Nếu không giữ dữ liệu người dùng, bạn không thể làm rò rỉ dữ liệu đó
(seancoates.com)- Khi xây dựng Matter, một ứng dụng iPhone giúp ghi lại các ký ức tích cực và đánh giá cảm xúc để hồi tưởng sau này, nhóm đã lấy thiết kế ưu tiên quyền riêng tư làm nền tảng, để công ty không thể xem các ảnh nhạy cảm và dữ liệu cảm xúc
- Trọng tâm của thiết kế là mô hình đe dọa xét đến niềm tin của người dùng, khả năng bảo vệ trước sai sót và lỗi, cũng như cả những tình huống trong tương lai khi công ty bị gây sức ép hoặc bị thâu tóm
- Các đánh giá cảm xúc riêng tư, mô tả ký ức và ảnh đính kèm được lưu trong Core Data trên iPhone và cơ sở dữ liệu riêng tư iCloud của người dùng, chứ không phải trên máy chủ Matter; cấu hình này khiến công ty không thể truy cập ngay cả bằng công cụ của Apple
- Công ty chỉ nhận một phần kết quả không thể suy ngược lại đầu vào, chẳng hạn Matter Score, cùng các chỉ số sự kiện sử dụng phi công khai; tài khoản cũng được xử lý dưới dạng tài khoản đánh số, không có email hay mật khẩu
- Khả năng rò rỉ dữ liệu giảm đi, nhưng vì công ty không định danh người dùng hay nắm giữ dữ liệu, họ không thể khôi phục dữ liệu bị mất thay người dùng; người dùng phải sử dụng sao lưu/khôi phục
Điểm khởi đầu của Matter và quyết định về quyền riêng tư
- Kể từ ngày 1 tháng 10 năm 2024, Sean Coates đã rời vai trò VP of Technology tại Matter, và từ đó không còn có thể đích thân bảo chứng cho khía cạnh quyền riêng tư của ứng dụng
- Matter ban đầu là một khách hàng của Faculty, rồi sau đó chuyển từ quan hệ agency-khách hàng sang quan hệ startup, với Coates đảm nhiệm vai trò VP of Technology
- Ý tưởng sản phẩm bắt đầu từ hướng cho phép người dùng ghi lại ký ức về các trải nghiệm tích cực và hồi tưởng chúng sau này để tăng cảm giác hạnh phúc
- Người dùng có thể lưu ảnh về trải nghiệm tích cực và đánh giá cảm xúc họ cảm thấy khi đó để sau này gợi nhớ lại
- Ban đầu Coates hoài nghi trước các tuyên bố kiểu wellness, nhưng đã bị thuyết phục bởi công nghệ và khoa học cho rằng việc hồi tưởng trải nghiệm tích cực có thể tạo ra và giải phóng các chất dẫn truyền thần kinh liên quan, qua đó tăng cảm giác hạnh phúc
Câu hỏi “tại sao phải gửi dữ liệu đó cho công ty”
- Câu hỏi mang tính quyết định là vì sao người dùng phải gửi cho Matter những bức ảnh riêng tư và các đánh giá cảm xúc nhạy cảm như
sexual desire - Câu hỏi này khiến Matter xác định ngay từ giai đoạn đầu sản phẩm cách xử lý nội dung riêng tư của người dùng và mô hình hóa đe dọa
- Quyền riêng tư trở thành giá trị cốt lõi chi phối thiết kế sản phẩm, chứ không phải một tính năng được bổ sung về sau
- Nhóm cho rằng cách bổ sung quyền riêng tư sau khi dữ liệu người dùng đã bị phơi bày trong nội bộ công ty dễ phát sinh lỗi hoặc có thể là bất khả thi
Ba nguyên tắc và các kịch bản cực đoan
- Matter tóm lược nguyên tắc xử lý dữ liệu người dùng thành ba điểm
- Phải tạo dựng niềm tin để người dùng có thể tin vào cách công ty xử lý dữ liệu
