ยี่สิบห้าปีที่แล้ว เหตุการณ์โจมตี 11 กันยายนได้จุดชนวนปฏิกิริยาลูกโซ่ในกฎหมายและนโยบายของสหรัฐฯ ที่นิยามความหมายของการเฝ้าระวังใหม่อย่างเงียบ ๆ ในขณะที่นักวิจัยด้านความปลอดภัย บรูซ ชไนเออร์ และซินดี้ โคห์น จาก EFF ได้โต้แย้งเมื่อไม่นานมานี้ในบทความที่ตีพิมพ์ครั้งแรกใน Lawfare แนวทางของรัฐบาลได้เปลี่ยนจากการเฝ้าระวังแบบเจาะจงเป้าหมาย เช่น การดักฟังรายบุคคลหรือคำสั่ง pen register ที่มุ่งเป้าไปยังผู้ต้องสงสัยเฉพาะราย ไปสู่การเก็บรวบรวมข้อมูลจำนวนมหาศาลที่แตะต้องเกือบทุกคน หนึ่งในสี่ศตวรรษต่อมา การเปลี่ยนแปลงนั้นยังคงกำหนดทิศทางของการสนทนาเกี่ยวกับการเฝ้าระวังมวลชนและ VPN และเหตุใดผู้คนจำนวนมากในปัจจุบันจึงมองว่าการเข้ารหัสและเครื่องมือความเป็นส่วนตัวเป็นสุขอนามัยดิจิทัลขั้นพื้นฐาน มากกว่าที่จะเป็นเรื่องทางเทคนิคเฉพาะกลุ่ม

9/11 เปลี่ยนการเฝ้าระวังแบบเจาะจงเป้าหมายให้กลายเป็นการเก็บรวบรวมข้อมูลมวลชนได้อย่างไร

ก่อนปี 2001 กฎหมายเฝ้าระวังของสหรัฐฯ โดยทั่วไปกำหนดให้นักสืบสวนระบุเป้าหมายเฉพาะและแสดงเหตุผลก่อนที่จะเก็บรวบรวมการสื่อสารของบุคคลนั้น บทความของชไนเออร์และโคห์นติดตามว่าการตอบสนองทางกฎหมายและสถาบันหลังเหตุการณ์ 9/11 ได้ละทิ้งรูปแบบนั้นไปอย่างไร เพื่อสนับสนุนการเก็บรวบรวมข้อมูลแบบจำนวนมาก: เก็บข้อมูลก่อน ในระดับมหาศาล แล้วค่อยแยกแยะความเกี่ยวข้องในภายหลัง นี่ไม่ใช่กฎหมายฉบับเดียวหรือช่วงเวลาเดียว แต่เป็นการปรับทิศทางอย่างค่อยเป็นค่อยไปทั่วทั้งรัฐบาล ที่ปฏิบัติต่อประชากรทั้งหมด ไม่ใช่แค่บุคคลที่ต้องสงสัยว่าเป็นแหล่งข้อมูล

เหตุผลในขณะนั้นคือความเร่งด่วนและการตรวจจับภัยคุกคาม แต่โครงสร้างพื้นฐานที่สร้างขึ้นเพื่อจุดประสงค์นั้นไม่ได้หายไปเมื่อวิกฤตเฉพาะหน้าได้ผ่านพ้นไป กลับกลายเป็นเรื่องปกติ หน่วยงานต่าง ๆ สร้างระบบที่ออกแบบมาเพื่อเก็บรวบรวมก่อนแล้วค่อยกรองทีหลัง และระบบเหล่านั้นยังคงอยู่และขยายตัวมาตลอด 25 ปีที่ผ่านมา ส่วนใหญ่มีอายุยืนยาวกว่าสถานการณ์เฉพาะที่ใช้เป็นเหตุผลในการสร้างมันขึ้นมา

โปรแกรมเฝ้าระวังมวลชนเก็บรวบรวมอะไรจริง ๆ ในปัจจุบัน

ผลในทางปฏิบัติของการเปลี่ยนแปลงนี้คือการสื่อสารและข้อมูลเมตาทั่วไป ซึ่งเป็นบันทึกว่าใครติดต่อใคร เมื่อไหร่ และบ่อยครั้งที่ไหน ถูกกวาดเข้าไปในระบบของรัฐบาลแม้ว่าจะไม่มีบุคคลใดถูกสงสัยว่ากระทำผิด ข้อมูลเมตาเพียงอย่างเดียวสามารถเปิดเผยได้อย่างมหาศาล: รูปแบบความสัมพันธ์ กิจวัตรประจำวัน ความสัมพันธ์ และพฤติกรรม ข้อโต้แย้งหลักของบทความคือหลังจาก 25 ปี เหตุผลในการรักษาระดับการเก็บรวบรวมข้อมูลจำนวนมหาศาลนี้ไว้ไม่สามารถยืนยันได้ โปรแกรมที่สร้างขึ้นในนามของการต่อต้านการก่อการร้ายได้ขยายออกไปไกลเกินขอบเขตเดิม และกลไกความรับผิดชอบที่ควรตรวจสอบพวกมันไม่ทันกับขนาดของการเก็บรวบรวม

