ถ้าเราไม่ได้เก็บข้อมูลผู้ใช้ ก็ไม่มีข้อมูลให้รั่วไหล

 (seancoates.com)
2 คะแนน โดย GN⁺ 2024-03-29 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • Matter สร้างแอป iPhone ที่ช่วยบันทึกความทรงจำเชิงบวกและการประเมินอารมณ์เพื่อให้ย้อนนึกถึงภายหลัง โดยยึดแนวทาง ออกแบบโดยให้ความเป็นส่วนตัวมาก่อน เพื่อไม่ให้บริษัทเห็นรูปภาพที่อ่อนไหวและข้อมูลอารมณ์
  • แกนกลางของการออกแบบคือ แบบจำลองภัยคุกคาม ที่คำนึงถึงความไว้วางใจของผู้ใช้ การป้องกันความผิดพลาด/บั๊ก และแม้แต่สถานการณ์ในอนาคตที่บริษัทถูกกดดันหรือถูกซื้อกิจการ
  • การประเมินอารมณ์ส่วนตัว คำอธิบายความทรงจำ และรูปภาพแนบ จะถูกเก็บไว้ใน Core Data บน iPhone และฐานข้อมูลส่วนตัวของ iCloud ของผู้ใช้ ไม่ใช่บนเซิร์ฟเวอร์ของ Matter และถูกออกแบบให้บริษัทเข้าถึงไม่ได้แม้ใช้เครื่องมือของ Apple
  • สิ่งที่บริษัทได้รับมีเพียงผลลัพธ์บางส่วนที่ไม่สามารถย้อนกลับไปหาอินพุตได้ เช่น Matter Score และตัวชี้วัดเหตุการณ์การใช้งานแบบไม่เปิดเผยตัวตน โดยบัญชีก็ใช้เป็น บัญชีแบบหมายเลข ไม่มีอีเมลหรือรหัสผ่าน
  • แม้จะลดโอกาสข้อมูลรั่วไหลได้ แต่เพราะบริษัทไม่สามารถระบุตัวผู้ใช้หรือถือครองข้อมูลได้ จึงไม่สามารถช่วยกู้ข้อมูลที่สูญหายแทนผู้ใช้ได้ และผู้ใช้ต้องใช้การสำรอง/กู้คืนด้วยตนเอง

จุดเริ่มต้นของ Matter และการตัดสินใจด้านความเป็นส่วนตัว

  • ณ วันที่ 1 ตุลาคม 2024 Sean Coates ได้ลงจากบทบาท VP of Technology ของ Matter และหลังจากนั้นไม่สามารถรับประกันด้านความเป็นส่วนตัวของแอปนี้ในนามส่วนตัวได้อีก
  • Matter เริ่มต้นจากการเป็นลูกค้าของ Faculty และต่อมาเปลี่ยนจากความสัมพันธ์แบบเอเจนซี-ลูกค้าไปเป็นความสัมพันธ์แบบสตาร์ตอัป โดย Coates เข้ามารับตำแหน่ง VP of Technology
  • แนวคิดของผลิตภัณฑ์เริ่มจากการช่วยให้ผู้ใช้บันทึก ความทรงจำ ของประสบการณ์เชิงบวก และนำกลับมานึกถึงภายหลังเพื่อเพิ่มความสุข
    • ผู้ใช้สามารถเก็บภาพของประสบการณ์เชิงบวกและประเมินอารมณ์ที่รู้สึกในตอนนั้น เพื่อย้อนนึกถึงได้ในภายหลัง
    • ตอนแรก Coates ค่อนข้างสงสัยกับคำกล่าวอ้างเชิงเวลเนส แต่ภายหลังถูกโน้มน้าวด้วยเทคโนโลยีและวิทยาศาสตร์ที่ว่า การนึกถึงประสบการณ์เชิงบวกสามารถกระตุ้นการสร้างและหลั่งสารสื่อประสาทที่เกี่ยวข้อง ซึ่งช่วยเพิ่มความสุขได้

