Kuka voi lukea digitaalista päiväkirjaasi?

Kuka voi lukea digitaalista päiväkirjaasi? Vastaus riippuu käyttämäsi tuotteen rakenteesta ja asetuksistasi. Teksti voi pysyä yhdellä laitteella, synkronoitua itse valitsemasi pilvitilin kautta tai tallentua sovelluksen tarjoajalle. Laitteet, tilit, salausavaimet, palautus, jakaminen, viennit, varmuuskopiot, metatiedot, palveluntarjoajan järjestelmät ja oikeudelliset menettelyt muodostavat kukin oman mahdollisen pääsyreittinsä.

Oikein toteutettu päästä päähän -salaus voi vähentää palveluntarjoajan pääsyä sisältöön huomattavasti, jos tarjoaja ei hallitse sisältöavainta. Se ei tee jokaisesta päätelaitteesta, varmuuskopiosta, viennistä, palautusreitistä, jaetusta tilistä, ilmoituksesta tai metatiedosta vain sinun saatavillasi olevaa. Tämä on uhkamallin tarkistuslista tietylle sovellukselle ja versiolle, ei tuomio kaikista päiväkirjasovelluksista.

Yksityiseltä tuntuva ei kerro tiedon kulkureittiä

Merkintä voi tuntua yksityiseltä, koska et ole jakanut sitä ja sovellus on henkilökohtaisessa puhelimessasi. Tunne ei kerro, missä kopioita on eikä kuka hallitsee tunnuksia ja avaimia, joilla ne saa luettaviksi.

Osa sovelluksista säilyttää sisällön paikallisesti, osa synkronoi tarjoajan tilin tai käyttäjän valitseman pilvipalvelun kautta. Sama järjestelmä voi sisältää paikallisen tietokannan, palvelinkopioita, välimuisteja, varmuuskopioita, vientejä ja ilmoitusten esikatseluja. Selvitä todellinen tiedonkulku. Tietosuojakäytäntö, avoin lähdekoodi, riippumaton auditointi ja avaintenhallinnan dokumentaatio lisäävät näyttöä vain oman laajuutensa rajoissa.

Mahdolliset pääsyreitit

Palveluntarjoaja ja valtuutetut työntekijät. Jos palvelu säilyttää luettavaa tekstiä tai hallitsee sen avaamiseen tarvittavia avaimia, valtuutetuilla järjestelmillä ja joillakin työntekijöillä voi olla tekninen pääsy. Käyttöoikeudet, lokit, toimintaperiaatteet ja laki voivat rajata tätä kykyä. Ne eivät ole sama suoja kuin pääsyn estäminen salauksella.

Infrastruktuurikumppanit. Tarjoaja voi käyttää ulkopuolista pilvipalvelua, valvontaa, analytiikkaa, tukea tai maksupalvelua. Kunkin toimittajan pitäisi saada vain tehtäväänsä liittyvät tiedot ja oikeudet; maksunkäsittelijä ei saa automaattisesti päiväkirjatekstiä. Tarkista alihankkijat ja tietoluokat.

Laillinen tietopyyntö. Palveluntarjoaja voi saada pätevän pyynnön hallussaan olevista tiedoista. Säännöt, laajuus, ilmoittaminen ja vastustamismahdollisuudet vaihtelevat oikeusalueen ja menettelyn mukaan. Salaus ei kumoa oikeusprosessia, mutta voi muuttaa sitä, onko tarjoajalla luettavaa sisältöä. Tämä ei ole oikeudellista neuvontaa.

Hyökkääjä. Pilvipalveluun voidaan murtautua. Dropbox kertoi huhtikuussa 2024 Dropbox Signiin kohdistuneesta tapauksesta, jossa vaarantui muun muassa tili- ja tunnistautumistietoja. Kyse ei ollut päiväkirjasovelluksesta. Tapaus havainnollistaa vain sitä, miksi tilit, tarjoajan järjestelmät ja varmuuskopiot kuuluvat uhkamalliin. Useampi kopio voi lisätä altistumisreittejä, vaikka rinnakkaisuus voi parantaa saatavuutta ja palautusta.

Henkilö, jolla on laite tai kopio. Lukitsematon puhelin, jaettu tili, näkyvä ilmoitus, luettava vientitiedosto tai saavutettava varmuuskopio voi riittää ilman hyökkäystä palveluun. Laitteen tunnus, automaattinen lukitus, sovelluslukko, tilin suojaus ja vientien varovainen käsittely vähentävät eri riskejä.

Palveluntarjoajan salaus ei suojaa tekstiä, joka näkyy jo lukitsemattomalla tai kaapatulla päätelaitteella.

Mitä "salattu" tarkoittaa?

Siirron aikana. Siirtosalaus suojaa tietoa matkalla päätelaitteiden välillä. Se ei yksin kerro, voivatko lähettävä laite, vastaanottava palvelu tai myöhempi tallennus käsitellä selväkielistä tekstiä.

