Что происходит при утечке интимных данных

Большинство утечек данных создает лишь неудобства. Вы меняете пароль, следите за картой несколько месяцев, и через год проблема исчезает.

Утечки интимных данных работают иначе, и разница не в объеме или тяжести в привычном смысле. Дело в том, что нельзя исправить.

Почему это другая категория

Пароль можно изменить. Карту можно перевыпустить. Написанное партнеру нельзя отозвать, как и сам факт того, что у человека был аккаунт в сервисе.

Сам факт существования аккаунта часто и есть главный урон. В нескольких задокументированных утечках частных сервисов одного лишь адреса электронной почты было достаточно, чтобы причинить серьезный вред еще до чтения сообщений. Ashley Madison в 2015 году - классический пример, когда последствия для людей были тяжелыми, а в некоторых случаях необратимыми.

Вторая особенность - постоянство. Утекшие базы данных не удаляются. Они циркулируют, индексируются, объединяются с другими базами и всплывают спустя годы.

Можно сменить все пароли. Но нельзя изменить факт того, что запись существует.

Проблема объединения данных

Отдельная утечка часто выглядит безвредно. Адрес почты и отметка времени.

Риск возникает при комбинации. Адрес из одной утечки, номер телефона из другой и история геопозиции из третьей дают профиль, которого не было ни в одной из них.

Именно поэтому фраза "утекли только email-адреса" звучит убедительнее, чем есть на самом деле, а минимизация данных важнее реагирования на утечки.

Что действительно снижает риск

По-настоящему помогает только одно: отсутствие данных в читаемом виде изначально.

Все остальное - лишь попытки смягчить урон. Хорошие практики безопасности снижают вероятность взлома, но не меняют то, что станет известно при утечке. Ограничение сроков хранения уменьшает объем утекшего. Шифрование, где ключ хранится у оператора, защищает от некоторых типов атак, но не от злоумышленника, получившего доступ к работающей системе.

Сквозное шифрование - единственная схема, при которой полный взлом серверов не раскроет содержимое, потому что его нет на сервере в читаемом виде.

Оно не защищает метаданные. Злоумышленник все равно узнает, что два аккаунта существовали, были связаны и проявляли активность в определенные дни. Это реальная утечка, но гораздо меньшего масштаба.

Вопросы, которые стоит задать любому интимному сервису

Что сможет прочитать злоумышленник, полностью взломавший ваши сервера?

Как долго вы храните данные после удаления аккаунта?

Какие третьи стороны получают доступ к этим данным?

Есть ли публичный контакт для сообщений об уязвимостях и история реагирования на них?

Первый вопрос разделяет архитектуры сервисов. Все остальное - практика, а практика меняется со сменой руководства.

Позиция Duoheart

Контент, а именно вопросы, ответы, сообщения и звонки, шифруется на устройствах с помощью ключа, который создается там же и никогда нам не передается. Полный взлом нашей инфраструктуры не раскроет эти данные, так как мы не храним их в читаемом виде.

Взлом раскроет факт существования аккаунтов, связь между ними, информацию о подписках и активности. Мы не собираемся делать вид, что это ничто.

Мы также собираем меньше данных, чем могли бы. Это самый нескромный с виду, но наиболее эффективный способ защиты. Данные, которые никогда не собирались, не могут утечь.

Что делать пользователю

Используйте для подобных сервисов адрес почты, который не является вашим основным. Удаляйте аккаунты, которыми не пользуетесь, полноценно, а не просто удаляя приложение. И предполагайте для всего, что вы отправляете в любой сервис, что через десять лет где-то может существовать копия, потому что для большинства сервисов это так.