Opsec dziennikarza. Gdzie najczęściej pęka ochrona źródła

blackweb.pl 11 min
opsec dziennikarstwo ochrona-zrodel signal metadane phishing

Szyfrowany komunikator pomaga, ale nie składa obietnicy za dziennikarza. Źródło może zostać rozpoznane po służbowym telefonie, godzinie połączenia, pliku z nazwą autora albo powiadomieniu wyświetlonym na zablokowanym ekranie. Treść rozmowy pozostaje zaszyfrowana, a cała reszta spokojnie buduje kontekst.

Ochrona źródła pęka najczęściej poza samym kanałem komunikacji. Pęka w zwyczajnym telefonie używanym do wszystkiego, w skrzynce pocztowej bez mocnego uwierzytelniania, na współdzielonym dysku redakcji. Czasem wystarcza kalendarz z wpisem “spotkanie” i nazwą kawiarni. Nie ma w tym filmowej techniki. Jest suma drobnych śladów, które ktoś potrafi zestawić.

Ten tekst dotyczy legalnej pracy ze źródłami. Nie obiecuje pełnej anonimowości, bo żadna aplikacja nie może jej uczciwie obiecać. Chodzi o zmniejszenie ryzyka i o niewystawianie rozmówcy na zagrożenie, którego nie rozumie.

Najpierw ustal, przed kim chronisz materiał

Freedom of the Press Foundation zaczyna ocenę ryzyka od pięciu pytań: co chronisz, przed kim, jakie możliwości ma przeciwnik, jak prawdopodobny jest atak i jakimi zasobami dysponujesz. To brzmi jak szkoleniowy formularz, ale porządkuje pracę lepiej niż lista aplikacji polecanych w mediach społecznościowych.

Inaczej wygląda rozmowa z pracownikiem lokalnej spółki, który boi się zwolnienia, a inaczej kontakt z osobą opisującą działania służb albo dużej organizacji mającej własny dział bezpieczeństwa. W pierwszym przypadku zagrożeniem może być przełożony sprawdzający historię służbowej poczty. W drugim dochodzą logi operatora, monitoring budynku, analiza dostępu do dokumentów i ukierunkowany phishing.

Trzeba też nazwać materiał, który wymaga ochrony. Tożsamość źródła jest oczywista. Mniej oczywiste są notatki, lista pytań, historia wyszukiwania, dane o podróżach oraz informacja, że dziennikarz w ogóle rozmawia z kimś z danej instytucji. Nawet szkic artykułu może zawęzić krąg podejrzanych.

Model zagrożeń nie jest dokumentem do odłożenia po pierwszym spotkaniu. Sytuacja zmienia się po wysłaniu pytań prasowych, po pierwszej publikacji albo po wszczęciu wewnętrznego postępowania w firmie. Rozsądna procedura wraca do oceny ryzyka w każdym z tych momentów.

Pierwszy kontakt zostawia ślad

Źródło często pisze tam, gdzie znalazło autora: przez zwykły email, wiadomość prywatną w serwisie społecznościowym albo SMS. Tego początku nie da się cofnąć. Można natomiast ograniczyć dalsze ślady i przenieść rozmowę do kanału odpowiedniego dla jej wrażliwości.

Dziennikarz powinien jasno powiedzieć, co dany kanał chroni, a czego nie. Zwykły email może ujawnić dostawcom usług adresy, czas wymiany i nagłówki techniczne. Służbowe konto źródła może być archiwizowane przez pracodawcę. Telefon firmowy może podlegać zarządzaniu administratora, który widzi zainstalowane aplikacje i część zdarzeń na urządzeniu.

Sama propozycja przejścia na Signal także może być informacją. Jeśli źródło instaluje aplikację pierwszy raz na służbowym telefonie albo kontaktuje się z publicznie znanym numerem dziennikarza, ten fakt może zwrócić uwagę. Dobór sposobu rozmowy powinien uwzględniać sprzęt i przyzwyczajenia źródła. Narzędzie, którego rozmówca nie potrafi bezpiecznie użyć, daje gorszy wynik niż skromniejszy kanał osadzony w przemyślanej procedurze.

Nie należy też obciążać źródła całą odpowiedzialnością. To dziennikarz zwykle lepiej zna swoje urządzenia, politykę redakcji i sposób przechowywania materiałów. Powinien umieć wyjaśnić ryzyko zwykłym językiem, bez popisu z nazw protokołów.