Tallennettuna. Lepotilan salaus suojaa tallennusmediaa tai tietokantaa määritellyn avainmallin mukaisesti. Jos palvelu hallitsee normaaliin käyttöön tarvittavaa avainta, valtuutetut järjestelmät voivat yhä käsitellä selväkielistä sisältöä. Suoja on silti hyödyllinen tiettyjä tallennustason hyökkäyksiä vastaan.

Päästä päähän salattuna. E2EE-mallissa sisältö salataan valtuutetulla päätelaitteella ja avataan vain valtuutetuilla päätelaitteilla, eikä palvelu pidä hallussaan sisältöavainta. Todellinen raja riippuu avainten luonnista, laitteiden lisäämisestä, jakamisesta, palautuksesta, varmuuskopioista ja toteutuksesta. Tarjoajalla voi edelleen olla tili- ja metatietoja, joihin laillinen pyyntö voi kohdistua.

E2EE voi estää palveluntarjoajaa lukemasta sisältöä. Se ei tarkoita, ettei kukaan muu voisi koskaan päästä mihinkään kopioon.

Tarkista, kattaako E2EE päiväkirjan sisällön, onko se käytössä tällä tilillä ja näillä laitteilla sekä miten viennit ja varmuuskopiot käsitellään. Sana "salattu" ei yksin kuvaa kokonaisuutta.

Oma pilvitili ei poista muita osapuolia

Yksityisyys riippuu myös päätelaitteista, tileistä, metatiedoista, jakamisesta, palautuksesta, vienneistä, säilytysajoista ja ohjelmiston ylläpidosta. Palveluntarjoajan tallennus voi helpottaa synkronointia ja palautusta, mutta luo riippuvuuden sen saatavuudesta, käytännöistä, toteutuksesta ja vientimahdollisuuksista. Palvelun sulkeminen tai yrityskauppa ei välttämättä paljasta sisältöä, mutta voi vaikuttaa pääsyyn, yhteensopivuuteen ja siirtämiseen.

Itse valittu pilvitallennus voi vähentää päiväkirjasovelluksen kehittäjän hallussa olevaa dataa ja parantaa siirrettävyyttä. Uhkamalliin jäävät silti pilvipalvelun tarjoaja, tilin palautus, yhdistetyt sovellukset, laiteturvallisuus ja päiväkirjasovelluksen oikeudet. Vaikka sovellus katoaisi, tiedostot voivat säilyä ja niiden tuleva luettavuus tai synkronointi voi muuttua. Sisältölisenssit, poistaminen ja säilytysvelvoitteet vaihtelevat palvelun ja oikeusalueen mukaan.

Yksityisyyden psykologista hyötyketjua ei ole osoitettu

Koettu yksityisyys voi vaikuttaa siihen, mitä ihminen kertoo. Tutkimus ei kuitenkaan vahvista yksinkertaista ketjua vahvemmasta salauksesta avoimempaan kirjoittamiseen ja siitä suurempaan psykologiseen hyötyyn.

James Pennebaker tarkasteli vuonna 2018 ilmaisevan kirjoittamisen historiaa ja edelleen ratkaisemattomia mekanismeja. Katsaus ei osoita, että hiottu tai itsesensuroitu teksti menettäisi ennustettavan osan hyödystä tai että rehellinen paljastaminen olisi ainoa vaikuttava tekijä.

Joanne Frattarolin vuoden 2006 meta-analyysi yhdisti 146 kokeellista tutkimusta ja löysi pienen keskimääräisen vaikutuksen. Yksityisesti tehdyt tutkimukset näyttivät ensin tuottavan suurempia vaikutuksia kuin jaetuissa tiloissa tehdyt, mutta yhteys katosi tutkimusympäristön vakioinnin jälkeen. Yksityisyyttä tai avoimuuden määrää ei siis osoitettu yleiseksi annos–vaste-mekanismiksi.

Vuoden 2018 alustavassa Positive Affect Journaling -kokeessa 70 seulottua, ahdistusoireista kärsivää terveydenhuollon potilasta jaettiin jäsenneltyyn myönteiseen kirjoittamiseen tai tavanomaiseen hoitoon. Tutkimushenkilöstö tarkisti tallennetut merkinnät turvallisuuden vuoksi. Osa varhaisista ahdistus- ja kuormitustuloksista erosi, kaikki tulokset eivät parantuneet eikä yksityisyyttä, aitoutta tai rehellisyyttä testattu mekanismina.

Tietokonevälitteisen viestinnän kokeissa Adam Joinson havaitsi vuonna 2001 enemmän itsestä kertomista tietyissä visuaalisen anonymiteetin ja yksityisen itsetietoisuuden oloissa. Osallistujat eivät pitäneet päiväkirjaa eikä tutkimus mitannut mielenterveyttä. Soveltaminen päiväkirjasovellukseen on uskottava hypoteesi, ei suora tulos. Nimien tai tunnistavien tietojen pois jättäminen voi sitä paitsi olla järkevää tietojen minimointia eikä haitallista itsesensuuria.

