Privatumą saugantis ciklo stebėjimas po Roe panaikinimo

Iki 2022, dauguma JAV vartotojų neskaitydavo ciklo stebėjimo programėlių privatumo taisyklių. Po Dobbs sprendimo daugelis tai padarė, dažnai pirmą kartą. Klausimas nebebuvo abstraktus: ką ši programėlė iš tikrųjų saugo ir kas galėtų nutikti su tais duomenimis?

Tai produkto vadovas, o ne teisinė konsultacija. Jame išvardyta, į ką atkreipti dėmesį, kai tikrini bet kurią ciklo stebėjimo programėlę. Jis neaprašo, kas yra ar nėra apsaugota nuo kurio nors konkretaus teisinio proceso. Jei turi teisinių abejonių, pasitark su advokatu, turinčiu licenciją toje vietoje, kur gyveni.

Turėdami tai omenyje, štai ką verta patikrinti.

Trumpai

• Po 2022 metų Dobbs sprendimo JAV vartotojai pirmą kartą ėmė skaityti ciklo stebėjimo programėlių privatumo politikas.
• Šiame vadove išvardyti septyni produkto kriterijai, pagal kuriuos galima įvertinti bet kurią mėnesinių stebėjimo programėlę: AES-256-GCM voko šifravimas su individualiais kiekvieno vartotojo raktais, teisė į ištrynimą, sunaikinanti šifravimo raktą per 24 valandas, jokių medicininių ar šeimos planavimo teiginių, jokio menstruacijų turinio tarp pranešimų (push), jurisdikciją atitinkantis tekstas (JAV vartotojai mato „kūno dieną“ vietoj „mėnesinių“), anoniminio režimo galimybė ir aiškus sutikimas pagal BDAR 9 straipsnį.
• Straipsnyje aiškiai pažymima, kad tai produkto kriterijai, o ne teisinė konsultacija – jame neaprašoma, kas yra ar nėra apsaugota nuo kokio nors konkretaus teisinio proceso.

Kas pasikeitė pateikime, o ne matematikoje

Žemiau aprašyta kriptografinė ir programinė praktika gyvuoja jau ne vienus metus. Po Dobbs bylos pasikeitė tik matomumas. Tai, kas anksčiau buvo užkulisinės specifikacijos detalės, dabar tapo aiškiais programėlės įsipareigojimais. Programėlės, kurios privatumą vertina rimtai, apie tai kalba atvirai; tos, kurios ne, dažnai tylės.

Septyni šio vadovo kriterijai – tai tai, ką į privatumą orientuotas ciklų sekimo įrankis turėtų drąsiai įvardyti aiškiai ir paprastai.

Septyni kriterijai, kuriuos verta patikrinti

Praktiškas sąrašas prieš diegiant bet kurią ciklo stebėjimo programėlę. Griežčiausios programėlės atitinka visus septynis.

• AES-256-GCM vokų šifravimas. Kiekvienas naudotojas turi unikalų duomenų šifravimo raktą (DEK), apgaubtą pagrindinio rakto raktų valdymo paslaugoje. Diske esantys duomenys yra šifruotas tekstas; įsilaužus į serverį atskleidžiamas šifruotas tekstas, o ne perskaitomi ciklo duomenys.
• Teisė būti ištrintam sunaikina raktą. Kai ištrini savo paskyrą, tiekėjas sunaikina DEK, o ne tik duomenų bazės eilutę. Dingus raktui, pagrindinis šifruotas tekstas tampa visam laikui neperskaitomas, įskaitant bet kokią atsarginę kopiją, kurioje jis buvo.
• 24 valandų ištrynimo langas. Tiekėjas raštu įsipareigoja užbaigti ištrynimą per 24 valandas nuo prašymo, įskaitant vektorinius įterpinius, kuriuos naudoja dirbtinio intelekto funkcijos.
• Jokių medicininių teiginių. Jokių šeimos planavimo prognozių, jokių klinikinių teiginių, jokio „RAUDONOS dienos“ teksto. Vartotojų skirta stebėjimo programėlė, vengianti medicininio konteksto, turi kur kas siauresnį reguliavimo ir atskleidimo lauką.
• Jokio menstruacinio turinio tiesioginiuose pranešimuose. Pranešimų antraštės ir tekstai niekada neturi ciklo, mėnesinių ar šeimos planavimo turinio. Užrakto ekrano peržiūra yra saugi.
• Jurisdikciją atpažįstantis tekstas. JAV naudotojai pagal numatytuosius nustatymus mato neutralią terminiją („kūno diena“, „užfiksuok tai“); programėlė nedaro prielaidos, kad naudotojas nori matyti žodį „mėnesinės“.
• Aiškus, atskirai gaunamas sutikimas. BDAR 9 straipsnis tai daro jau ne vienus metus; po Dobbs sprendimo JAV naudotojai pradėjo prašyti to paties. Sujungto ar numanomo sutikimo nepakanka.

