Kullanıcı verilerine sahip değilseniz sızıntı da yapamazsınız

 (seancoates.com)
2 puan yazan GN⁺ 2024-03-29 | 1 yorum | WhatsApp'ta paylaş
  • Matter, olumlu anıları ve duygu değerlendirmelerini kaydedip daha sonra hatırlamaya yardımcı olan bir iPhone uygulaması geliştirirken, hassas fotoğrafları ve duygu verilerini şirketin göremeyeceği gizlilik öncelikli bir tasarımı temel aldı
  • Tasarımın merkezinde, kullanıcı güveni, hata ve bug’lardan korunma, ayrıca gelecekte şirketin baskı görmesi veya satın alınması gibi durumları da hesaba katan bir tehdit modeli vardı
  • Özel duygu değerlendirmeleri, anı açıklamaları ve ekli fotoğraflar Matter sunucularında değil, iPhone’un Core Data sisteminde ve kullanıcının iCloud özel veritabanında saklanıyor; şirketin bunlara Apple araçlarıyla bile erişemeyeceği şekilde yapılandırılmış durumda
  • Şirketin aldığı veriler, Matter Score gibi girdilere geri dönüştürülemeyen bazı sonuçlar ve anonim kullanım olayı metrikleriyle sınırlı; hesaplar da e-posta ve parola olmadan numaralandırılmış hesaplar olarak ele alınıyor
  • Veri sızıntısı ihtimali azalıyor, ancak şirket kullanıcıyı tanımlayamadığı ve verileri elinde tutmadığı için kaybolan verileri geri getiremiyor; kullanıcıların yedekleme/geri yükleme özelliklerini kullanması gerekiyor

Matter’in çıkış noktası ve gizlilik kararı

  • 1 Ekim 2024 itibarıyla Sean Coates, Matter’deki VP of Technology görevinden ayrıldı; bu tarihten sonra uygulamanın gizlilik yönlerine artık kişisel olarak garanti veremiyor
  • Matter, başlangıçta Faculty’nin bir müşterisi olarak yola çıktı; daha sonra ajans-müşteri ilişkisi startup ilişkisine dönüştü ve Coates de VP of Technology rolünü üstlendi
  • Ürün fikri, kullanıcıların olumlu deneyimlere dair anılarını kaydedip daha sonra hatırlayarak mutluluk hissini artırabilmesi yönünde şekillendi
    • Kullanıcılar olumlu deneyimlerin fotoğraflarını saklayabiliyor ve o anda ne hissettiklerini değerlendirip bunu daha sonra yeniden hatırlayabiliyor
    • Coates başlangıçta wellness tarzı iddialara kuşkuyla yaklaşsa da, olumlu deneyimleri hatırlamanın ilgili nörotransmiterlerin üretilip salınmasına yol açarak mutluluğu artırabileceğine dair teknoloji ve bilim tarafından ikna oldu

“Neden böyle verileri şirkete gönderelim?” sorusu

  • Belirleyici soru, kullanıcıların özel fotoğrafları ve sexual desire gibi hassas duygu değerlendirmelerini neden Matter’a göndermesi gerektiğiydi
  • Bu soru, Matter’ın özel kullanıcı içeriğini nasıl işleyeceğini ve tehdit modellemesini ürünün erken aşamasında belirlemesine yol açtı
  • Gizlilik, sonradan eklenecek bir özellik değil, ürün tasarımını yönlendiren temel bir değer haline geldi
    • Kullanıcı verilerini önce şirket içinde görünür kılıp ardından gizlilik ekleme yaklaşımının hataya açık ya da imkânsız olabileceği düşünüldü

