Tyler Durdeni poolt
Kirjutanud Juan Galt BitcoinMagazine.com kaudu,
Androidi uus reegel nõuab kõigilt rakenduste arendajatelt isikuandmete esitamist Google’ile, isegi Play poe väliste rakenduste puhul. Kriitikud väidavad, et see ohustab kasutajavabadust ja ignoreerib lahendusi…
Google’i mobiilseadmete operatsioonisüsteem Android teatas 25. augustil, et kõik rakenduste arendajad peavad enne rakenduste käivitamist “sertifitseeritud Android-seadmetes” oma isiku tuvastama ettevõttega.
Kuigi see võib tunduda Google’i mõistliku sammuna, kehtib see uus standard mitte ainult Google Play poest alla laaditud rakenduste, vaid kõigi rakenduste kohta, sealhulgas nende kohta, mis on “külglaaditud” – st installitud otse seadmetesse ilma Google Play poodi kasutamata. Seda tüüpi rakendusi leiab veebist Githubi hoidlatest või projektide veebisaitidelt ning neid saab otse Android-seadmetesse installida installifailide (nn APK-de) allalaadimise teel.
See tähendab, et kui Google’ile rakendus ei meeldi, olgu see siis seetõttu, et see ei vasta Google’i suunistele, eeskirjadele või majanduslikele huvidele, saab ta lihtsalt takistada teil seda rakendust oma seadmes käitamast. Google blokeerib Android-seadmetes rakenduste käitamise, mis ei kuulu tema pädevusse. Mis on nõue? Kõik arendajad, olenemata sellest, kas nad esitavad oma rakendused Play poe kaudu või mitte, peavad oma isikuandmeid Google’iga jagama.
See otsus tõstatab küsimuse: kui te ei saa oma seadmes ühtegi rakendust ilma Google’i loata käivitada, kas see on siis tõesti teie seade? Kuidas te reageeriksite, kui Windows otsustaks, et saate programme installida ainult Microsoft App Store’ist?
See samm on muidugi teinud pealkirju ja tekitanud tehnoloogia- ja küberturvalisuse meedias elevust, kuna sellel on vaba ja avatud interneti jaoks sügav mõju. Aastaid on Androidi reklaamitud avatud lähtekoodiga operatsioonisüsteemina ning see strateegia on võimaldanud sellel saavutada massilise kasutuselevõtu kogu maailmas, eriti arengumaade kasutajate seas, kus Apple’i “seinaga aia” mudel ja luksusseadmed on taskukohased.
See uus poliitika karmistab kontrolli rakenduste ja nende arendajate üle, ohustades vabadust käitada oma seadmes mis tahes tarkvara äärmiselt õõnestava ja legalistlikul viisil. Arvestades Google’i mõju Androidi nutitelefonidele, tunnevad selle poliitika tagajärgi tõenäoliselt enamik kasutajaid ja seadmeid kogu maailmas.
Android põhjendab poliitikamuudatust murega oma kasutajate küberturvalisuse pärast. Seadmetesse kõrvalinstallitud pahatahtlikud rakendused on toonud kaasa “üle 50 korra rohkem pahavara”, väidab Android oma teadaandeblogis. “Vastutuslikkuse” mõõdupuuna ja konsulteerides erinevate valitsustega üle maailma on Android otsustanud valida “tasakaalustatud lähenemisviisi” ning keel ei saaks olla orwellilikum.
“Need, kes loobuvad olulistest vabadustest ajutise turvalisuse nimel, ei vääri ei vabadust ega turvalisust.”
– Benjamin Franklin
Lihtsamalt öeldes soovib Google koguda tarkvaraarendajate isikuandmeid ja koondada need koos kõigi kasutajate andmetega oma andmekeskustesse, et „kaitsta“ kasutajaid häkkerite eest, keda Google praegu peatada ei suuda.
Lõppude lõpuks, kui Google ja Android suudaksid tegelikult kasutajate isikuandmeid kaitsta, poleks see probleem, eks?