Kodėl šifravimo detalės iš tiesų svarbios

Kai kurie aukščiau išvardyti kriterijai skamba techniškai. Jie svarbūs, nes lemia, ką apskritai įmanoma atkurti.

Jei tiekėjas ciklo duomenis saugo grynu tekstu, juos gali perskaityti kiekviena atsarginė kopija, kiekviena replika ir kiekvienas analitikos kanalas. Ištrynimo užklausa gali pašalinti įrašą, bet duomenys atsarginėse kopijose gali išlikti mėnesius ar metus.

Jei tiekėjas naudoja vokų šifravimą su kiekvienam vartotojui skirtais raktais, duomenys diske yra neperskaitomi be vartotojo DEK. Kai trynimo metu DEK sunaikinamas, atsarginėse kopijose likęs šifruotas tekstas taip pat tampa neperskaitomas — net jei atsarginė kopija būtų atkurta. Trynimas yra matematiškai realus, o ne tik matomas sąsajoje.

Tai nereiškia „nenulaužiama". Kriptografija turi ribas, ir bet kuris tiekėjas, žadantis absoliutų saugumą, arba klysta, arba meluoja. Stiprus šifravimas su tinkamu raktų valdymu padaro štai ką: nustato aiškų gedimo scenarijų — duomenys lieka neperskaitomi tol, kol raktai apsaugoti, ir neperskaitomi amžiams, kai raktai sunaikinami.

Ką iš tikrųjų reiškia „jokio menstruacijų turinio push pranešimuose“

Užrakto ekrano peržiūra yra tyli atskleidimo erdvė. Programėlės, kurios išsiunčia „Tavo mėnesinės prasidės rytoj“ kaip push pranešimo tekstą, atveria ciklo duomenis kiekvienam, kas tik žvilgteli į telefoną.

Rimtas sekiklis CI lygmenyje užtikrina, kad push pranešimuose nebūtų menstruacijų turinio. Soulwise kūrimo procesas tikrina push pranešimų antraščių ir tekstų eilutes pagal draudžiamų terminų sąrašą; bet kuri versija, kurioje push pranešime aptinkamas menstruacijų ar šeimos planavimo turinys, atmetama dar prieš išleidimą. Tu gauni kasdienio ritualo raginimus, kurie skamba maždaug taip: „Švelni pradžia. Kas šiandien tavo dienotvarkėje?“ – jokios ciklo fazės, jokios nuorodos į mėnesines, jokio medicininio konteksto.

Tik vietinis vs. šifruotas debesis: pasirink savo kompromisą

Dvi teisėtos architektūros, skirtingi grėsmių modeliai.

Tik vietiniai sekikliai (Drip, Euki). Duomenys saugomi tavo įrenginyje. Nėra debesyje saugomos kopijos, kurią būtų galima išreikalauti teismo keliu, bet nėra ir sinchronizavimo tarp įrenginių, o DI funkcijos ribotos. Atsarginės kopijos – tavo rūpestis; kaip ir įrenginio vagystė bei operacinės sistemos atsarginės kopijos (kurios OS lygmeniu gali būti šifruotos arba ne).

Šifruoto debesies sekikliai (Soulwise, Clue ir kiti). Duomenys sinchronizuojami tarp įrenginių ir maitina DI funkcijas. Privatumas priklauso nuo tiekėjo šifravimo ir duomenų trynimo praktikos. Grėsmių modelis remiasi prielaida, kad tiekėjas yra kompetentingas ir taiko tvirtą raktų valdymo strategiją.

Nė vienas iš jų nėra visuotinai „saugesnis". Teisingas atsakymas priklauso nuo to, kas tave neramina. Tik vietinis variantas yra sudėtingesnis pasirinkimas naudojimosi patogumo požiūriu, bet paprastesnis duomenų pažeidžiamumo požiūriu. Su šifruotu debesimi viskas atvirkščiai.

