A Apple abandona a protecção de privacidade dos clientes

 

A Apple mudou a sua política de defesa de privacidade. Como? Abandonou-a...

 INDIA MCKINNEY AND ERICA PORTNOY

A Apple anunciou alterações aos seus sistemas operativos que incluem novas características de "protecção para crianças" no iCloud e no iMessage. Se passou algum tempo a seguir as Guerras Crypto, sabe o que isto significa: A Apple está a planear construir uma porta traseira no seu sistema de armazenamento de dados e no seu sistema de mensagens.

A exploração infantil é um problema sério, e a Apple não é a primeira empresa tecnológica a comprometer a sua posição de protecção da privacidade numa tentativa de a combater. Mas essa escolha tem um preço muito alto para a privacidade dos utilizadores em geral. A Apple pode explicar longamente como este precedente técnico preserva a privacidade e a segurança, mas no fim de contas, mesmo uma porta traseira bem guardada e de âmbito restrito, continua a ser uma porta de entrada.

Dizer que estamos desapontados com os planos da Apple é um eufemismo. A Apple tem sido historicamente uma campeã da encriptação. O compromisso da Apple sobre encriptação pode apaziguar as agências governamentais nos EUA e no estrangeiro, mas é chocante para os utilizadores que confiaram na liderança da empresa em matéria de privacidade e segurança.

Há duas características principais que a empresa está a planear instalar em todos os dispositivos Apple. Uma é uma funcionalidade que irá digitalizar todas as fotos à medida que são carregadas no iCloud Photos para ver se correspondem a uma foto na base de dados de material conhecido sobre abuso sexual de crianças (CSAM) mantida pelo National Center for Missing & Exploited Children (NCMEC). A outra funcionalidade faz o scan de todas as imagens iMessage enviadas ou recebidas por contas designadas como pertencentes a um menor - para material sexualmente explícito e se o menor for suficientemente jovem, notifica os pais quando estas imagens são enviadas ou recebidas. Esta funcionalidade pode ser activada ou desactivada pelos pais.

Quando a Apple lançar estas funcionalidades de "digitalização do lado do cliente", os utilizadores do iCloud Photos, os utilizadores infantis do iMessage e qualquer pessoa que fale com um menor através do iMessage, terão de considerar cuidadosamente as suas prioridades de privacidade e segurança à luz das alterações e possivelmente não poderão utilizar com segurança o que até agora é um dos mensageiros encriptados preeminentes.

A Apple está a Abrir a Porta a Abusos mais Amplos

Já o dissemos antes, e voltamos a dizê-lo agora: é impossível construir um sistema de digitalização do lado do cliente que só possa ser utilizado para imagens sexualmente explícitas enviadas ou recebidas por crianças. Como consequência, mesmo um esforço bem intencionado para construir tal sistema quebrará as promessas da própria encriptação do mensageiro e abrirá a porta a abusos mais amplos.

Tudo o que seria necessário para alargar a estreita porta traseira que a Apple está a construir é uma expansão dos parâmetros de aprendizagem da máquina para procurar tipos adicionais de conteúdos, ou uma afinação das bandeiras de configuração para digitalizar, não apenas os das crianças, mas os de qualquer pessoa. 

Isso não é um declive ardiloso; é um sistema totalmente construído apenas à espera que a pressão externa faça a menor alteração possível. Tomemos o exemplo da Índia, onde as regras recentemente aprovadas incluem requisitos perigosos para as plataformas identificarem a origem das mensagens e o conteúdo do pré-ecrã. Novas leis na Etiópia que exigem a recepção de conteúdos de "desinformação" em 24 horas podem aplicar-se aos serviços de mensagens. E muitos outros países - muitas vezes aqueles com governos autoritários - aprovaram leis semelhantes. As alterações da Apple permitiriam este tipo de rastreio, recolha e informação nas suas mensagens de ponta a ponta. Os casos de abuso são fáceis de imaginar: governos que proíbem a homossexualidade podem exigir que o classificador seja treinado para restringir conteúdos LGBTQ+ aparentes, ou um regime autoritário pode exigir que o classificador seja capaz de detectar imagens satíricas populares ou panfletos de protesto.

Já vimos esta missão entrar em acção. Uma das tecnologias originalmente construídas para digitalizar e rastrear as imagens de abuso sexual infantil foi reestruturada para criar uma base de dados de conteúdos "terroristas" para a qual as empresas podem contribuir e aceder com o objectivo de proibir tais conteúdos. A base de dados, gerida pelo Global Internet Forum to Counter Terrorism (GIFCT), é perturbadoramente sem supervisão externa, apesar dos apelos da sociedade civil. Embora seja, por isso, impossível saber se a base de dados atingiu em demasia, sabemos que as plataformas assinalam regularmente conteúdos críticos como "terrorismo", incluindo documentação de violência e repressão, arte e sátira.

O plano da Apple para digitalizar fotografias que são carregadas no iCloud Photos é semelhante, em alguns aspectos, ao PhotoDNA da Microsoft. A principal diferença do produto é que a digitalização da Apple irá acontecer no dispositivo.

Uma vez detectado um certo número de fotos, serão enviadas a empregados da Apple, que decidem se as fotos fazem de facto parte da base de dados CSAM e com base na sua decisão, enviam as fotos ao NCMEC, e desactivam a conta do utilizador. Mais uma vez, o resultado final aqui é que quaisquer que sejam os aspectos de privacidade e segurança nos detalhes técnicos, todas as fotos carregadas para o iCloud serão digitalizadas.

