«Su cosa le corporazioni hanno basato la vostra privacy», Artur Khachuyany (Tazeros Global)

Giornata della protezione dei dati personali, Minsk, 2019. Organizzatore: l'organizzazione per i diritti umani Human Constanta.

Moderatore (di seguito – M): – Artur Khachuyan si occupa di… Posso dire "sul lato oscuro" nel contesto della nostra conferenza?

Artur Khachuyan (di seguito – AK): – Sul lato delle corporazioni – sì.

D: – Raccoglie i vostri dati e li vende alle corporazioni.

AK: – In realtà no…

D: – E lui ci parlerà proprio di come le corporazioni possono usare i vostri dati, cosa succede ai dati quando entrano online. Probabilmente non dirà cosa farci. Ci penseremo dopo…

AK: – Racconterò, racconterò. In realtà non parlerò a lungo, ma all'evento precedente mi è stato presentato qualcuno a cui "Facebook" ha persino bloccato l'account del cane.
Ciao a tutti! Mi chiamo Artur. Mi occupo realmente di elaborazione e raccolta dati. Naturalmente, non vendo a nessuno informazioni personali in forma pubblica. Scherzo. Il mio campo è l'estrazione di conoscenze dai dati presenti in fonti aperte. Quando qualcosa non è legalmente considerato dati personali, ma da cui si possono estrarre conoscenze e renderle significative come se fossero ottenute da dati personali. Non racconterò nulla di pericoloso. Qui si parla di Russia, ma ho anche dati sulla Bielorussia.

Quali sono le reali dimensioni?

Appena due giorni fa ero a Mosca con uno dei partiti di governo (non dirò quale), e stavamo discutendo l'implementazione di un progetto. E così, il direttore IT di quel partito si alza e dice: «Avete parlato, numeri e così via, sapete, mi hanno preparato un'appunto 2° dipartimento del FSB, in cui è scritto che ci sono 24 milioni di russi sui social media. E voi dite – più di 120 e qualcosa. In realtà, più di trenta [milioni] non usano internet». Rispondo: «Davvero? Beh, ok».

Le persone in realtà non comprendono l'ampiezza. Non si tratta necessariamente di enti statali, che probabilmente non capiscono appieno come funziona Internet, ma anche di mia madre, per esempio. Solo ora sta iniziando a capire che la carta che le danno al "Perekrestok" non è solo un'offerta di sconti miseri, ma che i suoi dati vengono utilizzati nell'OFD, negli acquisti, nei modelli previsionali e così via.

In generale, ci sono così tante persone, e per così tante sono disponibili informazioni in fonti aperte. Di alcuni si conosce solo il cognome, di altri si sa tutto, fino ai contenuti per adulti che apprezzano (ne parlo sempre per scherzo, ma è davvero così); e tantissime informazioni: quanto spesso viaggiano, con chi escono, quali acquisti fanno, con chi vivono, come si muovono – ci sono molte informazioni che possono essere utilizzate da persone brutte, persone non molto brutte e persone buone (non so neanche quale scala inventare adesso, ma tant'è).

Esistono dei social network che sono, ovviamente, un enorme insieme di dati aperti, sfruttando la vulnerabilità delle persone che sembrano preoccuparsi della loro privacy. E in realtà è così: se si pensa a un grafico degli ultimi 5 anni, il livello di isteria riguardo ai dati personali sta crescendo, ma allo stesso tempo il numero di account chiusi sui social media diminuisce di anno in anno. Potrebbe non essere del tutto corretto trarre conclusioni da questo, ma: la prima cosa che ferma qualsiasi azienda che raccoglie dati è semplicemente un account chiuso sui social media, perché l'opinione di una persona all'interno del proprio account chiuso, se non ha 100.000 follower, non è davvero molto interessante per qualche analisi; ma ci sono anche casi eccezionali.

Da dove prendono informazioni su di noi?

Vi è mai capitato di ricevere richieste di amicizia da vecchi compagni di scuola con cui non parlate da tempo, per poi vedere quel profilo scomparire? C'è un fenomeno tra i malintenzionati che raccolgono numeri di telefono: analizzano gli amici (e la lista degli amici è quasi sempre visibile, anche se una persona ha reso privato il proprio profilo, oppure la lista può essere recuperata "all'indietro" raccogliendo gli altri utenti), prendono un vostro amico inattivo, copiano il suo profilo, vi inviano una richiesta di amicizia, voi lo aggiungete e dopo due secondi il profilo viene eliminato; nel frattempo, tuttavia, la copia del vostro profilo rimane. Questo è proprio ciò che è successo recentemente, quando 68 milioni di profili da "Facebook" sono spariti da qualche parte: venivano aggiunti in questo modo, copiando queste informazioni, e persino inviando messaggi privati a qualcuno, facendo diverse operazioni...

I social media sono una fonte enorme di informazioni; praticamente nell'80% dei casi, le informazioni su una persona specifica non vengono raccolte direttamente, ma provengono dal suo cerchio più stretto. Si tratta di vari tipi di conoscenze indirette, segni (noi lo chiamiamo «algoritmo dell'ex cattiva», perché una mia amica mi ha spinto a questa idea geniale). Non ha mai tenuto d'occhio il suo ragazzo, ma seguiva sempre cinque dei suoi amici e sapeva sempre dove si trovava. In effetti, questo potrebbe essere il soggetto di un intero articolo scientifico.

Ci sono un sacco di bot che fanno anche cose buone e cattive. Ce ne sono di innocui, che si iscrivono semplicemente a te per poi pubblicizzarti dei cosmetici; e ci sono reti più serie, che cercano di imporre la loro opinione, specialmente prima delle elezioni. Non so come sia in Bielorussia, ma a Mosca, prima delle elezioni municipali, mi sono ritrovato con un'enorme quantità di amici strani, ognuno dei quali sostiene un diverso candidato. Non analizzano affatto il contenuto che consumo — cercano semplicemente di imporre una riforma incomprensibile, considerando che non sono neppure registrato a Mosca e non andrò a votare.

Una discarica è una fonte di informazioni pericolose

Inoltre, c'è "Tor", che non è tanto sottovalutato – tutti pensano che sia necessario entrarci solo per comprare droghe o scoprire come si assemblano le armi. Ma in realtà ci sono molte fonti di dati. Quasi tutte sono illegali (o semi-legali), perché potrebbero provenire da qualche sito hacker dove è stata violata la base di dati delle compagnie aeree. Legalmente, non puoi usare queste informazioni, ma se ne trai qualche conoscenza (come in un tribunale americano), ad esempio una registrazione audio effettuata senza un mandato, non puoi utilizzarla, ma le informazioni che hai acquisito da quella registrazione non le dimenticherai mai – e qui è più o meno lo stesso.

È davvero una cosa molto pericolosa, quindi scherzo sempre, ma è vero. Ordino sempre il cibo dal vicino, perché "Delivery Club" ha spesso problemi, e ci sono davvero delle difficoltà. Di recente sono rimasto molto sorpreso: stavo ordinando prodotti e sulla scatola che portavo alla spazzatura c'era un adesivo con scritto – "Artur Khachuyan", numero di telefono, indirizzo dell'appartamento, codice del citofono e e-mail. Abbiamo persino cercato di metterci in contatto con il municipio di Mosca per chiedere l'accesso al deposito dei rifiuti: in sostanza, andare al magazzino dei rifiuti e, per curiosità, cercare qualche riferimento ai dati personali – fare qualcosa come una mini-ricerca. Ma ci hanno rifiutato quando hanno scoperto che volevamo andare con i dipendenti di Roskomnadzor.

Ma in realtà è proprio così. Hai visto il fantastico film "Hackers"? Frugavano nei rifiuti per trovare un frammento di virus. Questo è un fenomeno piuttosto comune: le persone, dopo aver buttato qualcosa in fonti aperte, se ne dimenticano. Potrebbe essere un sito scolastico su cui scrivevano una tesi sulla supremazia della razza bianca, e poi sono andati alla Duma di Stato e se ne sono dimenticati. Questi casi sono davvero accaduti.

Cosa mettono 'i giapponesi' tra i mi piace?

Se entrai nel "top" del sito "Lifnews"... Due anni fa, alcuni studenti hanno condotto una ricerca: hanno preso tutti i partecipanti alle primarie di "Russia Unita" (hanno ufficialmente inviato i loro account sui social al CEC), hanno osservato cosa mettevano tra i loro mi piace - pornografia infantile, trash, annunci incomprensibili da strane donne adulte... Insomma, le persone si sono un po' dimenticate di questo.

Poi hanno scritto una lettera dicendo che venti persone avevano subito il furto dei loro account. Ma gli account sono stati rubati due settimane fa, otto mesi fa li avevano presentati al comitato elettorale, e i like risalgono a due anni fa... Insomma, capite, sì? C'è realmente una grande quantità di informazioni che possono sempre essere utilizzate anche a fini di ricerca.

Piccolo off-topic: ieri ho visto una notizia che la Roskomnadzor ha bloccato ricerche di studenti della "vishka" di due anni fa. Qualcuno ha visto questa notizia, no? I miei studenti hanno fatto una ricerca: provenivano da "Tor", dal sito "Hydra", dove si vendono droghe (scusate - da "Ramp"), hanno raccolto informazioni su cosa, quanto, e in quale regione della Russia costa, e hanno realizzato uno studio. Si intitolava "La cesta del consumatore del festaiolo". È sicuramente una cosa divertente, ma dal punto di vista dell'analisi dei dati è davvero un dataset interessante – ho anche partecipato ad vari "hackathon" per altri due anni. È una cosa reale – ci sono molte cose interessanti.

Come Get Contact ha "comprato le anime" degli utenti curiosi e perché è importante leggere i termini di utilizzo.

Di solito, quando chiedi a qualcuno quale fuga di dati lo spaventi di più (specialmente se ha la webcam coperta), la sua priorità è sempre questa: hacker, stati, corporation.

Certo, è una battuta. Ma in realtà, i data analyst attivi e i vari ricercatori di dati hanno rubato molto più di quanto mi sembri spaventoso, che siano russi, americani o hacker di qualsiasi altra nazionalità (inserisci qualsiasi, a seconda delle tue convinzioni politiche). In generale, tutti temono questo – probabilmente avete tutti la webcam coperta, vero? Potete anche non alzare le mani.

Ma se gli hacker fanno qualcosa di illegale e lo Stato ha bisogno di un'autorizzazione legale per ottenere dati, per le ultime persone [aziende] non serve nulla, perché hanno una cosa chiamata accordo con l'utente, che nessuno legge mai nella vita. Spero davvero che tali eventi spingano le persone a leggere gli accordi. Non so come sia in Bielorussia, ma a Mosca, a metà di quell'anno, c'è stata un'ondata dell'app "GetContact" (siete stati probabilmente a conoscenza), quando è comparsa un'app sconosciuta che dice: dammi accesso a tutti i tuoi contatti, e noi ti mostreremo come eri divertente con i tuoi contatti.