นี่คือฉากหลังที่การสนทนาเกี่ยวกับ VPN และการเฝ้าระวังมักเกิดขึ้น ควรทำความเข้าใจให้ชัดเจนตรงนี้: VPN เข้ารหัสและเปลี่ยนเส้นทางการรับส่งข้อมูลอินเทอร์เน็ตของคุณ ซึ่งสามารถปกป้องกิจกรรมการท่องเว็บจากผู้ให้บริการอินเทอร์เน็ตและจากผู้สังเกตการณ์ทั่วไปบนเครือข่าย มันไม่ใช่เครื่องมือที่ออกแบบมาเพื่อเอาชนะโปรแกรมเก็บรวบรวมข้อมูลจำนวนมหาศาลระดับชาติ และไม่มีเครื่องมือความเป็นส่วนตัวใดที่ควรถูกทำการตลาดหรือเข้าใจในลักษณะนั้น แต่นั่นไม่ได้ทำให้เครื่องมือเข้ารหัสไม่เกี่ยวข้อง มันแค่หมายความว่าการเข้าใจว่าพวกมันทำอะไรได้จริงและทำอะไรไม่ได้นั้นสำคัญยิ่งกว่าเดิม

ทำไมการเข้ารหัสและ VPN จึงกลายเป็นส่วนหนึ่งของเรื่องเล่าการต่อต้าน

เมื่อโปรแกรมเฝ้าระวังมวลชนขยายตัวในช่วงสองทศวรรษที่ผ่านมา การเข้ารหัสกลายเป็นหนึ่งในมาตรการตอบโต้ที่จับต้องได้และควบคุมได้ด้วยตัวเองเพียงไม่กี่อย่างที่มีให้กับคนทั่วไป ในขณะที่การปฏิรูปกฎหมายและนิติบัญญัติเคลื่อนไปอย่างเชื่องช้า และบ่อยครั้งไม่เคลื่อนเลย การเข้ารหัสการรับส่งข้อมูลของคุณเองเป็นสิ่งที่คุณทำได้วันนี้ โดยไม่ต้องรอรัฐสภาหรือศาล

นั่นเป็นส่วนสำคัญที่ทำให้ VPN แอปส่งข้อความเข้ารหัส และเบราว์เซอร์ที่ปลอดภัยกลายเป็นสิ่งที่ขาดไม่ได้ในการสนับสนุนความเป็นส่วนตัวตลอด 25 ปีที่ผ่านมา พวกมันไม่ได้แก้ปัญหาทางโครงสร้างที่บทความของชไนเออร์และโคห์นอธิบาย ซึ่งเป็นปัญหาทางกฎหมายและสถาบันที่ต้องอาศัยการแก้ไขทางกฎหมายและสถาบัน แต่พวกมันให้ระดับการควบคุมที่มีความหมายแก่บุคคลเหนือร่องรอยข้อมูลของตนเองในระดับเครือข่าย VPN สามารถป้องกันไม่ให้ ISP ท้องถิ่นบันทึกทุกเว็บไซต์ที่คุณเยี่ยมชม การส่งข้อความเข้ารหัสสามารถป้องกันไม่ให้เนื้อหาของข้อความถูกอ่านได้ระหว่างการส่ง สิ่งเหล่านี้เป็นการปกป้องที่จริงแท้และจับต้องได้ แม้ว่าจะทำงานในชั้นที่แตกต่างจากโปรแกรมเก็บรวบรวมข้อมูลจำนวนมหาศาลที่บทความวิจารณ์

