Oura, kullanıcı verileri için hükümet talepleri aldığını açıkladı

 (this.weekinsecurity.com)
1 puan yazan GN⁺ 4 시간 전 | 1 yorum | WhatsApp'ta paylaş
  • Oura ring, kalp atış hızı, uyku, adet döngüsü ve konum gibi hassas sağlık verilerini topluyor; verilerin sunucuda tutulma yapısı ise dış erişim ihtimalini belirliyor
  • Oura verileri uçtan uca şifrelenmiş değil ve bazı çalışanların erişebileceği şekilde saklanıyor; bu da mahkeme kararı, ele geçirilmiş anahtarlar ve içeriden gelen risklere maruz kalabileceği anlamına geliyor
  • Oura, hükümet taleplerinin nadir olduğunu ve bunları yasallık, kapsam ve gereklilik açısından incelediğini söylüyor; ancak talep sayısını ve veri paylaşım sıklığını açıklamıyor
  • 2013’teki NSA gözetim skandalı sonrasında birçok teknoloji şirketi altı aylık şeffaflık raporları yayımlamaya başlamıştı; ancak Oura, 8 ay geçmesine rağmen kamuya açık bir taahhüt sunmuş değil
  • Bugüne kadar 5,5 milyondan fazla satan Oura’nın müşteri güvenini koruması için hükümet veri taleplerine ilişkin toplu istatistikleri açıklaması gerekiyor

Oura verileri ve erişim yapısı

  • Oura ring, parmağa takılan bir sağlık izleme giyilebilir cihazı olarak kalp atış hızı, uyku düzeni, adet döngüsü ve konum gibi hassas sağlık verilerini topluyor
  • Kullanıcı verileri Oura sunucularında saklanıyor ve ürün ile sunucu tasarımının şekli, hükümetlerin ya da bilgisayar korsanlarının erişim ihtimalini etkiliyor
  • Oura, Department of Defense ve Palantir ile sözleşme yaptıktan sonra sosyal medyada tartışmaların odağı oldu; bazı müşteriler verilerinin Trump yönetimine aktarılabileceğinden endişe duydu
  • Oura şu anda başlıca sağlık teknolojisi giyilebilir üreticilerinden biri ve halka arz öncesinde 11 milyar doların üzerinde bir değerlemeye ulaştı
  • Oura, planlanan halka arz için gizli taslak kayıt beyanı sunduğunu duyurduğu için, kullanıcı verilerine erişim kontrolleri konusundaki sorumluluğu da daha büyük hale geliyor

Uçtan uca şifreleme yok

  • Oura verileri uçtan uca şifreli (end-to-end encryption) değil
  • Kullanıcının sağlık verileri, ring’den telefon uygulamasına, oradan internet üzerinden Oura sunucularına ulaşana kadar sürecin belirli noktalarında çözülebiliyor
  • Oura, kullanıcı verilerini bazı çalışanların erişebileceği bir biçimde sakladığını doğruluyor
  • Bu yapıda, mahkeme kararı bulunan savcılar, ele geçirilmiş anahtarlara sahip bilgisayar korsanları veya kötü niyetli şirket içi kişiler de verilere erişme ihtimali taşıyor
  • Oura, bu olasılıklar arasında hükümet taleplerinin fiilen var olduğunu da kabul ediyor

Oura’nın kabul ettiği hükümet veri talepleri

  • Oura, hükümetlerden seyrek talepler (infrequent requests) aldığını belirtiyor
  • Her talep “yasallık, kapsam ve gereklilik” ölçütlerine göre inceleniyor
  • Oura, talep geçerli değilse, aşırı geniş kapsamlıysa veya üyelerin gizliliğine ilişkin taahhütlerle çelişiyorsa buna itiraz ettiğini söylüyor
  • Ancak taleplerin sayısını, kullanıcı verilerinin ne sıklıkla paylaşıldığını ve hangi veri türlerinin istendiğini açıklamıyor
  • Oura, son haberdeki tarih itibarıyla toplam 5,5 milyondan fazla ring sattığını belirtiyor; bu da müşteri tabanının büyük olduğunu gösteriyor

