- Matterは、ポジティブな記憶と感情評価を記録して後で思い出すのを助けるiPhoneアプリを作るにあたり、センシティブな写真や感情データを会社が見られないようにするプライバシー優先設計を土台にした
- 設計の中心にあったのは、ユーザーの信頼、ミスやバグからの保護、将来会社が圧力を受けたり買収されたりする状況まで考慮した脅威モデルだった
- 私的な感情評価、記憶の説明、添付写真はMatterのサーバーではなく、iPhoneのCore DataとユーザーのiCloudプライベートデータベースに保存され、会社はAppleのツールを使ってもアクセスできないよう構成されている
- 会社が受け取るのは、Matter Scoreのように入力値へ戻せない結果の一部と、非公開の利用イベント指標であり、アカウントもメールアドレスやパスワードなしの番号化されたアカウントとして扱う
- データ漏えいの可能性は減る一方、会社がユーザーを識別したりデータを保持したりしないため、失われたデータの復旧は代行できず、ユーザーがバックアップ/復元を利用する必要がある
Matterの出発点とプライバシーに関する決定
- 2024年10月1日付でSean CoatesはMatterのVP of Technologyの役割を退いており、それ以降はアプリのプライバシー面を個人として保証することはもうできない
- Matterは当初Facultyのクライアントとして始まり、その後エージェンシーとクライアントの関係からスタートアップとしての関係へ移行し、CoatesがVP of Technologyを務めた
- 製品アイデアは、ユーザーがポジティブな体験の記憶を記録し、後で思い出すことで幸福感を高められるようにする、という方向から始まった
- ユーザーはポジティブな体験の写真を保存し、そのとき感じた感情を評価して、後で再び思い起こすことができる
- Coatesは当初、ウェルネス的な主張には懐疑的だったが、ポジティブな体験を思い出すことで関連する神経伝達物質が生成・放出され、幸福感を高められるという技術と科学に納得した
「なぜそのようなデータを会社に送る必要があるのか」という問い
- 決定的な問いは、ユーザーが私的な写真や
sexual desireのようなセンシティブな感情評価を、なぜMatterに送らなければならないのか、というものだった
- この問いをきっかけに、Matterは私的なユーザーコンテンツを扱う方法と脅威モデリングを製品の初期段階で定めた
- プライバシーは後から付け足す機能ではなく、製品設計を左右する中核的価値となった
- すでにユーザーデータを社内に露出させた後でプライバシーを追加するやり方は、エラーが起きやすいか、不可能な場合があると判断した
3つの原則と極端なシナリオ
- Matterはユーザーデータ処理の原則を3つに整理した
- ユーザーが会社のデータ処理方法を信じられるよう、信頼を築かなければならない
- 従業員の弱いパスワードやコードのバグがあっても、ユーザーデータが漏えいしてはならない
- 現在のチームの善意だけに頼らず、将来会社を支配する権力が生まれたり、信頼できない買収者が現れたりする状況にも耐えられなければならない
- インフラレベルでも極端な問いを検討した
- 自社データセンターを建てるべきか議論したが、物理レイヤーはより大きなホスティング事業者の方がうまくできるし、山を掘って民兵を雇うことに資金を使いたくはないと判断した
- 悪意ある国家権力が特定ユーザーのデータを求め、家族を誘拐する状況まで想定し、その場合でも引き渡すデータがないようにする方針を選んだ
- 最終的な選択は、ユーザーの私的データをそもそも保持しないことだった
Matterが実際にデータを扱う方法
- ユーザーがMatterで
prideのような感情を高く評価しても、会社はその事実を知ることができない
- 指標システムは、このような個人データを収集しないよう意図的に構成されている
- そのデータにアクセスするのは、ユーザーのデバイス上で動くアプリだけである
- MatterはiPhoneアプリであり、データはスマートフォンのCore DataとユーザーのiCloudアカウント内のプライベートデータベースに保存される
- 会社の開発者資格情報で実行されるアプリコードは、デバイス内でデータを読み書きできる
- データはMatterへ送信されず、Appleのツールを通じても会社はアクセスできない
- 会社が受け取るデータは、一部の入力の結果ではあるが、元の入力値へ戻せない形式になっている
- たとえば結果値
600だけが分かっても、入力が1 × 600、100 × 6、30 × 20、12 × 50のどれだったのかは分からない
- Matter Scoreは分かっても、どの入力がスコアを作ったのか、記憶をどのように説明したのか、写真に何が写っているのかは分からない
- 会社が知るのは、ある番号化されたアカウントに記憶があり、スコアが600である、という程度である