คำถามว่า “ทำไมต้องส่งข้อมูลแบบนั้นให้บริษัท”

  • คำถามชี้ขาดคือ เหตุใดผู้ใช้จึงต้องส่งรูปส่วนตัวและการประเมินอารมณ์ที่อ่อนไหวอย่าง sexual desire ให้ Matter
  • คำถามนี้ทำให้ Matter กำหนดวิธีจัดการคอนเทนต์ส่วนตัวของผู้ใช้และทำ การสร้างแบบจำลองภัยคุกคาม ตั้งแต่ช่วงต้นของผลิตภัณฑ์
  • ความเป็นส่วนตัวจึงไม่ใช่ฟีเจอร์ที่ค่อยมาติดเพิ่มทีหลัง แต่เป็น คุณค่าหลัก ที่กำหนดการออกแบบผลิตภัณฑ์
    • พวกเขามองว่าแนวทางที่เปิดให้ข้อมูลผู้ใช้ถูกมองเห็นภายในบริษัทไปแล้ว แล้วค่อยเพิ่มความเป็นส่วนตัวทีหลัง เป็นสิ่งที่มีโอกาสผิดพลาดสูงหรืออาจทำไม่ได้เลย

หลักการสามข้อและสถานการณ์สุดขั้ว

  • Matter สรุปหลักการจัดการข้อมูลผู้ใช้ออกมาเป็นสามข้อ
    • ต้องสร้าง ความไว้วางใจ ให้ผู้ใช้เชื่อมั่นได้ว่าบริษัทจัดการข้อมูลอย่างไร
    • ต่อให้พนักงานใช้รหัสผ่านที่อ่อนแอหรือมีบั๊กในโค้ด ก็ต้องไม่ทำให้ข้อมูลผู้ใช้รั่วไหล
    • ต้องไม่อาศัยเพียงเจตนาดีของทีมปัจจุบัน แต่ต้องทนทานต่อสถานการณ์ในอนาคตที่มีอำนาจเข้ามาควบคุมบริษัท หรือมีผู้ซื้อกิจการที่ไม่น่าไว้วางใจ
  • ในระดับโครงสร้างพื้นฐานก็มีการพิจารณาคำถามแบบสุดขั้ว
    • เคยหารือกันว่าจะต้องสร้างดาต้าเซ็นเตอร์เองหรือไม่ แต่สรุปว่าผู้ให้บริการโฮสต์รายใหญ่ทำงานในชั้นกายภาพได้ดีกว่า และพวกเขาไม่อยากใช้เงินไปกับการเจาะภูเขาสร้างฐานพร้อมจ้างกองกำลังกึ่งทหาร
    • ยังสมมติถึงสถานการณ์ที่อำนาจรัฐที่เป็นปฏิปักษ์ต้องการข้อมูลของผู้ใช้บางคน และถึงขั้นลักพาตัวสมาชิกครอบครัว ซึ่งในกรณีนั้นก็ยังต้องไม่มีข้อมูลให้ส่งมอบ
  • ทางเลือกสุดท้ายคือไม่ถือครอง ข้อมูลส่วนตัว ของผู้ใช้เลยตั้งแต่ต้น

