Se você não mantém os dados dos usuários, não pode vazá-los

• A Matter, ao criar um app para iPhone que registra memórias positivas e avaliações emocionais para serem relembradas depois, adotou como base um design com privacidade em primeiro lugar para impedir que a empresa visse fotos sensíveis e dados emocionais
• O centro do projeto era um modelo de ameaças que levava em conta a confiança do usuário, a proteção contra erros e bugs, e até cenários futuros em que a empresa sofresse pressão ou fosse adquirida
• Avaliações emocionais privadas, descrições de memórias e fotos anexadas são armazenadas não nos servidores da Matter, mas no Core Data do iPhone e no banco de dados privado do iCloud do usuário, de forma que a empresa não possa acessá-los nem com ferramentas da Apple
• O que a empresa recebe é apenas parte de resultados irreversíveis, como o Matter Score, além de métricas privadas de eventos de uso, e as contas também são tratadas como contas numeradas, sem e-mail nem senha
• Isso reduz a possibilidade de vazamento de dados, mas, como a empresa não identifica o usuário nem mantém seus dados, ela não pode recuperar dados perdidos; o usuário precisa usar backup/restauração

---

O ponto de partida da Matter e a decisão sobre privacidade

• Em 1º de outubro de 2024, Sean Coates deixou o cargo de VP of Technology da Matter e, desde então, não pode mais garantir pessoalmente os aspectos de privacidade do app
• A Matter começou primeiro como cliente da Faculty e depois, com a transição da relação agência-cliente para uma relação de startup, Coates assumiu como VP of Technology
• A ideia do produto surgiu da proposta de permitir que o usuário registrasse memórias de experiências positivas e depois as relembrasse para aumentar a sensação de felicidade
  • O usuário pode salvar fotos de experiências positivas e avaliar as emoções sentidas naquele momento para recordá-las mais tarde
  • Coates era cético no início em relação a esse tipo de argumento de wellness, mas foi convencido pela tecnologia e pela ciência de que relembrar experiências positivas pode gerar e liberar neurotransmissores relacionados, aumentando a sensação de felicidade

A pergunta: “por que esses dados precisariam ser enviados para a empresa?”

• A pergunta decisiva foi por que o usuário deveria enviar à Matter fotos privadas e avaliações emocionais sensíveis como sexual desire
• A partir dessa pergunta, a Matter definiu ainda no início do produto como lidaria com conteúdo privado dos usuários e fez o modelamento de ameaças
• Privacidade não virou um recurso adicionado depois, mas um valor central que determinou o design do produto
  • Entendeu-se que tentar adicionar privacidade depois de já expor dados dos usuários dentro da empresa poderia ser propenso a erros ou até impossível

Três princípios e cenários extremos

• A Matter resumiu em três princípios a forma de lidar com dados dos usuários
  • Era preciso criar confiança para que o usuário pudesse acreditar na forma como a empresa trata os dados
  • Mesmo que um funcionário tivesse uma senha fraca ou houvesse um bug no código, os dados dos usuários não deveriam vazar
  • Não bastava confiar apenas na boa-fé da equipe atual; o sistema precisava resistir mesmo em cenários futuros em que surgisse um poder de controle sobre a empresa ou um comprador não confiável
• Em nível de infraestrutura, também foram consideradas perguntas extremas
  • Discutiu-se até a construção de um datacenter próprio, mas concluiu-se que a camada física pode ser melhor cuidada por provedores de hospedagem maiores, e que não valia gastar recursos escavando uma montanha e contratando uma milícia
  • Foi considerado até o cenário em que um Estado malicioso quisesse os dados de um usuário específico e sequestrasse familiares; a escolha foi seguir um caminho em que não houvesse dados para entregar
• A decisão final foi simplesmente não manter dados privados dos usuários

Como a Matter lida com os dados na prática

• Mesmo que um usuário dê nota alta para uma emoção como pride na Matter, a empresa não tem como saber disso
  • O sistema de métricas foi deliberadamente montado para não coletar esse tipo de dado pessoal
  • Esses dados só podem ser acessados pelo app executado no dispositivo do usuário
• A Matter é um app para iPhone, e os dados são armazenados no Core Data do telefone e no banco de dados privado da conta iCloud do usuário
  • O código do app, executado com credenciais de desenvolvedor da empresa, pode ler e gravar dados dentro do dispositivo
  • Os dados não são enviados para a Matter e a empresa não pode acessá-los nem por ferramentas da Apple
• Os dados que a empresa recebe são apenas resultados de algumas entradas, em uma forma da qual não é possível voltar aos valores originais
  • Por exemplo, se só se souber o resultado 600, não dá para saber se a entrada foi 1 × 600, 100 × 6, 30 × 20 ou 12 × 50
  • A Matter pode saber o Matter Score, mas não quais entradas geraram a pontuação, como a memória foi descrita ou o que aparece na foto
  • O que a empresa sabe é algo como: uma determinada conta numerada tem uma memória e uma pontuação 600
• Atualmente, a Matter não vincula endereços de e-mail às contas de usuários do app e também não usa senha
  • Fora a mailing list, a empresa não mantém endereços de e-mail
  • Também não existe ligação obrigatória entre usuários da mailing list e usuários do app
  • No futuro, a empresa pode permitir que o usuário se identifique, se quiser, mas o plano é manter a diretriz de não coletar dados privados mesmo nesse caso

