კონფიდენციალურობაზე ორიენტირებული ციკლის ტრეკერი Roe-ს გაუქმების შემდეგ

2022,-მდე აშშ-ს მომხმარებელთა უმეტესობა არ კითხულობდა ციკლის ტრეკერების კონფიდენციალურობის პოლიტიკას. Dobbs-ის გადაწყვეტილების შემდეგ კი ბევრმა ეს ხშირად პირველად გააკეთა. კითხვა აღარ იყო აბსტრაქტული: კონკრეტულად რას ინახავს ეს აპლიკაცია და რა შეიძლება მოუვიდეს ამ მონაცემებს?

ეს არის პროდუქტის გზამკვლევი და არა იურიდიული რჩევა. აქ ჩამოთვლილია ის, რასაც ყურადღება უნდა მიაქციოთ ნებისმიერი ციკლის ტრეკერის შემოწმებისას. ის არ აღწერს, რა არის ან არ არის დაცული რომელიმე კონკრეტული იურიდიული პროცესისგან. თუ იურიდიული საკითხები გაწუხებთ, მიმართეთ თქვენს საცხოვრებელ ადგილზე ლიცენზირებულ ადვოკატს.

ამ ჩარჩოს გათვალისწინებით, აი, რა უნდა შეამოწმოთ.

მოკლედ

• 2022 წლის Dobbs-ის გადაწყვეტილების შემდეგ აშშ-ის მომხმარებლებმა პირველად დაიწყეს ციკლის ტრეკერების კონფიდენციალურობის პოლიტიკის კითხვა.
• ეს გზამკვლევი ჩამოთვლის ნებისმიერი მენსტრუალური ტრეკერის შესაფასებელ შვიდ პროდუქტულ კრიტერიუმს: AES-256-GCM კონვერტული დაშიფვრა თითოეული მომხმარებლის ინდივიდუალური გასაღებებით, წაშლის უფლება, რომელიც დაშიფვრის გასაღებს 24 საათში ანადგურებს, სამედიცინო ან ოჯახის დაგეგმვის განცხადებების არარსებობა, მენსტრუალური შინაარსის არარსებობა push-შეტყობინებებში, იურისდიქციის გათვალისწინებით შედგენილი ტექსტი (აშშ-ის მომხმარებლები ხედავენ ფრაზას "body day" და არა "period"), ანონიმური რეჟიმის ვარიანტი და GDPR-ის 9 მუხლის შესაბამისი მკაფიო თანხმობა.
• სტატია ცალსახად აღნიშნავს, რომ ეს არის პროდუქტული კრიტერიუმები და არა იურიდიული რჩევა — ის არ აღწერს, რა არის ან არ არის დაცული რომელიმე კონკრეტული იურიდიული პროცესისგან.

რა შეიცვალა მიდგომაში და არა მათემატიკაში

ქვემოთ მოყვანილი კრიპტოგრაფიული და პროგრამული პრაქტიკები წლების მანძილზე არსებობდა. რაც Dobbs-ის შემდეგ შეიცვალა, ეს ხილვადობაა. პრაქტიკები, რომლებიც ადრე სპეციფიკაციის ბოლოს მითითებული დეტალები იყო, ახლა აპლიკაციის წინა პლანზე გამოტანილი ვალდებულებებია. აპლიკაციები, რომლებიც კონფიდენციალურობას სერიოზულად ეკიდებიან, ღიად საუბრობენ მათზე; ისინი კი, ვინც ასე არ იქცევა, ხშირად არც დაიწყებენ ამაზე საუბარს.

ამ სახელმძღვანელოში მოცემული შვიდი კრიტერიუმი არის ის, რის მარტივი ენით თქმაც კონფიდენციალურობაზე ორიენტირებულ ტრეკერს უნდა შეეძლოს.

