时间才确定中国是2012年《纽约时报》遭受攻击的最终来源，直到美国承认了这一点，我们才确切地知道谁是Stuxnet的幕后黑手。这是一个非常困难的问题，我们不太可能在短期内解决这个问题。

多年来，有很多建议要消除互联网上的匿名性。他们的想法是，如果任何人做的每件事都是可归因的—一如果所有的行为都可以追溯到他们的来源—一那么就很容易识别罪犯、垃圾邮件制造者、跟踪者和网络喷子。基本上，每个人都将获得相当于驾照的互联网证书。

这是一个不可能实现的目标。首先，我们没有现实世界的基础设施来提供基于其他身份识别系统的互联网用户证书一一护照、国民同一性卡、驾驶执照等等一一而这正是我们所需要的。我们当然也没有在全球范围内做到这一点的基础设施。

即使我们有，也不可能保证安全。我们现有的每一个同一性系统都已经被试图买酒的青少年颠覆了—一这是一种面对面的交易。一个新的系统也不会更好。即使有，它也不会起作用。在同一性系统之上建立匿名服务总是可能的。这一事实已经惹恼了像中国这样的国家，它们想要识别在其领土上使用互联网的每个人。

这似乎与我在第三章中写的内容相矛盾，即在互联网上很容易识别出那些试图保持匿名的人。这是可以做到的，如果你已经捕获了足够的数据流来关联，并愿意投入调查时间。有效减少互联网匿名性的唯一方法是通过大规模监控。第三章的例子都依赖于拼凑不同的线索，

而且都需要时间。追踪单个互联网连接的来源要困难得多：一封电子邮件，一个网络连接，一次攻击。

悬而未决的问题是，通过关联和分析进行识别的过程能否实现自动化。我们能否构建足够智能的计算机系统，像我们在第3章看到的例子那样，在大规模的基础上分析监控信息以识别个人?目前还不行，但也许很快就能实现。

正在研究中。像中国和俄罗斯这样的国家想要自动系统在互联网上搜寻持不同政见的声音。娱乐业也希望有类似的系统来识别电影和音乐盗版。美国政府希望用同样的系统来识别它认为是威胁的个人和组织，从单独的个人到外国政府。

2012年，美国国防部长利昂·帕内塔公开表示，美国“在识别网络攻击来源方面取得了重大进展”。我的猜测是，我们还没有发展出一些新的科学或工程，从根本上改变互联网可识别性和匿名性之间的平衡。相反，更有可能的是，我们已经深入渗透到对手的网络中，以至于我们可以监视和了解他们的计划过程。

当然，匿名是有利有弊的，因为它也可以保护仇恨言论和犯罪活动。但是，虽然身份识别可能很重要，但出于我在本章讨论的所有原因，匿名是有价值的。它保护隐私，它赋予个人权力，它是自由的基础。

安全

维护网络空间安全。很重要。它们是犯罪，而不是恐怖主义，只有威胁和外来威胁，侵略，我的威胁只是在最后四章描述了其他人。

我们需要防御一系列的威胁，这就是我们开始遇到问题的地方。为了保护我们自己不受恐怖主义的侵害而忽视警察过于激进或政府暴政的风险，就像为了保护我们自己不受警察越权的侵害而忽视恐怖主义的风险一样没有意义。

不幸的是，作为一个社会，我们往往一次只关注一种威胁，而把其他威胁最小化。更糟糕的是，我们倾向于关注罕见和壮观的威胁，而忽略了更频繁和普通的威胁。所以比起开车，我们更害怕坐飞机，尽管前者安全得多。或者我们更害怕恐怖分子而不是警察，尽管在美国，你被警察杀死的可能性是被恐怖分子杀死的9倍。

我们让我们的恐惧阻碍了智能安全。以牺牲其他威胁为代价来防御某些威胁是一种失败的策略，我们需要找到平衡所有威胁的方法。

防范恐怖分子和犯罪分子的安全

美国国家安全局反复使用“连点”的比喻来为其监控活动辩护。一次又一次，在9/11之后，在内衣炸弹袭击者之后，在波士顿马拉松爆炸案之后，政府被批评没有把这些点联系起来。