Armazenamento de imagens criptografadas e o custo da recuperação

• Mesmo que o usuário adicione conteúdo como imagens a uma memória, a Matter não os guarda de uma forma que a empresa possa ver
  • Por padrão, as imagens ficam armazenadas no dispositivo do usuário
  • Por causa dos limites de armazenamento do dispositivo, também existe um sistema para armazenar ativos como imagens criptografadas no dispositivo
  • O conteúdo real da foto e a chave de descriptografia não são enviados para a Matter
  • Do ponto de vista da empresa, os dados armazenados são um texto cifrado binário que parece ruído aleatório, e não uma foto
• Esse design traz um custo claro em termos de recuperação
  • Mesmo que o usuário perca os dados, a Matter não pode recuperá-los
  • Não é possível identificar o usuário por e-mail para redefinir senha e, mesmo que existissem endereço de e-mail e senha, a empresa não poderia restaurar os dados porque não os mantém
• Atualmente, o app tem um recurso de backup/restauração, e o usuário precisa usá-lo por conta própria para evitar perda de dados
• Ainda segue em aberto o problema de armazenar backups em nome do usuário, identificá-lo e ao mesmo tempo guardar os dados de uma forma inacessível para a empresa
• A Matter está vinculada à sua política de privacidade, e Coates considerou a supervisão da implementação de privacidade uma das tarefas técnicas mais gratificantes que realizou na Matter

[GN⁺]

Comentários no Hacker News

• Concordo com a ideia central. A abordagem de se você não armazena, também não pode vazar está correta, e acho que o sistema jurídico deveria ser mais orientado a resultados para incentivar mais esse tipo de mentalidade
  Quando você é hackeado, dizer “fizemos tudo conforme os padrões do setor” não importa muito; o que importa é que minhas informações foram roubadas. Mesmo que tenham seguido o que o setor acreditava ser correto, é preciso assumir responsabilidade

  • “Não armazene informações que possam ser vazadas” é uma boa ideia. Parecido com o princípio do menor privilégio, você deveria guardar apenas o que é necessário para o serviço que oferece. O risco diminui tanto para o provedor quanto para o consumidor
    Mas, nos EUA, parece que cada vez mais empresas concluem que dados pessoais valem dinheiro. É por isso que a maioria das lojas opera programas de recompensas e coleta o que você comprou e quando
    Se fosse apenas para incentivar o retorno do cliente, poderiam usar só cartões de carimbo, como 10 anos atrás. Não sei como usam os dados, mas, se o valor obtido não fosse maior que o custo das recompensas, por que ofereceriam incentivos como comida grátis ou descontos?
  • Deveria haver seguro de responsabilidade por vazamentos, e, se não houver nada a vazar, o prêmio do seguro deveria ser baixo
    Claro que isso pressupõe outro mundo, em que as empresas de fato pagam um custo por seus erros
  • Concordo com a intenção, mas não sei bem como isso poderia ser implementado na prática
    A lei não deve punir pessoas que, honestamente, fizeram o melhor possível, especialmente se houver uma ressalva do tipo “não importa se era o padrão do setor”. Isso é ainda mais perigoso. Há grande chance de gerar confusão e punir as pessoas erradas, além de criar incentivo para induzir ataques contra concorrentes e empurrá-los para a responsabilidade legal
  • Não sou advogado, mas em outros crimes já existe esse tipo de diferença de grau
    Se você mata alguém por acidente, pode ser homicídio culposo; se mata com malícia e planejamento, pode ser homicídio qualificado ou premeditado
    No fim, se uma vida se perdeu, deve haver algum nível de revisão judicial. Mas não se vê muito esse tipo de procedimento em casos de hacking
  • A causa fundamental do aumento das violações de privacidade é uma enorme vulnerabilidade no sistema jurídico que deveria impedir vigilância e hacking
    Desenvolver e distribuir spyware que coleta dados pessoais sem permissão é ilegal, e continua sendo ilegal mesmo que os dados coletados não sejam vazados. Mas, se você embrulha isso em marketing vistoso, termos de uso de dezenas de páginas difíceis de entender e uma política de “privacidade”, de repente vira legal; e mesmo quando os dados são vazados ou vendidos, quase não há punição
    Isso vale não só para os EUA, mas também para a Europa. Antes do GDPR, a maioria dos países já tinha leis sobre processamento, uso e armazenamento de dados pessoais, mas elas não eram aplicadas. O GDPR também não é muito melhor em termos de aplicação: vemos inúmeros fluxos de “consentimento” em não conformidade, e negócios baseados em processamento de dados sem consentimento continuam funcionando muito bem