Ne è stata parlata poco nei media, ma molti alti funzionari mi hanno lamentato che le telefonate sono cominciate a diventare incessanti. A quanto pare, gli amministratori hanno deciso di cercare il numero di Shoigu in quel database, così come di qualcun altro... Volochkova... Una cosa innocua. Ma chi ha letto il contratto di licenza di 'GetContact' sa che è specificato: spam in quantità illimitata e per tempo illimitato, vendita dei vostri dati a terze parti senza alcun controllo, senza limitazione dei diritti, della prescrizione e di tutto ciò che è possibile. In effetti, non è una storia così rara. Mentre ero su 'Facebook', ricevevo 15 notifiche al giorno che dicevano: 'Sincronizza i contatti e ti troverò tutti i tuoi amici!'

Alle corporazioni non importa. Legge 152 e GDPR

Ma in realtà le priorità sono invertite, perché è il diritto privato a proteggere le corporazioni e quindi nella maggior parte dei casi è praticamente impossibile dimostrare che esse abbiano torto. E considerando che sono grandi, temibili e molto costose, è praticamente impossibile. E se ci si trova anche in Russia, con una legislazione obsoleta, la situazione diventa piuttosto triste.

Sai cosa distingue la legge russa (che è praticamente identica a quella bielorussa) dal GDPR, ad esempio? La legge 152 russa protegge i dati (un retaggio del passato sovietico) - un documento che tutela i dati da eventuali perdite. Il GDPR, invece, tutela i diritti degli utenti: il diritto di non perdere determinate libertà, privilegi o altro, perché i loro dati possano essere compromessi (introducendo il concetto di "data leak"). Da noi, ciò che ti può essere contestato è una multa per non avere un "Excel" certificato per il trattamento dei dati personali. Spero che un giorno tutto ciò cambi, ma non credo accadrà nel prossimo futuro.

Quali sono le reali possibilità di targeting oggi?

La prima, forse, è la storia spaventosa di cui tutti pensano sempre: la lettura dei messaggi personali. Sicuramente tra voi c'è qualcuno che ha mai detto qualcosa ad alta voce, e poi ha ricevuto pubblicità mirata. Ce ne sono stati, giusto? Alzate la mano.

In realtà, non credo alla storia secondo cui il «Yandex Navigator» riconosca direttamente l'audio in streaming per tutti gli utenti, perché coloro che hanno avuto qualche esperienza con il riconoscimento vocale capiscono che: innanzitutto, il data center di Yandex dovrebbe essere cinque volte più grande; ma soprattutto, il costo per coinvolgere una persona simile sarebbe enorme (per riconoscere e capire ciò di cui parla una persona in streaming). Tuttavia! Ci sono realmente algoritmi che vi etichettano in base a determinate parole chiave, per poi realizzare qualche comunicazione pubblicitaria.

Sono stati condotti molti di questi studi, e io ho creato conti puliti centinaia di volte, scrivendo qualcosa a qualcuno nei messaggi, e poi improvvisamente ricevevo pubblicità apparentemente non correlata. In realtà, ci sono due conclusioni. Contro questa narrativa, si sostiene che la persona finisca semplicemente in un certo campione statistico; ad esempio, sei un uomo di 25 anni che in quel momento deve affrontare corsi di inglese proprio mentre hai scritto a qualcuno. Almeno, Facebook in tribunale afferma sempre che esiste un certo modello di comportamento, che non ti mostreremo, costruito su dati che non ti mostreremo, abbiamo ricerche interne che non ti mostreremo sicuramente (perché sono segreti commerciali); in sintesi, sei finito in un certo campione statistico, ed è per questo che ti abbiamo mostrato questo.

Come Facebook ha scatenato la furia per la privacy degli utenti

Sfortunatamente, non è affatto possibile dimostrarlo se non hai qualcuno all'interno dell'azienda che possa in qualche modo confermare queste azioni. Tuttavia, nel diritto americano, in questo caso, un accordo di non divulgazione di quel dipendente ha più valore del suo desiderio di aiutarti, quindi nessuno lo farà. È interessante notare che circa un anno o un anno e mezzo fa è iniziata a svilupparsi una tendenza negli Stati Uniti in cui le persone installavano un'estensione del browser per cifrare i messaggi di Facebook: scrivi qualcosa a qualcuno, viene cifrato sul dispositivo con una chiave e inviato in chiaro come nonsense.

Ecco, "Facebook" ha fatto causa a questa azienda per un anno e mezzo, e non è chiaro su quali basi (perché non sono esperto di diritto americano) li ha costretti a rimuovere questa applicazione, e poi ha modificato il contratto di utilizzo: se guardate, c'è un punto che dice che non potete trasmettere messaggi in forma crittografata – è descritto in modo tale che non potete usare algoritmi crittografici per modificare i messaggi – insomma, c'è questa condizione. In altre parole, hanno detto: o usi la nostra piattaforma, scrivi in modo pubblico, oppure non scrivi affatto. E qui sorge la domanda: a cosa servono a loro i messaggi personali?

I messaggi personali sono una fonte di informazioni completamente affidabili.

Qui c'è una cosa molto semplice. Tutti coloro che si occupano dell'analisi delle tracce digitali e dell'attività umana cercano di utilizzare questi dati per il marketing o altro – hanno una metrica chiamata affidabilità. In altre parole, un'immagine della persona – e lo capite bene, non è la persona stessa – questa immagine è sempre leggermente più efficace, leggermente migliore. I messaggi personali contengono conoscenze reali che si possono ottenere su una persona e sono praticamente sempre al 100% affidabili. Beh, perché raramente qualcuno scrive messaggi personali mentendo, e tutto questo è facilmente verificabile – in base ad altri messaggi (capite di cosa parlo). Il punto è che le conoscenze estratte in questo modo sono quasi al 100% affidabili, quindi tutti cercano sempre di ottenerle.

Tuttavia, è tutto comunque una storia molto difficile da dimostrare. Coloro che credono che il social network "VKontakte" conceda l'accesso alle forze dell'ordine ai messaggi privati non hanno del tutto ragione. Se guardate la cronologia delle richieste giudiziarie per il rilascio di informazioni, vedrete come "VKontakte", o meglio Mail.ru, riesca a schivare queste richieste in modo molto astuto.
Il loro argomento principale è sempre questo: per legge, le forze dell'ordine devono giustificare il motivo per cui richiedono l'accesso ai messaggi privati. Di solito, se si tratta di un omicidio, l'investigatore dice sempre che è molto probabile che l'individuo abbia rivelato dove ha nascosto l'arma (nei messaggi privati). Ma noi sappiamo che nessun criminale di buon senso scriverebbe mai su "VKontakte" ai suoi complici riguardo a dove abbia nascosto un'arma da fuoco. Ma questo è uno dei motivi più comuni che vengono presentati dai funzionari.

Ecco un altro esempio piuttosto inquietante (mi hanno chiesto di portare esempi inquietanti oggi) – riguardo alla Russia (spero che in Bielorussia non accada): secondo la legge, un investigatore deve avere motivi sufficientemente validi per richiedere a un operatore di divulgare queste informazioni. Naturalmente, non ci sono descrizioni attendibili da nessuna parte (quali dovrebbero essere e in quale forma), ma in Russia ci sono sempre più casi in cui per il tribunale si presenta una base, se esiste un modello che ha previsto un certo comportamento, buono o cattivo.

Cioè, nessuno può essere arrestato (e questo è positivo) solo perché è finito in un certo campione statistico di criminali seriali – e questo è positivo, perché viola la presunzione di innocenza; ma ci sono precedenti in cui i risultati di tali previsioni sono stati utilizzati per ottenere un'autorizzazione giudiziaria alla ricezione dei dati. E non solo in Russia, per la cronaca. Anche in America esiste una cosa simile. Lì 'Palantir' ha già da tempo implementato anche questi sistemi. Una storia inquietante.

Questa è una mia ricerca. Abbiamo fatto qualcosa del genere: abbiamo passeggiato per San Pietroburgo, nei luoghi contrassegnati con punti verdi abbiamo scritto alcuni punti chiave agli amici da account "puliti" — tipo "voglio prendere un caffè", "dove posso comprare il detersivo per lavatrice?", e così via. E poi, di conseguenza, ricevevamo pubblicità geolocalizzate. In che modo magico… O come si diceva: "Coincidenza? Non lo penso!" Questi sono messaggi personali su "VKontakte". Mi perdoni Mail.ru, ma è così. Chiunque desideri può ripetere un esperimento simile.

A proposito, quando abbiamo scritto una richiesta all'assistenza, Mail ha detto che c'erano dei punti wi-fi che hanno catturato il tuo indirizzo MAC. Questo succede anche.

Modi di ottenere e varianti comuni di "svaligiamento" dei dati personali

La storia successiva riguarda l'estrazione di conoscenze aggiuntive, di cui ho toccato in realtà un piccolo frammento. Un profilo sociale completamente compilato contiene effettivamente il 15–20% delle conoscenze reali che un operatore di dati conserva su una persona. Tutto il resto della storia proviene da elementi molto interessanti. Perché, pensate, Google sviluppa così intensamente librerie per la visione artificiale? In particolare, sono stati tra i primi a sviluppare librerie specificamente per l'analisi e la categorizzazione degli oggetti – che siano sullo sfondo o in primo piano, non importa dove. Perché rappresenta una enorme fonte di informazioni aggiuntive riguardo a quali sono le caratteristiche di un'abitazione, un'automobile, dove vive una persona, oggetti di lusso…

Ci sono stati vari leak 'hacker' in cui sono state diffuse reti neurali addestrate da Google (non so a chi appartenessero, ma tant'è). C'era molto interessante riguardo alla dimensione del seno, al volume della vita – cosa non cercava la gente sugli altri analizzando le foto! Perché, quando una persona scatta una foto, non sempre pensa a quanto si possa scoprire da essa? E quante volte in Russia vengono pubblicati i passaporti dei neonati?.. O: 'Evviva, il mio bambino ha ottenuto il visto!' Questo è davvero un dolore della società moderna.

Un altro off-topic (oggi condividerò alcuni fatti): a Mosca il leak più comune di dati personali è quello legato ai servizi di utilità, quando viene affissa alla porta una lista dei debitori, e questi debitori poi fanno causa, perché i loro dati personali sono stati resi pubblici senza il loro consenso. Potrebbe succedere anche a voi... Il punto è che una persona, quando fa qualcosa, non sa cosa c'era in quella foto e cosa non c'era. Ora ci sono molte più targhe automobilistiche.

Un tempo abbiamo condotto uno studio per capire quante persone avevano foto di veicoli aperte (il che implica, ovviamente, che abbiano violazioni e simili) — sfortunatamente, questo era possibile solo con le banche dati rubate della GIBDD, dove sono presenti solo i numeri (informazioni non molto affidabili), ma era comunque interessante.