Şeffaflık raporları ve açıklamadaki gecikme

  • Birçok teknoloji şirketi, 2013’teki NSA gözetim skandalı sonrasında hükümet taleplerinin sayısını altı aylık dönemler halinde derleyip yayımlamaya başladı
  • Bu açıklamalar, şirketlerin hükümet talebi geldiğinde kullanıcı verilerini gizlice topluca teslim ettiği yönündeki şüphelere karşı geliştirilmiş bir yöntemdi
  • Oura daha önce şeffaflık raporu yayımlamamış olsa da, “güvenliği koruyup üyeler için risk yaratmadan toplu verileri paylaşmanın yollarını aktif olarak değerlendirdiğini” söylemişti
  • Aradan 8 ay geçmiş olmasına rağmen, şeffaflık raporu yayımlanıp yayımlanmayacağına veya talep sayılarını açıklayacağına dair bir taahhüt gelmedi
  • Yakın zamandaki yeniden yöneltilen sorulara ve birçok takip e-postasına da Oura yanıt vermedi

Müşteri güveni için açıklama gerekli

  • Talep rakamları olmadan, Oura’nın hükümetin veri taleplerini ne kadar sık reddettiğini veya gerçekten hiç reddedip reddetmediğini bilmek zor
  • Hassas sağlık verilerinin sunucularda saklandığı ve bazı çalışanların erişebildiği bir yapıda, hükümet taleplerine ilişkin istatistiklerin açıklanması müşteri güveniyle doğrudan bağlantılı
  • Oura’nın müşteri güvenini kazanması veya koruması için diğer teknoloji şirketleri gibi hükümet veri taleplerine ilişkin toplu istatistikleri yayımlaması gerekiyor

İlgili okumalar

1 yorum

 
GN⁺ 4 시간 전
Hacker News yorumları

  • Illinois'te güçlü bir biyometrik bilgi gizliliği yasası var
    Oura'nın örneğin Teksas'taki bir polis departmanının Illinois sakinlerinin korunan verilerini sorgulayamamasını sağlama konusunda özellikle dikkatli davrandığı pek düşünülmüyor
    https://en.wikipedia.org/wiki/Biometric_Information_Privacy_...

    • Böyle bir hükmü görmezden gelmenin ciddi sonuçlar doğurma ihtimali fiilen sıfırsa, dikkatli olmak için pek sebep yok gibi

  • “Önceki blog yazısında Oura verilerinin uçtan uca şifrelenmediğini belirtmişti. Yani Oura kullanıcılarının sağlık verileri, yüzükten telefon uygulamasına, oradan internet üzerinden Oura sunucularına giderken belirli noktalarda çözülebilir”
    Oldukça tuhaf. Uçtan uca şifreleme ile aktarım sırasında şifrelemeyi karıştırıyor gibi görünüyor

    • Benim anladığım kadarıyla uçtan uca şifreleme, aktarım sırasında şifrelemeyi de kapsar
      Mesaj kaynakta şifrelenir ve yalnızca hedefte çözülür; bu yüzden aradaki her noktada şifreli durumdadır
    • Bana karışıklık gibi gelmiyor. Yazar verinin uçtan uca şifrelenmediğini açıkça söylüyor
      Aktarım sırasında şifreleniyor gibi duyuluyor; son yaklaşık 20 yıldır bu zaten varsayılan ayara yakın. “Yolda belirli bir noktada çözülüyor” açıklaması, teknik olmayan okurlara iki yaklaşım arasındaki gerçek farkı anlatmak için gayet makul
    • Sanki depolama sırasında da şifrelenmiyor gibi geliyor
      Belki her iletim ayağını ayrı bir uçtan uca IP alışverişi olarak değerlendiriyordur
    • Bu da uçtan uca şifreleme ile depolama sırasında şifrelemeyi karıştırmak oluyor
    • O kadar da tuhaf değil; E2EE terimi o kadar fazla kullanıldı ki herkes farklı yorumluyor. Bazı durumlarda beklentiler de gerçekçi olmuyor
      Sunucuyu aracı olarak kullanan mesajlaşma uygulamalarında E2EE, içeriği yalnızca iki kullanıcının görebildiği ve aracı şirketin sunucularının göremediği anlamına gelir. Oura'da ise kullanıcı ve şirket sunucuları var; birçok kişi de Signal veya WhatsApp sunucuları E2EE nedeniyle veriyi okuyamıyorsa Oura'nın da okuyamadığını varsayıyor. Pazarlama da genelde bu yanlış anlamaya izin veriyor ya da bunu teşvik ediyor
      Ancak Oura E2EE iddia ediyorsa, kullanıcı ile hizmet arasındaki arayüzde, yani yüzükte ya da en azından uygulamada şifrelemeyi zorunlu kılması ve verinin yalnızca karşı uç olan Oura sunucularında çözülmesi gerekir. Bu iki uç nokta arasında herhangi bir yerde veri çözülüyorsa bu E2EE değildir