- Dữ liệu người dùng không được rò rỉ ngay cả khi nhân viên dùng mật khẩu yếu hoặc có lỗi trong mã
- Không chỉ dựa vào thiện chí của đội ngũ hiện tại, mà còn phải chịu được các tình huống trong tương lai khi xuất hiện quyền lực kiểm soát công ty hoặc một bên thâu tóm không đáng tin cậy
- Ngay cả ở cấp hạ tầng, nhóm cũng xem xét các câu hỏi cực đoan
- Họ từng thảo luận liệu có cần xây dựng trung tâm dữ liệu riêng hay không, nhưng kết luận rằng tầng vật lý là thứ các nhà cung cấp hosting lớn hơn có thể làm tốt hơn, và họ không muốn dùng tiền để đào núi rồi thuê dân quân
- Họ thậm chí giả định cả tình huống một thế lực nhà nước ác ý muốn dữ liệu của một người dùng cụ thể và bắt cóc gia đình họ; ngay cả khi đó, họ cũng chọn hướng không có dữ liệu nào để giao nộp
- Lựa chọn cuối cùng là hoàn toàn không nắm giữ dữ liệu riêng tư của người dùng
Cách Matter thực sự xử lý dữ liệu
- Ngay cả khi người dùng đánh giá cao một cảm xúc như
pridetrong Matter, công ty cũng không thể biết điều đó- Hệ thống chỉ số được cấu hình có chủ ý để không thu thập loại dữ liệu cá nhân này
- Dữ liệu đó chỉ được ứng dụng chạy trên thiết bị của người dùng truy cập
- Matter là ứng dụng iPhone và dữ liệu được lưu trong Core Data trên điện thoại cùng cơ sở dữ liệu riêng tư trong tài khoản iCloud của người dùng
- Mã ứng dụng chạy bằng chứng chỉ nhà phát triển của công ty có thể đọc và ghi dữ liệu bên trong thiết bị
- Dữ liệu không được gửi đến Matter, và công ty cũng không thể truy cập qua các công cụ của Apple
- Dữ liệu công ty nhận được là kết quả của một số đầu vào, nhưng ở dạng không thể suy ngược về đầu vào ban đầu
- Ví dụ, nếu chỉ biết kết quả
600, sẽ không thể biết đầu vào là1 × 600,100 × 6,30 × 20hay12 × 50 - Công ty có thể biết Matter Score, nhưng không biết đầu vào nào tạo ra điểm số đó, người dùng đã mô tả ký ức ra sao, hay trong ảnh có gì
- Điều công ty biết chỉ ở mức một tài khoản được đánh số nào đó có một ký ức và điểm số là 600
- Ví dụ, nếu chỉ biết kết quả
- Hiện Matter không liên kết địa chỉ email với tài khoản người dùng ứng dụng và cũng không có mật khẩu
- Ngoài danh sách gửi thư, công ty không giữ địa chỉ email
- Cũng không có liên kết bắt buộc nào giữa người dùng trong danh sách gửi thư và người dùng ứng dụng
- Trong tương lai, nếu người dùng muốn, công ty có thể cho phép họ tự định danh, nhưng vẫn dự định duy trì hướng không thu thập dữ liệu riêng tư
Lưu ảnh mã hóa và cái giá của khả năng khôi phục
- Ngay cả khi người dùng thêm nội dung như hình ảnh vào ký ức, Matter cũng không lưu chúng theo cách công ty có thể xem
- Theo mặc định, hình ảnh được lưu trên thiết bị của người dùng
- Do giới hạn dung lượng lưu trữ trên thiết bị, cũng có một hệ thống lưu các tài sản như hình ảnh đã được mã hóa trên thiết bị
- Nội dung ảnh thực tế và khóa giải mã không được gửi đến Matter
- Từ góc nhìn của công ty, dữ liệu được lưu trữ không giống một bức ảnh mà là bản mã nhị phân trông như nhiễu ngẫu nhiên