შვიდი კრიტერიუმი, რომელთა შემოწმებაც ღირს

პრაქტიკული საკონტროლო სია ნებისმიერი ციკლის ტრეკერის დაყენებამდე. ყველაზე მკაცრი აპლიკაციები შვიდივეს აკმაყოფილებენ.

• AES-256-GCM კონვერტული დაშიფვრა. თითოეულ მომხმარებელს აქვს მონაცემთა დაშიფვრის უნიკალური გასაღები (DEK), რომელსაც გასაღებების მართვის სერვისში მთავარი გასაღები შემოახვევს. დისკზე არსებული მონაცემები შიფრებულია; სერვერის გატეხვა ცხადყოფს შიფრებულ ტექსტს და არა ციკლის წაკითხვად მონაცემებს.
• წაშლის უფლება ანადგურებს გასაღებს. როცა თქვენს ანგარიშს წაშლით, მომწოდებელი ანადგურებს DEK-ს და არა მხოლოდ მონაცემთა ბაზის ჩანაწერს. გასაღების გაქრობით საფუძვლად არსებული შიფრებული ტექსტი სამუდამოდ წაუკითხავი ხდება, მათ შორის ნებისმიერ სარეზერვო ასლში, რომელიც მას შეიცავდა.
• 24-საათიანი წაშლის ფანჯარა. მომწოდებელი წერილობით იღებს ვალდებულებას, რომ წაშლას მოთხოვნიდან 24 საათში დაასრულებს, AI-ფუნქციების მიერ გამოყენებული ვექტორული ჩაშენებების ჩათვლით.
• არანაირი სამედიცინო პრეტენზია. არანაირი ოჯახის დაგეგმვის პროგნოზი, არანაირი კლინიკური პრეტენზია, არანაირი "RED day" ტექსტი. სამომხმარებლო ტრეკერი, რომელიც სამედიცინო ჩარჩოს მიღმა რჩება, გაცილებით ვიწრო მარეგულირებელ და გასახმაურებელ ზედაპირს ფლობს.
• არანაირი მენსტრუალური შინაარსი push-შეტყობინებებში. push-ის სათაურები და ტექსტი არასოდეს შეიცავს ციკლის, მენსტრუაციის ან ოჯახის დაგეგმვის შინაარსს. ჩაკეტილი ეკრანის წინასწარი ხედი უსაფრთხოა.
• იურისდიქციის გათვალისწინებით შედგენილი ტექსტი. აშშ-ის მომხმარებლები ნაგულისხმევად ხედავენ ნეიტრალურ ტერმინოლოგიას ("body day", "log this"); აპლიკაცია არ უშვებს, რომ მომხმარებელს სიტყვა "period"-ის ჩვენება სურს.
• ცხადი, ცალკე აღებული თანხმობა. GDPR-ის 9-ე მუხლი ამას წლების განმავლობაში აკეთებს; Dobbs-ის შემდეგ აშშ-ის მომხმარებლებმაც იგივე მოითხოვეს. შეკრული ან ნაგულისხმევი თანხმობა საკმარისი არ არის.

რატომ აქვს მნიშვნელობა დაშიფვრის დეტალებს

ზემოთ ჩამოთვლილი ზოგიერთი კრიტერიუმი ტექნიკურად ჟღერს. მათ მნიშვნელობა აქვს, რადგან ცვლიან იმას, თუ რა არის აღდგენადი.

თუ მომწოდებელი ციკლის მონაცემებს ღია ტექსტად ინახავს, ყველა სარეზერვო ასლს, ყველა რეპლიკას და ანალიტიკის ყველა მილსადენს მათი წაკითხვა შეუძლია. წაშლის მოთხოვნამ შესაძლოა ჩანაწერი წაშალოს, მაგრამ მონაცემები სარეზერვო ასლებში თვეების ან წლების განმავლობაში შეიძლება შემორჩეს.