วิธีที่ Matter จัดการข้อมูลจริง

  • ต่อให้ผู้ใช้ให้คะแนนอารมณ์อย่าง pride สูงใน Matter บริษัทก็ไม่มีทางรู้ข้อเท็จจริงนั้น
    • ระบบตัวชี้วัดถูกออกแบบมาโดยตั้งใจไม่ให้เก็บข้อมูลส่วนบุคคลลักษณะนี้
    • ข้อมูลดังกล่าวเข้าถึงได้เฉพาะโดยแอปที่ทำงานอยู่บนอุปกรณ์ของผู้ใช้เท่านั้น
  • Matter เป็นแอป iPhone และข้อมูลจะถูกเก็บไว้ใน Core Data ของโทรศัพท์และฐานข้อมูลส่วนตัวภายในบัญชี iCloud ของผู้ใช้
    • โค้ดแอปที่รันด้วยข้อมูลรับรองนักพัฒนาของบริษัทสามารถอ่านและเขียนข้อมูลได้ภายในอุปกรณ์
    • ข้อมูลไม่ได้ถูกส่งไปยัง Matter และบริษัทก็เข้าถึงไม่ได้แม้ผ่านเครื่องมือของ Apple
  • ข้อมูลที่บริษัทได้รับเป็นเพียงผลลัพธ์ของอินพุตบางส่วนในรูปแบบที่ไม่สามารถย้อนกลับไปหาอินพุตเดิมได้
    • ตัวอย่างเช่น หากรู้เพียงผลลัพธ์ 600 ก็ไม่มีทางรู้ว่าอินพุตคือ 1 × 600, 100 × 6, 30 × 20 หรือ 12 × 50
    • บริษัทอาจรู้ Matter Score แต่ไม่รู้ว่าอินพุตใดสร้างคะแนนนั้น ผู้ใช้บรรยายความทรงจำไว้อย่างไร หรือมีอะไรอยู่ในภาพถ่าย
    • สิ่งที่บริษัทรู้มีเพียงว่าบัญชีแบบหมายเลขบัญชีหนึ่งมีความทรงจำอยู่ และมีคะแนน 600 ประมาณนั้น
  • ปัจจุบัน Matter ไม่ผูกบัญชีผู้ใช้ในแอปกับที่อยู่อีเมล และไม่มีรหัสผ่าน
    • นอกเหนือจากรายชื่ออีเมลสำหรับการส่งข่าวสาร บริษัทไม่ได้ถือครองที่อยู่อีเมล
    • และก็ไม่มีการเชื่อมโยงแบบบังคับระหว่างผู้ใช้ในรายชื่ออีเมลกับผู้ใช้แอป
    • ในอนาคตอาจเปิดให้ผู้ใช้เลือกยืนยันตัวตนของตนเองได้ หากผู้ใช้ต้องการ แต่ก็ยังตั้งใจจะไม่เก็บข้อมูลส่วนตัวอยู่ดี

การเก็บภาพแบบเข้ารหัสและราคาที่ต้องจ่ายด้านการกู้คืน

  • ต่อให้ผู้ใช้เพิ่มคอนเทนต์อย่างรูปภาพลงในความทรงจำ Matter ก็ไม่ได้เก็บมันไว้ในลักษณะที่บริษัทมองเห็นได้
    • โดยพื้นฐานแล้ว รูปภาพจะถูกเก็บไว้บนอุปกรณ์ของผู้ใช้
    • เนื่องจากข้อจำกัดด้านพื้นที่จัดเก็บของอุปกรณ์ จึงมีระบบสำหรับเก็บแอสเซ็ตอย่างรูปภาพที่ถูกเข้ารหัสบนอุปกรณ์ด้วย
    • เนื้อหารูปภาพจริงและ กุญแจถอดรหัส จะไม่ถูกส่งไปยัง Matter
    • จากมุมมองของบริษัท ข้อมูลที่เก็บไว้จึงเป็นเพียงไซเฟอร์เท็กซ์แบบไบนารีที่ดูเหมือนสัญญาณรบกวนแบบสุ่ม ไม่ใช่ภาพถ่าย
  • การออกแบบนี้ทำให้เกิดต้นทุนด้านการกู้คืนอย่างชัดเจน
    • หากผู้ใช้ทำข้อมูลหาย Matter ก็ไม่สามารถช่วยกู้คืนให้ได้
    • บริษัทไม่สามารถระบุตัวผู้ใช้ด้วยอีเมลเพื่อรีเซ็ตรหัสผ่าน และถึงจะมีอีเมลกับรหัสผ่านอยู่ ก็ไม่สามารถกู้คืนได้เพราะบริษัทไม่ได้ถือครองข้อมูล
  • ปัจจุบันแอปมีฟีเจอร์ สำรอง/กู้คืน แล้ว และหากต้องการป้องกันข้อมูลสูญหาย ผู้ใช้ต้องใช้งานด้วยตนเอง
  • ปัญหาว่าจะเก็บข้อมูลสำรองแทนผู้ใช้ โดยยังสามารถระบุตัวผู้ใช้ได้และในเวลาเดียวกันก็เก็บข้อมูลในแบบที่บริษัทเข้าถึงไม่ได้ ยังเป็นโจทย์ที่ยังแก้ไม่ตก
  • Matter ถูกผูกไว้กับนโยบายความเป็นส่วนตัว และสำหรับ Coates การกำกับดูแลการนำความเป็นส่วนตัวไปใช้งานถือเป็นหนึ่งในงานด้านเทคนิคหลายอย่างที่คุ้มค่าที่สุดที่เขาเคยทำใน Matter