- Thiết kế này tạo ra cái giá rõ ràng về mặt khôi phục
- Ngay cả khi người dùng mất dữ liệu, Matter cũng không thể khôi phục giúp
- Công ty không thể định danh người dùng qua email để đặt lại mật khẩu, và ngay cả nếu có địa chỉ email cùng mật khẩu, họ vẫn không thể khôi phục vì không nắm giữ dữ liệu
- Ứng dụng hiện có tính năng sao lưu/khôi phục, và để tránh mất dữ liệu, người dùng phải tự sử dụng tính năng này
- Vấn đề lưu bản sao lưu thay người dùng trong khi vẫn định danh được người dùng và lưu dữ liệu theo cách công ty không thể truy cập vẫn còn là bài toán chưa được giải quyết
- Matter bị ràng buộc bởi chính sách quyền riêng tư, và với Coates, việc giám sát triển khai quyền riêng tư là một trong những công việc kỹ thuật đáng giá nhất ông từng làm tại Matter
1 bình luận
Ý kiến Hacker News
Tôi đồng ý với ý chính. Cách tiếp cận không lưu thì cũng không thể bị rò rỉ là đúng, và tôi nghĩ hệ thống pháp luật cũng nên định hướng theo kết quả để khuyến khích tư duy này hơn
Khi bị hack, việc “đã làm đúng theo tiêu chuẩn ngành” không quan trọng lắm; điều quan trọng là thông tin của tôi đã bị lộ. Dù có làm theo cách mà ngành tin là đúng thì vẫn phải chịu trách nhiệm
Tuy vậy, ở Mỹ có vẻ ngày càng nhiều công ty coi dữ liệu cá nhân là tiền. Hầu hết cửa hàng đều vận hành chương trình thưởng và thu thập việc bạn mua gì vào lúc nào cũng vì lý do này
Nếu chỉ để khuyến khích quay lại thì như 10 năm trước chỉ cần dùng thẻ đóng dấu là đủ. Không rõ họ dùng dữ liệu ra sao, nhưng nếu giá trị thu được không lớn hơn chi phí phần thưởng thì tại sao họ lại đưa ra các ưu đãi như đồ ăn miễn phí hay giảm giá
Tất nhiên, điều này giả định một thế giới khác nơi công ty thực sự phải trả giá cho sai lầm của mình ngay từ đầu
Luật không nên trừng phạt những người trung thực đã cố gắng hết sức, và càng nguy hiểm hơn nếu kèm điều kiện kiểu “dù là tiêu chuẩn ngành cũng không quan trọng”. Nó rất dễ trở nên hỗn loạn, trừng phạt nhầm người, thậm chí tạo động cơ xúi người ta hack đối thủ rồi đẩy họ vào trách nhiệm pháp lý
Vô ý làm chết người có thể bị xử tội ngộ sát do bất cẩn, còn giết người với ác ý và có kế hoạch thì thành giết người nghiêm trọng/có dự mưu
Nếu cuối cùng một sinh mạng đã mất đi thì ít nhiều cũng phải có xem xét tư pháp. Nhưng với các vụ hack thì dường như không thấy quy trình tương tự
Việc phát triển và phát tán phần mềm gián điệp thu thập dữ liệu cá nhân không được phép là bất hợp pháp, và kể cả không làm rò rỉ dữ liệu đã thu thập thì vẫn là bất hợp pháp. Nhưng nếu bọc nó trong marketing bóng bẩy, điều khoản dài hàng chục trang khó hiểu và chính sách “quyền riêng tư” thì đột nhiên lại thành hợp pháp, thậm chí ngay cả khi làm rò rỉ hoặc bán dữ liệu cũng hầu như không bị trừng phạt
Điều này không chỉ đúng ở Mỹ mà cả ở châu Âu. Ngay cả trước GDPR, hầu hết các nước đã có luật về xử lý, sử dụng và lưu trữ dữ liệu cá nhân nhưng không được thực thi. GDPR cũng không khá hơn bao nhiêu ở khía cạnh thực thi; vẫn đầy rẫy các luồng “đồng ý” không tuân thủ và những doanh nghiệp vận hành dựa trên xử lý dữ liệu không có sự đồng ý vẫn đang sống tốt
