анонимность

Анонимность — это состояние, при котором действия или данные субъекта невозможно с достаточной уверенностью связать с его известной реальной личностью. В информационной безопасности анонимность не означает полное отсутствие каких-либо идентификаторов. Важнее то, может ли наблюдатель установить связь между цифровой активностью и конкретным человеком.

NIST определяет анонимность как состояние, при котором субъект можно отличить от других, но недостаточно информации для установления связи с известной идентичностью. Таким образом, пользователь может быть различим как отдельный участник системы, но его реальная личность остается неизвестной.

Особенно часто понятие анонимности используется применительно к интернету. Пользователь может читать сайты, публиковать сообщения, пользоваться сетевыми сервисами или передавать данные, не раскрывая непосредственно свое имя. Однако сохранение анонимности зависит от архитектуры конкретной системы и от того, какие дополнительные сведения доступны наблюдателю.

Анонимность и конфиденциальность — не одно и то же

Конфиденциальность означает защиту информации от несанкционированного доступа или нежелательного раскрытия. Анонимность относится прежде всего к невозможности связать действия с конкретной идентичностью.

Например, зашифрованное сообщение может быть полностью конфиденциальным с точки зрения содержимого, но отправитель при этом может быть известен. И наоборот, публичное сообщение может не содержать имени автора, но дополнительные данные могут позволить установить, кто его опубликовал.

Поэтому шифрование и анонимность решают разные задачи. Шифрование защищает содержание коммуникации, а механизмы анонимности стараются уменьшить возможность установить связь между активностью и конкретным субъектом.

Анонимность в интернете

В интернете пользователь практически всегда взаимодействует с различными сетевыми и прикладными компонентами. В процессе работы могут передаваться или сохраняться IP-адреса, идентификаторы соединений, cookies, учетные данные, сведения об устройстве и другие характеристики.

Некоторые из этих данных сами по себе не содержат имени человека, однако их комбинация может позволить связать несколько действий между собой или сопоставить их с конкретным пользователем.

К потенциально идентифицирующим сведениям относятся:

• IP-адрес и данные о сетевом подключении;
• cookies и другие постоянные идентификаторы;
• идентификаторы браузера и устройства;
• адрес электронной почты;
• данные учетной записи;
• время и характер сетевой активности;
• географические и технические сведения;
• уникальные характеристики конфигурации устройства.

RFC 6973, посвященный вопросам приватности интернет-протоколов, отдельно рассматривает угрозы идентификации и корреляции. Документ отмечает, что даже зашифрованный трафик может сохранять определенные характеристики потока, а повторяющиеся идентификаторы способны позволять связывать разные взаимодействия одного пользователя.

Что такое множество анонимности

Одним из важных понятий является anonymity set — множество субъектов, среди которых конкретного пользователя невозможно надежно отличить от остальных с точки зрения определенного наблюдателя.

Например, если система позволяет определить, что сообщение отправил один из 100 пользователей, но не позволяет узнать кто именно, потенциальное множество анонимности состоит из этих 100 человек. Если дополнительные признаки сокращают группу до пяти пользователей, степень анонимности уменьшается.

RFC 6973 подчеркивает, что анонимность является относительной характеристикой: она зависит от того, какой информацией располагает конкретный наблюдатель. Один участник системы может не иметь возможности идентифицировать пользователя, тогда как другой, обладающий дополнительными данными, способен это сделать.

Почему анонимность не является абсолютной

В реальных информационных системах очень сложно гарантировать абсолютную анонимность. Даже если имя пользователя не передается непосредственно, остаются косвенные признаки, которые могут использоваться для корреляции данных.

Например, человек может использовать псевдоним на форуме, но одновременно публиковать уникальные сведения о своем местоположении, профессии, расписании или других обстоятельствах. Если аналогичная информация появляется в другом источнике, две цифровые активности могут оказаться связанными.

Кроме того, разные наблюдатели обладают разными наборами данных. Оператор сайта, интернет-провайдер, рекламная система и владелец учетной записи могут видеть совершенно разные части одной и той же активности.

Анонимность и псевдонимность

Псевдонимность означает использование имени или идентификатора, который отличается от настоящего имени пользователя. Например, участник форума может публиковать сообщения под никнеймом user123.

NIST определяет pseudonym как имя, отличное от юридического имени, а pseudonymity — как использование псевдонима для идентификации субъекта. При этом уникальный псевдоним может позволять системе связывать несколько действий одного пользователя между собой, даже если его настоящее имя неизвестно.

Поэтому псевдонимность и анонимность — разные понятия. Если все сообщения пользователя связаны с одним постоянным никнеймом, наблюдатель может построить подробный профиль его активности, даже не зная настоящего имени.