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-03-29
ความคิดเห็นจาก Hacker News

  • เห็นด้วยกับแก่นของความคิดนี้ แนวทางที่ว่า ถ้าไม่เก็บ ก็รั่วไหลไม่ได้ นั้นถูกต้อง และคิดว่าระบบกฎหมายก็ควรเน้นผลลัพธ์เพื่อส่งเสริมวิธีคิดแบบนี้ให้มากขึ้น
    เวลาโดนแฮ็ก เรื่องที่ว่า “เราทำตามมาตรฐานอุตสาหกรรมทุกอย่างแล้ว” ไม่ได้สำคัญเท่าไร สิ่งสำคัญคือข้อมูลของฉันถูกขโมยไปแล้ว ต่อให้ทำตามแนวทางที่ทั้งอุตสาหกรรมเชื่อว่าถูกต้อง ก็ยังต้อง รับผิดชอบ

    • “อย่าเก็บข้อมูลไว้เพื่อให้มันรั่วไหลไม่ได้” เป็นความคิดที่ดี คล้ายกับ หลักการให้สิทธิ์เท่าที่จำเป็น คือควรเก็บไว้เฉพาะสิ่งที่จำเป็นต่อบริการที่ให้เท่านั้น ความเสี่ยงจะลดลงทั้งกับผู้ให้บริการและผู้บริโภค
      แต่ในสหรัฐฯ ดูเหมือนบริษัทจำนวนมากขึ้นเรื่อย ๆ มองว่าข้อมูลส่วนบุคคลทำเงินได้ นี่เป็นเหตุผลที่ร้านค้าส่วนใหญ่ทำโปรแกรมสะสมแต้มและเก็บข้อมูลว่าซื้ออะไรเมื่อไร
      ถ้าแค่ต้องการจูงใจให้กลับมาซื้อซ้ำ บัตรสะสมแต้มแบบเมื่อ 10 ปีก่อนก็น่าจะพอแล้ว ผมไม่รู้ว่าพวกเขาใช้ข้อมูลอย่างไร แต่ถ้าคุณค่าที่ได้ไม่มากกว่าต้นทุนของรางวัล แล้วทำไมถึงต้องเสนอแรงจูงใจอย่างอาหารฟรีหรือส่วนลดด้วย
    • ควรมี ประกันความรับผิดจากข้อมูลรั่วไหล และถ้าไม่มีอะไรให้รั่วไหล เบี้ยประกันก็ควรต่ำ
      แน่นอนว่าสิ่งนี้ตั้งอยู่บนสมมติฐานของอีกโลกหนึ่ง ที่บริษัทต้องจ่ายเงินจริง ๆ สำหรับความผิดพลาดของตัวเองตั้งแต่แรก
    • เห็นด้วยกับเจตนา แต่ไม่ค่อยแน่ใจว่าจะนำไปใช้จริงได้อย่างไร