  • Ayda 6 dolar ödeyip federal kurumlar tarafından gözetlenen biri gibi hissettiriyor

    • Cep telefonu tarifesi reklamlarına bakınca, çoğu kişi daha fazlasını ödeyip federal kurumlar tarafından gözetleniyor gibi görünüyor
    • Claude ya da Open(Closed)AI'ye ayda 100 dolar ödeyip federal kurumlar tarafından gözetlenmek daha iyi. Bazı durumlarda Max Premium aboneliğiyle ayda 200 dolar bile ödeniyor
      Ama merak etmeyin, tokenları zararına sattıkları için bu veri satışı önemli değilmiş gibi anlatılıyor
      Eğitime katılmayan verilerimin, benim para ödeyip onların benden çekip aldığı bir düzende olması mı gerekiyor acaba

  • Tüm bunlara rağmen mağazadan aldığınız bir akıllı TV'deki otomatik içerik tanıma (ACR) beni daha çok endişelendiriyor
    Kullanıcı farkına bile varmadan TV izlenen her şeyi merkeze gönderiyor

    • TV izleme verilerinin gizliliği mi tıbbi verilerden daha kaygı verici? Ciddi bir konuyu tuhaf biçimde raydan çıkarma gibi geliyor
    • Bundan endişe ediyorsanız TV'yi internete bağlamayın, onun yerine Shield TV ya da Apple TV gibi bir TV kutusu kullanın

  • Hükümet benim kalp atış hızı ve kandaki oksijen verilerimle tam olarak ne yapacak ki diye düşünüyorum
    “Bay Smith yine koşmuş, sorguya almak için getirelim!”
    Şunu da ekleyeyim, hükümet veri talep ettiğine göre belli ki bir şeye yarıyor, ama neye yaradığını bilmiyorum

    • Target, 2002 yılında yalnızca tek bir mağazanın sadakat kartı satın alma kayıtlarıyla, ebeveynlerinden önce genç bir kızın hamile olduğunu tahmin etmesiyle kötü ün kazanmıştı
      Teknoloji şirketleri risk sermayedarlarına konuşurken “toplu veriler ve yapay zeka ile her türlü ürkütücü çıkarımı yapıp hedefli reklam gelirini maksimize edebiliriz; bu yüzden aynı sektördeki teknoloji dışı şirketlerden 50 kat daha değerliyiz” diyor
      Ama müşterilere konuşurken “gizlilik konusunda kaygılanmanız ne kadar safça, tek bir izole değişken ne işe yarar ki?” diyorlar
    • Oura'dan kalp atış hızı ve kandaki oksijen verilerini satın al, Eyez'den iris verilerini topla, Borg'dan egzersiz verilerini al, Krump üzerinden satın alma kalıplarını gör, Gwimp üzerinden internette söylediklerinin tamamını bil, FamaTree'den dizilenmiş DNA'yı edin, konum verisini de fiilen var olan neredeyse her uygulamadan takip et
      Bu tek değişkenle ne yapılabilir ki acaba?
    • Kadınsanız, biyometrik sinyaller kullanılarak adet döngünüz ve adetinizin geciktiği zaman anlaşılabilir
    • ABD dışında koştuktan sonra taksi mi çağırdınız? Muhtemelen toplu taşımayı kaçırdınız. Fiyatı artırın; eski Uber'in iPhone pil seviyesine göre yaptığı gibi
      Kötü niyetli davranmak isterseniz olasılıkların sonu yok
      Sağlığınız kötüyse sigorta primini artırabilirler; aklıma gelmeyen daha kötü şeyler de mümkündür
    • Polis birilerini kovalarken o da aynı saatlerde koşuyormuş. Getirin onu

  • Bu yüzden Apple Watch'a bayıldığımı söyleyemem ama başka bir şey de kullanmıyorum
    Sağlık verileri son derece hassas ve bunu emanet edebileceğim tek şirketin Apple olduğunu düşünüyorum. Kusursuz değil ama diğer şirketlerle kıyaslayınca gerçekten rakibi yok