Iroonilisel kombel on Google’i lahendus andmelekke probleemile koguda veelgi rohkem kasutajaandmeid, antud juhul andmeid Androidi platvormi kasutavatelt arendajatelt. Märkimisväärne loogikahüpe, laisk ja põhimõtteliselt dekadentlik, märk sellest, et nad on kaotanud oma eelise ja on tõeliselt unustanud oma nüüdseks kadunud moto “Ära ole kuri”.
Informatsioon tahab olla vaba
Tegelikkus on see, et Google on sattunud dilemma ette, mille on loonud informatsiooni olemus ja digitaalajastu, tsiteerides 90ndate küberpunk-stiilis stjuardessi Brandi: „Informatsioon tahab peaaegu et tasuta olla.“
Iga hüpe, mille isikuandmed – näiteks teie nimi, nägu, kodune aadress või sotsiaalkindlustusnumber – internetis teevad, annab võimaluse neid kopeerida ja jagada. Kui teie andmed liiguvad teie telefonist teie linnas asuvasse serverisse ja seejärel teise Google’i andmekeskuse serverisse, suurendab iga hüpe tõenäosust, et teie andmeid häkitakse ja pakutakse müügiks tumeveebis. See on keeruline probleem, kui kasutajaandmed on sellise hiiglase nagu Google peamine ärimudel, mis neid töötleb ja müüb reklaamijatele, kes omakorda loovad suunatud reklaame.
Brandi infoprintsiibi paikapidavust saame testida kahe põneva statistika abil, millest kummalisel kombel paljud inimesed ei räägi. Esimene on absurdne arv andmehäkke, mis on toimunud viimase 20 aasta jooksul. Näiteks mõjutas Equifaxi andmehäkk 2017. aastal 147 miljonit ameeriklast ja 2024. aasta riiklik avalike andmete häkkimine mõjutas üle 200 miljoni ameeriklase, mille tulemuseks olid andmelekked, sealhulgas sotsiaalkindlustusnumbrid, mida tõenäoliselt müüdi tumeveebis.
Legendaarsed häkkimised, nagu see, mis tabas USA valitsuse personalijuhtimise bürood, kahjustasid tolleaegset suurt hulka USA valitsusametnikke, sealhulgas kõike alates sotsiaalkindlustusnumbritest kuni meditsiiniliste andmeteni.
Pole liialdus öelda, et enamiku ameeriklaste andmed on juba häkitud ja lekitatud ning seda pole lihtne tagasi võtta. Kuidas sa ju saad muuta oma nägu, haiguslugu või sotsiaalkindlustusnumbrit?
Teine statistika, mida keegi esimesega seostada ei suuda, on identiteedivarguste ja -pettuste sagenemine Ameerika Ühendriikides. Kas teadsite, et 2012. aastal teatati identiteedivargustest 24 miljardi dollari väärtuses? See on kaks korda rohkem kui kõik muud varguse vormid samal aastal kokku. Business Insider teatas toona justiitsbüroo statistikale viidates, et “identiteedivargus maksis ameeriklastele 2012. aastal 24,7 miljardit dollarit, samas kui kodumurdmistest, mootorsõidukivargustest ja varavargustest tulenevad kahjud olid kokku vaid 14 miljardit dollarit.” Kaheksa aastat hiljem on see arv kahekordistunud, makstes ameeriklastele 2020. aastal 56 miljardit dollarit kahju. Mõlemad trendid jätkuvad tänapäevalgi. Vana identiteedisüsteemi jaoks, millele me ikka veel nii suuresti toetume, võib tõepoolest olla juba liiga hilja.
Generatiivne tehisintellekt lisab õli tulle, kuna mõnel juhul treenitakse seda lekkinud kasutajaandmete, näiteks pildimudelite abil, mis on võimelised looma võltsitud isikutunnistusega inimestest kvaliteetseid pilte. Tehisintellekti pideva arenedes muutub üha lihtsamaks petta inimesi uskuma, et nad räägivad teise inimesega, mitte robotiga, luues uusi rünnakuvektoreid identiteedipettuste ja -varguste jaoks.