La tua prossima pubblicità dipende da come hai "consumato" quella precedente.

Questa è la prima storia. La seconda storia riguarda i modelli comportamentali e il contenuto che consuma una persona, perché una delle metriche principali che i social media cercano di costruire su di voi è come interagite con la pubblicità. Per quanto sofisticati e 'incredibili' possano essere gli algoritmi, e per quanto bene possano funzionare le intelligenze artificiali e tutto il resto, la vera priorità di un social network è sempre guadagnare denaro. Pertanto, se una certa 'Coca-Cola' viene e dice: 'Voglio che il mio post venga visto da tutti i cittadini della Bielorussia', essi lo vedranno, indipendentemente da ciò che gli algoritmi pensano di quella persona e da come possono targetizzarla. È probabile che abbiate ricevuto pubblicità che, oltre a essere super-targetizzata, è completamente priva di attinenza. Perché per quella pubblicità priva di attinenza sono stati pagati molti soldi.

Una delle metriche principali è capire quale contenuto interagisci meglio, ossia come reagisci a esso, affinché ti venga mostrata una storia pubblicitaria simile. Questo rappresenta anche una misura di come interagisci con la pubblicità: chi la blocca, chi no, come una persona clicca, se legge solo i titoli o si immerge completamente nel materiale; e poi, sulla base di questo, continuare a tenerti in quello che oggi chiamiamo "bolla dei filtri", affinché tu continui a interagire con quel contenuto.

Se mai un giorno vi dovesse interessare, provate a bloccare tutta la pubblicità dai social media per un lungo periodo, una settimana o forse un mese: ogni volta che vi appare un annuncio, lo chiudete. Se analizzate questa situazione e la sovrapponete a un grafico, emergerà una storia interessante: se nella settimana bloccate la pubblicità, nella settimana successiva ve la faranno vedere in una versione rafforzata e proveniente da categorie diverse; in altre parole, se amate i cani e vi viene mostrata pubblicità sui cani – se bloccate tutti gli annunci sui cani, continueranno a mostrarvi una varietà di contenuti disparati da diverse categorie, nel tentativo di capire cosa vi serve.

E alla fine, verrai contrassegnato come una persona che non interagisce con la pubblicità, riceverai un segno di esclusione e a quel punto inizieranno a mostrarti solo la pubblicità di marchi ricchi. Questo significa che vedrai solo pubblicità di 'Coca-Cola', 'Kit Kat', 'Unilever' e tutte quelle aziende che investono enormi somme di denaro per aumentare le visualizzazioni. Fai un esperimento per un mese: per una o due settimane blocca tutta la pubblicità, poi guarda tutto ciò che appare e blocca, e alla fine vedrai solo pubblicità, come si scopre (e dicono le agenzie pubblicitarie), solo dei clienti che pagano per le visualizzazioni, perché è impossibile capire come interagisci con quella pubblicità.

Le persone che tendono a immergersi profondamente nei contenuti guardano più frequentemente pornografia.

Di conseguenza, qui si parla di vari tipi di tracciamento del comportamento. Ho un esempio interessante: i visitatori di un sito web governativo. La cosa divertente è che più a fondo le persone esplorano, più tende a prevalere il desiderio di contenuti pornografici rispetto a relazioni tradizionali. Scusatemi se ne parlo sempre, ma ho davvero un buon rapporto con «Pornhub», e si tratta sempre di ricerche molto affascinanti, poiché è un tema che, pur essendo considerato tabù, rivela molto sulla natura umana. E i punti successivi riguardo al ritorno del traffico… Ne parleremo ancora di «Pornhub»!

Cosa si considera dati personali e si può sbloccare un iPhone con un modello 3D del viso?

Il mio preferito è aggirare la legge sulla protezione dei dati personali. Se leggete la documentazione tecnica dello stesso 'Facebook', che ha fornito alcuni documenti interni (ad esempio, in tribunale), non troverete menzioni sul riconoscimento facciale o sull'analisi vocale. Troverete formulazioni molto complesse, che nessun avvocato qualificato saprebbe trovare nella legislazione. In Russia funziona più o meno allo stesso modo – vi mostro subito qualcosa del genere.

Cosa vedete qui? Qualsiasi persona normale direbbe che si tratta di un volto. Questo, peraltro, è Sasha Grey, a mio avviso. E legalmente è una matrice di punti tridimensionali, di cui qui ce ne sono 300.000. Che sia buono o cattivo, ma secondo la legge non è considerato dati personali. Infatti, il Roskomnadzor russo non considera una singola fotografia come dati personali; la considera tali solo se ci sono ulteriori informazioni (come nome e cognome o numero di telefono), mentre la fotografia da sola non conta affatto. Quando è stata introdotta la legge sulla biometria e i dati biometrici sono stati equiparati ai dati personali (in modo molto grossolano), tutti hanno iniziato a dire: questi non sono dati biometrici, sono solo un insieme di punti! Soprattutto, se si prende da questo insieme di punti una trasformazione diretta o inversa di Fourier, sembra che non si possa deanonimizzare la persona da questa trasformazione, ma si può identificarla. Teoricamente, questa legge non viola nulla.
Inoltre, ho condotto un'altra ricerca: si tratta di un algoritmo che costruisce una ricostruzione tridimensionale del volto da fonti open source — prendiamo un profilo su Instagram e si potrebbe poi stampare il volto con una stampante 3D. A proposito, se qualcuno fosse interessato, ho un link disponibile; se qualcuno volesse sbloccare un «iPhone»… Scherzo: non si può sbloccare un «iPhone», la qualità è ridotta.

Un profilo chiuso è un vantaggio per la sicurezza.

Questa è la prima cosa, e la seconda… Ho già accennato al fatto che le informazioni vengono principalmente ottenute dall'ambiente dell'utente. Questa immagine l'ho disegnata nel 2017: l'utente medio delle reti sociali russe è al suo interno, ha in media 200–300 amici, i suoi amici hanno amici e i loro amici hanno amici.

Grazie ai social media per aver introdotto algoritmi delle «e-lent» intelligenti, che dovrebbero aumentare la probabilità di imbattersi in contenuti interessanti. Un numero così elevato di persone può vedere, in qualsiasi momento casuale, i contenuti che produci, anche se il tuo account è limitato ai livelli più alti di privacy (solo per amici degli amici e così via). Questo è – amici degli amici:

Se qualcuno pensa che quando seleziona in VK nei «Miei post» di vedere «amici degli amici», tre strette di mano corrispondano a circa 800mila persone, non è poco, ma dipende dai tuoi contenuti. Potresti svolgere qualche streaming inappropriato, e tutti questi amici degli amici possono interagire con quel contenuto. Qualcuno di loro potrebbe ripostare qualcosa, e tutti hanno un feed di like, che molto probabilmente verrà annullato, perché non è molto presentabile. Perciò, in qualsiasi momento, il contenuto potrebbe finire da qualche parte.

Nel 2020, VK ha lanciato profili super riservati, ma finora sono stati utilizzati da pochissime persone (non dirò quante, ma sono poche!). Forse un giorno le persone ci penseranno – in realtà, ci spero sinceramente. Tutte le ricerche sono continuamente dirette a far comprendere alle persone l'ampiezza dei problemi. Perché, finché a qualcuno non succede qualcosa di grave, non ci penseranno mai. Andiamo avanti.

Negli enti governativi non sanno cosa siano i dati personali e non si affrettano a fornire una definizione.

Qualsiasi esperto di diritto in materia di dati personali dirà sempre la seguente cosa: non bisogna mai combinare diverse fonti di dati, perché qui ci sono e-mail (questi sono dati personali con alcuni identificatori anonimizzati), e qui ci sono nomi e cognomi... Se si uniscono, diventano apparentemente dati personali. In realtà, sarebbe giusto affrontare prima l'argomento, ma penso che siate già immersi in esso e sappiate come funziona la legge.

In realtà, nessuno sa cosa siano i dati personali. È un concetto importante! Quando vado negli enti pubblici, dico: «Una bottiglia di cognac a chi dirà cosa sono i dati personali». E nessuno riesce a dirlo. Perché? Non perché siano stupidi, ma perché nessuno vuole prendersi la responsabilità. Perché, se il Roskomnadzor dice che questi sono dati personali, domani qualcuno fa qualcosa e loro saranno responsabili; e sono enti pubblici e non dovrebbero rispondere di nulla.

La sostanza è che la legge stabilisce chiaramente che i dati personali sono quei dati attraverso i quali è possibile identificare una persona. E viene fornito un esempio: nome e cognome, indirizzo di casa, numero di telefono. Ma noi sappiamo che è possibile identificare una persona anche in base a come preme i tasti, come interagisce con l'interfaccia e in base ad altri parametri indiretti. Se a qualcuno interessa: praticamente in ogni settore ci sono enormi quantità di scappatoie.

Identificatori che ci rivelano

Ad esempio, tutti hanno iniziato a utilizzare indirizzi MAC per il tracciamento (ci siete già capitati?) – produttori di dispositivi mobili, come Apple e Google, hanno rapidamente implementato algoritmi per generare indirizzi MAC casuali, in modo che non possiate essere identificati mentre vi muovete per la città inviando il vostro indirizzo MAC a tutti. Ma i geni hanno pensato oltre, ideando una nuova storia.

Ad esempio, potete ottenere una licenza da operatore mobile; con la licenza dell'operatore mobile avrete accesso a una cosa chiamata protocollo SS7, tramite il quale vedrete una sorta di flusso degli operatori mobili; ci sono tanti identificatori che non sono dati personali. In passato era l’IMEI, mentre ora – qualcuno ha deciso di creare in Russia (è un'iniziativa) un database unico di questi 'IMEI'. Pare che ci sia, ma resta il fatto.

Ci sono anche, ad esempio, molti identificatori – come IMCI (identificatore delle attrezzature mobili), che non è né un dato personale né collegato ad altre cose e, di conseguenza, può essere conservato senza alcuna persecuzione legale e poi scambiato con qualcuno per comunicare con questa persona.

La cultura del trattamento dei dati personali è a un livello basso.

In generale, la verità è che ora tutti sono molto preoccupati per l'unione dei dati, e la maggior parte delle aziende che effettuano questa unione a volte non ci pensa nemmeno. Ad esempio, una banca è venuta e ha firmato un accordo di non divulgazione con un'azienda che fa scoring, e ha trasferito a essa 100.000 dei suoi clienti...

E non sempre in questo accordo da parte della banca è presente una clausola riguardante il trasferimento dei dati a terzi. Questi clienti vengono analizzati e non è chiaro dove poi sia andata questa base dati, o se sia andata – nella maggior parte delle aziende in Russia non esiste una cultura della cancellazione dei dati... – sicuramente quel «excel» rimarrà da qualche parte sul computer di un segretario.

