Emme voi piilottaa skanneria koodiin, jota voit lukea.
Asiakaspään skannaus tarkastaa sisällön omalla laitteellasi — ennen kuin se salataan tai sen jälkeen, kun se on purettu. Sitä esitetään usein tapana "suojella lapsia rikkomatta salausta". Tämä kehys on harhaanjohtava. Asiakaspään skannaus ei riko päästä päähän salausta matemaattisesti; se ohittaa sen. Salaus toimii edelleen. Tarkastus tapahtuu yksinkertaisesti siinä ainoassa paikassa, jossa viestisi on vielä selväkielisenä: laitteellasi.
Miten sen on tarkoitus toimia
- Havaintotiiviste — sormenjälki, joka on suunniteltu kestämään koon muutokset, rajaukset ja uudelleenkoodaukset — lasketaan laitteellasi jokaiselle kuvalle tai tiedostolle.
- Tätä sormenjälkeä verrataan laitteelle toimitettuun tietokantaan tunnettujen laittomien materiaalien tiivisteistä.
- Osumat merkitään ja raportoidaan — ennen kuin sisältö koskaan salataan ja lähetetään.
Mitä tutkimus itse asiassa osoittaa
Asiakaspään skannausta on tarkasteltu läheltä kryptografiyhteisössä, käyttäen Applen ehdottamaa NeuralHash-järjestelmää vertailutapauksena. Löydökset ovat johdonmukaisia, ja ne leikkaavat molempiin suuntiin:
- Sitä voivat välttää ne, joihin se kohdistuu.Vertaisarvioitu työ NeuralHashista osoitti, että tiivisteen laskenta ei ole kestävä gradientti-tai muunnospohjaista kuvamanipulaatiota vastaan: pienet muutokset päihittävät havaitsemisen, mutta kuva pysyy ihmissilmälle muuttumattomana.
- Sitä voidaan aseistaa niitä vastaan, joihin se ei kohdistu.Sama tutkimuslinja — ja myöhemmät mustan laatikon törmäyshyökkäykset sekä NeuralHashia että Microsoft PhotoDNA:ta vastaan — osoitti, että hyökkääjä voi muokata tavallista kuvaa, kunnes sen sormenjälki vastaa merkittyä. Viaton kuva voidaan muotoilla laukaisemaan hälytys jonkun toisen laitteella.
- Lista on rakenteeltaan auditoimaton.Laite vertaa tiivisteisiin, ei kuviin. Kukaan operaattorin ulkopuolella ei voi varmistaa, mitä tietty tiiviste vastaa. Järjestelmä, joka on rakennettu tunnistamaan yhden sisältötyypin, tunnistaa mitä tahansa, mitä lista sanoo sen tunnistavan.
Apple ehdotti juuri tätä — NeuralHash, joka skannaa iCloud Photos -lataukset laitteella — ja päätti harkinnan jälkeen olla jatkamatta. Sitä ei koskaan julkaistu.
Miksi se on takaovi
Takaovea ei määritellä tarkoitus. Se määritellään kyvykkyydellä: mekanismi, jonka kautta joku muu kuin osallistujat voi lukea sisällön. Asiakaspään skannaus on täsmälleen tämä mekanismi, asennettuna ainoaan kohtaan, jossa lukeminen on vielä mahdollista. Kun koukku on olemassa, se, mitä se skannaa, on käytäntöasetus, ei tekninen — ja käytännöt muuttuvat.
päästä päähän salattu-palvelu, jossa on skanneri laitteella, ei ole päästä päähän salattu-palvelu. Se on valvontapalvelu, jossa on salattu siirtoyhteys.
Miksi uOS ei sellaista toimita
- Ei ole binaaria, johon se voitaisiin piilottaa.uOS on verkkokäyttöjärjestelmä: asiakasohjelma toimitetaan selaimeesi ja suoritetaan siellä. Koodi, joka suoritetaan, on koodi, jonka voit avata selaimen kehittäjätyökaluissa. Skanneria ei voitaisi lisätä hiljaa — se sijaitsisi koodissa, jota voit lukea, joka ikisellä latauksella.
- Se rikkoisi rajan, jolle koko järjestelmä on rakennettu.Jokainen sovellus uOS:ssä perii yhden postkvantti--, päästä päähän salattu-rajan. Laitepuolen skanneri on reikä tässä rajassa kaikille sovelluksille kerralla — ei vain viesteille.
- Emme toteuta sitä, ja kiistämme minkä tahansa määräyksen sellaisesta.Mikä tahansa mekanismi, joka tarkastaa sisällön ennen salausta, on takaovi riippumatta sen ilmoitetusta tarkoituksesta. Jos määräys vaatii sellaisen, haemme tuomioistuimen arviointia ennen minkäänlaista noudattamista.
Mistä tämä liittyy Chat Control:ään
Sen kiistellyimmässä muodossa CSAR ("Chat Control 2.0") vaatisi, että myös päästä päähän salattu-palvelut tunnistavat tunnettua materiaalia — mikä salatun palvelun kohdalla voi tarkoittaa vain skannausta laitteella. Siksi asiakaspään skannauskeskustelu ja Chat Control-keskustelu ovat sama keskustelu. Kantamme asetukseen seuraa suoraan tämän sivun teknisistä tosiasioista.