Metadata vs. obsah komunikace: proč nestačí šifrovat jen „text“

Když se mluví o soukromí v on‑line světě, většina pozornosti se soustředí na obsah komunikace – text zprávy, nahraný soubor, video z hovoru. Méně viditelnou, ale často stejně důležitou roli hrají metadata: informace o tom, kdo, kdy a jakým způsobem komunikoval. V tomto textu se pokusím srozumitelně vysvětlit rozdíl mezi obsahem a metadaty, ukázat, co z metadat lze vyčíst, a hlavně – jak k nim přistupovat rozumně, nikoli paranoidně.

Co je obsah komunikace a co jsou metadata komunikace

Obsah komunikace je to, co intuitivně vnímáme jako „zprávu“. Text e‑mailu, hlas v telefonátu, obraz ve videokonferenci, dokument přiložený v příloze. Pokud je komunikace šifrovaná, právě tento obsah má být chráněn tak, aby ho nikdo nepovolaný nemohl číst ani odposlouchávat.

Metadata komunikace jsou naopak informace o komunikaci. Typicky zahrnují: kdo s kým komunikuje (účty, e‑mailové adresy, telefonní čísla), kdy komunikace probíhá a jak dlouho trvá, z jakých IP adres a přibližně z jaké lokality se někdo připojuje, jak velké objemy dat proudí a jak často, jaké zařízení, aplikace či protokoly byly použity. Konkrétní rozsah těchto údajů se liší v závislosti na službě a jejím provozovateli.

U e‑mailu je obsahem komunikace text a přílohy, zatímco metadata komunikace představují hlavičky se seznamem odesílatelů a příjemců, časová razítka a servery, přes které zpráva prošla. U videokonference je obsahem šifrovaný audio‑video stream, metadata komunikace tvoří záznam o tom, kdo se kdy připojil, jak dlouho byl online, z jaké IP adresy a jaké technické parametry měl přenos.

Jak metadata komunikace vznikají

Metadata komunikace vznikají prakticky v každém kroku cesty mezi dvěma účastníky: na zařízení uživatele (logy aplikace, informace o připojení), v síti (routery, NAT, poskytovatel internetu) a na straně služby (servery, které zajišťují přihlášení, směrování, ukládání logů).

I když je obsah zpráv end‑to‑end šifrovaný, infrastruktura musí vědět alespoň tolik, aby byla schopná spojení navázat, udržet a případně zúčtovat. Poskytovatelé proto typicky ukládají různé formy provozních logů a telemetrie: statistiky připojení, chybové záznamy, údaje pro monitoring výkonu nebo ochranu proti zneužívání.

Co z metadat komunikace lze vyčíst

Metadata komunikace na první pohled vypadají „nevinně“, ale v souhrnu bývají překvapivě vypovídající. Umožňují například rekonstruovat vztahovou síť – kdo s kým komunikuje často, kdo jen sporadicky, kdo je středem pozornosti. Dají se z nich odhadnout denní rytmy – v jaké době běžně pracujete, kdy jste on‑line, kdy naopak nebýváte dostupní. Podle IP adres a přístupových bodů lze často rozpoznat, zda někdo zůstává na jednom místě, nebo pravidelně cestuje. A náhlé zhuštění komunikace v konkrétní skupině může signalizovat, že se děje „něco důležitého“, aniž by kdokoli četl obsah zpráv.

Stačí si představit jednoduchý příklad: někdo nezná obsah vašich zpráv, ale vidí, že se v posledních týdnech výrazně zvýšil počet dlouhých večerních hovorů s jednou konkrétní osobou z jiného města. Už jen tento obraz může být v určitých souvislostech vysoce citlivý.

Kdo metadata komunikace typicky vidí

Různé typy metadat komunikace jsou dostupné různým aktérům. Poskytovatel internetového připojení (ISP) vidí síťovou vrstvu – IP adresy, porty, objemy přenesených dat, někdy i informace dané zákonnými požadavky na uchovávání logů. Poskytovatel konkrétní služby (e‑mail, messenger, videokonference) má k dispozici logy přihlášení, technickou telemetrii, záznamy o hovorech a další provozní údaje, které potřebuje pro fungování platformy a ochranu před zneužitím. A třetí strany, na které je outsourcovaná část infrastruktury – cloudová data centra, CDN, poskytovatelé monitoringu – zpracovávají svůj díl metadat, často podle vlastních pravidel a v rámci vlastní jurisdikce.