I nostri dati possono essere venduti con ogni acquisto nel negozio

Ci sono molte pratiche che sembrano quasi legali (cioè legali). Ad esempio, la storia è la seguente: delle 15 principali banche russe, solo due sono effettivamente gateway SMS – "Tinkoff" e "Alfa", cioè inviano direttamente i loro SMS. Le altre banche utilizzano gateway SMS per inviare messaggi agli utenti finali. Questi gateway SMS hanno quasi sempre il diritto di analizzare il contenuto (ad esempio, per motivi di sicurezza e per le proprie conclusioni) per poi vendere statistiche aggregate. Questi gateway SMS "collaborano" con gli operatori di dati fiscali che gestiscono gli scontrini.

E quindi si ottiene quanto segue: siete arrivati alla cassa, l'operatore dei dati fiscali (che abbia fornito o meno il proprio numero di telefono - in qualche modo c'è un legame)... sul numero di telefono vi arriva un SMS, il gateway di questi SMS vede le ultime 4 cifre della carta e il numero di telefono. Sappiamo esattamente quando avete effettuato la transazione dall'operatore dei dati fiscali, e negli SMS sappiamo (ora lo sappiamo) a quale numero è stata inviata l'informazione riguardo l'addebito di una certa somma di denaro con tali ultime quattro cifre della carta. Le ultime quattro cifre della carta non sono identificatori, non violano la legge, perché non possono de-anonimizzarvi, e neanche la somma della transazione lo fa.

Ma se hai un accordo con l'operatore dei dati fiscali, sai in quale finestra temporale (più o meno 5 minuti) dovrebbe arrivarti questo SMS. In questo modo, sei rapidamente associato all'OFDA tramite il tuo numero di telefono, e il tuo numero è collegato agli identificatori pubblicitari, in generale a tutto. Pertanto, possono rintracciarti successivamente: entri in negozio e ti mandano ancora qualche messaggio senza permesso. Penso che in questa sala ci sia difficilmente qualcuno che abbia mai presentato una denuncia all'FAS per spam. Improbabile… A parte me, credo.

I documenti sono un modo arcaico, ma efficace, per difendere i propri diritti.

Funziona davvero molto bene. Certo, dovrai aspettare un anno e mezzo, ma l'FAS effettuerà realmente un'ispezione: chi, come, a chi ha passato i dati, perché e così via.

Domanda dal pubblico (di seguito – D): – In Bielorussia non c'è l'FAS. È un altro paese.

AK: – Sì, lo capisco. Ci deve essere un'analogia, sicuramente…

Dal pubblico arrivano obiezioni.

AK: – Va bene, un cattivo esempio, "scusa". Non importa. Tra i miei amici non conosco nessuno che sappia dell'esistenza di una storia del genere – che si può andare a scrivere, e poi continueranno a lavorarci per un anno.

La seconda storia, che si sta sviluppando molto anche in Russia, ma penso che troverai un'analoga da te. Mi piace molto fare così, quando un ente pubblico non comunica bene con te, una banca o qualsiasi altra cosa – dici: "Dammi un documento". E scrivi sul documento: "Secondo il punto 14 della legge federale 152, chiedo di trattare i dati personali in formato cartaceo". Non so come venga fatto esattamente in Bielorussia, ma sicuramente si fa. Secondo le leggi russe, non hanno il diritto di rifiutarti questo servizio.

So anche di molte persone che hanno inviato tali richieste a Mail.ru e hanno chiesto di tenere traccia dei loro dati personali in formato cartaceo. Mail.ru ha resistito a lungo a questo. So anche di uno sviluppatore di Yandex, su cui hanno fatto uno scherzo: hanno cancellato il suo account su VK e gli hanno inviato un pacco di screenshot stampati, dicendogli che gli avrebbero inviato screenshot ogni volta che avrebbe voluto aggiornare la sua pagina.

È divertente, ma questo è comunque un’alternativa reale se qualcuno si preoccupa davvero dei dati, da un lato... Dall'altro, la stessa Roskomnadzor mi ha detto che questo accordo per il trattamento dei dati personali è formale e la legge prevede altre possibilità per esprimere il consenso. Ad esempio, sono stato invitato qui a un evento e, se Human Constanta non può stipulare un contratto con me per il trattamento dei dati personali in base alle leggi russe (perché il fatto stesso di essere venuto e aver accettato di parlare costituisce il consenso al trattamento dei dati personali), tutti si prendono comunque questi permessi cartacei. Ma, appunto, Roskomnadzor mi ha detto che non è affatto certo che in futuro questo non diventi superfluo.

Spero che in Russia non venga mai creato un unico operatore, Dio ce ne scampi, dei dati personali, perché ciò che è peggio che mettere tutti i dati personali in un unico cestino, potrebbe essere solo metterli in un cestino statale. Perché non si sa cosa ne verrà fuori poi.

Le aziende scambiano dati personali, e le normative sono debolmente regolamentate.

La maggior parte delle aziende si scambia vari dati e identificatori. Può trattarsi di un negozio con una banca, poi la banca con un social network, il social network con qualcos'altro... Alla fine, queste persone accumulano una certa massa critica di conoscenze che in qualche modo possono essere utilizzate, e tutte queste informazioni, in effetti, ora cercano di conservarle dalla propria parte. Tuttavia, alla fine finiscono comunque in qualche traffico pubblicitario o altrove.

Il trasferimento dei dati a terzi è una questione piuttosto divertente, perché le leggi non specificano quali siano questi terzi, chi debbano considerarsi «terzi» in generale. Questa, tra l'altro, è una frase molto comune tra gli avvocati americani – li chiamano Third parties. Chi considerate terzi: la nonna, la bisnonna? In America c'è stato anche un precedente in cui dei dati di qualcuno sono stati divulgati, e la persona ha fatto causa, riuscendo a dimostrare che era collegata al proprietario dei dati tramite alcuni amici – un certo numero di strette di mano, supportati da strane ricerche sociologiche – dimostrarono così che queste persone non potessero essere considerate terzi l'una rispetto all'altra. È divertente. Ma il fatto di trasferire tali dati è davvero comune.

Anche se accedi a un sito dove è presente un contatore per l'identificazione, questo contatore ha il diritto di inviare i dati di quel traffico da qualche parte («Clickstream», ai proprietari di piattaforme pubblicitarie di ogni tipo, per esempio a «Pornhub»). «Pornhub», se qualcuno di voi è uno sviluppatore web, dateci un'occhiata per vedere quanti pixel di monitoraggio ci sono sul sito di «Pornhub». Ti basta accedere – caricamento di un'enorme quantità di JavaScript, come per migliorare la funzionalità del sito. In realtà, vengono anche impostati i cookie di terze parti; c'è davvero di tutto, perché queste informazioni sono sempre molto preziose nel mercato del «clickstream».

Facebook si muove e non ha intenzione di togliere la maschera.

Naturalmente, nessuno dei grandi attori rivela mai a nessuno a chi e come vende i dati. Per questo motivo, ad esempio, l'Europa sta cercando di fare causa a Facebook. Proprio dopo l'introduzione del GDPR, l'Unione Europea sta cercando di ottenere da Facebook la propria divulgazione degli algoritmi di rivendita dei dati a terzi.

Facebook non lo fa e afferma pubblicamente di non farlo perché è una "corporazione del mondo" (cito dalla lettera che mi hanno inviato), sono "contro l'uso malevolo delle tecnologie" (soprattutto se vendi il riconoscimento facciale al Cremlino). In sostanza, il punto è che Facebook non è del tutto onesto: il suo obiettivo principale e ciò che accadrà non appena un meccanismo del genere verrà alla luce è che sarà possibile calcolare realmente la marginalità della pubblicità e capire il valore reale degli annunci pubblicitari.

In un certo senso, se Facebook vi dice che il costo per mostrare un annuncio è di 5 rubli, e noi ve lo vendiamo a 3 (e, in pratica, ci rimangono 2 rubli), e loro, ipoteticamente, guadagnano il 5% da queste visualizzazioni pubblicitarie. In realtà non è il 5%, ma il 505%, perché se questo algoritmo venisse rivelato (a chi e come Facebook ha passato quante volte il "clickstream", i dati sulle visite, i dati del pixel a varie reti pubblicitarie), si scoprirebbe che guadagnano molto di più di quanto affermano. E non si tratta solo di soldi, bensì del fatto che il costo per clic è un rublo, mentre in realtà è frazioni di centesimo.

In generale, il punto è che tutti cercano di nascondere questo tipo di trasferimento, sia che si tratti di traffico pubblicitario o non pubblicitario, ma esiste. Purtroppo, non è possibile scoprirlo legalmente, perché queste aziende sono private, e tutto ciò che hanno al loro interno è un loro diritto privato e un segreto commerciale. Ma simili storie emergono molto frequentemente.

I trafficanti di droga sono prevedibili e "si scoprono" su Avito.

L'ultima immagine di questa presentazione. È divertente, e il suo messaggio è che ci sono alcune categorie di persone che si preoccupano molto dei propri dati personali. E questo è positivo, in effetti! Questo esempio riguarda una categoria di persone come i narcotrafficanti. Sembrerebbe che le persone che dovrebbero preoccuparsi molto dei propri dati personali…

Questo è uno studio condotto all'inizio di quest'anno sotto la supervisione di autorità competenti. Sì, è uno script a cui sono stati dati dei soldi per acquistare droghe su 'Telegram' e 'Tor', ma solo da quelle persone che potevano essere identificate.

In realtà, quasi tutti i trafficanti di droga di Mosca bruciano sul fatto che il loro numero di telefono non si trova in alcuna fonte pubblica, ma prima o poi su «Avito» venderanno qualcosa che permetterà di capire la loro posizione approssimativa. La sostanza è che i punti rossi indicano dove vive la gente, mentre i punti verdi sono dove vanno a lasciare, beh, sapete cosa. Questa era una delle parti dell'algoritmo che prevedeva la disposizione dei servizi di pattuglia, ma questi ragazzi di Mosca cercano sempre di viaggiare in diagonale, più lontano possibile.

Pensano che se vivono in alto a sinistra, devono andare in alto a destra e lì sicuramente non verranno mai trovati. Questo ve lo dico per dirvi che, se cercate di nascondervi dagli algoritmi onnipresenti, il vero trucco più efficace è cambiare modello comportamentale: installare qualche «Hostel» per randomizzare le visite, le proprietà e così via. Per carità, ci sono anche algoritmi, plugin che cambiano le dimensioni del browser di qualche pixel, in modo che la firma, il «fingerprint» del browser non possa essere misurata e così possiate rimanere anonimi.
Ho finito. Se avete domande, ci siamo. Ecco un link alla presentazione.

Domanda dal pubblico (D): – Può dirci, per favore, riguardo all'uso di "Tor", per quanto riguarda il tracciamento del traffico… Lo consiglia?

Scomparire è difficile, ma possibile.