Что такое псевдонимный идентификатор

Псевдонимный идентификатор — это уникальный идентификатор, который не должен напрямую раскрывать личность пользователя, но позволяет системе связывать несколько его взаимодействий.

Например, интернет-сервис может присвоить пользователю случайную строку вместо использования адреса электронной почты. Сам идентификатор не содержит очевидной информации о человеке, но сервер может использовать его для связывания нескольких запросов.

NIST прямо отмечает эту особенность: псевдонимный идентификатор может не позволять сервису узнать дополнительные сведения о подписчике, но при этом дает возможность связать несколько взаимодействий с одним субъектом.

Анонимизация данных

Анонимизация — это процесс удаления связи между набором идентифицирующих данных и субъектом данных. NIST определяет anonymization как процесс, который устраняет связь между идентифицирующим набором данных и субъектом.

Например, организация может удалить из статистической базы имена, адреса и другие прямые идентификаторы. Однако простого удаления имени не всегда достаточно. Оставшиеся характеристики могут позволить восстановить связь с человеком.

Именно поэтому при публикации наборов данных необходимо учитывать возможность косвенной идентификации. Чем больше уникальных характеристик остается в наборе, тем выше риск того, что отдельные записи можно будет сопоставить с внешними источниками.

Анонимизация и псевдонимизация

Эти методы также нельзя полностью отождествлять.

Псевдонимизация заменяет прямой идентификатор псевдонимом. При наличии дополнительной информации связь между псевдонимом и исходным субъектом может быть восстановлена. NIST определяет псевдонимизацию как разновидность деидентификации, при которой идентификаторы заменяются псевдонимами.

При анонимизации задача заключается в удалении возможности связать данные с субъектом. На практике степень достигнутой анонимности необходимо оценивать с учетом доступной внешней информации и возможностей потенциального наблюдателя.

Что такое unlinkability

Еще одно важное понятие — unlinkability, или невозможность связать между собой два события или набора данных.

Предположим, пользователь дважды посещает сервис. Даже если его настоящее имя неизвестно, постоянный идентификатор может показать, что оба посещения принадлежат одному человеку. В этом случае действия связаны между собой.

Если же система не позволяет надежно определить, что оба события относятся к одному субъекту, достигается более высокий уровень unlinkability. RFC 6973 определяет unlinkability как невозможность для наблюдателя достаточно уверенно установить, связаны ли два объекта интереса между собой.

Какие технологии помогают сохранять анонимность

Для повышения уровня анонимности могут применяться разные технические подходы. Их эффективность зависит от конкретной модели угроз и от того, кто является наблюдателем.

• анонимные или распределенные сетевые архитектуры;
• прокси и промежуточные узлы;
• системы маршрутизации с несколькими уровнями посредников;
• шифрование сетевого трафика;
• временные или изменяемые идентификаторы;
• минимизация собираемых персональных данных;
• разделение идентификаторов между разными сервисами.

Однако ни одна отдельная технология не делает пользователя автоматически анонимным. Например, шифрование может скрывать содержание коммуникации, но не обязательно скрывает сам факт соединения или все метаданные. RFC 6973 рекомендует учитывать приватность уже на этапе проектирования интернет-протоколов, включая минимизацию данных и анализ возможностей идентификации и корреляции.

Анонимность и VPN

VPN может скрывать исходный IP-адрес пользователя от части внешних наблюдателей, поскольку сетевое соединение проходит через VPN-сервер. Но это не означает автоматической полной анонимности.

VPN-провайдер становится дополнительной стороной, через которую проходит трафик, а сайты могут использовать cookies, учетные записи и другие методы связывания активности. Поэтому VPN является инструментом повышения приватности в определенных сценариях, но сам по себе не решает все задачи анонимности.

IETF в документах по вопросам приватности также рассматривает скрытие сетевых идентификаторов как одну из составляющих защиты, а не как универсальное решение проблемы идентификации.

Анонимность в браузере

Браузер передает сайтам значительно больше информации, чем только IP-адрес. В зависимости от архитектуры сервиса могут использоваться cookies, параметры HTTP-запросов, характеристики устройства и другие признаки.

Особенно важной становится проблема fingerprinting — формирования условного отпечатка браузера или устройства на основе набора технических характеристик. Если комбинация признаков достаточно уникальна, она может использоваться для связывания различных посещений.

Поэтому защита анонимности в браузере требует учитывать не только сетевой адрес, но и возможность корреляции различных характеристик пользователя.

Минимизация данных как способ защиты анонимности

Один из фундаментальных подходов к защите приватности — data minimization, то есть сбор только тех данных, которые действительно необходимы для работы системы.