Điều này cũng khá khớp với góc nhìn của tôi
Chỉ là suy nghĩ đó không khiến tôi được đồng nghiệp yêu mến hơn. Cả ngành này đang ngập trong việc thu thập thông tin nhận dạng cá nhân, và đối xử với nó quá hời hợt. Ngay cả một app solitaire cũng liên tục dụ người dùng tham gia bảng xếp hạng và thử thách
Ở app mới, tôi đang từ chối khoảng 30% đăng ký có vẻ là lừa đảo giết heo và điều đó khá tỉnh người. Tất cả đăng ký đều được duyệt thủ công, và tôi cũng không quá quan tâm đến số lượng. Chỉ nhắm tới Mỹ, Canada và Ấn Độ, gần như không quảng bá gì mà bọn lừa đảo đã lao vào ngay
Hiện giờ còn thô sơ, nhưng chỉ vì chúng tôi nhắm tới một nhóm nhân khẩu học nhất định nên khó giả mạo hơn, và tôi nghĩ điều đó sớm muộn cũng sẽ thay đổi. Cuối cùng tôi chấp nhận rằng kẻ xấu rồi sẽ vào được, nên điều quan trọng là dù chúng có đến để vét sạch quầy rượu thì bên trong cũng chẳng có gì
Tôi rất đồng cảm với luận điểm ở tiêu đề. Nhìn vào các biện pháp về tính cư trú, tính toàn vẹn, tính bảo mật của các kho dữ liệu biệt lập khổng lồ, rồi các đội hạ tầng để quản lý và mở rộng chúng, và cuối cùng là những bài viết kỹ thuật như “phúc âm” được đăng lên web, tôi thấy thật đáng kinh ngạc, vì lẽ ra công ty có thể đơn giản là đừng thu thập dữ liệu đó
Tôi thích mô hình kiểu “dữ liệu ở lại trên thiết bị, chúng tôi không nhìn thấy nó. Cùng lắm chỉ nhận thống kê vị trí ở mức tối thiểu”. Tuy vậy, tôi nghi ngờ khẳng định rằng hệ thống đo lường của họ sẽ không bị lạm dụng. Bất cứ thứ gì được lập trình cũng có thể bị lập trình lại hoặc cập nhật, nhất là trong thời buổi mọi thứ đều xoay quanh cập nhật như hiện nay. Ngoài lời giải thích chung rằng họ đã cẩn trọng để người dùng tuyệt đối không bị giám sát, tôi thấy phần này chưa được bàn đủ kỹ, nên nếu có bài viết kỹ thuật thì tôi muốn đọc
Nói thêm, ở Sentinel Devices họ cũng đang áp dụng chính xác cách tiếp cận “chúng tôi không giữ dữ liệu” này cho máy móc công nghiệp. Hãy hình dung một pipeline AI tự động hóa air-gapped. Đang tuyển dụng, ai quan tâm thì liên hệ hello@sentineldevices.com
Vì vậy B2B SaaS nên ngừng gắn giá doanh nghiệp cho SSO, và cứ coi các luồng như IdP hay OAuth/OIDC là bắt buộc
https://vaultvision.com/blog/what-is-oidc
Trải nghiệm người dùng sẽ là các nút “continue with” như thế này
https://id.atlassian.com/login
https://www.xsplit.com/user/auth
Như vậy bạn sẽ không còn tự nắm giữ chính các thông tin xác thực tài khoản có thể bị mất. Dữ liệu cá nhân, thông tin nhận dạng cá nhân, v.v. đều là nợ rủi ro
Có một khái niệm liên quan là Datensparsamkeit: https://martinfowler.com/bliki/Datensparsamkeit.html
Trong bài Notes From An Emergency của Maciej Cegłowski [1] cũng có ý tương tự