V některých případech mohou orgány veřejné moci žádat přístup k určitým metadatům na základě lokální legislativy. V České republice ukládá zákon o elektronických komunikacích (§ 97 odst. 3 zák. č. 127/2005 Sb.) poskytovatelům veřejných komunikačních sítí povinnost uchovávat provozní a lokalizační údaje po dobu šesti měsíců. Tyto údaje mohou být na vyžádání zpřístupněny orgánům činným v trestním řízení, zpravodajským službám a dalším zákonem stanoveným subjektům. Pro čtenáře to znamená konkrétní horizont: i když vaše zprávy nikdo nečte, metadata o tom, kdo, kdy a odkud komunikoval, mohou být dohledatelná až půl roku zpětně.

End‑to‑end šifrování a jeho hranice

End‑to‑end šifrování je důležitý nástroj ochrany soukromí, ale je třeba chápat jeho meze. Chrání obsah komunikace – text, audio, video – mezi koncovými zařízeními. Data jsou zašifrovaná tak, aby je neviděl ani provozovatel služby.

Šifrování samotného obsahu však typicky neřeší: kdo se ke komu připojil a kdy, z jaké IP adresy a s jakými technickými parametry, jak dlouho komunikace trvala a jak velký objem dat se přenesl. Rozsah metadat komunikace, která služba i přes šifrování obsahu uchovává, se přitom mezi poskytovateli výrazně liší. Dobrým příkladem je srovnání WhatsApp a Signal – obě aplikace používají stejný šifrovací protokol (Signal Protocol) pro ochranu obsahu, ale v nakládání s metadaty se zásadně rozcházejí. WhatsApp uchovává provozní údaje o tom, kdo s kým a kdy komunikuje. Signal naproti tomu pomocí technologie Sealed Sender architektonicky minimalizuje i to, aby jeho servery vůbec věděly, kdo komu zprávu posílá. Tentýž šifrovací protokol, zásadně odlišný metadatový otisk.

V praxi má smysl dívat se na komunikaci ve třech vrstvách: aplikační – kde chráníme obsah (například šifrovaný chat), síťovou – kde vznikají metadata nutná pro doručení (IP, porty, směrování), a provozní – kde vzniká telemetrie a logy používané k provozu a zabezpečení služby.

Technická vsuvka: IP adresy, DNS, logy, telemetrie

Pro ty, kdo chtějí trochu technického kontextu, se vyplatí krátká vsuvka. IP adresa je identifikátor zařízení (přesněji koncového bodu), které se připojuje do sítě. V kombinaci s časem připojení a přidělovacími logy poskytovatele připojení umožňuje zpětně zjistit, kdo byl v konkrétní chvíli „za“ danou IP adresou. Logy jsou záznamy o významných událostech – například o tom, že se uživatel přihlásil, že došlo k chybě, že se navázalo nové síťové spojení. Telemetrie je souhrnný název pro diagnostická a provozní data, která slouží ke sledování stavu systému: vytížení, latence, chybovost.

K těmto tradičním vrstvám metadat komunikace přibývají dva často přehlížené vektory. DNS dotazy – pokud uživatel nepoužívá šifrované DNS (například DoT nebo DoH) – putují sítí v prostém textu, takže poskytovatel internetu vidí každý přeložený název domény. A i při šifrovaném spojení přes HTTPS obsahuje hlavička SNI (Server Name Indication) název cílového webu v nešifrované podobě už při navazování spojení. Vzniká tak paradoxní situace: obsah komunikace je šifrovaný, ale adresa, kam komunikace směřuje, zůstává typicky transparentní.

Tyto vrstvy spolu často souvisí. Na základě logů a telemetrie se provozovatel služby rozhoduje, zda je potřeba navýšit kapacitu, zda se neděje útok na službu, nebo zda konkrétní konfigurace nevyvolává chyby. Zároveň však každá taková diagnostická informace rozšiřuje množinu metadat komunikace, která o uživateli existují.

Praktický příklad: běžný uživatel

Představme si běžného uživatele, který používá e‑mail u velké poskytovatelské služby, jeden populární chat s end‑to‑end šifrováním a videokonference pro pracovní i soukromé hovory.