สิ่งที่บุคคลยังควบคุมได้ในยุคของการเฝ้าระวังมวลชน

เมื่อพิจารณาว่าการปฏิรูปกฎหมายเฝ้าระวังมวลชนในวงกว้างเป็นกระบวนการทางการเมืองที่เชื่องช้า จึงควรให้ความสำคัญกับสิ่งที่บุคคลสามารถจัดการได้จริงในชีวิตประจำวัน การลดรอยเท้าดิจิทัลของคุณไม่ใช่เรื่องของการบรรลุการไม่ระบุตัวตนอย่างสมบูรณ์ แต่เป็นเรื่องของการปิดกั้นรูปแบบการเก็บรวบรวมข้อมูลที่ง่ายที่สุดและเป็นไปโดยธรรมชาติที่สุด: การบันทึกของ ISP การท่องเว็บที่ไม่เข้ารหัส และการตรวจสอบตัวตนที่ไม่จำเป็นออนไลน์

พื้นที่หนึ่งที่สิ่งนี้เกิดขึ้นตลอดเวลาคือการยืนยันอายุ ซึ่งกลายเป็นเรื่องปกติในหลายแพลตฟอร์มและมักกำหนดให้ผู้ใช้มอบเอกสารระบุตัวตนหรือข้อมูลชีวมิติเพียงเพื่อเข้าถึงเนื้อหาทั่วไป การทำความเข้าใจว่าการยืนยันอายุออนไลน์ทำงานอย่างไร เป็นจุดเริ่มต้นที่มีประโยชน์ในการมองว่าการตรวจสอบตัวตนและการเก็บรวบรวมข้อมูลตัดกันกับการท่องเว็บในชีวิตประจำวันมากขึ้นเรื่อย ๆ อย่างไร และที่ใดที่คุณยังมีทางเลือกเกี่ยวกับข้อมูลที่คุณแบ่งปันและกับใคร

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

การโต้เถียงเกี่ยวกับการเฝ้าระวังมวลชนนั้นท้ายที่สุดเป็นคำถามเชิงนโยบายและกฎหมาย ซึ่งต้องอาศัยการกำกับดูแลทางนิติบัญญัติและแรงกดดันจากสาธารณชนในการแก้ไข ไม่มีเครื่องมือใดของบุคคล ไม่ว่าจะเป็น VPN หรืออื่น ๆ ที่สามารถทดแทนความรับผิดชอบเชิงโครงสร้างแบบนั้นได้ แต่นั่นไม่ได้หมายความว่าคุณไร้อำนาจในระหว่างนี้ การใช้เครื่องมือเข้ารหัส การเลือกอย่างรอบคอบว่าข้อมูลระบุตัวตนใดที่คุณแบ่งปันกับแพลตฟอร์ม และการเข้าใจความแตกต่างระหว่างสิ่งที่ VPN ปกป้องได้และสิ่งที่มันปกป้องไม่ได้ ล้วนเป็นขั้นตอนปฏิบัติที่ลดการเปิดเผยที่ไม่จำเป็น เป้าหมายไม่ใช่การไม่ระบุตัวตนอย่างสมบูรณ์ แต่คือการลดปริมาณการเก็บรวบรวมข้อมูลที่เป็นไปโดยธรรมชาติและใช้ความพยายามต่ำที่เกิดขึ้นเพียงเพราะคุณไม่ได้คิดจะป้องกันมัน

ประเด็นสำคัญ

25 ปีหลังจาก 9/11 ได้เปลี่ยนโฉมกฎหมายเฝ้าระวัง การเก็บรวบรวมข้อมูลมวลชนยังคงเป็นการโต้เถียงเชิงนโยบายที่มีชีวิต ไม่ใช่เรื่องที่ยุติแล้ว การเฝ้าระวังมวลชนและ VPN มักถูกพูดถึงร่วมกัน แต่สิ่งสำคัญคือการเข้าใจขอบเขตที่แท้จริงและจำกัดของ VPN: มันปกป้องการรับส่งข้อมูลของคุณจากผู้สังเกตการณ์ท้องถิ่นและ ISP ไม่ใช่จากโปรแกรมเก็บรวบรวมข้อมูลจำนวนมหาศาลระดับชาติ การลดรอยเท้าข้อมูลของคุณเอง ไม่ว่าจะผ่านการท่องเว็บแบบเข้ารหัสหรือการคิดอย่างรอบคอบเกี่ยวกับคำขอยืนยันตัวตน ยังคงเป็นหนึ่งในไม่กี่คันโยกที่บุคคลสามารถดึงได้โดยตรง การติดตามข้อมูลว่า�าระบบเหล่านี้ทำงานอย่างไรและข้อจำกัดที่แท้จริงอยู่ที่ใด คือรูปแบบการปกป้องความเป็นส่วนตัวที่ปฏิบัติได้จริงที่สุดที่มีอยู่ในขณะนี้