AK: – "Tor"? No, "Tor" non va bene in nessuna forma. Non so come vadano le cose in Bielorussia, ma in Russia assolutamente no, perché praticamente la maggior parte dei "grace node" verificate aggiungono improvvisamente alcuni pacchetti al vostro traffico. Non so quali, ma se guardate: ci sono "nodi" che etichettano il traffico – non è chiaro chi lo faccia e a quale scopo – ma qualcuno lo marca nell'intestazione per poterlo successivamente identificare. Attualmente, in Russia, tutto il traffico è conservato, anche se è in forma crittografata, e tutti discutono del "Pacchetto Yarovaya" sul fatto che il traffico crittografato è conservato, ma rimane etichettato, quindi non può essere usato, non può essere decifrato...

D: – In Europa è già conservato da molto tempo, da circa dieci anni.

AK: – Sì, capisco. Tutti ci scherzano su: come se si potesse conservare HTTPS, che è impossibile da leggere. Non si può leggere il contenuto, ma si può capire da dove provengono i pacchetti attraverso algoritmi specifici – in base al peso dei pacchetti, alla lunghezza e così via. E quando hai sotto controllo tutti i provider, hai a disposizione tutto l'hardware di backbone e tutti i passaporti... In generale, avete capito di cosa parlo?

D: – Quale browser consigliate di usare?

AK: – Per Tor?

D: – No, in generale.

AK: – Beh, non lo so. In realtà uso Chrome, ma esclusivamente perché ha il pannello degli sviluppatori più utile. Se mai dovessi entrare da qualche parte, andrò in qualche caffè. Ma in effetti, lì non dovresti autenticarti su una vera SIM.

D: – Hai parlato di alcuni studenti. Insegni da qualche parte o stai conducendo dei corsi?

AK: – Sì, abbiamo dei programmi di laurea in giornalismo dei dati. Insegniamo ai giornalisti come raccogliere e analizzare i dati – fanno ricerche simili periodicamente.
Non ci sono applicazioni sicure.

D: – Su Facebook e VKontakte non è sicuro comunicare con gli amici per non ricevere poi pubblicità mirata. Ma come si può aumentare la sicurezza?

AK: – La questione è cosa consideri un livello di sicurezza accettabile. In sostanza, la parola "sicuro" non esiste. È una questione di ciò che consideri accettabile. Alcuni ritengono accettabile scambiarsi foto intime tramite Facebook, mentre alcuni agenti dei servizi segreti ritengono che tutto ciò che viene detto a voce, anche alla persona più vicina, sia intrinsecamente insicuro. Se non vuoi che il social network sappia qualcosa al riguardo, allora sì – è meglio non scriverne. Non conosco applicazioni sicure. Temo che non ce ne siano. E questo è normale, visto che ogni proprietario di qualsiasi applicazione deve trovare un modo per monetizzarla, anche se quest'app è gratuita o è un qualche tipo di media. Sembra gratuita, ma ha comunque bisogno di sostenersi economicamente. Pertanto, non c'è nulla di veramente sicuro. Devi solo decidere cosa ti sta bene.

D: – E tu cosa usi?

AK: – I social media?

D: – Tra i messenger.

AK: – Tra i messenger, utilizzo principalmente il principale messenger statale della Federazione Russa: "Telegram".

D: – "Viber". È sicuro?

AK: – Ascolta, non sono molto esperto di messaggeri. Ad essere onesto, non credo nella sicurezza, né in nulla del genere, perché sarebbe piuttosto strano. Anche se "Telegram" è in qualche modo open source e i suoi algoritmi di crittografia sono stati resi pubblici. Ma è anche una cosa subdola, perché il client è "open source", ma nessuno ha visto i server. Penso di no: su "Viber" ci sono moltissimi spam, bot e così via. Chi lo sa. Mi sembra che non funzioni molto bene.

Chi è più pericoloso – le corporazioni o lo stato?

Conduttore (C): – Ecco, ho questa domanda per te. Guarda, ne hai accennato un paio di volte: il fatto che lo stato... Troppi dati non è una cosa positiva... Le corporazioni hanno troppi dati. Beh, questa è semplicemente la vita, giusto? Quindi, di chi avere più paura – delle corporazioni o dello stato? Quali sono le insidie?

AK: – È una domanda molto complessa. È un confine. Una barriera etica difficile. Per una persona, se non ha nulla di cui preoccuparsi, se non ha infranto la legge, in effetti, perché dovrebbe avere bisogno della privacy? Anche se non la penso così: è ciò che sostiene lo Stato. Forse c'è qualche verità in questo. Senti, ho paura soprattutto dei hacker – di qualcosa di così terribile. In realtà, la cosa più terribile che abbia mai visto nella mia vita (in tutto questo argomento): circa un anno e mezzo fa, in periferia di Mosca, hanno arrestato un pedofilo e durante le indagini hanno trovato sul suo computer diversi tutorial su Python, script, API di VK. Raccoglieva gli account delle ragazze, analizzava chi di loro si trovava nelle vicinanze, raccoglieva contenuti che... Insomma, hai capito. Questa è la cosa più terribile che abbia mai visto. E questo è ciò che temo davvero, che a un certo punto qualcuno possa fare qualcosa di simile.

Un altro piccolo «off-topic»: l'Organizzazione europea per la sicurezza pubblica ha riferito l'anno scorso che è aumentato di circa il 20-25% il numero di furti da conti bancari, quando si sfruttava la domanda segreta. Riflettete sul vostro attuale quesito segreto in banca e considerate se potrei trovare la risposta in fonti aperte. Se lì c'è il cognome da nubile di vostra madre o il vostro piatto preferito... In generale, le persone analizzavano gli account e da questo capivano il soprannome del loro animale domestico – più o meno così...

D: – Avete detto che le aziende e le corporazioni raccolgono le informazioni necessarie grazie a degli algoritmi? Sicuramente sapete come fare?

AK: C'era un movimento di persone che un tempo passavano le foto attraverso un filtro speciale per rompere l'analisi delle immagini, in modo che non fosse possibile identificare queste persone. Vi ho fatto l'esempio che "Facebook" combatteva contro la crittografia dei messaggi. E se questa cosa dovesse diffondersi e diventare di massa, sicuramente i social network cercheranno di contrastarla. Inoltre, il riconoscimento delle immagini funziona molto bene adesso, e raggiunge un livello tale da "rompere" la foto (per rompere l'algoritmo che riconosce queste immagini) – probabilmente, su di essa non si capirà nulla.

Tutti i tipi di filtri glitch funzionano bene se c'è un forte spostamento su metà della foto. Il tuo account acquisirà allora tutti i colori dell'LSD. Teoricamente, non considero così terribile se "Facebook", ad esempio, riconosce quale macchina ho – probabilmente, se non mi autorizzo in macchina tramite "Facebook".

La legge sul diritto all'oblio funziona, ma non su internet.

D: – Ti è mai capitato di creare un utente che ti imponesse di rispettarlo, rimuoverlo o accedere? Gestisci sicuramente grandi quantità di dati e li notifichi. La gente può contattarti. Qual è la percentuale?

AK: – Ora te lo racconto. Sarà davvero interessante. Calcolerò quanti utenti accederanno, perché dopo gli eventi di solito il 15-20% entra e compila il modulo per la cancellazione dei dati—è così. In realtà, si tratta di circa il 7-8% degli account chiusi che non analizziamo, e circa 5 persone su mille che chiedono di rimuovere i propri dati. È davvero molto poco, anche secondo il mio modesto parere.

Il problema è il seguente: c'è una cosa chiamata legge del diritto all'oblio. Ma la legge sul diritto all'oblio, almeno in Russia, si applica legalmente solo ai motori di ricerca. È scritto chiaramente: motori di ricerca. E anche in quel caso, si tratta solo della rimozione dei link ai materiali, non dei materiali stessi. Per rimuovere qualcosa da Internet, in realtà devi attraversare tutte queste fonti, quindi non ci credo fondamentalmente. Cerchiamo di avvisare gli utenti che devono pensare prima di pubblicare.

Attualmente, questa percentuale è molto bassa: 5-7 persone su mille. A proposito della legge sul diritto all'oblio, tutti conoscono il famoso caso "Sechin contro RBC". La legge ha funzionato, l'articolo è stato rimosso, ma esso è ovunque. Capite che se qualcosa è mai finito su internet, non scomparirà mai più da lì.

Gli utenti vengono rimossi, ma vengono identificati attraverso comportamenti tipici.

D: Non pensa che le persone che eliminano i propri account e cercano di diventare "buchi neri" si trovino in una posizione svantaggiata rispetto agli altri agenti economici?

AK: – Probabilmente sì, questa posizione non sarebbe vantaggiosa per loro. Ci sono molte offerte e sconti che dipendono da loro. Tuttavia, teoricamente, se una persona elimina l'account ora... È comune tra vari estremisti cancellare l'account e crearne uno falso, ma continuare a interagire con lo stesso contenuto — questa persona, di nuovo, può essere identificata (soprattutto se si tratta della stessa rete sociale, dallo stesso computer — è un problema); è elementare che attraverso il modello di consumo dei contenuti, si possa ritrovare quella persona, se c’è un interesse a farlo.

Spero che nei prossimi 5 anni emerga una qualche tecnologia di monetizzazione di questi dati, dove le persone potranno davvero essere pagate – pagherai tu stesso e non utilizzeremo i tuoi dati. Ma penso che se in qualche "Instagram" venisse introdotta un abbonamento a pagamento, nessuno lo userebbe, quindi l'alternativa sarebbe pagare gli utenti per i loro dati. Ma questo non avverrà molto presto, perché il lobby dei grandi corporate non permetterà di far passare una legge del genere, anche se sarebbe interessante. Tuttavia, il problema è che non è possibile valutare il reale valore dei dati di una persona in un dato momento.

"Facebook" – ragazzi con buchi

D: – Buongiorno. Recentemente è stata diffusa la notizia che "Facebook" intende integrare tutti i suoi progetti, incluso "Instagram", "Facebook", "WhatsApp" e così via. Qual è, secondo te, la situazione riguardo ai dati personali, dato che ora ho queste applicazioni sul mio smartphone come se fossero separate, ma appartengono comunque a Facebook? Cosa succederà in futuro?

AK: – Ho capito. Legalmente appartengono già a 'Facebook', e possono unirli liberamente tra di loro, quindi penso che nulla cambierà. L'unica cosa è che ora basta hackerare un'app per ottenere tutto. E 'Facebook'... Spero che stiano prestando attenzione. Sono veramente vulnerabili ovunque.

Recentemente, c'è stata una grande quantità di informazioni su questo — sulle violazioni dei dati da 'Facebook'. Non è che 'Facebook' abbia iniziato a perdere questi dati improvvisamente, ma perché il GDPR ora costringe l'azienda a informare in anticipo. E la multa più grande arriva se si verifica una fuga di dati e l'azienda lo tace, e per questo 'Facebook' ora ne parla apertamente. Ciò non significa che in passato non ci siano state violazioni dei dati.