Üç ilke ve uç senaryolar

  • Matter, kullanıcı verisi işleme ilkelerini üç başlıkta topladı
    • Kullanıcının şirketin veri işleme biçimine güvenebilmesi için güven oluşturulmalı
    • Çalışanların zayıf parolaları ya da kod hataları olsa bile kullanıcı verileri sızmamalı
    • Yalnızca mevcut ekibin iyi niyetine güvenilmemeli; gelecekte şirketi kontrol eden bir güç ortaya çıkması veya güvenilmez bir alıcı tarafından satın alınması gibi durumlara da dayanıklı olunmalı
  • Altyapı düzeyinde de uç sorular değerlendirildi
    • Kendi veri merkezini kurup kurmama konusu tartışıldı, ancak fiziksel katmanı daha büyük hosting sağlayıcıların daha iyi yönetebileceği ve dağ oyup milis tutmaya para harcamak istemedikleri sonucuna varıldı
    • Kötü niyetli bir devlet gücünün belirli bir kullanıcının verilerini isteyip aile üyelerini kaçırdığı bir durum bile varsayıldı; böyle bir durumda bile teslim edilecek veri olmaması hedeflendi
  • Nihai tercih, kullanıcıların özel verilerini hiç elde tutmamaktı

Matter’ın verileri fiilen ele alış biçimi

  • Bir kullanıcı Matter’da pride gibi bir duyguyu yüksek puanlasa bile şirket bunu bilemez
    • Metrik sistemi, bu tür kişisel verileri toplamamak üzere bilinçli olarak tasarlanmış durumda
    • İlgili verilere yalnızca kullanıcının cihazında çalışan uygulama erişiyor
  • Matter bir iPhone uygulaması ve veriler telefonun Core Data sisteminde ve kullanıcının iCloud hesabındaki özel veritabanında saklanıyor
    • Şirket geliştirici kimlik bilgileriyle çalışan uygulama kodu, cihaz içinde verileri okuyup yazabiliyor
    • Veriler Matter’a gönderilmiyor ve şirket bunlara Apple araçları üzerinden de erişemiyor
  • Şirketin aldığı veriler, bazı girdilerin sonuçları olsa da özgün girdilere geri çevrilemeyecek biçimde geliyor
    • Örneğin yalnızca 600 sonucunu biliyorsanız, girdinin 1 × 600, 100 × 6, 30 × 20 ya da 12 × 50 hangisi olduğunu bilemezsiniz
    • Matter Score bilinebilir, ancak o puanı hangi girdilerin oluşturduğu, anının nasıl tanımlandığı ya da fotoğrafta ne olduğu bilinemez
    • Şirketin bildiği şey, belirli bir numaralandırılmış hesapta bir anı bulunduğu ve skorun 600 olduğundan ibaret
  • Matter şu anda uygulama kullanıcı hesaplarını e-posta adreslerine bağlamıyor ve parola da kullanmıyor
    • E-posta adresleri yalnızca mailing list için tutuluyor
    • Mailing list kullanıcıları ile uygulama kullanıcıları arasında zorunlu bir bağlantı yok
    • İleride kullanıcılar isterse kendilerini tanımlamaya izin verilebilir, ancak bu durumda da özel verileri toplamama yaklaşımının korunması planlanıyor

Şifrelenmiş görsel depolama ve bunun kurtarma bedeli

  • Kullanıcılar bir anıya görsel gibi içerikler eklese bile Matter bunları şirketin görebileceği bir şekilde saklamıyor
    • Varsayılan olarak görseller kullanıcının cihazında tutuluyor
    • Cihaz depolama sınırları nedeniyle, cihaz üzerinde şifrelenmiş görseller gibi varlıkları saklayan bir sistem de bulunuyor
    • Gerçek fotoğraf içeriği ve şifre çözme anahtarı Matter’a gönderilmiyor
    • Şirket açısından saklanan veri, fotoğraf değil rastgele gürültü gibi görünen ikili bir şifreli metin
  • Bu tasarım, kurtarma tarafında belirgin bir bedel yaratıyor
    • Kullanıcı verisini kaybederse Matter bunu geri getiremiyor
    • E-posta ile kullanıcıyı tanımlayıp parola sıfırlamak mümkün değil; e-posta adresi ve parola olsa bile şirket veriyi elinde tutmadığı için geri yükleme yapamıyor
  • Uygulamada şu anda yedekleme/geri yükleme özelliği bulunuyor ve veri kaybını önlemek için kullanıcıların bunu kendilerinin kullanması gerekiyor
  • Kullanıcı adına yedek saklarken aynı zamanda kullanıcıyı tanıyabilmek ve veriyi şirketin erişemeyeceği biçimde tutabilmek sorunu hâlâ çözülmesi gereken bir mesele olarak duruyor
  • Matter, gizlilik politikasına bağlı ve Coates için gizlilik uygulamasının denetimi, Matter’de yaptığı çeşitli teknik işler arasında en tatmin edici olanlardan biriydi