- Matterは現在、アプリユーザーのアカウントにメールアドレスを紐づけておらず、パスワードもない
- メーリングリスト以外ではメールアドレスを保持していない
- メーリングリストのユーザーとアプリのユーザーの間に強制的な紐づけもない
- 今後、ユーザーが望めば自己識別を認める可能性はあるが、その場合でも私的データは収集しない方針を維持する予定である
暗号化された画像保存と復旧の代償
- ユーザーが記憶に画像のようなコンテンツを追加しても、Matterはそれを会社が見られる形では保管しない
- 基本的に画像はユーザーのデバイスに保存される
- デバイスのストレージ容量の制約のため、オンデバイスで暗号化された画像などのアセットを保存するシステムもある
- 実際の写真内容と復号鍵はMatterへ送信されない
- 会社から見ると、保存されたデータは写真ではなく、ランダムノイズのように見えるバイナリ暗号文である
- この設計は復旧面では明確な代償を生む
- ユーザーがデータを失っても、Matterは復旧してあげることができない
- メールでユーザーを識別してパスワードをリセットすることはできず、メールアドレスとパスワードがあったとしても、会社がデータを保持していないため復元できない
- 現在のアプリにはバックアップ/復元機能があり、データ損失を防ぐにはユーザー自身が活用する必要がある
- ユーザーに代わってバックアップを保存しつつ、ユーザーを識別し、会社がアクセスできない形でデータを保管する問題は、まだ解決すべき課題として残っている
- Matterはプライバシーポリシーに拘束されており、Coatesにとってプライバシー実装の監督は、Matterで行った多くの技術的作業の中でも最もやりがいのある仕事の1つだった
1件のコメント
Hacker News の意見
核心的な考えに同意する。保存しなければ漏えいもできないというアプローチが正しく、法制度もこうした考え方をもっと促すよう、結果重視であるべきだと思う
ハッキングされたときに「業界標準どおりにすべてやった」ということはあまり重要ではなく、自分の情報が流出したという事実が重要だ。業界が正しいと信じていた方法に従っていたとしても、責任を負うべきだ
ただし米国では、個人情報は金になると判断する企業が増えているように見える。ほとんどの店がリワードプログラムを運営し、何をいつ買ったかを収集する理由もここにある
単なる再来店促進なら、10年前のようにスタンプカードを使うだけでもよかったはずだ。データをどう使っているのかは分からないが、得られる価値が特典コストを上回らないなら、なぜ無料の食べ物や割引のような誘因を提供するのだろう
もちろんこれは、そもそも企業がミスに対して実際にコストを支払う別世界を前提にしている
法律は、誠実に最善を尽くした人を罰するべきではないし、特に「業界標準だったとしても関係ない」という条件が付くとさらに危険だ。混乱を招き、見当違いの人を罰する可能性が高く、競合他社をハッキングするよう仕向けて法的責任に追い込むインセンティブまで生まれる
誤って人を死なせれば過失致死になり得るし、悪意と計画性を持って殺せば加重・計画殺人になる
結局、命が失われたなら、ある程度の司法的な検討はあるべきだ。ところがハッキング事件には、そうした手続きがあまり見られない
許可なく個人情報を収集するスパイウェアを開発・配布するのは違法で、収集したデータを流出させなくても違法だ。だが、派手なマーケティング、理解しにくい数十ページもの規約と「プライバシー」ポリシーで包み込むと、突然合法になり、さらにはデータを流出させたり売ったりしてもほとんど処罰されない
これは米国だけでなく欧州でも同じだ。GDPR以前にも、ほとんどの国には個人情報の処理・利用・保存に関する法律があったが、執行されていなかった。GDPRも執行面では大して良くなく、多数の非準拠な「同意」フローが見られ、同意のないデータ処理に基づくビジネスが今も問題なく回っている
自分の見方ともかなり合っている
ただ、この考えのせいで同僚の間で人気が上がったわけではない。この業界全体が個人識別情報の収集にどっぷり浸かっていて、その情報をあまりにも軽く扱っている。ソリティアアプリでさえ、ランキングやチャレンジへの登録をしつこく促してくる
新しいアプリで、豚の屠殺詐欺と思われる登録を約30%の割合で拒否しているのだが、かなり目が覚める。登録はすべて手動で確認しており、数そのものにはあまり関心がない。米国・カナダ・インドだけを対象にし、宣伝もほとんどしていないのに、詐欺師たちはすぐに群がってきた
今は粗雑だが、それは私たちが特定の人口統計層を対象にしていて偽装が難しいからにすぎず、すぐに変わると思っている。結局、悪人は入ってくるものだと受け入れるようになったので、彼らが酒棚を荒らしに来ても中に何もないようにすることが重要だ
タイトルの主張には大いに共感する。巨大なデータサイロをめぐるデータレジデンシー、完全性、機密性の対策、それを管理・拡張するインフラチーム、そして最終的にWebに上がる「福音」のような技術記事を見ると驚かされる。企業がそもそもそのデータを収集しなければよいからだ