Metadane mówią, kto, kiedy i z kim

EFF definiuje metadane jako informacje opisujące komunikację, oddzielne od jej treści. W przypadku wiadomości mogą to być dane o nadawcy, odbiorcy, czasie i miejscu wysłania. CPJ zwraca uwagę, że szyfrowanie treści nie zawsze obejmuje te informacje.

Pojedynczy zapis bywa mało interesujący. Seria połączeń tuż po posiedzeniu zarządu, logowanie z określonej sieci i publikacja dwa dni później tworzą już wzór. Nie trzeba czytać wiadomości, żeby zawęzić listę osób mających dostęp do dokumentu.

Metadane siedzą też w plikach. Zdjęcie może zawierać współrzędne, czas wykonania i model telefonu. Dokument biurowy może zachować nazwę autora, nazwę organizacji, ścieżkę katalogu oraz historię edycji. Skan ujawnia układ kartki, adnotacje i cechy urządzenia. CPJ ostrzega również przed pozorną anonimizacją: zamazany fragment dokumentu można czasem odzyskać, a zrzut ekranu potrafi zdradzić elementy interfejsu, godzinę, stan baterii lub układ kont użytkownika.

Przed publikacją trzeba pracować na kopii, usunąć zbędne metadane i sprawdzić wynik w innym programie niż ten użyty do redakcji. Jeśli sam wygląd dokumentu może wskazać dział albo osobę, przepisanie istotnego fragmentu bywa bezpieczniejsze niż publikacja zrzutu. Nie istnieje jednak uniwersalny filtr, który oczyści każdy format i zawsze zachowa dowodową wartość materiału. Przy sprawach wysokiego ryzyka potrzebna jest pomoc osoby zajmującej się bezpieczeństwem cyfrowym i weryfikacją dokumentów.

Telefon przechowuje więcej, niż widać

Nowoczesny telefon przechowuje rozmowy, zdjęcia, kontakty, tokeny logowania, historię lokalizacji i powiadomienia. Kto przejmuje odblokowane urządzenie, nie musi łamać szyfrowania komunikatora. Otwiera aplikację albo czyta treść z ekranu.

Podstawy są mało efektowne: aktualny system, mocny kod blokady, szyfrowanie urządzenia, krótki czas automatycznej blokady i wyłączone podglądy wrażliwych powiadomień. Aktualizacje mają znaczenie, bo zamykają znane podatności. CISA wymienia je obok unikalnych haseł, wieloskładnikowego uwierzytelniania i odporności na phishing jako codzienne zachowania ograniczające ryzyko.

Szyfrowanie dysku chroni przede wszystkim urządzenie wyłączone lub zablokowane. Nie naprawia komputera z uruchomioną sesją, złośliwego rozszerzenia przeglądarki ani konta w chmurze przejętego przez fałszywy panel logowania. Dlatego zabezpieczenie materiałów nie kończy się na włączeniu jednej opcji w ustawieniach.

Warto spisać, gdzie naprawdę znajdują się kopie. Nagranie może być na telefonie, laptopie, dysku redakcyjnym, w automatycznej kopii chmurowej i w koszu usługi, która przez miesiąc zachowuje usunięte pliki. Każda kopia zwiększa dostępność, ale też powierzchnię ujawnienia. Polityka przechowywania powinna określać, co trafia do chmury, kto ma dostęp, kiedy materiał jest usuwany i kto sprawdza, czy usunięcie objęło kopie zapasowe.

Osobne urządzenie do wrażliwej sprawy może ograniczyć mieszanie kontaktów i kont. Nie jest jednak magicznie anonimowe. Zakup, karta SIM, domowa sieć Wi-Fi i fizyczne noszenie dwóch telefonów również tworzą dane. Oddzielenie ma sens, gdy wynika z modelu zagrożeń i da się utrzymać bez łamania własnych zasad po kilku dniach.

Phishing korzysta z zawodowego odruchu

Dziennikarz ma otwierać dokumenty od obcych ludzi. Ma klikać linki, oglądać nieznane profile i odpowiadać na pilne wiadomości. To część pracy i zarazem wygodny punkt wejścia.