Na úrovni metadat komunikace o něm může vznikat následující obraz. Poskytovatel e‑mailu zpravidla ví, kdy se přihlašuje, z jaké IP adresy, s jakým zařízením a jak často posílá a přijímá poštu. Poskytovatel chatu typicky ví, kdy je online, kterým kontaktům píše, jak často a jak dlouhé jsou jednotlivé relace – aniž by znal obsah. Poskytovatel videokonferencí má záznamy o tom, kdy se účastnil hovorů, jak dlouho trvaly, kolik bylo účastníků, z jakých regionů a jaký byl technický průběh hovoru.

K tomu se přidávají metadata u poskytovatele internetového připojení a případné logy z cloudové nebo monitorovací infrastruktury. Bez jediného „otevření“ obsahu lze vidět, že uživatel je každý pracovní den on‑line zhruba od 8 do 17 hodin, večer často vede delší videohovory s jednou konkrétní osobou, o víkendech se objem komunikace výrazně mění a v poslední době se objevily pravidelné připojení z jiné země, což může naznačovat cestování.

Pro běžného člověka to může být na hraně mezi benigním technickým záznamem a citlivou informací o osobním životě – záleží na kontextu, na tom, kdo k datům má přístup a jak s nimi nakládá.

Praktický příklad: malá nezisková organizace

Představme si malou neziskovou organizaci o deseti lidech. Nepořizuje si vlastní servery, ale využívá cloudový e‑mail a kancelářský balík, samostatnou platformu pro videokonference, chatovací nástroj pro interní komunikaci a několik doplňkových služeb (sdílení souborů, projektové řízení).

Na úrovni obsahu komunikace může mít řadu věcí dobře zabezpečených – šifrované dokumenty, šifrovaný chat, šifrované úložiště. Metadata komunikace ale vznikají v každé z těchto služeb: v e‑mailu (kdo kdy psal komu, z jaké IP, jak často), v chatu (kdy se tým schází, jaké jsou „horké“ kanály), ve videokonferencích (časové a účastnické vzorce porad) a v nástrojích pro sdílení souborů (kdy se pracuje na konkrétních dokumentech, kdo je otevírá).

K tomu se přidává infrastruktura jednotlivých poskytovatelů: jejich cloudová datacentra, systémy monitoringu a logování, případní subdodavatelé technologií. Cílem zde není malovat katastrofické scénáře, ale ukázat, že i relativně malá organizace zanechává množství metadat komunikace, ze kterých lze vyčíst, kdy bývá největší nápor práce, jaké projekty jsou právě středem pozornosti, kteří lidé v organizaci jsou v rámci komunikace nejpropojenější a zda dochází k náhlým změnám v aktivitě (například před důležitými událostmi).

Z hlediska vnitřní bezpečnosti i reputace může být pro organizaci důležité vědět, kde tato metadata leží, kdo je zpracovává a za jakých podmínek.

Jak se k metadatům komunikace stavět rozumně

Cílem není rezignovat na digitální nástroje ani propadnout pocitu, že „všechno je stejně ztracené“. Smysluplný přístup může vypadat následovně. Uvědomit si, že metadata komunikace nejsou jen technická drobnost, ale součást obrazu o našem chování. Při volbě nástrojů se dívat nejen na to, zda je obsah komunikace šifrovaný, ale i jak poskytovatel popisuje sběr a uchovávání provozních dat. Vždy, když je to možné, volit řešení, která sběr metadat minimalizují, jasně popisují, co se loguje a proč, a dávají uživateli co největší míru kontroly. A u opravdu citlivých témat zvažovat i jiné formy kontaktu.

Metadata komunikace sama o sobě nejsou „zlo“. Jsou nezbytnou součástí fungující infrastruktury. Problém nastává tehdy, když se o nich nic neví, jsou sbírána v nepřiměřeném rozsahu nebo se s nimi nakládá netransparentně. Informačně vybavený uživatel – ať už jednotlivec, nebo organizace – má šanci se v tomto prostoru orientovat a dělat rozhodnutí, která odpovídají jeho vlastnímu vztahu k soukromí.

Informace a hodnocení v tomto článku vycházejí z veřejně dostupných zdrojů ke dni publikace a mohou se v čase měnit. Aktuální stav jednotlivých aplikací doporučujeme před rozhodnutím ověřit přímo u jejich provozovatelů.