D: – Buongiorno. Ho una domanda riguardo la gestione dei dati. Attualmente ogni stato sta introducendo una legge secondo cui i dati dei cittadini devono essere conservati sul territorio di quello stato. Quali condizioni devono essere soddisfatte per rispettare questa legge in un'applicazione internazionale?... Ad esempio, ‘Facebook’: ha un'unica base di dati…

Quali modalità sono necessarie per rispettare queste condizioni?

AK: – Ascolta, legalmente basta affittare un server in quel paese e mettere qualcosa sopra. Il problema è che non c'è un'autorità di controllo competente. I dati di ‘Facebook’ non sono presenti in Russia. Il Roskomnadzor ci sta provando continuamente, senza successo... ‘Facebook’ ha una parte dei server dove si trova l'interfaccia e non è possibile verificare dove sono realmente i dati e come vengono sincronizzati.

D: – Controllare il traffico?

AK: – Controllare il traffico? Sì. Ma il traffico potrebbe comunque dirigersi verso un punto di uscita principale. Inoltre, tra i server potrebbe esserci qualcosa tipo una VPN o altro. Teoricamente, è impossibile controllare che, diciamo, un amministratore di sistema non entri un giorno in quel server e non prelevi qualcosa. Quindi questa legge è stata fatta non per proteggere i dati, ma affinché le aziende aprano filiali, paghino tasse e mantengano rigidamente il materiale nel territorio del paese. Ma a mio avviso, questa è un'iniziativa piuttosto strana, a dire il vero.

D: – Quindi è sufficiente controllare l'interfaccia?

AK: Qualcuno può venire a controllare che i dati siano lì. Ma potete mostrare un qualche 'Excel', e nessuno potrà verificarlo, difficilmente qualcuno lo farà. Ora semplicemente controllano gli indirizzi IP: se l'indirizzo IP associato al dominio si trova nel territorio del paese - non controllano altro. Ora, probabilmente, verranno da me a controllare.

Non ci sono servizi a cui ci si può fidare al 100%, ma le persone per bene non hanno nulla di cui avere paura.

D: – Una notizia che è stata riportata in molti posti: un tizio di Microsoft ha pubblicato un servizio per controllare i propri…

AK: – Qualcosa del tipo: le vostre password sono filtrate? Dopo le stesse violazioni su Facebook, il stesso Facebook attiva sempre dei siti alternativi dove possiamo controllare se le nostre informazioni sono finite in quel database — anche per legge GDPR. Quindi, se non implementi questo tipo di servizio, non ti troverai in una buona situazione. Così tutte queste iniziative sono presentate come ‘nostra iniziativa’; in realtà, è un requisito legale. È davvero una cosa interessante, ma non mi fiderei troppo di servizi di verifica del genere se è necessario inviare qualcosa di più complesso della tua password, perché molti hanno password simili.

D: – Devi solo inserire l'email, e poi ti dicono quante volte è stata compromessa…

AK: – In realtà non mi fido di queste cose, perché è molto facile collegarti a questo browser, al tuo vero account. Soprattutto se utilizzi i servizi delle stesse persone che hanno creato questo sito. È stato come l'anno scorso, quando Facebook ha inviato: se le tue foto intime sono trapelate su Facebook, inviale a noi e controlleremo dove sono state menzionate.

Non so che tipo di incubo pubblicitario sia e chi l'abbia pensato in Facebook, ma è successo davvero. Volevano confrontare se qualcuno avesse inviato in messaggi privati tua nudità. Fondamentalmente ha buoni intenti, ma è molto strano. Non mi fiderei.

D: – E un'altra domanda. Quali sono i rischi di perdita per un utente normale? I rischi di danno da perdite.

AK: – Ho capito. Dipende dai dati che si conservano. Penso che non siano molto alti. La cosa più grave è se vengono a mancare email e password, e se usi quella password ovunque – allora sì. Credo che gli utenti non abbiano molto da temere. Ma, ovviamente, a meno che non stiano conservando qualche contenuto compromettente su Gmail. Ci sono stati molti esempi.

La storia più nota è quella avvenuta in Utah, quando una ragazza fu rapita e non riuscivano a trovarla. A un certo punto, i rapitori inviarono delle foto in un allegato zippato. Google, scansionando quell'allegato, scoprì segni di pornografia infantile. Tutti furono scoperti. Eppure, sono riusciti a fare causa a Google per aver violato la privacy della corrispondenza. Questo procedimento legale ha avuto una durata considerevole. Tuttavia, ritengo che un utente comune non abbia nulla da temere, a meno che non pubblichi, ad esempio, il proprio passaporto in modo pubblico. È una questione a doppio filo: dipende dai dati e dall'utente. Forse adesso non è un problema, ma tra 15 anni, quando diventerà un funzionario, potrebbero riemergere alcuni materiali.

Com'è lavorare con il governo?

D: – Grazie. Hai parlato un po' del lavoro che fai per il governo, per le autorità pubbliche, collaborando con loro. Puoi raccontarci un po' più nel dettaglio di alcuni progetti attuali? E, se possibile, un po' di più… Due domande: la prima riguarda i progetti attuali e la seconda se ci sono stati proposte da parte dei servizi governativi…

AK: – Inappropriati!

D: – Sì. Quando pensavate: forse non dovrei farlo.

AK: – Ve lo racconterò. Lo racconto a tutti. Io e quella persona abbiamo avuto molte discussioni su Twitter. Un giorno, dalla squadra di Milonov su Twitter, mi è arrivata una domanda riguardo alla ricerca di insegnanti che guardano porno gay. Abbiamo subito risposto di no. Ma ci sono, arrivano spesso lettere, e molto spesso sono legate a qualche oppositore, manifestazioni. Non ci occupiamo di queste stupidaggini, siamo già abbastanza sporchi di merda. Non me ne vergogno.

Abbiamo la seguente politica riguardo ai “governi”: sviluppiamo software, software per la ricostruzione 3D, il riconoscimento facciale, l'analisi dei dati. Cosa fanno esattamente è molto difficile da dire, ma tra i modelli ci sono la previsione dei crimini, ciò che riguarda la sicurezza nazionale all'interno della città, il movimento delle persone, il geomarketing e così via. Dalla collocazione di oggetti nell'ambiente urbano all'identificazione di pedofili, violentatori, maniaci e così via.

A dire il vero, non abbiamo mai avuto a che fare con oppositori. Forse, non ci dicono nulla in faccia. In realtà, è un problema serio – collaborare con le ‘istituzioni’, perché non sempre spiegano cosa stanno cercando. Ti dicono: crea un software per identificare le casalinghe, mentre in realtà hanno in mente di utilizzarlo per qualcosa di completamente diverso – tutto si sfalda.

Inoltre, lo Stato è un cliente molto interessante e strano, che cerca sempre di inserire qualche spicciolo nella tua ricerca, e spesso i loro approcci e la loro comprensione del machine learning sono molto superficiali. Ad esempio, ho una lezione separata sugli errori del machine learning. Lì faccio sempre l'esempio di quando stavamo sviluppando un sistema di previsione della criminalità nei sobborghi di Mosca, il committente ci ha detto: dove vendono i cocomeri, per favore incrementate il coefficiente di quattro volte. E poi si è rivelato che i luoghi di vendita dei cocomeri non sono affatto criminali. È solo un errore di chi inserisce le proprie opinioni.

In breve, il governo è un cliente interessante, ci sono molte sfide affascinanti. La maggior parte riguarda modelli simili di previsione di qualcosa. Spesso si tratta di infrastrutture urbane.

D: – Ci sono fonti dove si possono seguire le vostre ricerche? Ci sono molte informazioni. Da quanto ho capito, ne è rimasta ancora molta al di fuori. Le vostre pagine, qualcos'altro...

AK: – Non ho pagine personali.

D: – Probabilmente, su Facebook hanno già chiuso?

AK: – Circa quattro mesi fa c'è stata una storia: ci hanno inviato tutti delle lunghe lettere, dicendo che "siete dei mostri, vendete tutto al Cremlino, violate tutte le regole di Facebook". Hanno persino inviato una lettera al mio cane: "Ciao, Mars blu-corgi, stai raccogliendo dati!" e così via. Ascoltate, stiamo effettuando un rebranding ora. Tra due o tre settimane avremo un sito e tutto si aggiornerà. Si potrà seguire quello. Ma siamo davvero molto pigri su questo fronte.

Come si può determinare l'affidabilità di un VPN?

D: – Quando hai detto che entreresti in un caffè senza identificarti con il tuo numero di telefono. E con quale?

AK: – Non si può parlare – sotto l'identità di un altro, perché questo è un invito a violare le norme di identificazione. No-no-no. Sto scherzando. Ora praticamente tutti i bar identificano tutto – non c'è solo il numero di telefono, ci sono un sacco di pixel, l'identificazione del dispositivo, l'indirizzo MAC e cos'altro, per poi utilizzarli – dagli scopi pubblicitari a operazioni investigative. Perciò bisogna essere molto cauti con queste cose. Non solo potete scrivere qualcosa, ma anche il vostro dispositivo può scrivere, e poi potrebbe accadere qualcosa.

Forse avete sentito della storia riguardo all'inchiesta su come (anche in Bielorussia) si affittano gli account di Facebook, tipo per pubblicità di casinò. E in realtà non si sa a cosa servano, e danno anche accesso al computer. È fondamentale evitare simili situazioni. Se decidete di scrivere qualcosa in modo anonimo... Io andrei in un caffè e accenderei un VPN di quelli buoni. Ma in realtà (ancora una volta, non sto accusando nessuno), quando utilizzate un VPN, verificate a chi appartiene, quale azienda lo gestisce, a chi appartiene questa azienda e così via. Perché la maggior parte degli operatori di VPN non sono proprio dei bravi ragazzi.
Beh, in Bielorussia non è importante. In Russia, un buon VPN viene controllato in base al fatto che azino777 sia bloccato o meno. Perché se non lo è, c'è una forte probabilità che quel servizio VPN venga chiuso entro una settimana. Insomma, controllate tutto.

Riguardo all'autoeliminazione dei messaggi

D: – Hai parlato così tanto di messaggi privati che i loro social li leggono... Ad esempio, Facebook ha messaggi privati segreti, che possono essere impostati (oltre al fatto che sono anche crittografati) per essere distrutti. Come puoi commentare questo?

AK: – Non posso. In primo luogo, non sono un super professionista nella crittografia e, in secondo luogo, il problema è che nessuno ha mai visto i server di Facebook, nessuno sa come funziona tutto lì. In una specifica si potrebbe scrivere che si tratta di crittografia end-to-end, ma potrebbe non esserlo, o potrebbe essere end-to-end, ma con alcune imprecisioni o altro. Ha senso utilizzare una cosa del genere se temi che la persona a cui hai inviato questo possa, in un certo momento, provare a fare qualcosa.