Spear phishing nie musi wyglądać jak źle napisany email od banku. Wiadomość może odwoływać się do trwającego śledztwa, używać nazwiska prawdziwego rozmówcy i zawierać plik o wiarygodnym tytule. Atakujący może wcześniej przejąć konto osoby, którą dziennikarz zna. Poprawny język i prawdziwy wątek rozmowy nie potwierdzają bezpieczeństwa załącznika.

CPJ radzi weryfikować nadawcę innym kanałem, sprawdzać pełny adres linku i unikać pobierania plików pod presją czasu. Podgląd dokumentu w izolowanym środowisku może ograniczyć ryzyko, lecz nie daje gwarancji. Przy materiałach pochodzących od nowych albo skonfliktowanych źródeł warto ustalić procedurę przekazania plików, zanim pierwszy załącznik trafi do skrzynki.

Konto pocztowe zasługuje na zabezpieczenie odporne na phishing. Klucz sprzętowy lub passkey ogranicza skuteczność fałszywych stron logowania lepiej niż kod SMS. Menedżer haseł także pomaga, bo nie powinien automatycznie uzupełnić danych na domenie podszywającej się pod właściwą usługę. Żadna z tych metod nie obroni użytkownika, który zatwierdzi dostęp złośliwej aplikacji albo przekaże napastnikowi aktywną sesję. Procedura nadal ma znaczenie.

Co Signal chroni, a czego nie

Signal szyfruje wiadomości i połączenia między urządzeniami uczestników. To dobry wybór dla wielu rozmów ze źródłami, bo dostawca usługi nie przechowuje treści w formie pozwalającej mu ją odczytać. Ochrona kończy się jednak na ekranach rozmówców.

Jeśli telefon źródła jest odblokowany, zainfekowany albo kontrolowany przez pracodawcę, szyfrowanie transmisji nie rozwiązuje problemu. Rozmówca może zrobić zrzut ekranu, sfotografować czat drugim urządzeniem lub przekazać wiadomość dalej. Znikające wiadomości ograniczają ilość danych pozostających w aplikacji, ale nie są narzędziem do cofania publikacji ani zdalnego kasowania cudzych kopii.

Trzeba przejrzeć listę powiązanych urządzeń. Stary laptop z aktywnym Signal Desktop może nadal odbierać wiadomości. Każde powiązane urządzenie jest kolejnym miejscem, w którym rozmowa pojawia się po odszyfrowaniu.

Signal sam przypomina, że nie weryfikuje tożsamości użytkowników. Przy wrażliwym kontakcie numer bezpieczeństwa można porównać innym, zaufanym kanałem albo zeskanować kod QR podczas spotkania. Alert o jego zmianie wymaga uwagi, choć zmiana może mieć niewinne wyjaśnienie, takie jak nowy telefon.

Nazwy użytkownika i ustawienia prywatności numeru ograniczają konieczność ujawniania telefonu nowym kontaktom. Nie usuwają informacji, które druga osoba znała wcześniej, i nie zmieniają faktu, że rejestracja konta Signal nadal jest związana z numerem. Funkcja Sealed Sender zmniejsza ilość metadanych dostępnych usłudze, ale nie ukrywa aktywności przed systemem urządzenia, operatorem sieci ani osobą obserwującą oba końce rozmowy.

Ustawienia warto omówić ze źródłem, a nie po prostu wysłać mu nazwę aplikacji. Timer znikających wiadomości, blokada rejestracji, prywatność numeru, powiadomienia i powiązane urządzenia powinny pasować do ryzyka. Im bardziej skomplikowana konfiguracja, tym większa szansa, że ktoś ominie ją w pośpiechu.

Redakcja może zdradzić źródło za autora

Dziennikarz nie pracuje w próżni. Materiał trafia do redaktora, prawnika, korekty i systemu publikacyjnego. Informacja o źródle może znaleźć się w komentarzu do dokumentu, nazwie pliku albo wiadomości na grupowym komunikatorze. Nawet jeśli autor zachował ostrożność, szeroki dostęp redakcji zwiększa liczbę urządzeń i kont do ochrony.

Zasada minimalnego dostępu jest prosta: tożsamość zna tylko osoba, która musi ją znać. Reszta zespołu może pracować na oznaczeniu i dostać materiał po usunięciu danych identyfikujących. Nie każda redakcja może działać w ten sposób, ale decyzja o udostępnieniu nazwiska powinna być świadoma i udokumentowana.