      กฎหมายไม่ควรลงโทษคนที่พยายามทำดีที่สุดอย่างสุจริต และยิ่งถ้ามีเงื่อนไขว่า “ต่อให้เป็นมาตรฐานอุตสาหกรรมก็ไม่เกี่ยว” ก็ยิ่งอันตราย มันจะสับสนและมีโอกาสลงโทษผิดคนสูง แถมยังสร้างแรงจูงใจให้แฮ็กคู่แข่งแล้วผลักพวกเขาเข้าสู่ความรับผิดทางกฎหมายด้วย
    • ผมไม่ใช่นักกฎหมาย แต่ในอาชญากรรมอื่น ๆ ก็มี ความแตกต่างตามระดับความร้ายแรง แบบนี้อยู่แล้ว
      ถ้าฆ่าคนโดยไม่ตั้งใจ อาจเป็นการฆ่าคนตายโดยประมาท แต่ถ้าฆ่าด้วยเจตนาร้ายและมีการวางแผน ก็เป็นฆาตกรรมโดยไตร่ตรองไว้ก่อน/มีเหตุฉกรรจ์
      ท้ายที่สุด หากมีชีวิตสูญเสียไป ก็ควรมีการตรวจสอบทางกระบวนการยุติธรรมในระดับหนึ่ง แต่กับ เหตุการณ์แฮ็ก ดูเหมือนแทบไม่เห็นกระบวนการแบบนั้น
    • สาเหตุพื้นฐานที่ทำให้การละเมิดข้อมูลส่วนบุคคลเพิ่มขึ้น คือระบบกฎหมายที่ควรป้องกันการสอดส่องและการแฮ็กมีช่องโหว่ขนาดใหญ่
      การพัฒนาและเผยแพร่ สปายแวร์ ที่เก็บข้อมูลส่วนบุคคลโดยไม่ได้รับอนุญาตเป็นสิ่งผิดกฎหมาย และถึงไม่ทำข้อมูลที่เก็บมาให้รั่วไหลก็ยังผิดกฎหมาย แต่ถ้าห่อหุ้มด้วยการตลาดสวยหรู ข้อกำหนดการใช้งานยาวหลายสิบหน้าที่อ่านเข้าใจยาก และนโยบาย “ความเป็นส่วนตัว” จู่ ๆ ก็กลายเป็นถูกกฎหมาย แถมแม้ทำข้อมูลรั่วไหลหรือขายข้อมูลก็แทบไม่ถูกลงโทษ
      เรื่องนี้ไม่ใช่แค่ในสหรัฐฯ แต่ยุโรปก็เช่นกัน ก่อน GDPR ประเทศส่วนใหญ่ก็มีกฎหมายเกี่ยวกับการประมวลผล การใช้งาน และการจัดเก็บข้อมูลส่วนบุคคลอยู่แล้ว แต่ไม่ได้บังคับใช้ ส่วน GDPR เองก็ไม่ได้ดีขึ้นมากในแง่การบังคับใช้ เราจึงเห็นขั้นตอน “ขอความยินยอม” จำนวนมากที่ไม่เป็นไปตามข้อกำหนด และธุรกิจที่อาศัยการประมวลผลข้อมูลโดยไม่มีความยินยอมก็ยังดำเนินไปได้ดี