「データはデバイス上にとどまり、私たちは見ない。多くても最小限の位置統計だけを受け取る」というモデルは気に入っている。ただし、彼らの指標システムが悪用されないという主張には疑問がある。プログラムされたものは再プログラムされたり更新されたりし得るし、特に更新中心の今はなおさらだからだ。ユーザーが決して監視されないよう配慮したという一般的な説明以外には、この点を十分に扱っていないように見えるので、技術記事があれば読みたい
付け加えると、Sentinel Devicesでも産業機械についてまさにこうした「私たちはデータを保持しない」アプローチを取っている。エアギャップされた自動化AIパイプラインを想像すればよい。採用中なので、興味があれば hello@sentineldevices.com まで連絡してほしい
だからB2B SaaSは、SSOにエンタープライズ価格を付けるのをやめ、IdPやOAuth/OIDCのようなフローを単に必須にすべきだ
https://vaultvision.com/blog/what-is-oidc
ユーザー体験はこういう「continue with」ボタンだ
https://id.atlassian.com/login
https://www.xsplit.com/user/auth
そうすれば、失う可能性のあるアカウント認証情報そのものを持たないことになる。個人情報、個人識別情報などはリスク負債だ
関連する概念として Datensparsamkeit がある: https://martinfowler.com/bliki/Datensparsamkeit.html
Maciej Cegłowski の Notes From An Emergency [1] にも似た内容がある
「時間が経っても、誰かが大規模なデータ集合を安全に守り続けられるのかは明らかではない。攻撃と防御の非対称性があまりにも大きいのかもしれない。大規模な防御が可能だとしても、唯一の方法は最高の防御人材を雇うために何百万ドルもつぎ込むことだ。最高レベルのデータ侵害は、脅威が現実であり、継続的であることを示してきた。そして、私たちが知っている侵害が1件あるたびに、何年も気づかないままの静かな侵害がいくつもある。
しかし、防御に成功すればするほど危険は大きくなる。城壁の後ろに十分な宝を積み上げれば、いずれその壁を登れる誰かを引き寄せることになる。封建制はインターネットをより脆弱にし、最終的に侵害が起きたときに惨事になることを保証してしまう」
[1] https://idlewords.com/talks/notes_from_an_emergency.htm
ユーザーデータを保持しないという約束を、契約上のペナルティ付きで行う意思はあるのか？ そうでなければ本気ではない
「Facebook - 無料で、これからもずっとそうです」を思い出すべき
引用されている説明を見ると、ユーザーが入力したすべての写真の暗号化されたバージョンをサーバーに保存するが、鍵は保存しないという意味なのか？
だとすれば、暗号化されたユーザーデータを保存することが必ずしも世界の終わりというわけではないが、なぜユーザーデータをまったく保存していないかのように宣伝するのか分からない。実際には、多くの会社がしているように暗号化されたユーザーデータを保存しているのであり、Backblaze も同じ方式を使っている。もしかすると自分が誤解しているのかもしれない
プライバシーポリシーを見ると: https://matter.xyz/privacy
「このプライバシーポリシーを変更する場合は、ここで更新し、上部の発効日を更新します。全員のメールアドレスを収集していないため、変更内容をメールでお知らせすることはできません。このポリシーの変更は遡及適用されません。」
実質的にはいつでも変更でき、ユーザーはおそらく気づかない
これに違反した場合、ユーザーに執行する力はあるのか？ 弁護士に6桁の金額を払う必要があるのか？ どの法律に基づく、どの損害について？
また、ここで遡及適用されないというのが法的に何を意味するのかもよく分からない。会社が私のデータを持っていてポリシーを変更したら、明日から新しいポリシーに従って私のデータを使えるのか？ どうせ変更に気づかないだろうから、あまり意味はないが
もちろん、会社のプライバシーポリシーが法的にどれほど執行可能なのかを完全に理解しているわけではない
「遡及適用されない」とは、更新された版が既存のデータ利用には適用されないという意味なので、新しいポリシーに従ってユーザーのデータを使う可能性を明示的に排除している
その通り
サイバーセキュリティの仕事をしているが、考え得るすべての脅威を緩和しようとするより、盗まれるデータそのものを持たないことが答えだという確信が日増しに強くなっている
これにゼロトラストと2段階認証/パスキーを組み合わせれば、業界が好む多くのインチキなセキュリティソリューションよりもはるかに大きな効果を出せる