Tak samo trzeba traktować narzędzia do transkrypcji, korekty i generowania tekstu. Wysłanie nagrania do zewnętrznej usługi tworzy kolejną kopię i podlega jej regulaminowi. Nie wolno zakładać, że plan oznaczony jako “prywatny” wyłącza retencję, dostęp administratora lub obowiązek odpowiedzi na prawidłowe żądanie prawne. Przy wrażliwym materiale najpierw sprawdza się warunki przetwarzania, a czasem po prostu rezygnuje z usługi.

Prawo nie zastępuje opsec

Zakres ochrony tajemnicy dziennikarskiej zależy od jurysdykcji, statusu autora, rodzaju postępowania i okoliczności sprawy. Sama deklaracja poufności nie sprawia, że sąd, prokurator, pracodawca źródła albo dostawca usługi straci techniczną możliwość pozyskania danych.

Przed przyjęciem materiału wysokiego ryzyka dziennikarz powinien znać procedurę redakcji na wypadek żądania wydania urządzeń lub danych. Potrzebny jest kontakt do prawnika, jasna ścieżka eskalacji i wiedza, jakie materiały znajdują się na konkretnym sprzęcie. CPJ zaleca regularny przegląd danych, zwłaszcza przed przekraczaniem granic i punktów kontrolnych. Nie chodzi o gorączkowe kasowanie po otrzymaniu pisma. Chodzi o to, żeby wcześniej nie gromadzić wszystkiego bez terminu i powodu.

Obietnica poufności powinna być precyzyjna. Dziennikarz może opisać stosowane środki i znane ograniczenia. Nie powinien mówić “nikt się nie dowie”, jeśli nie kontroluje telefonu źródła, logów pracodawcy, monitoringu ani przyszłych decyzji sądu. Uczciwe omówienie ryzyka może zniechęcić rozmówcę. Nadal jest lepsze niż pewność oparta na ikonie kłódki.

Kiedy coś pójdzie źle

Plan incydentu trzeba przygotować przed incydentem. Powinien odpowiadać na kilka przyziemnych pytań: kto odcina przejęte konto, kto kontaktuje się ze źródłem innym kanałem, kto zachowuje dowody ataku i kto podejmuje decyzję o opóźnieniu publikacji. W małej redakcji jedna osoba może pełnić kilka ról, ale kolejność działań nadal powinna być zapisana poza urządzeniem, które może zostać utracone.

Nie każdy alert oznacza włamanie. Zmiana numeru bezpieczeństwa w Signal może wynikać z wymiany telefonu. Powiadomienie o logowaniu może pochodzić z podróży. Reakcja polega na weryfikacji, nie na improwizowanej panice ani ignorowaniu wszystkiego jako fałszywego alarmu.

Jeżeli urządzenie mogło zostać przejęte, dalsza rozmowa na nim nie służy do ustalania, czy jest bezpieczne. Kontakt przenosi się na wcześniej uzgodniony kanał. Zespół sprawdza aktywne sesje, powiązane urządzenia, reguły przekazywania poczty i historię zmian zabezpieczeń. Przy podejrzeniu zaawansowanego spyware potrzebna jest pomoc specjalisty. Samodzielne “czyszczenie” telefonu może usunąć ślady potrzebne do analizy.

Codzienna procedura

Dobry opsec jest powtarzalny także w dniu, kiedy termin minął dwie godziny temu. Obejmuje ocenę ryzyka, ustalenie kanału, ograniczenie kopii, kontrolę urządzeń i reakcję na incydent. Każdy z tych elementów może być prosty. Musi jednak pasować do konkretnej sprawy i możliwości źródła.

Komunikator z szyfrowaniem między urządzeniami jest częścią tej procedury. Nie ochroni źródła przed służbowym monitoringiem, zainfekowanym telefonem, rozpoznaniem na nagraniu z kamery ani dokumentem, który sam podaje nazwisko autora. Najczęściej zawodzi nie kryptografia, lecz założenie, że kłódka na ekranie zamknęła cały problem.

Ochrony źródła nie da się potwierdzić jednym ustawieniem. Trzeba regularnie sprawdzać, jakie ślady powstają, kto może je zobaczyć i czy nadal są potrzebne. Jeśli redakcja nie potrafi odpowiedzieć na te pytania, ikona kłódki przy rozmowie niewiele zmienia.

Źródła

Powiązane

← Archiwum