Bezpieczne udostępnianie dla dziennikarzy: chroń swoje źródła

Ochrona źródła zaczyna się przed udostępnieniem pierwszego dokumentu. Model zagrożeń dziennikarza obejmuje przymusowe ujawnienie, nakazy sądowe, zajęcie urządzeń na granicach, inwigilację państwową i proste ryzyko, że metadane źródła — adresy IP, skróty plików, znaczniki czasu logowania — przetrwają długo po opublikowaniu tekstu. Praktyczne narzędzia: SecureDrop dla anonimowego przyjmowania zgłoszeń, Signal z znikającymi wiadomościami do bieżącej komunikacji, usługa transferu zero-knowledge jak HexaTransfer lub OnionShare dla dokumentów, Tails OS lub Qubes do obsługi urządzenia. Komitet Ochrony Dziennikarzy odnotował 363 dziennikarzy uwięzionych na całym świecie w 2023 roku — ochrona źródeł nie jest abstrakcją.

Podstawowy model zagrożeń

Większość dziennikarzy nie stawi czoła GCHQ ani MSS, ale każdy mierzy się z czymś. Trzy poziomy do planowania:

• Ryzyko wezwania cywilnego. Prokuratorzy i litiganci cywilni poszukujący zapisów komunikacji. Dotyczy każdego dziennikarza w demokratycznych jurysdykcjach. Wezwania Departamentu Sprawiedliwości z 2021 roku skierowane do New York Times, Washington Post i CNN po zapisy telefoniczne reporterów sprawiły, że zagrożenie stało się konkretne.
• Targetowana inwigilacja. Konkretny podmiot aktywnie próbujący zidentyfikować źródło. Wymaga dyscypliny operacyjnej: oddzielnych urządzeń, VPN lub Tor, zaszyfrowanych komunikatorów, starannej higieny metadanych.
• Inwigilacja państwowa. Rzadka, lecz realna dla spraw bezpieczeństwa narodowego, praw człowieka i reportaży transgranicznych. Oprogramowanie szpiegowskie Pegasus było stosowane przeciwko ponad 45 dziennikarzom potwierdzonym przez Citizen Lab.

Wybór narzędzi skaluje się z poziomem. Lokalny reporter sądowy potrzebuje podstawowego szyfrowania; korespondent zagraniczny relacjonujący z reżimu autorytarnego potrzebuje Tails, przeglądu z air-gap i skompromitalizowanych urządzeń.

SecureDrop dla anonimowego przyjmowania zgłoszeń

SecureDrop, utrzymywany przez Freedom of the Press Foundation, jest profesjonalnym standardem dla anonimowego przesyłania materiałów od źródeł. Korzystają z niego The Guardian, New York Times, Washington Post, ProPublica, The Intercept i ponad 80 innych redakcji.

Jak działa:

1. Źródła uzyskują dostęp do adresu .onion redakcji przez Tor Browser.
2. Generują losowy pseudonim i przesyłają pliki lub wiadomości.
3. Dziennikarze pobierają zgłoszenia z oddzielnej stacji do przeglądania z air-gap działającej na Tails.
4. Pliki są odszyfrowywane tylko na stacji do przeglądania, która nigdy nie dotyka internetu.

Co czyni to skutecznym: Tor ukrywa IP źródła, air-gap zapobiega eksfiltracji przez złośliwe oprogramowanie, szyfrowanie GPG oznacza brak czystego tekstu po stronie serwera, automatyczne usuwanie po pobraniu minimalizuje ślad kryminalistyczny.

Instalacja jest niebłaha — wymaga dedykowanego sprzętu i tygodnia starannej konfiguracji — ale dla każdej redakcji przyjmującej wrażliwe zgłoszenia jest to jedyna wiarygodna opcja.

OnionShare dla bezpośrednich transferów peer-to-peer

Gdy SecureDrop jest nadmierny, OnionShare (opracowany przez Micaha Lee) oferuje prostsze udostępnianie plików przez Tor. Uruchamia jednorazową ukrytą usługę na własnym komputerze, generuje adres URL .onion i zamyka się po pobraniu.