  • ค่อนข้างตรงกับมุมมองของผมเช่นกัน
    แต่ความคิดนี้ไม่ได้ทำให้ผมเป็นที่นิยมในหมู่เพื่อนร่วมงานเท่าไร อุตสาหกรรมนี้ทั้งวงการจมอยู่กับการ เก็บข้อมูลที่ระบุตัวบุคคลได้ และปฏิบัติกับข้อมูลนั้นอย่างเบามือเกินไป แม้แต่แอป Solitaire ก็ยังคอยชวนให้สมัครกระดานอันดับและชาเลนจ์อยู่เรื่อย ๆ
    ในแอปใหม่ เราปฏิเสธการสมัครที่ดูเหมือน กลโกงเชือดหมู อยู่ราว 30% ซึ่งทำให้ตาสว่างทีเดียว การสมัครทั้งหมดตรวจสอบด้วยคน และเราไม่ได้สนใจปริมาณมากนัก เราตั้งเป้าเฉพาะสหรัฐฯ แคนาดา และอินเดีย แถบไม่ได้โปรโมตอะไรเลย แต่มิจฉาชีพก็กรูกันเข้ามาทันที
    ตอนนี้ยังทำกันแบบหยาบ ๆ อยู่ แต่ก็แค่เพราะเรามุ่งเป้าไปที่กลุ่มประชากรเฉพาะจนปลอมแปลงได้ยากเท่านั้น และผมคิดว่าไม่นานก็จะเปลี่ยนไป สุดท้ายเราก็ยอมรับว่าคนไม่ดีจะเข้ามาได้อยู่ดี ดังนั้นสิ่งสำคัญคือทำให้ตอนที่พวกเขาเข้ามาปล้นตู้เหล้า ข้างในไม่มีอะไรให้เอาไป

  • เห็นด้วยอย่างมากกับข้อเรียกร้องในชื่อเรื่อง เมื่อมองมาตรการด้านถิ่นที่อยู่ของข้อมูล ความสมบูรณ์ถูกต้อง และความลับของข้อมูลรอบ ๆ ไซโลข้อมูล ขนาดใหญ่ ทีมโครงสร้างพื้นฐานที่ต้องจัดการและขยายสิ่งเหล่านี้ รวมถึงบทความเทคนิคแนว “พระวรสาร” ที่สุดท้ายก็ถูกโพสต์ลงเว็บแล้วน่าทึ่งมาก เพราะบริษัทก็แค่ไม่ต้องเก็บข้อมูลนั้นก็ได้
    ผมชอบโมเดลที่ว่า “ข้อมูลอยู่บนอุปกรณ์ เราไม่เห็นมัน อย่างมากก็รับเฉพาะสถิติตำแหน่งขั้นต่ำเท่านั้น” แต่ผมก็สงสัยต่อคำกล่าวที่ว่าระบบเมตริกของพวกเขาจะไม่ถูกนำไปใช้ในทางที่ผิด สิ่งที่ถูกโปรแกรมได้ก็ถูกโปรแกรมใหม่หรืออัปเดตได้ โดยเฉพาะยุคนี้ที่ทุกอย่างขับเคลื่อนด้วยการอัปเดตมากขึ้น นอกจากคำอธิบายทั่วไปว่าพวกเขาใส่ใจไม่ให้ผู้ใช้ถูกสอดส่องเด็ดขาดแล้ว ดูเหมือนส่วนนี้ยังไม่ได้ถูกกล่าวถึงอย่างเพียงพอ ถ้ามีบทความเชิงเทคนิคก็อยากอ่าน
    เพิ่มเติมคือที่ Sentinel Devices เราก็ใช้แนวทาง “เราไม่ถือครองข้อมูล” แบบเดียวกันนี้กับเครื่องจักรอุตสาหกรรมด้วย ให้นึกถึงไปป์ไลน์ AI อัตโนมัติแบบ air-gapped เรากำลังรับคนอยู่ ถ้าสนใจติดต่อได้ที่ hello@sentineldevices.com

  • ดังนั้น B2B SaaS ควรเลิกเอา SSO ไปผูกกับราคาองค์กร และควรทำให้โฟลว์อย่าง IdP หรือ OAuth/OIDC เป็นข้อบังคับไปเลย
    https://vaultvision.com/blog/what-is-oidc
    ประสบการณ์ผู้ใช้คือปุ่ม “continue with” แบบนี้
    https://id.atlassian.com/login
    https://www.xsplit.com/user/auth
    แบบนั้นคุณก็จะไม่มีข้อมูลรับรองบัญชีให้ทำหายตั้งแต่แรก ข้อมูลส่วนบุคคล ข้อมูลที่ระบุตัวบุคคลได้ ฯลฯ ล้วนเป็น หนี้ความเสี่ยง