თუ მომწოდებელი იყენებს კონვერტულ დაშიფვრას მომხმარებლის ინდივიდუალური გასაღებებით, დისკზე არსებული მონაცემები მომხმარებლის DEK-ის გარეშე წაუკითხავია. როდესაც DEK წაშლის დროს ნადგურდება, სარეზერვო ასლებში დარჩენილი დაშიფრული ტექსტიც წაუკითხავი ხდება, თუნდაც სარეზერვო ასლი აღდგეს. წაშლა მათემატიკურად რეალურია და არა მხოლოდ ინტერფეისში ხილული.

ეს არ ნიშნავს „გაუტეხავს“. კრიპტოგრაფიას აქვს საზღვრები და ნებისმიერი მომწოდებელი, რომელიც აბსოლუტურ უსაფრთხოებას აცხადებს, ან არასწორად არის ინფორმირებული, ან ცრუობს. რასაც ძლიერი დაშიფვრა გასაღებების სათანადო მართვასთან ერთად აკეთებს, არის ნათელი წარუმატებლობის რეჟიმის დადგენა: მონაცემები წაუკითხავია მანამ, სანამ გასაღებები დაცულია, და სამუდამოდ წაუკითხავი ხდება გასაღებების განადგურებისთანავე.

რას ნიშნავს სინამდვილეში "push-შეტყობინებებში მენსტრუალური შინაარსის არარსებობა"

ჩაკეტილი ეკრანის წინასწარი ჩვენება ინფორმაციის უხმაურო გამჟღავნების ზედაპირია. აპლიკაციები, რომლებიც push-შეტყობინების ტექსტად აგზავნიან "თქვენი მენსტრუაცია ხვალ იწყება", ციკლის მონაცემებს უმხელენ ნებისმიერს, ვინც ტელეფონს გადახედავს.

სერიოზული ტრეკერი push-შეტყობინებებში მენსტრუალური შინაარსის არარსებობას CI-ში აღასრულებს. Soulwise-ის ბილდის პაიფლაინი push-შეტყობინების სათაურისა და ტექსტის სტრიქონებს ამოწმებს აკრძალული ტერმინების სიასთან; ნებისმიერი ბილდი, რომელიც push-ში შეიცავს მენსტრუალურ ან ოჯახის დაგეგმვის შინაარსს, ვერ გადის შემოწმებას გამოშვებამდე. მომხმარებელი იღებს ყოველდღიური რიტუალის შეხსენებებს, რომლებიც ამბობს მაგალითად: "ნაზი დასაწყისი. რა გელით დღეს?" — ციკლის ფაზის გარეშე, მენსტრუაციაზე მითითების გარეშე, სამედიცინო ჩარჩოს გარეშე.

მხოლოდ ლოკალური vs დაშიფრული ღრუბელი: აირჩიეთ თქვენი კომპრომისი

ორი ლეგიტიმური არქიტექტურა, განსხვავებული საფრთხის მოდელით.

მხოლოდ ლოკალური ტრეკერები (Drip, Euki). მონაცემები თქვენს მოწყობილობაზე ინახება. არ არსებობს ღრუბლოვანი ასლი, რომლის გამოთხოვაც შესაძლებელია სასამართლო ბრძანებით, მაგრამ არც მოწყობილობებს შორის სინქრონიზაცია არსებობს და AI-ფუნქციებიც შეზღუდულია. სარეზერვო ასლი თქვენი საზრუნავია; ისევე როგორც მოწყობილობის ქურდობა და ოპერაციული სისტემის სარეზერვო ასლები (რომლებიც OS დონეზე შეიძლება დაშიფრული იყოს ან არ იყოს).

დაშიფრული ღრუბლოვანი ტრეკერები (Soulwise, Clue და სხვები). მონაცემები სინქრონიზდება მოწყობილობებს შორის და კვებავს AI-ფუნქციებს. კონფიდენციალურობა დამოკიდებულია მომწოდებლის დაშიფვრისა და წაშლის პრაქტიკაზე. საფრთხის მოდელი გულისხმობს კომპეტენტურ მომწოდებელსა და გასაღებების მართვის ძლიერ მიდგომას.