Google aga väidab kindlalt, et probleem võiks lihtsalt kaduda, kui me koguksime veidi rohkem isikuandmeid. See on kindlasti mugav ettevõttele, mille peamine ärimudel on selliste andmete kogumine ja müümine. Muide, kas mõni teine ettevõte on kodanike privaatsusele rohkem kahju teinud kui Google? (Kahtlustan, et Facebook.)
Me usaldame krüptograafiat
Ausalt öeldes, 2000. aastate Web 2 tehnoloogiahiiglaste suhtes pole digiajastul turvalise identiteedi probleem lihtne lahendada. Meie ühiskondade identiteeti puudutavad õigusstruktuurid loodi ammu enne interneti tulekut ja on kõik need andmed pilve viinud. Ainus tegelik lahendus sellele probleemile on praegu krüptograafia ja selle rakendamine usaldusele, mida inimesed oma reaalsetes suhetes aja jooksul loovad.
90ndate küberpunkid said sellest aru ja leiutasid seetõttu kaks olulist tehnoloogiat: PGP ja usaldusvõrgud.
PGP
Phil Zimmermanni poolt 1991. aastal leiutatud PGP oli teerajajaks asümmeetrilise krüptograafia kasutamisel, et lahendada see põhiline probleem, mis puudutab kasutajaandmete privaatsuse kaitsmist, võimaldades samal ajal turvalist kasutajate autentimist, tuvastamist ja turvalist suhtlust.
Kuidas? See on tegelikult üsna lihtne: krüptograafia abil, sarnaselt sellele, mida Bitcoin tänapäeval teeb, et kaitsta üle triljoni dollari väärtuses teavet. Teil on turvaline “parool”, mida hoiate võimalikult saladuses, te ei jaga seda kellegagi ja teie rakendused kasutavad seda hoolikalt teenuste avamiseks, kuid parool ei lahku kunagi teie telefonist. Me saame seda teha, see toimib, on isegi kohandatud riistvara, mis lukustab täpselt sellist teavet. Inimene või ettevõte, kellega soovite ühendust luua, loob samuti turvalise “parooli” ja selle parooliga genereerime igaüks avaliku aadressi või digitaalse pseudonüümiga ID.
Ettevõte krüpteerib sõnumi oma parooli ja teie avaliku aadressiga ning saadab selle teile. Tänu krüptograafia võlujõule saate selle sõnumi oma parooli ja ettevõtte avaliku aadressi abil dekrüpteerida. See on kõik, mida vajame interneti turvalisuse tagamiseks. Need avalikud ID-d ei pea teie kohta mingit teavet avaldama ja teil võib olla iga brändi või identiteedi jaoks eraldi ID, mis teil võrgus on.
Usalduse võrgustikud
Aga lisaks on ka maine küsimus: kuidas sa tead, et ettevõte, kellega sa ühendust luua üritad, on ikka see, kellena ta end väidab end olevat? Küberturvalisuses nimetatakse seda vahemehe rünnakuks, kus pahatahtlik kolmas osapool teeskleb inimest, kellega sa tegelikult ühendust luua üritad.
Küberpunkid lahendasid selle probleemi 1990. aastatel, arendades usaldusvõrgustike kontseptsiooni reaalsete tseremooniate kaudu, mida nimetati “allkirjastamispidudeks”.
Kui me isiklikult kohtume, otsustame, et usaldame teineteist või kinnitame, et tunneme teineteist juba ja usaldame teineteist piisavalt, et teineteise avalikke ID-sid allkirjastada. Sisuliselt anname teineteisele krüptograafilise usaldushääle, mida kaalub meie bränd või avalikult tuntud nimi. See on sarnane kellegi jälgimisega avalikul foorumil nagu Twitter; see on PGP-ekvivalent ütlemisele: “Ma olen Bobiga kohtunud, ma tunnen XYZ-i tema avaliku ID-na ja ma kinnitan tema autentsust.”
Kuigi see kõlab tüütult, iganenult ja justkui poleks see kunagi kogu maailmale skaleeritav, on tehnoloogia 1990. aastatest saadik tohutult arenenud. Tegelikult on see põhiloogika see, kuidas internet tänapäeval turvatud on.
