在無國界記者 (RSF) 進行的訪談中，科技專家 Benjamin Finn 警告記者後設資料造成的威脅，並詳細說明記者可用於保護自己及其消息來源的工具。
無國界記者 (RSF)：什麼是「後設資料」？
Benjamin Finn (BF)：以最嚴格的定義來說，後設資料是說明資料的資料。不同平台在運作時有不同的後設資料需求，包含日期、時間、檔案名稱、設定、位置、電子郵件標頭、收件者、伺服器名稱與軟體等資訊。後設資料也可能包含使用者點擊項目、頁面停留時間、購買內容，以及使用者所展現的任何可追蹤習慣或興趣。使用者在電腦上所進行的每項動作都有對應的後設資料，包含個人電腦檔案、文件、社群媒體與所有網路搜尋。使用設定檔與追蹤器 (又稱為 Cookie) 即可跨平台結合這些資料，以深入瞭解某人的身份甚至預測其線上行為。
RSF：後設資料可如何用於進行監視？
BF：政府當局或許無法存取所有加密對話的內容，但可透過後設資料瞭解對話者的身份。例如，透過網際網路服務提供者 (ISP)，政府當局可存取記者所聯繫對象、其聯絡人的地理位置與移動情況、所使用應用程式類型和傳送檔案大小等相關資訊，不論有無加密。雖然訊息的內容本身無法存取，後設資料仍可透露能用於不利寄件人與收件人的重要資訊。Google 或 Facebook 等公司支付天價取得後設資料，並鼓勵應用程式與網際網路服務提供者 (ISP) 收集其使用者的資料。公司對個別使用者的言行不感興趣，但能夠從數百萬名使用者身上取得明確的統計資料、瞭解其習慣、時間安排與興趣，這有利於公司的發展、銷售與行銷。
RSF：中國的大眾監控系統是否利用了後設資料？
BF：中國政府所擁有的大眾監控系統稱為「天網」，可透過網路、監視器與其他數位科技監控其人民。其內部系統於開發時所用的資料 – 當然也包含後設資料 – 收集自微信，這款多功能即時通訊、社群媒體與行動支付應用程式廣為中國民眾與華僑使用。這項技術讓中國政府得以透過多種方式追蹤使用者，有時甚至可於其離境後繼續追蹤。其中加入的人工智能 (AI) 功能 (主要使用來自社群媒體活動與瀏覽歷史紀錄的後設資料) 讓當局可「預測」被視為問題人士者的行為。
RSF：後設資料是否可以加密？
BF：不行。一般而言，後設資料無法加密，因應用程式或網站通常需要後設資料才能正常運作。後設資料加密技術仍在開發中，許多應用程式並未提供這項功能。虛擬私人網路 (VPN) 可封鎖 IP 位址 (唯一的裝置識別碼) 等特定後設資料，使應用程式無法加以存取。此外，後設資料加密幾乎沒有可商業應用的實例存在。
RSF：是否有法律可保護科技使用者不受後設資料的濫用所害？
BF：沒有。我們難以得知規範使用者後設資料的法律為何，因使用者無法控制其後設資料的位置。少數存在的後設資料保護法或是缺乏效力，或其規定可輕易繞過。澳洲於 2016 年通過《後設資料保留法》，規定網際網路服務提供者最多需保留使用者的後設資料兩年時間，使各類執法機關無需搜查令即可加以查看。此後，其危險性得到證實，該法曾用於在記者不知情的情況下鎖定其消息來源。類似的後設資料法因違反歐盟的《基本權利憲章》而遭其駁回。
RSF：記者如何保護自己及其消息來源？
BF：由於網際網路服務提供者可存取大量資訊，因此對抗隱私問題並非易事。雖無法徹底消除他人透過後設資料追蹤的風險，但您可採取下列措施提升網路上的隱私程度。
- 隨時使用虛擬私人網路 – 良好的虛擬私人網路可遮蔽 IP 位址等後設資料。
- 安裝 Privacy Badger 等可減少社群媒體使用追蹤系統的應用程式，並使用社群媒體專用裝置；但絕不可將其用於需確保安全性的討論對話。
- 使用強調安全性的瀏覽器，如 Brave 或 Tor；如有可能，使用整套 Tor 系統而非單獨使用其瀏覽器。
- 使用強調安全性的應用程式進行通訊，如 Signal。
- 使用 ProtonMail 等加密電子郵件，並要求消息來源採取相同措施；只有在用於和其他 ProtonMail 帳號通信時，此電子郵件服務才可有效提供防護。
- 使用拋棄式手機；未使用時，保持關機並將電池取下。務必使用與日常用手機不同的網際網路服務提供者及專用 SIM 卡。
- 使用實體途徑交換大型檔案，避免直接與消息來源碰面，例如使用郵政信箱；若不得不與消息來源碰面，請勿攜帶任何裝置。
作者 Benjamin Finn 來自美國休斯頓，在 IT 領域已有十年資歷。這段期間他的工作主要為替大型企業部署內部資安工具。過去兩年來，他在緬甸研究如何於專制民族國家維持合適的資安水準。近幾個月他持續和台灣的多個團體合作，為其進行確切落實資安和安全措施的訓練。