İlgili okumalar

1 yorum

 
GN⁺ 2024-03-29
Hacker News yorumları

  • Temel fikre katılıyorum. Saklamazsanız sızdıramazsınız yaklaşımı doğru; hukuk sistemi de bu düşünce tarzını daha çok teşvik edecek şekilde sonuç odaklı olmalı bence.
    Hacklendiğinde “sektör standartlarına göre her şeyi yaptık” demek pek önemli değil; önemli olan benim bilgilerimin ele geçirilmiş olması. Sektörün doğru olduğuna inandığı yöntemi izlemiş olsanız bile sorumluluk almalısınız.

    • “Sızdırılamayacak şekilde bilgiyi saklamayın” iyi bir fikir. En az yetki ilkesine benzer biçimde, sunduğunuz hizmet için yalnızca gerekli olanı tutmalısınız. Hem sağlayıcı hem de tüketici için risk azalır.
      Ancak ABD’de kişisel verinin para ettiğine karar veren şirketlerin sayısı artıyor gibi. Çoğu mağazanın ödül programı yürütüp neyi ne zaman satın aldığınızı toplamasının nedeni de bu.
      Amaç yalnızca tekrar ziyaret etmeyi teşvik etmek olsaydı, 10 yıl önceki gibi damga kartı kullanmak yeterli olurdu. Veriyi nasıl kullandıklarını bilmiyorum ama elde ettikleri değer ödül maliyetinden fazla değilse neden ücretsiz yiyecek ya da indirim gibi teşvikler sunsunlar?
    • Sızıntı sorumluluk sigortası olsun; sızdırılacak bir şey yoksa prim düşük olsun.
      Elbette bu, şirketlerin hatalarının bedelini gerçekten ödediği başka bir dünyayı varsayıyor.
    • Niyete katılıyorum ama bunun pratikte nasıl uygulanabileceğinden emin değilim.
      Hukuk, dürüstçe elinden gelenin en iyisini yapan kişiyi cezalandırmamalı; özellikle de “sektör standardı olsa bile fark etmez” gibi bir şart eklenirse bu daha tehlikeli olur. Kafa karıştırıcı olur, yanlış kişileri cezalandırma ihtimali büyüktür; hatta rakipleri hacklemeye teşvik edip sonra onları hukuki sorumluluğun içine itme yönünde teşvikler bile doğar.
    • Hukukçu değilim ama başka suçlarda bu tür derece farkları zaten var.
      Birini kazara öldürürseniz taksirle öldürme olabilir; kötü niyet ve planla öldürürseniz nitelikli/tasarlanmış cinayet olur.
      Sonuçta bir can kaybedildiyse bir ölçüde yargısal inceleme olmalı. Ama hackleme olaylarında böyle bir süreç pek görünmüyor.
    • Kişisel veri ihlallerinin artmasının temel nedeni, gözetim ve hacklemeyi engelleyen hukuk sisteminde devasa bir açık olması.
      İzin olmadan kişisel veri toplayan casus yazılım geliştirmek ve dağıtmak yasa dışıdır; toplanan veriyi sızdırmasanız bile yasa dışıdır. Ama bunu gösterişli pazarlama, anlaşılması zor onlarca sayfalık şartlar ve “gizlilik” politikalarıyla sararsanız birden yasal hale gelir; hatta veriyi sızdırsanız ya da satsanız bile neredeyse hiç ceza almazsınız.
      Bu yalnızca ABD’de değil, Avrupa’da da böyle. GDPR’den önce de çoğu ülkede kişisel verinin işlenmesi, kullanılması ve saklanmasıyla ilgili yasalar vardı ama uygulanmıyordu. GDPR de uygulama açısından pek daha iyi değil; çok sayıda uyumsuz “rıza” akışı görülüyor ve rıza olmadan veri işlemeye dayalı işler hâlâ gayet iyi yürüyor.