არცერთი არ არის უნივერსალურად „უსაფრთხო". სწორი პასუხი დამოკიდებულია იმაზე, თუ რა გაღელვებთ. მხოლოდ ლოკალური უფრო რთული არჩევანია მომხმარებლის გამოცდილების კუთხით და უფრო მარტივი — მონაცემთა ზედაპირის თვალსაზრისით. დაშიფრული ღრუბელი კი — პირიქით.

რას არ გპირდებით განზრახ

ეს არის იმ რამეების ჩამონათვალი, რომელთა მიმართაც სიფრთხილე უნდა გამოიჩინოთ ნებისმიერ სარეკლამო ტექსტში:

• „გაუტეხავი." არცერთი სისტემა არ არის გაუტეხავი. ვინც ამას ამტკიცებს, რაღაცას გყიდით.
• „თქვენი მონაცემები დაცულია სამართალდამცავი ორგანოებისგან." ეს იურიდიული და არა ტექნიკური განცხადებაა. ტექნიკური განცხადება ასე ჟღერს: „თქვენი მონაცემები დაშიფრულია მოსვენების მდგომარეობაში და გასაღები ნადგურდება წაშლისას." ნებისმიერი კონკრეტული პროცესის იურიდიულ შედეგებზე მხოლოდ ადვოკატს შეუძლია პასუხის გაცემა.
• „100% უსაფრთხო." იხილეთ ზემოთ. უსაფრთხოება საფრთხის მოდელების თვისებაა და არა აბსოლუტი.
• „გარანტირებული კონფიდენციალურობა." კონფიდენციალურობა პრაქტიკაა და არა გარანტია.

Soulwise-ის კონფიდენციალურობის ვალდებულებები კონკრეტული და გადასამოწმებელია. AES-256-GCM მოსვენების მდგომარეობაში. თითოეული მომხმარებლის DEK დაცულია KMS-ის მთავარი გასაღებით. 24-საათიანი წაშლა ვექტორული ემბედინგების ჩათვლით. მენსტრუაციასთან დაკავშირებული შინაარსი push-შეტყობინებებში არ იგზავნება. GDPR-ის 9-ე მუხლის თანახმად მკაფიო თანხმობა. Soulwise-ის კონფიდენციალურობის გვერდი თითოეულს ჩამოთვლის შესაბამისი სპეციფიკაციის მითითებით.

რატომ არის ეს მნიშვნელოვანი ყველაზე უარეს სცენარს მიღმა

Dobbs-ის შემდგომი კონტექსტი ხალხს უბიძგებს, ციკლის თვალყურის დევნების კონფიდენციალურობაზე ექსტრემალურ სცენარებში იფიქრონ. იგივე კრიტერიუმები გაცილებით უფრო გავრცელებულ შემთხვევებშიც მნიშვნელოვანია: ტელეფონი, რომელსაც თანამოსახლესთან იზიარებთ; მოძალადე პარტნიორი, რომელიც მოწყობილობას სესხულობს; ცნობისმოყვარე დამსაქმებელი, რომელიც შეტყობინებას ხედავს; სარეზერვო ასლი, რომელიც ოჯახის iCloud ანგარიშში ხვდება.

ძლიერი ნაგულისხმევი კონფიდენციალურობა მხოლოდ ყველაზე უარესი შემთხვევისთვის არ არის. ის ყოველდღიურობისთვისაა.