Właściwości ważne dla dziennikarzy:

• Żaden serwer trzeciej strony nie przechowuje pliku.
• Tor ukrywa adresy IP obu stron.
• URL zawiera losowy token uwierzytelniający, więc plik nie jest publicznie dostępny.
• Działa na macOS, Windows i Linux; zawarty w Tails.

Najlepszy do jednorazowych wymian ze źródłem mogącym zainstalować Tor Browser. Mniej odpowiedni, gdy źródło jest na laptopie służbowym z ograniczeniami oprogramowania — w takim przypadku konieczne stają się usługi działające w przeglądarce.

E2EE działające w przeglądarce, gdy Tor nie jest opcją

Niektóre źródła nie mogą uruchomić Tails ani Tor. Mają komputer służbowy, pożyczony laptop lub są w sytuacji, gdzie instalacja nowego oprogramowania wzbudziłaby podejrzenia. Dla nich usługa E2EE działająca w przeglądarce jest pragmatycznym wyborem.

Czego szukać:

• Szyfrowanie AES-256-GCM po stronie klienta w przeglądarce.
• Klucz we fragmencie URL (po #), nigdy nieprzesyłany do serwera.
• Wygasające linki z konfigurowalnym TTL (24 godziny lub mniej).
• Ochrona hasłem ponad linkiem.
• Brak wymaganego konta — samo zgłoszenie generuje metadane.

Usługi spełniające warunki: HexaTransfer, warstwa E2EE SwissTransfer, Tresorit Send, udostępnione linki Proton Drive. Usługi, które ich nie spełniają: standardowy WeTransfer, Google Drive, linki Dropbox — wszystkie dają dostawcy wgląd w zawartość pliku.

Signal do komunikacji

Pliki rzadko przychodzą bez kontekstu. Rozmowa o tym, „co to jest" i „jak to zweryfikować", potrzebuje własnego kanału.

Signal, utrzymywany przez non-profit Signal Foundation, jest dziennikarskim standardem:

• E2EE domyślnie z protokołem Signal (Double Ratchet, X3DH).
• Znikające wiadomości z konfigurowalnymi timerami (od 5 sekund do 4 tygodni).
• Numer telefonu niepotrzebny do wysyłania wiadomości po uzyskaniu nazwy użytkownika (od początku 2024 roku).
• Usuwa wiadomości z obu urządzeń po wygaśnięciu timera.
• Kopie zapasowe chronione PIN-em, bez kopii w chmurze, chyba że wyraźnie skonfigurowane.

Unikaj iMessage do pracy ze źródłami. Apple może widzieć metadane, a synchronizacja iCloud Messages oznacza, że kopie zapasowe mogą istnieć na serwerach Apple podlegających procesom prawnym.

Metadane to cichy zabójca

Sprawa Reality Winner z 2017 roku z The Intercept to kanoniczny przykład: plamki śledzące drukarki na wycieku dokumentu, w połączeniu z postępowaniem redakcji, doprowadziły do identyfikacji źródła w ciągu kilku dni. Metadane do usunięcia przed publikacją lub udostępnieniem:

• EXIF na zdjęciach — exiftool -all= zdjecie.jpg usuwa GPS, numer seryjny aparatu, znaczniki czasu.
• Metadane PDF — nazwa autora, data utworzenia, oprogramowanie do edycji. exiftool -all= dok.pdf plus qpdf --linearize dla pewności.
• Metadane Microsoft Office — Plik → Informacje → Sprawdź dokument → Usuń wszystko.
• Microdoty drukarki — widoczne pod niebieskim światłem na wielu kolorowych drukarkach laserowych. Drukuj z air-gap na monochromatyczną laserową lub korzystaj z przewodnika detekcji EFF.
• Znaczniki czasu pliku — jeśli to istotne, zmień na neutralny czas przed udostępnieniem.