  • Benim bakış açımla da oldukça örtüşüyor.
    Ne var ki bu düşünce, iş arkadaşlarım arasında popülerliğimi artırmadı. Bu sektörün tamamı kişisel olarak tanımlanabilir bilgi toplamaya fazlasıyla batmış durumda ve bu bilgileri çok hafife alıyor. Solitaire uygulamaları bile sürekli liderlik tablosu ve meydan okumalara kayıt olmayı dayatıyor.
    Yeni uygulamada pig butchering dolandırıcılığı gibi görünen kayıtların yaklaşık %30’unu reddediyoruz; insanı epey kendine getiriyor. Kayıtların tamamı elle inceleniyor ve sayının kendisiyle pek ilgilenmiyoruz. Yalnızca ABD, Kanada ve Hindistan’ı hedefliyoruz ve neredeyse hiç tanıtım yapmadık; yine de dolandırıcılar hemen üşüştü.
    Şimdilik yöntemleri kaba saba, ama bu yalnızca belirli bir demografiyi hedeflediğimiz ve taklit etmenin zor olmasından kaynaklanıyor; bunun yakında değişeceğini düşünüyorum. Sonunda kötü insanların içeri gireceğini kabul ettik; bu yüzden içki dolabını yağmalamaya geldiklerinde içinde hiçbir şey olmamasını sağlamak önemli.

  • Başlıktaki iddiaya büyük ölçüde katılıyorum. Devasa veri siloları etrafındaki veri yerleşimi, bütünlüğü ve gizliliği önlemlerine; bunları yöneten ve ölçekleyen altyapı ekiplerine; ve nihayetinde web’e konan “müjde” gibi teknik yazılara bakınca şaşıyorum, çünkü şirket o veriyi hiç toplamasa yeterli.
    “Veri cihazda kalır, biz görmeyiz. En fazla asgari düzeyde konum istatistiği alırız” modelini seviyorum. Ancak metrik sistemlerinin kötüye kullanılmayacağı iddiası konusunda şüpheliyim. Programlanan şey yeniden programlanabilir ya da güncellenebilir; özellikle güncelleme odaklı günümüzde bu daha da geçerli. Kullanıcıların asla izlenmemesine özen gösterdiklerine dair genel açıklama dışında bu konuyu yeterince ele almamışlar gibi; teknik bir yazı varsa görmek isterim.
    Ek olarak Sentinel Devices’ta da endüstriyel makineler için tam olarak bu “veriyi bizde tutmuyoruz” yaklaşımını benimsiyoruz. Air-gap’li otomasyon yapay zeka hattı gibi düşünebilirsiniz. İşe alım yapıyoruz; ilgilenirseniz hello@sentineldevices.com adresinden ulaşabilirsiniz.

  • Bu yüzden B2B SaaS, SSO için kurumsal fiyat etiketi koymayı bırakmalı ve IdP ya da OAuth/OIDC gibi akışları doğrudan zorunlu kılmalı.
    https://vaultvision.com/blog/what-is-oidc
    Kullanıcı deneyimi şu tür “continue with” düğmeleri olur:
    https://id.atlassian.com/login
    https://www.xsplit.com/user/auth
    Böylece kaybedilecek hesap kimlik bilgilerine zaten sahip olmazsınız. Kişisel veri, kişisel olarak tanımlanabilir bilgi vb. risk borcudur.

    • O zaman meta verilerle kişiselleştirilmiş reklamdan milyarlarca doları nasıl kazanacaksınız?