მოკლედ: სწორი თვალყურის დევნების აპლიკაცია ის არის, რომლის კონფიდენციალურობის ვალდებულებებიც კონკრეტული, შესამოწმებელი და მარტივი ენით ჩამოყალიბებულია. ჰკითხეთ ნებისმიერ აპლიკაციას ზემოთ ჩამოთვლილი შვიდი კრიტერიუმის შესახებ. თუ მომწოდებელი ნათლად ვერ პასუხობს, სწორედ ეს არის პასუხი. ყველაზე პოპულარულ არსებულ აპლიკაციასთან გვერდიგვერდ შესადარებლად იხილეთ Flo-ს ალტერნატივა — კონფიდენციალურობაზე ორიენტირებული გზამკვლევი; ხოლო იმავე პრინციპებიდან გამომდინარე ინკლუზიური ნაგულისხმევი პარამეტრებისთვის იხილეთ ციკლის თვალყურის დევნება არაბინარული მომხმარებლებისთვის.

ხშირად დასმული კითხვები

არის თუ არა ეს სტატია იურიდიული რჩევა?

არა. ეს არის სამომხმარებლო აპლიკაციების შეფასების პროდუქტული კრიტერიუმები. თუ გაქვთ კონკრეტული იურიდიული შეშფოთება ციკლის მონაცემებთან დაკავშირებით, მიმართეთ თქვენს იურისდიქციაში ლიცენზირებულ ადვოკატს. ამ სტატიაში არაფერია ნათქვამი იმაზე, თუ რა არის ან არ არის დაცული რომელიმე კონკრეტული იურიდიული პროცესისგან.

რატომ შეიცვალა კონფიდენციალურობის აღქმა Dobbs-ის შემდეგ?

2022 წლის Dobbs-ის გადაწყვეტილებამ აბორტის რეგულირება აშშ-ის ცალკეულ შტატებს დაუბრუნა, რომელთაგან რამდენიმე ახლა ზოგ შემთხვევაში ზღუდავს ან კრიმინალად აცხადებს აბორტს. ამან შეცვალა ის, თუ როგორ ფიქრობენ ადამიანები მენსტრუალური ან ორსულობის მონაცემების ნებისმიერ ციფრულ კვალზე, და ციკლის თვალყურის დევნების კონფიდენციალურობა ბევრი მომხმარებლისთვის პირველად გახადა შეგნებული შესყიდვის კრიტერიუმი.

რა არის "კონვერტული დაშიფვრა" და რატომ აქვს მას მნიშვნელობა?

კონვერტული დაშიფვრა ყოველი მომხმარებლის მონაცემთა დაშიფვრის გასაღებს (DEK) ათავსებს მთავარ გასაღებში, რომელსაც ინახავს გასაღებების მართვის სერვისი. მომხმარებლის მონაცემები დისკზე დაშიფრულია მისი DEK-ით; სერვერის გატეხვა ააშკარავებს შიფრტექსტს და არა წაკითხვადი ციკლის მონაცემებს. წაშლისას DEK-ის განადგურება შიფრტექსტს სამუდამოდ წაუკითხავ მდგომარეობაში ტოვებს.

უფრო უსაფრთხოა თუ არა მხოლოდ ლოკალური ტრეკერები დაშიფრულ ღრუბლოვან ტრეკერებთან შედარებით?

განსხვავებული კომპრომისებია. მხოლოდ ლოკალური ტრეკერები (Drip, Euki) მონაცემებს თქვენს მოწყობილობაზე ინახავს, რაც ზღუდავს ღრუბელში მონაცემთა მოხვედრას, მაგრამ თავად მოწყობილობას არ იცავს. დაშიფრული ღრუბლოვანი ტრეკერები (Soulwise) იძლევა სინქრონიზაციისა და AI-ფუნქციების საშუალებას, თუმცა ამის სანაცვლოდ უნდა ენდოთ პროვაიდერის დაშიფვრისა და წაშლის პრაქტიკას. არც ერთი არ არის უნივერსალურად "უფრო უსაფრთხო" — საკითხი ის არის, თუ რომელ საფრთხეზე ხართ ყველაზე მეტად შეშფოთებული.