Su Telegram c'è una comoda funzione per inviare foto intime che si autodistruggono: quando provi a fare uno screenshot, si elimina automaticamente. Su iPhone, invece, è stata introdotta la funzione di registrazione video dello schermo, e si può registrare anche così... Ricevo molto spesso materiale che utilizza questa funzione (autodistruzione) e non capisco mai perché. Posso semplicemente scaricarlo! È tutto a vostra discrezione.

Il punteggio sociale in Cina: miti, realtà, prospettive

D: In realtà abuso un po', anche se non mi serve il VPN (tra l'altro, il nostro VPN è sicuro). E la questione dell'etica. Abbiamo un ottimo amico dal Kazakhstan, lo abbiamo portato anche a una conferenza. Una volta eravamo seduti a una conferenza in cui si parlava di varie cose, e lui dice (lavora nella cybersecurity, quindi è un ingegnere della sicurezza, una persona interessata alle soluzioni tecniche): «Tornato dalla Cina. Lì fanno una cosa fantastica: il punteggio sociale». Hai per caso fatto qualche ricerca su questo argomento, su come funziona da loro?

AK: – Noi vendiamo il scoring in Russia, so molto a riguardo.

D: – Ecco, ho una domanda: potresti parlarne di più, di ciò che potrebbe attenderci in futuro? Ma c'è anche una domanda sull'etica. Lui parlava con tanta gioia: «È una soluzione ingegneristica interessante!» Hai un tuo codice etico?

AK: – Sì, a proposito, ce l'ho. Due anni fa lo abbiamo introdotto – proprio dopo la storia con Milonov abbiamo deciso di classificare questi progetti. Tornando alla classificazione: è una delle domande super popolari, perché i media demonizzano molto tutta questa storia – che le persone non possono andare all'estero, vengono uccise da un laser dalla Luna. Vi porto, di nuovo, delle questioni ingegneristiche...

Se inizi a scavare in questa storia e guardi quali parametri compongono questo punteggio sociale, capirai: ci sono alimenti non versati, precedenti penali, storia creditizia, cioè si tratta di una questione realmente ingegneristica. Vivi senza infrangere la legge, vivi bene: ti danno un tasso d'interesse basso sul credito. Hai un lavoro sociale importante (ad esempio, insegnante): ti offrono una buona sistemazione. All'inizio tutti erano confusi, perché era trapelata prima la notizia che se scrivi negativamente sul presidente, il tuo punteggio scende. Sebbene non ci fossero prove. Per difendere il punteggio, dirò che nessuno ha mai visto l'algoritmo e quali parametri vengano effettivamente utilizzati.

Poi è emersa la storia che oltre un milione di persone non sono state autorizzate a viaggiare all'estero, è stato vietato il consenso a uscire. In realtà, questa non è una formulazione del tutto precisa. Quando si ottiene un visto (ad esempio, per l'Europa), il visto viene rilasciato calcolando "70 euro al giorno" (qualcosa del genere); se non si presenta una certificazione del reddito, il visto non verrà concesso. In Cina, il Ministero degli Affari Esteri locale ha deciso di andare un passo oltre: ha semplicemente avvertito le persone con insufficienti fondi che, se desiderano viaggiare all'estero, non avranno abbastanza denaro. Di conseguenza, tutto ciò è stato successivamente orientato verso la concezione che i poveri non possono viaggiare all'estero. È una questione etica complessa, che sfiora una sorta di presunzione di colpevolezza e innocenza, ma di fatto non posso dare una valutazione.

Le persone vengono uccise, non le armi

La cosa principale da capire è questa: tutti gli algoritmi che la società condanna non sono il problema. Gli algoritmi semplicemente hanno reso possibile analizzare rapidamente un grande «volume» di persone, e questa problematica sociale è stata messa in evidenza. Quindi, il bot di «Microsoft», che ha appreso dai tweet ed è diventato razzista, non è colpa del bot, ma dei tweet che ha letto. Oppure l'azienda che decide di costruire un modello di dipendente ideale analizzando l'attuale personale, e scopre che questo è un uomo bianco con un'istruzione superiore.

Non si tratta di un modello — razzista, sessista o altro; si tratta di persone che hanno assunto queste persone (che abbiano ragione o torto — non importa). Tutto si avvicina alla visione che l'intelligenza artificiale sia cattiva, brutta, e che distruggerà il mondo, ma in realtà… Se ipoteticamente adesso, ad esempio, il governo russo introducesse una legge secondo cui non si deve fornire istruzione gratuita agli oppositori, e scrivessero un software che identifica e priva di questa istruzione gratuita — non sarebbe l'algoritmo a essere colpevole. Anche se nessuno supporta questa mia concezione, perché, — quando dico che non sono le armi a uccidere le persone, ma sono le persone, — mi dicono ‘sei un fascista’ e così via.

In generale, si tratta di una soluzione ingegneristica davvero impressionante. È importante capire perché ciò non sarà, ad esempio, possibile in Russia. In Bielorussia non lo avrete, perché siete uno stato europeo, e va tutto bene. In Russia questo non accadrà per molti motivi: prima di tutto, non abbiamo lo stesso livello di fiducia nelle forze dell'ordine che c'è in Cina; il nostro livello di digitalizzazione è lontano dall'essere così avanzato. Perché in Cina tutto ha funzionato? Perché il governo ha implementato: hanno la medicina digitale, l'assicurazione digitale, la polizia digitale. E qualcuno di intelligente ha pensato: uniamo tutto ciò e realizziamolo – in sostanza si tratta di un programma di fidelizzazione. Lì ci sono più vantaggi che svantaggi.
Quindi sì, penso che in Russia non verrà introdotto. Prima bisogna digitalizzare tutto il Ministero della Salute (e questo è un compito da 50 anni) – qualcuno deve sacrificarsi per farlo, ma naturalmente nessuno lo farà. D'altra parte, le banche russe sono all'avanguardia nel mondo nel punteggio delle persone, fanno di tutto: «Ah, sei un tipo? Metti mi piace alle giovani donne? Ecco la tua carta di credito per la tua amante». Lì sono molto avanzati. Per esempio, in America quasi ovunque un simile punteggio è vietato, perché ci sono leggi che obbligano la banca a spiegarti il perché: «Ah! Perché l'azienda Social Data Hub conserva la storia per 10 anni e questo – ha dato queste informazioni su di te»! E proviamo a fare causa sia a loro che a questi! Ma da noi non esistono storie simili.

Perché si tace sulle statistiche?

In generale, sostengo il punteggio, se non si tratta di una storia 'totalitaria'. Ma la questione è che non è possibile prevederlo o valutarlo. Questo è il tema più complesso nell'etica dei big data: prevedere l'effetto sociale che ci sarà tra 15 anni. Per esempio, io imploro da molto tempo la procura di aprire le informazioni sulla criminalità. I dati sulle statistiche criminologiche sono uno dei pilastri di qualsiasi statistica; tutti lo desiderano molto. Ma, per esempio, in Russia non si apre la statistica criminale per una ragione molto semplice: si teme di compromettere la demografia all'interno delle città. Si pensa che le persone smetteranno di vivere in alcune città, e anche all'interno di una città ci sarà una certa redistribuzione. Per la stessa ragione non si rivelano le statistiche del test di stato – capite bene in quali scuole le persone andranno, e in quali non andranno.

Potrebbe essere giusto, potrebbe anche non esserlo, ma ci sono stati molti progetti... Ad esempio, "Yandex" ha deciso, un tempo (di nuovo, per "indiscrezioni gialle", non ho visto, non so), di aggiungere al modello di previsione del mercato immobiliare il numero di attacchi agli tassisti, cioè un approccio al livello di crimine, contando il numero di segnalazioni degli tassisti riguardo a chi li molestava, minacciava e così via. Si è rapidamente rinunciato all'interno dell'azienda per evitare di fare simili cose.

D: – Comunicate con gli studenti, parlate con il pubblico nel vostro paese, qui da noi. Avete notato, dal numero di domande in sala, che siamo ancora in quella fase di sviluppo in cui pensiamo di aver bisogno di privacy, di poterci nascondere da qualcuno, di proteggere i nostri dati senza fornirli, nascondendoli, crittografandoli. Se l'Unione Europea è già passata alla fase successiva, quella della privacy, che implica il controllo sui dati – costringere tutti coloro che raccolgono i tuoi dati a darti un reale controllo su di essi... Dalle campionature per regioni, classi sociali – quale delle categorie di cittadini, persone, è già passata alla seconda fase, o chi è ancora bloccato principalmente nella prima?

Chi si preoccupa di più della sicurezza dei dati personali?

AK: – La stragrande maggioranza… Direi che a tutti non importa! Questo preoccupa principalmente i top manager. Nelle città della Russia, questo è Mosca e San Pietroburgo. Il centro attivo è costituito da informatici, designer, professioni creative, tutti coloro che sanno filtrare i contenuti, acquisire nuove conoscenze e hanno un alto livello di interesse per i problemi internazionali. Fondamentalmente, si tratta di top manager; sì, informatici (escludendo gli esperti di sicurezza); banchieri – cioè tutte le persone a cui una fuga di dati può influire in qualche modo.

Se, ad esempio, si rubano i dati di una casalinga di qualche Kaluga: è improbabile che qualcosa nella sua vita cambi seriamente, se qualcuno ruba, ad esempio, l'accesso al suo gmail, dove tiene l'accesso alle serie. La questione è che la legge protegge tutti allo stesso modo, ed è giusto, perché… dal punto di vista legale, tutti sono uguali – ah ah… ma la cosa più importante è che non è possibile capire quanto varranno i dati di qualcuno finché questi dati non scompariranno – purtroppo, è molto difficile da prevedere. Ma in generale, si tratta di questa categoria di cittadini.

Telefono – in alluminio!

Nella mia vita ho visto una sola volta la conservazione totale di tutto e di più in due aziende. Una è il più grande integratore di sicurezza informatica: lì è tutto, fino alle chiavette USB, sigillato con nastro dentro l'ufficio; e le persone sono simili — ho incontrato qualcuno con il telefono in una busta di alluminio. Ho scoperto che ci sono aziende che vendono queste buste speciali. La seconda volta ho visto una situazione simile a Bloomberg tra i dipendenti: eravamo nella zona fumatori e qualcuno si stava facendo fotografare da qualche parte, e uno di loro ha detto: "Aspetta, non vogliamo essere visibili nello sfondo!" Ho pensato: "Wow, incredibile!"

"Meglio noi che l'FSB"

Non vorrei dire che si tratti di meno dell'uno percento della popolazione, ma, sfortunatamente, nella massa generale a praticamente tutti non importa. D'altra parte, ho un servizio controverso di monitoraggio delle azioni dei minorenni (che abbiamo lanciato tempo fa con lo slogan "Meglio noi che l'FSB"), per avvisare i genitori di ciò che i minorenni stanno combinando prima che il nostro algoritmo, installato da qualche parte, invii qualcuno loro.