W przypadku dokumentów wymagających zachowania autentyczności (dowody prawne) oblicz skrót oryginału, pracuj na kopii i zachowaj łańcuch dowodów.

Higiena urządzeń przy reportażach wysokiego ryzyka

Dedykowany sprzęt do wrażliwej pracy zwraca się przy pierwszym zajęciu laptopa. Zalecany zestaw:

• Urządzenie robocze: zablokowany Mac lub ThinkPad z FileVault/LUKS, aktualizacje systemu w ciągu 7 dni, brak oprogramowania osobistego, brak synchronizacji z kontami osobistymi.
• Urządzenie do przeglądu: USB z Tails do przeglądu dokumentów z air-gap. Uruchamia się z USB, nie pozostawia śladów.
• Urządzenie osobiste: całkowicie oddzielne, nigdy nieużywane do pracy ze źródłami, niezsynchronizowane z niczym na urządzeniu roboczym.
• Telefony jednorazowe do podróży w jurysdykcjach wysokiego ryzyka, czyszczone po powrocie.

Pegasus i podobne spyware wykorzystują podatności zero-click w iMessage i WhatsApp. Aktualizuj iOS i Android na bieżąco; włącz tryb blokady na iPhone'ie dla osób będących celem ataków.

Przekraczanie granic

Dziennikarze przekraczający granice stają przed rewizją urządzeń. Estadounzytkownicze CBP ma prawne uprawnienia do inspekcji urządzeń przy wjeździe. Brytyjskie służby graniczne mogą żądać ujawnienia danych na podstawie Schedule 7 ustawy o terrorizmie. Praktyczna odpowiedź:

• Podróżuj z czystym urządzeniem — bez materiałów źródłowych, historii Signal, ciasteczek sesji przeglądarki.
• Wyślij niezbędne materiały do bezpiecznej chmury (Proton Drive, Tresorit) zaszyfrowanej hasłem nieobecnym w pęku kluczy urządzenia, pobierz po przyjeździe.
• Rozważ drugie urządzenie wysłane osobno.
• Zapoznaj się z zasadami swojej jurysdykcji — niektóre kraje traktują odmowę odblokowania jako przestępstwo, inne nie.

Freedom of the Press Foundation publikuje aktualne przewodniki dotyczące przekraczania granic. Przejrzyj przed wyjazdem.

Przepływ pracy reporterskiej, który wytrzyma próbę

Rutyna działająca przy większości wrażliwych historii:

1. Pierwszy kontakt przez Signal z dedykowanego numeru roboczego lub przez SecureDrop.
2. Weryfikacja tożsamości pozakanałowo, gdy możliwe — dokumenty publiczne, wspólny kontakt, wcześniejsza praca.
3. Przejście na HexaTransfer, OnionShare lub Tresorit dla wymiany dokumentów z wygasaniem 24-godzinnym i hasłem z wspólnego sekretu.
4. Przegląd dokumentów na Tails lub Macu z air-gap. Nigdy na urządzeniu z siecią przy materiałach wysokiej wrażliwości.
5. Usunięcie metadanych przed opuszczeniem środowiska przeglądu przez jakąkolwiek kopię.
6. Usunięcie wątku Signal i udostępnionych kluczy po publikacji, zgodnie z polityką retencji uzgodnioną z redaktorami.
7. Udokumentowanie własnego procesu dla ochrony prawnej i redakcyjnej.

Jak zacząć

Zainstaluj Signal, skonfiguruj menedżera haseł, włącz FileVault lub BitLocker i wybierz usługę transferu E2EE działającą w przeglądarce do rutynowego udostępniania. Przejdź do SecureDrop i Tails wraz z rosnącymi wymaganiami Twojego reportażu. Przepaść między „wystarczająco bezpieczne dla większości historii" a „wystarczająco bezpieczne dla przeciwników na poziomie państwa" jest duża, ale możliwa do pokonania.

Wypróbuj na hexatransfer.com — bezpłatnie, bez konta, do 10 GB.