Mäletate rohelist lukku, mis varem igal veebisaidil ilmus? See oli PGP-laadne krüptograafiline käepigistus teie arvuti ja külastatud veebisaidi vahel, millele oli alla kirjutanud sertifitseerimisasutus või kolmas osapool internetis. Nendest sertifitseerimisasutustest on saanud avaliku usalduse tsentraliseeritud haldajad ja nagu paljud teisedki tänapäeva institutsioonid, peavad need tõenäoliselt olema detsentraliseeritud.
Sama loogikat saab rakendada APK-de verifitseerimisel ja autentimisel usaldusvõrgustike loomise kaudu. Avatud lähtekoodiga tarkvara räsitakse tarkvara andmetest tuletatud unikaalseks ID-ks ja see räsi allkirjastatakse endiselt arendajate PGP-võtmetega. Tarkvara räsi, avalikud PGP-ID-d ja allkirjad avaldatakse koos tarkvaraga, et teised saaksid neid üle vaadata ja kontrollida.
Kui te aga ei tea, kas avalik PGP ID on autentne, on allkiri kasutu, kuna selle võis luua veebipettur. Kasutajatena vajame linki, mis kinnitab, et avalik ID kuulub tegelikule rakenduse arendajale.
Hea uudis on see, et seda probleemi saab tõenäoliselt lahendada ilma globaalset jälgimisriiki loomata, mis annab kõik meie andmed selle maailma Google’itele üle.
Näiteks kui ma tahan alla laadida rakenduse Ida-Euroopa arendajalt, siis ma ilmselt ei tunne teda ega saa tema avalikku ID-d kontrollida, aga ma võin tunda kedagi, kes käendab kellegi eest, kes seda arendajat tunneb. Isegi kui ma olen sellest inimesest vaid kolme või nelja sammu kaugusel, suureneb tema ehtsuse tõenäosus järsult märkimisväärselt. Kolme või nelja ühendusesammu võltsimine usaldusväärses võrgus on kiiret võitu otsivatele häkkeritele väga kulukas.
Kahjuks pole need tehnoloogiad laialdaselt levinud väljaspool paranoia kõrgtehnoloogilist maailma ega ole saanud nii palju rahastust kui enamiku interneti andmekaevandamise ärimudel.
Kaasaegsed lahendused
Mõned tänapäevased tarkvaraprojektid tunnistavad seda loogikat ja töötavad olemasolevate probleemide lahendamise nimel, et kasutajad saaksid krüptograafilisi usaldusvõrgustikke hõlpsalt kasutada ja skaleerida. Näiteks Zapstore.dev arendab alternatiivset rakenduste poodi, mis on kaitstud krüptograafiliste usaldusvõrgustikega, kasutades Bitcoiniga ühilduvat krüptograafiat. Projekti rahastab OpenSats, mittetulundusühing, mis edendab Bitcoiniga seotud avatud lähtekoodiga tarkvara arendamist.
Küberturvalisuse entusiastide seas populaarseks muutunud Androidi operatsioonisüsteemi haru Graphene on loonud ka alternatiivse rakenduste poe, mis lahendab paljud neist probleemidest ilma rakenduste arendajaid DOX-imata ning toimib üliturvalise operatsioonisüsteemina, mis on loodud lahendama paljusid tänapäeva Androidi privaatsus- ja turvaprobleeme.
Kuigi see võib tunduda ebatõenäoline, on suhtluskanalite ja digitaalsete identiteetide krüptograafiline autentimine ainus asi, mis suudab meid isikuandmete häkkimise eest kaitsta. Entroopia ja krüptograafia loodud juhuslikkuse turvalisus on ainsad asjad, mida tehisintellekt ei suuda võltsida. Sama krüptograafia aitab meil digitaalajastul end autentida ilma, et peaksime oma isikuandmeid iga vahendajaga jagama, kui me seda õigesti kasutame.
Kas see uus Androidi poliitika jääb püsima või kas piisav avalik protest suudab selle peatada ning paremad lahendused populaarseks ja omaks võtta, jääb veel näha, kuid tõde on selge: on olemas parem tee edasi; me peame lihtsalt selle ära tundma ja valima.