A segunda principal novidade da Apple são dois tipos de notificações baseadas na digitalização de fotografias enviadas ou recebidas pelo iMessage. Para implementar estas notificações, a Apple irá lançar um classificador de aprendizagem no dispositivo concebido para detectar "imagens sexualmente explícitas".

Para implementar estas notificações, a Apple irá lançar um classificador de aprendizagem de máquinas no dispositivo concebido para detectar "imagens sexualmente explícitas".

Nestes novos processos, se uma conta detida por uma criança com menos de 13 anos de idade desejar enviar uma imagem que o classificador de aprendizagem da máquina no dispositivo determine ser uma imagem sexualmente explícita, aparecerá uma notificação, dizendo à criança com menos de 13 anos de idade que os seus pais serão notificados deste conteúdo. Se a criança optar por enviar o conteúdo, terá de aceitar que o "pai" será notificado, e a imagem será irrevogavelmente guardada na secção de controlo parental do seu telefone para que o pai possa ver mais tarde. Para utilizadores com idades compreendidas entre os 13 e os 17 anos, surgirá uma notificação de aviso semelhante, embora sem a notificação dos pais.

Da mesma forma, se a criança com menos de 13 anos de idade receber uma imagem que o iMessage considere "sexualmente explícita", antes de ser autorizada a ver a fotografia, aparecerá uma notificação que diz à criança com menos de 13 anos de idade que os seus pais serão notificados de que está a receber uma imagem sexualmente explícita. Mais uma vez, se o utilizador com menos de 13 anos aceitar a imagem, o pai é notificado e a imagem é guardada no telefone. Os utilizadores entre os 13 e os 17 anos de idade receberão igualmente uma notificação de aviso, mas uma notificação sobre esta acção não será enviada para o dispositivo dos seus pais.

Isto significa que se, por exemplo, um menor que utilize um iPhone sem estas características activadas enviar uma foto a outro menor que tenha as características activadas, não receberá uma notificação de que o iMessage considera a sua imagem como "explícita" ou que o pai do destinatário será notificado. Os pais do destinatário serão informados do conteúdo sem o consentimento do remetente para o seu envolvimento. Além disso, uma vez enviada ou recebida, a "imagem sexualmente explícita" não pode ser apagada do dispositivo do utilizador com menos de 13 anos

Quer envie ou receba tal conteúdo, o utilizador com menos de 13 anos tem a opção de recusar sem que o progenitor seja notificado. No entanto, estas notificações mostram que a Apple está a vigiar o utilizador e a dar aos pais a capacidade de o fazer.

É também importante notar que a Apple optou por utilizar a tecnologia notoriamente difícil de auditar dos classificadores de aprendizagem de máquinas para determinar o que constitui uma imagem sexualmente explícita. Sabemos por anos de documentação e investigação que as tecnologias de aprendizagem por máquinas, utilizadas sem supervisão humana, têm o hábito de classificar erroneamente os conteúdos, incluindo falsos conteúdos "sexualmente explícitos". Quando a plataforma de blogues Tumblr instituiu um filtro de conteúdo sexual em 2018, apanhou todo o tipo de outras imagens na rede, incluindo imagens de cachorros pomeranos, de indivíduos totalmente vestidos, e muito mais. As tentativas do Facebook para policiar a nudez resultaram na remoção de imagens de estátuas famosas, tais como a Pequena Sereia de Copenhaga. Estes filtros têm uma história de abuso arrepiante e há muitas razões para acreditar que a da Apple fará o mesmo.

Uma vez que a detecção de uma "imagem sexualmente explícita" estará a utilizar a máquina para digitalizar o conteúdo de todas as mensagens, a Apple deixará de poder chamar honestamente ao iMessage "encriptado de ponta a ponta". 

A Apple e os seus proponentes podem argumentar que a digitalização antes ou depois de uma mensagem ser encriptada ou desencriptada mantém intacta a promessa protecção "de ponta a ponta", mas isso seria uma manobra semântica para encobrir uma mudança tectónica na postura da empresa no sentido de uma forte encriptação.

Só para lembrar: um sistema seguro de mensagens é um sistema onde ninguém a não ser o utilizador e os seus destinatários pretendidos podem ler as mensagens ou analisar de outra forma o seu conteúdo para inferir do que estão a falar. 

Apesar das mensagens passarem por um servidor, uma mensagem encriptada de ponta a ponta não permitirá que o servidor conheça o conteúdo de uma mensagem. Quando esse mesmo servidor tem um canal para revelar informação sobre o conteúdo de uma porção significativa de mensagens, isso não é encriptação de ponta-a-ponta. 

Neste caso, enquanto a Apple nunca verá as imagens enviadas ou recebidas pelo utilizador, ainda assim criou o classificador que digitaliza as imagens que forneceriam as notificações aos pais. Portanto, seria agora possível à Apple adicionar novos dados de formação ao classificador, enviado aos dispositivos dos utilizadores ou enviar notificações a um público mais vasto, censurando e cortanto facilmente o discurso.

Mas mesmo sem tais expansões, este sistema dará aos pais que não têm em mente os melhores interesses dos seus filhos [que são legião] mais uma forma de os monitorizar e controlar, limitando o potencial da Internet para expandir o mundo daqueles cujas vidas de outra forma seriam restringidas. E porque os planos de partilha familiar podem ser organizados por parceiros abusivos, não é um exagero imaginar a utilização desta funcionalidade como uma forma de perseguição.

As pessoas têm o direito de comunicar em privado, sem backdoors ou censura, inclusive quando essas pessoas são menores. A Apple deve tomar a decisão correcta: manter estes backdoors afastados dos dispositivos dos utilizadores.

-----------------------
(tradução minha de excertos do artigo)