Artikkelimme päiväkirjan kirjoittamisesta ja ahdistuksesta erottaa samoin tietyt kirjoitustehtävät laajoista käsittelyväitteistä.

Koettu yksityisyys voi vaikuttaa itsestä kertomiseen. Muuttaako se päiväkirjan vaikutusta ja kuinka paljon, on yhä avoin kysymys.

Tarkistus alkaa uhkan nimeämisestä

Määritä ensin, miltä suojaudut: laitetta käyttävältä henkilöltä, tilivarkaalta, sovelluksen tarjoajalta, pilvipalvelulta, oikeudelliselta pyynnöltä vai pääsyn menetykseltä. Tarkista sitten kyseiseen reittiin liittyvät hallintakeinot.

• Kattaako E2EE sisällön, onko se käytössä ja kuka hallitsee avaimia palautuksessa, jakamisessa, varmuuskopioissa ja vienneissä?
• Onko laitteessa ja sovelluksessa sopiva lukitus, ja ovatko tili sekä käyttöjärjestelmä suojattuja ja ajan tasalla?
• Missä ovat paikalliset tietokannat, palvelinkopiot, välimuistit, viennit ja varmuuskopiot?
• Mitä metatietoja ja säilytysaikoja palvelu kuvaa, ja miten se käsittelee päteviä oikeudellisia pyyntöjä?
• Mitä tietoa kerätään, käytetään mainontaan tai analytiikkaan, jaetaan ja poistetaan? Hinta ei ratkaise yksityisyyttä.

Sovelluslukko vähentää lähinnä satunnaista paikallista pääsyä. Se ei korvaa laitteen tunnusta, tiliturvaa, päivityksiä tai luettavien vientien suojaamista. Tallennuspaikkakaan ei yksin vastaa kysymykseen. Artikkelissa päiväkirjasta ja ajattelun selkeydestä erotamme samalla tavoin käytännöllisen mahdollisuuden taatusta psykologisesta vaikutuksesta.

Lue turvaväitteen rajat

Kysy ensin, mitä tietoa väite koskee. "Viestit on salattu" voi suojata päiväkirjatekstin mutta jättää otsikot, aikaleimat, tilitunnisteet, tiedostokoot, hakuindeksit tai diagnostiikan näkyviksi. Metatieto voi olla koko merkintää vähemmän intiimiä ja silti paljastaa toistuvia kuvioita.

Kysy myös, missä salaus alkaa ja päättyy. Kaapatulla laitteella näkyvän selvätekstin voi tallentaa toinen prosessi. Luettava vienti perii uuden tallennus- ja jakoreittinsä turvallisuuden. Jos tarjoaja voi palauttaa sisällön ilman valtuutettua laitetta tai käyttäjän hallussa olevaa salaisuutta, selvitä, mikä lisäavain tai luotettu osapuoli tekee sen mahdolliseksi.

Riippumaton arviointi lisää luottamusta oman laajuutensa ja päivämääränsä puitteissa. Salauskirjaston auditointi ei automaattisesti kata tilinpalautusta, ilmoituksia, pilviasetuksia tai myöhempiä julkaisuja. Avoin lähdekoodi mahdollistaa tarkastuksen, mutta ei todista julkaistun version vastaavan tarkastettua koodia tai kaikkien käyttöönottojen olevan turvallisia.

Lopuksi punnitse luottamuksellisuutta, saatavuutta ja säilyvyyttä. Jos tarjoaja ei voi palauttaa tietoja, kadonnut avain voi merkitä pysyvää menetystä. Käyttäjän hallitsema tiedosto voi olla siirrettävä ja silti helppo poistaa vahingossa. Varmuuskopio voi parantaa palautumista ja säilyttää samalla uuden kopion. Kaikille sopivaa tasapainoa ei ole.

Tiivistettynä

Pääsy riippuu koko järjestelmästä ja asetuksista, ei yhdestä nimilapusta. E2EE voi estää tarjoajan pääsyn sisältöön, mutta päätelaitteet, palautus, jakaminen, kopiot, viennit ja metatiedot merkitsevät edelleen. Tallennuspaikka ja salaus vastaavat eri kysymyksiin.

Jos rakennat päiväkirjatapaa, valitse ratkaisu, jonka pääsyreitit sopivat tekstin herkkyyteen. Tapatutkimus ei osoita yksityisyyttä hyödyn edellytykseksi eikä päivittäistä säännöllisyyttä vaatimukseksi.

Tutustu dokumentaatioon ja asetuksiin. Päätä sen jälkeen, otatko käytettävissä olevat suojat käyttöön, vähennätkö tunnistavia tietoja, erotatko hyvin arkaluonteisen aineiston vai käytätkö toista välinettä. Kukin valinta vastaa tiettyyn riskiin; mikään ei luo ehdotonta salaisuutta.