Як Apple збирається сканувати користувацький контент і зберігати ілюзію приватності?

Як Apple збирається сканувати користувацький контент і зберігати ілюзію приватності?

Експерт в ІТ-сфері, співзасновник «Українського кіберальянса» Андрій Баранович (Шон Таунсенд) розповів, як Apple стежитиме за даними користувачів на їх гаджетах.

Яблосрач між тим не вщухає, і можна до нього повернутися ще разок. Як ви пам’ятаєте, Apple збирається шукати CSAM (матеріали сексуального насильства над дітьми) прямо на пристроях користувачів. Кожна людина має право приховати той факт, що вона стала жертвою злочину (особливо сексуального), і поширення дитячої порнографії призводить до ревіктимізації жертв насильства. Чомусь при слові «діти» багато хто відразу забуває, що поширення та зберігання CP – злочин проти прайвесі, а не проти особи. За розбещення ідуть зовсім інші статті.

У Штатах пошуком цопе займається NCMEC (національний центр з проблем пропаш дітей і дітей, які зазнали експлуатації), це не урядова організація, з якою співпрацюють в тому числі технологічні компанії. Як люб’язно мені підказує пенетенціарна служба США, в рік виноситься близько півтори тисячі вироків, пов’язаних з дитячою порнографією (0.0004% до населення), ~ 10% – отримання цопе, 45% – зберігання, інше – траффікінг. Знайти кількість справжніх педофілів мені на жаль не вдалося. Фейсбук в своєму звіті додає, що в трьох чвертях випадків мова йде про нормальні відносини серед підлітків, про жартівника, про людей, у яких цопе викликає огиду, включаючи і тих, хто скаржиться на цопе. Чверть, що залишилася, теж досить неоднорідна. Проте, кожен випадок відправляється в NCMEC незалежно від намірів або контексту.

Повернемося до Apple. Незважаючи на заяви компанії «все що є у вашому айфоні – залишається у вашому айфоні», Apple не вважає «чутливою» інформацією: бекапи, контакти, «find my device», iCloud-диск, повідомлення, замітки без паролів, фотографії, голосові замітки і пошту. Під тиском ФБР Apple відмовилися від наскрізного шифрування в iCloud і послабила механізми приватності для користувачів в Росії і Китаї. Так само вони брали участь в секретній програмі АНБ PRISM. Тому я користуюся паролями замість біометрії і відразу відключаю iCloud. В iCloud і в Фейсбуці сканування контенту вже працює і вже відправляється в NCMEC, але тепер вони перенесли перевірку на пристрої користувачів, і єдина причина цього – подивитися, що відбувається з того кінця, при шифруванні «від краю до краю» (E2E). Свою хмару вони вже сканують.

Як точно сформулювала Сара Льюїс, будь-яке шифрування замислювалося як наскрізне, від мене до вас, а не від мене до вас і співробітникам Apple, NCMEC, ФБР і АНБ. Навіть сама можливість стеження змушує людей змінювати свою поведінку (добре вивчений chilling effect). Я якось сів у потяг на маленькій станції посеред Європи з повністю розрядженим телефоном і тільки тоді відчув себе по-справжньому спокійно, коли ніхто не знає де я, хто я, і нікому крім кондуктора до мене немає діла. Оплата готівкою. Дуже яскраве почуття.

Як Apple збирається сканувати призначений для користувача контент і зберігати ілюзію приватності? NCMEC зі своєї бази дитячої порнографії (уявляєте, що буде якщо туди заберуться вимагачі з REvil або ГРУ РФ?) генерує перцептивні хеші. На відміну від криптографічних хеш-функцій вони спеціально зроблені так, щоб виходили колізії, коли у двох картинок однаковий хеш (свого роду «відбиток картинки») Схожі картинки повинні бути схожі. Щоб користувач не впізнав який з хешів збігся з його фотоальбомом, база поширюється у вигляді фільтра Блума. «Програмісти люблять такі структури, не знаючи де їх застосувати, все інше – брехливо-позитивне спрацьовування» (с) М. Грін

Повністю протокол порівняння називається ftPSI-AD – нечіткий пороговий алгоритм по секретному пошуку перетину множин з асоційованими даними. PSI дозволяє визначити чи входить елемент (и) у множину, не розкриваючи її. Так як перцептивні хеші свідомо дають помилкові спрацьовування, то одного збігу недостатньо (потрібен поріг). А щоб сервер не впізнав, що у вас є п’ять збігів з десяти необхідних, протокол нечіткий. До справжніх спрацьовувань додаються завідомо неправдиві («синтетичні») спрацьовування, щоб у всіх користувачів поріг бовтався біля порога, і не можна було виявити «напівпедофілов». Далі в хід йдуть еліптичні криві, поділ секрету Шаміра, і шматок хитрожопої лінійної алгебри, який або видасть всі значення при досягненні порогу, і можна буде відновити ключ, яким зашифровані «асоційовані дані», або не видасть нічого. До речі, дещо сервер дізнатися може. Якщо на сервері є десять «ваучерів» і надходить 11-й, але при цьому дані як і раніше не розшифровані, то як мінімум два з 11 збігів – синтетичні (за подальшими подробицями до Льюїс «A Closer Look at Fuzzy Threshold PSI (ftPSI- AD)».

Як зазначає Крістофер Парсонс («The Problems and Complications of Apple Monitoring for CSAM in iCloud Photos») про деякі проблеми не думав ніхто. Наприклад у жертви насильства можуть бути дуже характерні прикмети (шрами, родимки ітд) і система цілком може їх впізнати, якщо хтось зробить їх звичайне фото, після чого і фотографа і потерпілого чекає захоплююча пригода. При цьому систему роблять якраз для того, щоб подібній ситуації запобігти. Повністю виключити помилкові спрацьовування теж не можна (Льюїс «Obfuscated Apples»), а здоровий глузд (і суб’єктивну сторону злочину) законодавці втратили вже дуже давно.

Поки система планується до запуску тільки в США. Я думаю, що кожен поважаючий себе авторитарний режим захоче приєднається до захисту дітей і сформує відповідні агентства, які дадуть неперевіряємі хеші від інших шкідливих матеріалів – звичайної порнографії, карикатур на пророка, послання з Тибету, заклики до громадянської непокори, заборонені книги та іншу шкідливу з точки зору держав діяльність. Так що перш ніж влаштовувати черговий хрестовий похід проти педофілів, непогано б повернутися до звичного порядку речей, на початку комусь має бути заподіяно шкоду, а потім вже суспільство не шкодуючи живота свого шукає і карає злочинців. Victimless crime – це нонсенс.

P.S. Один з важливих моментів, про який я забув розповісти. Apple не розглядає свій протокол, з точки зору протистояння (adversarial). Тобто вони вважають, що люди які вже порушують закон по тяжкими статтями будуть як ні в чому не бувало з ними співпрацювати, не намагатимуться обійти систему (вказавши іншу країну), відключити її через джелбрейк, влаштувати DoS-атаку або спровокувати помилкове спрацьовування ( такий собі кібер-сваттінг).

Content Protection by DMCA.com