    • Buna iyi bir örnek Apple'ın yeni kendi tasarımı hücresel modemi. Operatöre tam konum bildirmeme seçeneği sunuyor
      Federal kurumların müşteri verilerine erişmesini engellemenin en iyi yolu, o veriyi en başta toplamamaktır
    • Google'ın Health Connect hizmeti de bu verileri paylaşmıyor. Elbette üçüncü taraf uygulamalar için izin istemi gerekiyor
      Hatta bir miktar senkronizasyon desteği vermesini isterdim. Aynı hesaba bağlı iki cihaz arasında bile sağlık bilgilerini taşımak için üçüncü taraf uygulama gerekiyor
      Apple da Oura ile aynı yasalara tabi. Rakipleri de öyle
    • Bunu yeniden düşünmek iyi olabilir
      Apple, harika bir PR ya da propaganda departmanı sayesinde birçok kişiye gizliliğe saygı duyduğuna inandırdı. Gerçekte durum öyle değil. Google'dan “daha iyi” olsa bile çok az daha iyi ve pratikte neredeyse fark yok
      “Apple, Birleşik Krallık hükümeti kullanıcı verilerine erişim talep ettikten sonra Birleşik Krallık müşterilerinden en üst düzey veri güvenliği araçlarını kaldırmak gibi benzeri görülmemiş bir adım atıyor”
      https://www.bbc.com/news/articles/cgj54eq4vejo
      Bu Birleşik Krallık'ta olduysa ABD'de de olması uzun sürmez
      ABD de var: https://www.bbc.com/news/technology-36084244
      Fransa, Almanya, Avustralya, Brezilya ve Japonya da var: https://www.apple.com/legal/transparency/pdf/requests-2024-H...
      Rusya da var: https://www.bloomberg.com/news/articles/2019-02-04/apple-fil...
      Çin de var: https://www.article19.org/resources/apple-cares-about-digita...
      Daha genel içerik de var: https://proton.me/blog/iphone-privacy
    • Kişisel verileri emanet edebileceğim Apple'dan başka yer yok gibi geliyor. Federal kurumlara boyun eğmeme sicili altın değerindeydi, hem de kelimenin tam anlamıyla 24 ayar
    • Apple şu anda epey iyi olabilir. Ama gelecekte de hep öyle kalacağının garantisi yok

  • Şeffaflık raporu yayımlamak mevcut yönetimin kara listesine girmeyi kolaylaştırır gibi görünüyor
    Gerçekten yayımlanırsa şaşırırım

  • İnsanlar ne diye sağlık verisini toplayıp satan bir cihaz satın alır, bir de üstüne abonelik ücreti öder, gerçekten anlamıyorum
    Karşılığında aldıkları şey sayılarla dolu bir uyum panosu sadece

    • Uykusuzluk yaşadığım dönemde uykumu takip etmek için kullanmıştım
      Ama abonelik almaya başlayınca elektronik atığa dönüştü
    • Asıl sebep sosyal medya

  • Oura'yı düşündüm ama sonunda Apple Watch'ı seçtim
    İçim rahat etsin diye bağlı iPhone'da Advanced Data Protection özelliğini açtım. Özellikle aktivite takip cihazlarının tüketici tarafında, ADP'nin uçtan uca şifreleme ve zero-knowledge encryption korumasına yaklaşan bir koruma sunan büyük veri şirketi neredeyse yok

    • Garmin tamamen çevrimdışı kullanılabiliyor değil mi?
      Bildiğim kadarıyla hassas ortamlarda kullanılabilmesi için kablosuz donanımı olmayan saatleri bile var
    • İkisi arasında kalmıştım ama Oura daha iyi uyku takibi ve pil ömrü sayesinde öne çıktı
      Bir yol, Apple Health ile veri senkronizasyonunu açıp belli aralıklarla Oura hesabını silip yeniden oluşturarak eski sağlık verilerini temizlemek olabilir. İyi bir akış değil ama Oura kullanırken Apple Health'in E2EE avantajından yararlanabilirsiniz. Tabii bu, Oura'nın “hesabı ve tüm verileri sil” seçeneğinin söylendiği gibi çalıştığını varsayıyor

  • Bu verinin neden ille de bulutta tutulması gerektiğini anlamıyorum

    • Onların bunu nasıl okuyacağını sanıyorsunuz?