Ko sąmoningai nežadame

Štai sąrašas dalykų, kurių vertėtų saugotis bet kokiuose reklaminiuose tekstuose:

• „Nenulaužiama.“ Nė viena sistema nėra nenulaužiama. Kas taip tvirtina, kažką tau parduoda.
• „Tavo duomenys apsaugoti nuo teisėsaugos.“ Tai teisinis, o ne techninis teiginys. Techninis teiginys skamba taip: „tavo duomenys užšifruoti ramybės būsenoje, o raktas sunaikinamas ištrynus.“ Teisines bet kurio konkretaus proceso pasekmes gali įvertinti tik advokatas.
• „100% saugu.“ Žr. aukščiau. Saugumas yra grėsmių modelių savybė, o ne absoliutas.
• „Garantuotas privatumas.“ Privatumas yra praktika, o ne garantija.

Soulwise privatumo įsipareigojimai yra konkretūs ir patikrinami. AES-256-GCM ramybės būsenoje. Kiekvieno naudotojo DEK, apgaubtas KMS pagrindiniu raktu. 24 valandų ištrynimas, įskaitant vektorines įdėtis. Jokio menstruacijų turinio push pranešimuose. Aiškus sutikimas pagal BDAR 9 straipsnį. Soulwise privatumo puslapyje kiekvienas iš jų išvardytas su nuoroda į pamatinę specifikaciją.

Kodėl tai svarbu ne tik blogiausiu atveju

Po Dobbs bylos žmonės skatinami galvoti apie ciklo sekiklio privatumą kraštutinėse situacijose. Tie patys kriterijai svarbūs ir daug įprastesnėse: telefonas, kuriuo dalijiesi su kambarioku, smurtaujantis partneris, pasiskolinantis įrenginį, smalsus darbdavys, pamatantis pranešimą, atsarginė kopija, atsidūrusi šeimos iCloud paskyroje.

Tvirtas numatytasis privatumas reikalingas ne tik blogiausiu atveju. Jis reikalingas kasdien.

Trumpiau tariant: tinkamas sekiklis yra tas, kurio privatumo įsipareigojimai konkretūs, patikrinami ir išdėstyti aiškia kalba. Paklausk bet kurios programėlės apie septynis aukščiau išvardytus kriterijus. Jei tiekėjas negali aiškiai atsakyti, tai ir yra atsakymas. Palyginimą su populiariausiu rinkos senbuviu rasi Flo alternatyvos privatumu paremtame vadove; o apie įtraukius numatytuosius nustatymus, kylančius iš tų pačių principų, skaityk Ciklo sekiklis nebinariams vartotojams.

Dažniausiai užduodami klausimai

Ar šis straipsnis yra teisinė konsultacija?

Ne. Tai produkto vertinimo kriterijai, skirti įvertinti vartotojiškas programėles. Jei turi konkrečių teisinių klausimų dėl ciklo duomenų, pasitark su tavo jurisdikcijoje licencijuotu advokatu. Nė vienoje šio straipsnio vietoje neaprašoma, kas yra ar nėra apsaugota nuo kokio nors konkretaus teisinio proceso.

Kodėl požiūris į privatumą pasikeitė po Dobbs?

2022 Dobbs sprendimas grąžino abortų reguliavimą atskiroms JAV valstijoms, kelios iš kurių dabar tam tikromis aplinkybėmis riboja arba kriminalizuoja abortus. Tai pakeitė tai, kaip žmonės mąsto apie bet kokius skaitmeninius menstruacinių ar nėštumo duomenų pėdsakus, ir daugeliui vartotojų pirmą kartą pavertė ciklo stebėjimo programėlių privatumą sąmoningu pirkimo kriterijumi.

Kas yra „voko šifravimas" ir kodėl tai svarbu?

Voko šifravimas kiekvieno vartotojo duomenų šifravimo raktą (DEK) suvynioja į pagrindinį raktą, kurį saugo raktų valdymo paslauga. Vartotojo duomenys diske yra užšifruoti jo DEK; serverio pažeidimas atskleidžia šifruotą tekstą, o ne įskaitomus ciklo duomenis. Sunaikinus DEK ištrynimo metu, šifruotas tekstas tampa visiems laikams neįskaitomas.

Ar tik vietiniai stebėjimo įrankiai saugesni nei šifruoti debesijos?

Skirtingi kompromisai. Tik vietiniai stebėjimo įrankiai (Drip, Euki) saugo duomenis tavo įrenginyje, o tai apriboja debesijos riziką, bet neapsaugo paties įrenginio. Šifruoti debesijos stebėjimo įrankiai (Soulwise) leidžia naudotis sinchronizavimo ir DI funkcijomis, bet už tai reikia pasitikėti tiekėjo šifravimo ir trynimo praktikomis. Nė vienas nėra visuotinai „saugesnis" — klausimas, kokia grėsmė tau labiausiai rūpi.