    • แล้วจะทำเงินหลายหมื่นล้านดอลลาร์จาก โฆษณาแบบปรับให้เหมาะกับแต่ละคน ด้วยเมตาดาต้าได้อย่างไรล่ะ

  • แนวคิดที่เกี่ยวข้องคือ Datensparsamkeit: https://martinfowler.com/bliki/Datensparsamkeit.html

    • มีบทความที่เกี่ยวข้องอยู่บ้างด้วย: https://www.w3.org/2001/tag/doc/leastPower.html
    • คำที่ดีกว่าคือ Datenenthaltsamkeit หรือการถือพรตจากข้อมูล ไม่ใช่แค่เก็บให้น้อยลง แต่คือเก็บจริง ๆ เฉพาะเมื่อไม่มีทางเลือกอื่นเท่านั้น

  • ใน Notes From An Emergency [1] ของ Maciej Cegłowski ก็มีเนื้อหาคล้ายกัน
    “ยังไม่ชัดเจนว่าใครก็ตามจะสามารถรักษาความปลอดภัยให้กับชุดข้อมูลขนาดใหญ่ได้ตลอดเวลาหรือไม่ ความไม่สมมาตรระหว่างการโจมตีกับการป้องกันอาจใหญ่เกินไป หากการป้องกันในระดับใหญ่นั้นเป็นไปได้ วิธีเดียวก็คือทุ่มเงินหลายล้านดอลลาร์เพื่อจ้างบุคลากรด้านการป้องกันที่เก่งที่สุด เหตุการณ์ข้อมูลรั่วไหลระดับสูงสุดแสดงให้เห็นว่าภัยคุกคามนั้นมีอยู่จริงและต่อเนื่อง และสำหรับการรั่วไหลหนึ่งครั้งที่เรารู้ ยังมีการรั่วไหลเงียบ ๆ อีกหลายครั้งที่เราอาจไม่รู้ไปอีกหลายปี
    แต่ยิ่งป้องกันได้สำเร็จ ความเสี่ยงก็ยิ่งเพิ่มขึ้น หากสะสมสมบัติไว้หลังกำแพงมากพอ สุดท้ายก็จะดึงดูดใครสักคนที่ปีนกำแพงนั้นได้ ระบบศักดินาทำให้อินเทอร์เน็ตเปราะบางยิ่งขึ้น และรับประกันว่าเมื่อเกิดการเจาะระบบขึ้นในที่สุด มันจะกลายเป็นหายนะ”
    [1] https://idlewords.com/talks/notes_from_an_emergency.htm

  • ยินดีจะให้คำมั่นว่าจะไม่ถือครองข้อมูลผู้ใช้ พร้อมกับ บทลงโทษตามสัญญา หรือไม่? ถ้าไม่ ก็ไม่ได้จริงจัง
    ควรจำไว้ว่า “Facebook - ฟรีและจะเป็นเช่นนั้นตลอดไป”

  • จากคำอธิบายที่อ้างมา หมายความว่าเซิร์ฟเวอร์เก็บ เวอร์ชันที่เข้ารหัสแล้ว ของรูปภาพทั้งหมดที่ผู้ใช้ป้อนเข้าไป แต่ไม่เก็บคีย์ใช่ไหม?
    ถ้าเป็นอย่างนั้น การเก็บข้อมูลผู้ใช้ที่เข้ารหัสแล้วก็ไม่จำเป็นต้องเป็นจุดจบของโลก แต่ไม่เข้าใจว่าทำไมถึงประชาสัมพันธ์เหมือนไม่เก็บข้อมูลผู้ใช้เลย จริง ๆ แล้วก็คือการเก็บข้อมูลผู้ใช้ที่เข้ารหัสแล้วเหมือนที่หลายบริษัททำ และ Backblaze ก็ใช้วิธีเดียวกัน บางทีผมอาจเข้าใจผิดก็ได้