Durante la verifica di un minorenne, è necessario inviare una scansione del passaporto (è una prassi normale), ma abbiamo scritto che potete tagliare il numero del passaporto, perché non ci interessa; ci interessa solo la vostra foto, l'olomo e il vostro nome e cognome. Praticamente il 100% delle persone — circa il 95% dei passaporti — ha ritagliato con cura questi numeri in Photoshop e ha inviato solo la parte necessaria. Cioè, hanno capito che, dato che non è necessario, non lo inviano. A mio avviso, questa è una vera progressione, che è stata spinta dalla loro sfiducia nei nostri confronti.

D: – Il campione è specifico. Ci sono persone che si rivolgono a noi e sono già esperte.

La gente non vuole essere seguita, ma non legge i termini di accordo.

AK: – Sì. E c'è un'altra cosa simile: alla fine dell'anno scorso abbiamo lanciato un'app per incontri (la riprenderemo presto). Abbiamo avuto un gruppo di controllo di 100.000 persone. E in base alle normative GDPR, nel loro profilo personale c'erano 15 opzioni da spuntare – do il mio consenso all'analisi dell'interazione con l'interfaccia, all'accesso alla mia demografia, all'accesso alla ricostruzione 3D del viso, all'accesso ai miei messaggi personali e così via. Abbiamo dettagliato il massimo possibile riguardo ai vari accessi. C'è persino qualche statistica su chi ha spuntato cosa. Il 98 % ha lasciato selezionate tutte le opzioni di default (pur avendo visitato quella pagina e vedendo tutto, ma non gliene importava nulla), mentre il 2 % è interessante da analizzare per vedere quali fossero le priorità per le persone.

Tutti hanno rimosso il permesso di accesso ai messaggi personali e quasi tutti hanno revocato il permesso di accesso ai dati del test sessuale (che cosa può piacergli, cosa compilavano, i loro vizii – scherzo). Ma questo ha spinto le persone verso di questo, i ha indicati: l'interfaccia dice loro – leggi attentamente questo, ti dà la possibilità di scorrere fino in fondo a questo accordo. Ma questo è stato fatto esclusivamente perché era un progetto di ricerca, e tutti erano stati avvisati. Nessuna azienda, compresa la nostra, quando rilascerà questa applicazione al pubblico, costringerà la persona a leggere questo messaggio fino alla fine, perché... beh, scusa, è così che funziona tutto.

A condizione che siano entrati da noi, sapendo di cosa si occupa l'azienda, sapendo che sono entrati in un servizio che ti offrirà candidati in base a che tipo di porno ti piace – anche solo su questa base solo il 2% ha letto queste caselle e ha fatto qualcosa. E anche in questo caso praticamente nessuno di loro ha deselezionato la casella «Accesso al traffico e ai dati di navigazione di altre pagine web». Fondamentalmente, tutti erano preoccupati per i messaggi personali.

Esibizionismo e sanzioni per i like: leggi interessanti delle repubbliche sorelle

D: – Ho una domanda sulla protezione dei dati. Posso portare il telefono avvolto in alluminio, fingere che non ci sia... Poi si scopre che in realtà, anche se sembri conservare i tuoi dati, alla fine devi presentarli allo stato, perché te lo richiede, e non hai alcuna possibilità... E alla fine si scopre che tutti i contratti pubblici sono colmi di falle. In Bielorussia esiste anche questa norma: se controllo la sicurezza dei miei dati personali (modifico alcune cose e ottengo accesso a loro), divento subito un criminale. La stessa accusa è stata usata per incriminare i giornalisti nel caso di "BelTa", accusandoli di aver ottenuto accesso non autorizzato ai dati (potete leggere da soli). Quindi, la mia domanda è: tali restrizioni sono una misura efficace per la privacy, in generale per la sicurezza dei dati personali?

AK: – Ho capito. In Bielorussia ci sono molte leggi molto interessanti. Ho scoperto di recente... Scherzo sempre riguardo alla trasmissione di contenuti osé, ma da voi sembra che sia vietato.

D: – La dimostrazione è vietata!

AK: – È davvero piuttosto strano.

D: – Si può guardare, ma non si può condividere, né mettere like. Non si può guardare insieme!

AK: – Risponderò alla vostra domanda. Tornerò al tema "sono in prigione per i like" a Mosca. In Russia è il tema numero uno. Non so come sia in Bielorussia, ma, ad essere sinceri, lo Stato... Analizzando le statistiche, a Mosca 95 arresti su 100 per i like avvengono quando le persone denunciano qualcun altro, qualcuno scrive alla procura contro un'altra persona. Lo Stato apre raramente casi simili. Mi sembra che questa legge sia assolutamente assurda. Non conosco un reale criminale che sia stato arrestato per questo. Ma questa misura viene utilizzata per attribuire a qualcuno un atto illecito. Penso che sia estremamente strano. Credo che un giorno verrà abolita.

D: – Si chiama tenere sotto controllo.

AK: – Beh, non so... Non posso dirlo. Non sono esattamente una bestia governativa, ma la mia percezione è un po' influenzata, sapete, dalle persone che vengono da noi e dicono: 'Ho perso mio figlio, aiutatemi a trovarlo'. Dico: 'Non posso fare nulla senza un'ordinanza del tribunale'. Guardi questi genitori, che darebbero qualsiasi cosa nella loro vita, qualsiasi accesso a qualsiasi dato, pur di risolvere il loro problema. Quindi, mi è molto difficile avere una discussione simile: da un lato, penso che lo stato faccia le cose giuste quando arresta persone reali, ma dall'altro lato, dare accesso illimitato è una storia davvero inquietante.

Torno sul tuo argomento, scusa per la distrazione. Non credo affatto nei sacchetti di alluminio. Avere un telefono cellulare e avvolgerlo in alluminio è una stupidaggine. A cosa serve? Per non connettersi al Wi-Fi? È più semplice spegnerlo. Per non essere identificati dal gestore telefonico? Possono comunque triangolare il segnale e fare un calcolo. Per me, le uniche misure di sicurezza effettive sono uno spazio di archiviazione sicuro, come una rete locale - magari in casa, dove si può conservare qualcosa.

D: – Qui si pone la questione della legislazione. La legislazione è repressiva nei confronti di chi vuole verificare i propri dati?

AK: – Ho capito, sì. Non sapevo nemmeno di questa cosa, quindi non posso dirti con certezza. In Russia non esiste qualcosa del genere, anche se là la situazione è molto complicata. Probabilmente, si può consultare un avvocato qualificato e, forse, c'è qualche scappatoia – magari si può fare ricorso a qualche corte europea... No? Non posso darti informazioni in merito. Le mie conoscenze legali sono superficiali, a livello di un manager. So cosa non si può fare per evitare problemi. È davvero molto triste.

D: – Voglio dire che in altri paesi (per esempio, negli Stati Uniti) è una pratica normale poter testare una vulnerabilità e poi segnalarla, ma senza divulgarla.

AK: – Sì, "bug bounty". Ho capito, esiste una cosa del genere.

D: – E le aziende non hanno un meccanismo per escluderti, perché sarebbe più costoso.

AK: – Anche questa cosa è al limite della legalità. Dipende da come scoprite questa vulnerabilità. Mi sembra che un gran numero di soldi pagati per questa vulnerabilità in America siano stati versati sotto accordo di non divulgazione e minacce di causa legale. Anche se non posso garantire. In ogni caso, corriamo sempre questo rischio. I miei collaboratori hanno trovato un paio di queste vulnerabilità in varie applicazioni governative – dico sempre: "Meglio inviare una lettera anonima piuttosto che dire loro che c'è un buco lì". E poi qualche istituto di ricerca arriverà, quello che ha fornito il servizio… Insomma, non voglio continuare.

Non è possibile verificare l'onestà di un'azienda: se non ti piace, non usarla

D: – Ho una domanda. Hai detto che hai condotto un esperimento – bisognava spuntare 15 caselle… Supponiamo che l'utente deselezioni tutte le caselle. Chi e come controllerà questo? Come si può verificare effettivamente?

AK: – A dirlo onestamente: nessuno e in nessun modo. Sul serio. Il fatto che abbiate spuntato o deselezionato l'opzione "Impedisci il tracciamento pubblicitario" su Google non significa nulla. Purtroppo, anche quando su "VKontakte" impostate il divieto di indicizzazione da parte dei motori di ricerca, questi continuano a indicizzarlo e poi semplicemente non mostrano quei risultati a determinate persone. È tutto un problema di mancanza di organi competenti che possano verificarlo. Inoltre, le aziende che lo fanno sono private. Facebook ha una posizione, giusta o sbagliata che sia: se non ti piace, non usarlo.

Sulla regolamentazione

D: – Ho solo una domanda semplice. Qual è il vostro punto di vista riguardo alla regolamentazione nel trattamento dei dati e all'autoregolamentazione?

AK: – Io, in qualità di rappresentante dell'azienda, ritengo che il mercato e il business necessitino di autorregolamentazione. Credo che l'associazione di grandi dati possa autoregolarsi senza l'intervento dello stato. Ho una profonda sfiducia nella regolamentazione governativa e non mi fido affatto delle storie in cui lo stato desidera conservare dati, perché ogni caso ha dimostrato che ciò porta a risultati disastrosi. Sicuramente qualcuno incollerà la password su un post-it giallo sul monitor e così via.

In generale, credo nell'autorregolamentazione. Inoltre, sono convinto che nei prossimi 5 anni raggiungeremo una certa apertura. Anche ora, questo è evidente nei titoli di cronaca, in quanto è molto difficile per lo stato ingannare gli utenti, e viceversa. E questo, sostanzialmente, è senza dubbio un segnale positivo. Ormai, i membri dei servizi segreti riescono a identificare le persone grazie alle foto pubbliche.
Tutto ciò porta probabilmente a una diminuzione del tasso di criminalità. Almeno, dal punto di vista matematico. Se a qualcuno interessa discutere della riduzione del tasso di criminalità, ci sono molte conclusioni interessanti da trarre. In generale, supporto l'autorregolamentazione del mercato. Grazie!

Un po' di pubblicità 🙂

Grazie per essere con noi. Ti piacciono i nostri articoli? Vuoi vedere più contenuti interessanti? Supportaci effettuando un ordine o raccomandandoci ai tuoi conoscenti, VPS cloud per sviluppatori a partire da $4,99, un'alternativa unica ai server entry-level, che abbiamo creato per te: Tutta la verità su VPS (KVM) E5-2697 v3 (6 Core) 10GB DDR4 480GB SSD 1Gbps a partire da $19. Come dividere il server correttamente? (disponibili opzioni con RAID1 e RAID10, fino a 24 core e fino a 40GB DDR4).

Dell R730xd a metà prezzo nel data center Equinix Tier IV ad Amsterdam? Solo da noi 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TB a partire da $199 nei Paesi Bassi! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partire da $99! Scopri di più su Come costruire un'infrastruttura di classe enterprise con server Dell R730xd E5-2650 v4 dal costo di 9000 euro a prezzi stracciati?

Fonte: habr.com