  • İlgili bir kavram olarak Datensparsamkeit var: https://martinfowler.com/bliki/Datensparsamkeit.html

  • Maciej Cegłowski’nin Notes From An Emergency [1] yazısında da benzer bir nokta var
    “Zaman içinde büyük ölçekli veri koleksiyonlarını gerçekten güvenli tutmanın mümkün olup olmadığı net değil. Saldırı ile savunma arasındaki asimetri çok büyük olabilir. Büyük ölçekli savunma mümkünse, bunun tek yolu en iyi savunma ekiplerini işe almak için milyonlarca dolar harcamaktır. Üst düzey veri ihlalleri tehdidin gerçek ve sürekli olduğunu gösterdi. Bildiğimiz her bir ihlale karşılık, yıllarca farkına varmayacağımız birkaç sessiz ihlal daha vardır
    Ama savunmada başarılı oldukça risk büyür. Surların arkasında yeterince hazine biriktirirseniz, sonunda o surları aşabilecek birini kendinize çekersiniz. Feodalizm interneti daha kırılgan hale getirir ve nihayetinde bir ihlal gerçekleştiğinde bunun felaket olmasını garanti eder”
    [1] https://idlewords.com/talks/notes_from_an_emergency.htm

  • Kullanıcı verilerini tutmama taahhüdünü sözleşmesel cezalarla birlikte vermeye istekli misiniz? Değilseniz bu ciddi değildir
    “Facebook - ücretsizdir ve her zaman öyle kalacaktır” sözünü hatırlamak gerekir

  • Alıntılanan açıklamaya bakınca, kullanıcının girdiği tüm fotoğrafların şifrelenmiş sürümünü sunucuda sakladığı ama anahtarları saklamadığı mı kastediliyor?
    Öyleyse şifrelenmiş kullanıcı verilerini saklamak ille de dünyanın sonu değil, ama neden hiç kullanıcı verisi saklamıyormuş gibi pazarladıklarını anlamıyorum. Gerçekte birçok şirketin yaptığı gibi şifrelenmiş kullanıcı verilerini saklıyorlar; Backblaze de aynı yöntemi kullanıyor. Belki ben yanlış anlamış da olabilirim

    • Bunu, şifrelenmiş verinin sunucuda değil kullanıcının cihazında bulunduğu anlamında okudum

  • Gizlilik politikasına bakınca: https://matter.xyz/privacy
    “Bu Gizlilik Politikasını değiştirirsek burada güncelleyecek ve üstteki yürürlük tarihini yenileyeceğiz. Herkesin e-posta adresini toplamadığımız için değişiklikleri e-postayla gönderemeyiz. Bu politikadaki değişiklikler geriye dönük olarak uygulanmaz.”
    Fiilen istedikleri zaman değiştirebilirler ve kullanıcı muhtemelen fark etmez
    Bunu ihlal ederlerse kullanıcının bunu uygulatma gücü var mı? Avukata altı haneli bir tutar mı ödemesi gerekir? Hangi yasa kapsamındaki hangi zarar için?
    Ayrıca burada geriye dönük uygulanmaz ifadesinin hukuken ne anlama geldiğinden de emin değilim. Şirket verilerimi elinde tutuyorsa ve politikayı değiştirirse, yarından itibaren verilerimi yeni politikaya göre kullanabilir mi? Zaten değişiklikten haberim olmayacağı için pek anlamı yok gerçi

    • Politika değişikliğinin, önceki sürümde ihlal olan ama yeni sürümde ihlal olmayan geçmiş bir eylemi meşrulaştırmak için kullanılamayacağı anlamına gelebilir
      Elbette şirket gizlilik politikalarının hukuken ne kadar uygulanabilir olduğunu tamamen anladığımı söyleyemem
    • Gizliliği aşırı önemseyen bir bakış açısından bu pratikte en iyiye oldukça yakın. E-posta adresine sahip değilseniz gönderemezsiniz; politika değişse bile bu değişiklik mevcut kullanıcılara uygulanmaz
      “Geriye dönük uygulanmaz” demek, güncellenmiş sürümün mevcut veri kullanımına uygulanmayacağı anlamına gelir; dolayısıyla kullanıcı verilerinin yeni politikaya göre kullanılması ihtimalini açıkça dışlar

  • Doğru
    Siber güvenlik alanında çalışıyorum ve mümkün olan her tehdidi azaltmaya çalışmak yerine cevabın çalınacak veriye en baştan sahip olmamak olduğuna her geçen gün daha çok ikna oluyorum
    Buna zero trust ve iki faktörlü kimlik doğrulama/passkey’leri ekleyince, sektörün sevdiği sayısız yılan yağı türü güvenlik çözümünden çok daha büyük etki yaratabilir