    • ผมอ่านแล้วเข้าใจว่าข้อมูลที่เข้ารหัสอยู่ใน อุปกรณ์ของผู้ใช้ ไม่ใช่บนเซิร์ฟเวอร์

  • ดูจากนโยบายความเป็นส่วนตัว: https://matter.xyz/privacy
    “หากเราเปลี่ยนนโยบายความเป็นส่วนตัวนี้ เราจะอัปเดตไว้ที่นี่และปรับวันที่มีผลบังคับใช้ด้านบน เนื่องจากเราไม่ได้เก็บรวบรวมที่อยู่อีเมลของทุกคน เราจึงไม่สามารถส่งอีเมลแจ้งการเปลี่ยนแปลงให้ได้ การเปลี่ยนแปลงนโยบายนี้จะไม่มีผลย้อนหลัง”
    โดยพื้นฐานแล้วเปลี่ยนได้ทุกเมื่อ และผู้ใช้น่าจะไม่รู้
    ถ้าฝ่าฝืนสิ่งนี้ ผู้ใช้มีอำนาจบังคับใช้หรือไม่? ต้องจ่ายค่าทนายเป็นเงินหกหลักหรือเปล่า? เพื่อเรียกค่าเสียหายอะไรตามกฎหมายใด?
    อีกอย่าง ผมก็ไม่แน่ใจว่า ไม่มีผลย้อนหลัง ในที่นี้หมายถึงอะไรในทางกฎหมาย ถ้าบริษัทมีข้อมูลของผมอยู่แล้วและเปลี่ยนนโยบาย ตั้งแต่พรุ่งนี้บริษัทจะใช้ข้อมูลของผมตามนโยบายใหม่ได้ไหม? ถึงอย่างไรก็คงไม่มีความหมายมากนัก เพราะผมคงไม่รู้ว่ามีการเปลี่ยนแปลงอยู่ดี

    • อาจหมายความว่าไม่สามารถใช้การเปลี่ยนนโยบายเพื่อทำให้การกระทำในอดีตที่เป็นการละเมิดตามเวอร์ชันก่อนหน้า แต่ไม่เป็นการละเมิดตามเวอร์ชันใหม่ กลายเป็นสิ่งชอบธรรมได้
      แน่นอนว่าผมก็ไม่ได้เข้าใจอย่างถ่องแท้ว่านโยบายความเป็นส่วนตัวของบริษัทบังคับใช้ได้ทางกฎหมายมากน้อยแค่ไหน
    • จากมุมมองของคนที่ให้ความสำคัญกับความเป็นส่วนตัวแบบสุดโต่ง นี่แทบจะเป็นสิ่งที่ดีที่สุดเท่าที่ทำได้แล้ว ถ้าไม่มีอีเมลก็ส่งไม่ได้ และแม้นโยบายจะเปลี่ยน การเปลี่ยนนั้นก็จะไม่ถูกนำไปใช้กับผู้ใช้เดิม
      “ไม่มีผลย้อนหลัง” หมายความว่าเวอร์ชันที่อัปเดตแล้วจะไม่นำไปใช้กับการใช้ข้อมูลที่มีอยู่เดิม จึงเป็นการตัดความเป็นไปได้ที่จะใช้ข้อมูลของผู้ใช้ตามนโยบายใหม่อย่างชัดเจน

  • ใช่แล้ว
    ผมทำงานด้านความปลอดภัยไซเบอร์ และยิ่งนานวันก็ยิ่งมั่นใจว่าคำตอบคือ การไม่มีข้อมูลให้ขโมยตั้งแต่แรก มากกว่าการพยายามลดทอนภัยคุกคามทุกอย่างที่เป็นไปได้
    ถ้ารวมสิ่งนี้เข้ากับ zero trust และการยืนยันตัวตนสองขั้นตอน/passkey ก็จะให้ผลมากกว่า โซลูชันความปลอดภัยแบบยาวิเศษหลอกขาย จำนวนมากที่วงการนี้ชอบกันมาก