“Không rõ liệu có ai có thể giữ an toàn cho các kho dữ liệu khổng lồ theo thời gian hay không. Sự bất đối xứng giữa tấn công và phòng thủ có thể quá lớn. Nếu phòng thủ ở quy mô lớn là khả thi, cách duy nhất là đổ hàng triệu đô la vào việc thuê đội ngũ phòng thủ giỏi nhất. Những vụ rò rỉ dữ liệu ở cấp độ cao nhất đã cho thấy mối đe dọa là có thật và kéo dài. Và với mỗi vụ xâm phạm mà chúng ta biết, còn có nhiều vụ xâm phạm âm thầm khác mà chúng ta sẽ không biết tới trong nhiều năm
Nhưng càng thành công trong phòng thủ thì rủi ro lại càng tăng. Khi bạn chất đủ kho báu sau bức tường thành, cuối cùng bạn sẽ thu hút ai đó có thể trèo qua bức tường ấy. Chế độ phong kiến khiến Internet dễ tổn thương hơn, và bảo đảm rằng khi vi phạm xảy ra, nó sẽ trở thành thảm họa”
[1] https://idlewords.com/talks/notes_from_an_emergency.htm
Có sẵn sàng cam kết không lưu giữ dữ liệu người dùng kèm theo chế tài hợp đồng hay không? Nếu không thì là không nghiêm túc
Cần nhớ câu “Facebook - miễn phí và sẽ luôn như vậy”
Đọc phần giải thích được trích dẫn thì có nghĩa là họ lưu phiên bản đã mã hóa của tất cả ảnh do người dùng nhập lên máy chủ, nhưng không lưu khóa đúng không?
Nếu vậy thì việc lưu dữ liệu người dùng đã mã hóa không nhất thiết là tận thế, nhưng tôi không hiểu vì sao lại quảng bá như thể hoàn toàn không lưu dữ liệu người dùng. Thực tế thì đây là lưu dữ liệu người dùng đã mã hóa, giống như rất nhiều công ty vẫn làm, và Backblaze cũng dùng cách này. Có thể tôi đã hiểu sai
Xem chính sách quyền riêng tư: https://matter.xyz/privacy
“Nếu chúng tôi thay đổi chính sách quyền riêng tư này, chúng tôi sẽ cập nhật tại đây và sửa ngày hiệu lực ở đầu trang. Vì chúng tôi không thu thập địa chỉ email của mọi người nên chúng tôi không thể gửi email thông báo thay đổi. Các thay đổi đối với chính sách này sẽ không có hiệu lực hồi tố.”
Về thực chất thì họ có thể thay đổi bất cứ lúc nào, và người dùng có lẽ sẽ không biết
Nếu họ vi phạm điều này, người dùng có thực sự có khả năng cưỡng chế thi hành không? Phải trả cho luật sư một khoản sáu chữ số à? Theo luật nào, và để đòi loại thiệt hại nào?
Tôi cũng không thật sự hiểu không có hiệu lực hồi tố ở đây có nghĩa pháp lý gì. Nếu công ty có dữ liệu của tôi và thay đổi chính sách, từ ngày mai họ có thể dùng dữ liệu của tôi theo chính sách mới không? Dù sao thì tôi cũng sẽ không biết chuyện thay đổi đó, nên điều này chẳng có nhiều ý nghĩa
Dĩ nhiên tôi cũng không hoàn toàn hiểu chính sách quyền riêng tư của công ty có thể được thực thi pháp lý đến mức nào
“Không có hiệu lực hồi tố” nghĩa là phiên bản cập nhật không áp dụng cho việc sử dụng dữ liệu hiện có, tức là họ đã nêu rõ khả năng dùng dữ liệu người dùng theo chính sách mới
Đúng vậy
Tôi làm trong lĩnh vực an ninh mạng, và càng ngày tôi càng tin rằng thay vì cố giảm thiểu mọi mối đe dọa có thể có, câu trả lời là đừng nắm giữ dữ liệu để bị đánh cắp ngay từ đầu
Kết hợp điều đó với zero trust và xác thực hai yếu tố/passkey thì có thể mang lại hiệu quả lớn hơn rất nhiều so với vô số giải pháp bảo mật dầu rắn mà ngành này ưa chuộng