Если сервису не требуется настоящее имя пользователя, его отсутствие уменьшает количество информации, которую можно связать с конкретным человеком. Если постоянный идентификатор также не нужен, его использование может создавать ненужные возможности для корреляции.

RFC 6973 указывает, что минимизация данных может снижать риски наблюдения, компрометации хранимой информации, корреляции, идентификации, вторичного использования данных и их раскрытия.

От чего зависит уровень анонимности

Анонимность нельзя рассматривать как простую характеристику «есть» или «нет». Она зависит от конкретного сценария, системы и наблюдателя.

На уровень анонимности влияют:

• количество потенциальных пользователей, среди которых можно скрыться;
• объем доступных наблюдателю данных;
• уникальность характеристик пользователя;
• продолжительность хранения данных;
• наличие постоянных идентификаторов;
• возможность сопоставления данных из разных источников;
• архитектура используемого сервиса.

Именно поэтому корректнее говорить не об абсолютной анонимности, а о степени защищенности от конкретного типа идентификации со стороны конкретного наблюдателя. RFC 6973 прямо рассматривает анонимность как зависящую от состава anonymity set и знаний наблюдателя.

Выводы

Анонимность — это возможность совершать действия или присутствовать в информационной системе без достаточной информации для надежной связи активности с известной личностью. Она отличается от конфиденциальности, которая в первую очередь связана с защитой информации от несанкционированного раскрытия.

Анонимность также не следует путать с псевдонимностью. Псевдоним скрывает настоящее имя, но постоянный псевдоним может позволять связывать действия одного пользователя между собой. Для повышения приватности важны не только шифрование и сокрытие IP-адреса, но и минимизация данных, ограничение постоянных идентификаторов и защита от корреляции.

На практике абсолютная анонимность встречается редко. Уровень анонимности всегда зависит от конкретной системы, набора доступной информации и возможностей наблюдателя. Поэтому при проектировании защищенных сервисов необходимо рассматривать анонимность как совокупность архитектурных и организационных мер, а не как одну отдельную технологию.

FAQ

Что такое анонимность простыми словами?

Анонимность — это состояние, при котором действия пользователя невозможно надежно связать с его известной реальной личностью.

Чем анонимность отличается от конфиденциальности?

Конфиденциальность защищает информацию от раскрытия посторонним, а анонимность затрудняет установление того, кому именно принадлежит определенная активность или данные.

Анонимность и псевдонимность — это одно и то же?

Нет. Псевдонимность предполагает использование имени или идентификатора, отличного от настоящего имени. Постоянный псевдоним может позволять связывать несколько действий одного пользователя.

Что такое anonymity set?

Anonymity set — это множество субъектов, среди которых конкретного пользователя невозможно надежно отличить с точки зрения определенного наблюдателя.

Делает ли VPN пользователя полностью анонимным?

Нет. VPN может скрывать исходный IP-адрес от некоторых наблюдателей, но не устраняет cookies, учетные записи, отпечатки браузера и другие возможности связывания активности.

Скрывает ли шифрование личность пользователя?

Не обязательно. Шифрование защищает содержимое коммуникации, но различные метаданные и сетевые характеристики могут оставаться доступными наблюдателю.

Что такое анонимизация данных?

Анонимизация — это процесс устранения связи между набором данных и субъектом, которому эти данные принадлежат.

Чем анонимизация отличается от псевдонимизации?

При псевдонимизации идентификаторы заменяются псевдонимами, но связь с исходным субъектом в определенных условиях может сохраняться или восстанавливаться. При анонимизации стремятся устранить такую связь.

Что такое unlinkability?

Unlinkability означает невозможность надежно определить, относятся ли два события, действия или набора данных к одному субъекту.

Можно ли добиться абсолютной анонимности в интернете?

Гарантировать абсолютную анонимность в общем случае крайне сложно. Ее уровень зависит от архитектуры сервиса, доступных наблюдателю данных, используемых идентификаторов и возможности сопоставлять информацию из разных источников.

Дополнительная информация:

• NIST — определение анонимности: NIST CSRC: Anonymity
• NIST — определение анонимизации: NIST CSRC: Anonymization
• NIST — определение псевдонимизации: NIST CSRC: Pseudonymization
• IETF — вопросы приватности интернет-протоколов: RFC 6973: Privacy Considerations for Internet Protocols
• IETF — рекомендации по вопросам анонимности и псевдонимности: RFC 9620: Guidelines for Human Rights Protocol and Architecture Considerations
• NIST — актуальные рекомендации по цифровой идентичности: NIST SP 800-63-4