然而，这是一个极具误导性的比喻。把彩色画册上的点连起来很容易，因为它们都有编号，而且是可见的。在现实生活中，这些点只有在事后才能被识别出来。

这并不妨碍我们要求知道为什么当局不能把这些点联系起来。胡德堡枪击案、波士顿马拉松爆炸案和维斯塔岛枪击案留下的警示信号事后看来很明显。风险工程专家纳西姆·塔勒布(NassimTaleb)将这种倾向称为“叙事谬误”。人类天生就是讲故事的人，故事的世界比现实要整洁、可预测、连贯得多。数以百万计的人举止怪异，足以引起FBI的注意，而且几乎所有人都是无害的。美国运输安全管理局的禁飞名单上有2万多人。恐怖分子身份数据集市环境，也被称为观察名单，有68万人，其中40%的人“没有公认的恐怖组织隶属关系”。

数据挖掘是作为一种技术提供的，它将使我们能够将这些点连接起来。但是，虽然公司成功地挖掘我们的个人数据，以便定位广告、检测金融欺诈和执行其他任务，但三个关键问题使数据挖掘成为寻找恐怖分子的不合适工具。

第一个，也是最重要的一个问题是错误率。对于广告来说，即使错误率很高，数据挖掘也能取得成功，但发现恐怖分子需要比数据挖掘系统所能提供的准确度高得多的精度。

当你在搜索一个定义良好的个人资料时，当每年有合理数量的事件发生时，当误报的成本较低时，数据挖掘的效果最好。检测信用卡欺诈是数据挖掘的安全成功案例之一:所有信用卡公司都会挖掘他们的交易数据库，寻找表明被盗卡的消费模式。美国有超过10亿张活跃的信用卡在流通，其中每年有近8%的信用卡被欺诈使用。许多信用卡盗窃案都有一个共同的模式一一在持卡人通常不常去的地方购物，购买旅游、奢侈品和容易交易的物品一一在许多情况下，数据挖掘系统可以通过防止欺诈交易来最大限度地减少损失。虚惊一场的唯一代价就是给持卡人打个电话，让她核实几笔消费。

同样，美国国税局用数据挖掘来识别逃税者，警方用它来预测犯罪热点，银行用它来预测贷款违约。基于数据和应用，这些应用成败参半，但它们都在数据挖掘所能完成的范围内。

恐怖主义的阴谋是不同的，主要是因为尽管欺诈很常见，但恐怖袭击却非常罕见。这意味着，即使是高度准确的恐怖主义预测系统也会充斥着假警报，以至于它们将毫无用处。

究其原因，在于探测的数学。所有的检测系统都有误差，系统设计者可以对它们进行调整，以最小化假阳性或假阴性。在恐怖分子检测系统中，当系统错误地将无害的东西识别为威胁时，就会出现假阳性。当系统错过了实际的攻击时，就会出现假阴性。根据你如何“调优”你的检测系统，你可以增加误报的数量来保证你不太可能错过一次攻击，或者你可以以错过攻击为代价来减少误报的数量。

因为恐怖袭击是如此罕见，假阳性完全压倒了系统，无论你如何调整。我的意思是完全:如果系统发现任何真正的恐怖主义阴谋，数百万人将被错误地指控。

如果误报的代价很小，我们也许能够处理所有被系统标记的无辜者。想想机场的全身扫描仪吧。它们在扫描人的时候一直处于警戒状态。但是运输安全管理局的工作人员可以通过简单的搜身检查假警报。这并不适用于更通用的基于数据的恐怖主义探测系统。每一个警报都需要经过漫长的调查才能确定其真假。这需要时间和金钱，还会妨碍情报人员从事其他富有成效的工作。或者，更简洁地说，当你在监视一切时，你什么也没看到。

美国情报界也把发现恐怖主义阴谋比作大海捞针。正如前美国国家安全局局长基思·亚历山大所说，“大海捞针”。这句话完美地说明了问题