• Isso também combina bastante com a minha visão
  Mas essa opinião não me tornou mais popular entre meus colegas. Este setor inteiro está encharcado de coleta de informações de identificação pessoal, e trata essas informações com leveza demais. Até aplicativos de paciência ficam insistindo para você entrar em placares e desafios
  Em um novo app, estou recusando cerca de 30% dos cadastros que parecem ser golpes de pig butchering, e isso é bem chocante. Todos os cadastros passam por revisão manual, e não nos importamos muito com o volume em si. Miramos apenas EUA, Canadá e Índia e quase não fizemos divulgação, mas os golpistas apareceram imediatamente
  Por enquanto é algo tosco, mas só porque miramos uma demografia específica e é difícil falsificar; acho que isso vai mudar em breve. Acabei aceitando que pessoas mal-intencionadas vão entrar, então é importante fazer com que, mesmo que venham saquear o bar, não haja nada lá dentro

• Concordo muito com a afirmação do título. É impressionante ver as medidas de residência, integridade e confidencialidade de dados em torno de enormes silos de dados, as equipes de infraestrutura que gerenciam e escalam tudo isso, e os textos técnicos quase como “evangelhos” que acabam indo parar na web — quando a empresa poderia simplesmente não coletar esses dados
  Gosto do modelo “os dados ficam no dispositivo, nós não os vemos; no máximo recebemos estatísticas mínimas de localização”. Mas tenho dúvidas sobre a alegação de que o sistema de métricas deles não será abusado. O que é programado pode ser reprogramado ou atualizado, especialmente no mundo atual, tão centrado em atualizações. Fora explicações genéricas de que tomaram cuidado para que o usuário nunca seja vigiado, não parece que esse ponto foi tratado suficientemente; eu gostaria de ver um texto técnico sobre isso
  Além disso, na Sentinel Devices também adotamos exatamente essa abordagem de “não mantemos os dados” para máquinas industriais. Pense em um pipeline de IA de automação com air gap. Estamos contratando; se tiver interesse, entre em contato em [e-mail]

• Por isso, B2B SaaS deveria parar de cobrar preço empresarial por SSO e simplesmente tornar obrigatórios fluxos como IdP ou OAuth/OIDC
  https://vaultvision.com/blog/what-is-oidc
  A experiência do usuário é esse tipo de botão “continue with”
  https://id.atlassian.com/login
  https://www.xsplit.com/user/auth
  Assim, você deixa de ter as próprias credenciais de conta que poderiam ser perdidas. Dados pessoais, informações de identificação pessoal etc. são passivo de risco

  • Então como você ganharia bilhões de dólares com publicidade personalizada baseada em metadados?

• Um conceito relacionado é Datensparsamkeit: https://martinfowler.com/bliki/Datensparsamkeit.html

  • Há também um texto um pouco relacionado: https://www.w3.org/2001/tag/doc/leastPower.html
  • Uma expressão melhor é Datenenthaltsamkeit, ou seja, abstinência de dados. Não é apenas armazenar menos; é armazenar de fato apenas quando não houver outra opção

• Há algo parecido em Notes From An Emergency, de Maciej Cegłowski [1]
  “Não está claro se alguém consegue manter grandes conjuntos de dados seguros ao longo do tempo. A assimetria entre ataque e defesa pode ser grande demais. Se a defesa em larga escala for possível, a única maneira é despejar milhões de dólares na contratação das melhores equipes defensivas. Violações de dados de alto nível mostraram que a ameaça é real e contínua. E, para cada violação de que sabemos, há várias violações silenciosas das quais não saberemos por anos.
  Mas, quanto mais sucesso se tem na defesa, maior fica o risco. Se você acumular tesouro suficiente atrás das muralhas, acabará atraindo alguém capaz de escalá-las. O feudalismo torna a internet mais vulnerável e garante que, quando a violação finalmente acontecer, ela será catastrófica.”
  [1] https://idlewords.com/talks/notes_from_an_emergency.htm

• Eles estão dispostos a prometer não manter dados de usuários com penalidades contratuais? Se não, então não é sério.
  Vale lembrar de “Facebook - é grátis e sempre será”.

• Pela explicação citada, isso quer dizer que eles armazenam no servidor uma versão criptografada de todas as fotos inseridas pelo usuário, mas não armazenam a chave?
  Se for isso, armazenar dados de usuário criptografados não é necessariamente o fim do mundo, mas não entendo por que promover isso como se não armazenassem nenhum dado de usuário. Na prática, é armazenar dados de usuário criptografados, como muitas empresas fazem; a Backblaze também usa a mesma abordagem. Talvez eu tenha entendido errado.

  • Eu li como se os dados criptografados estivessem no dispositivo do usuário, não no servidor.

• Pela política de privacidade: https://matter.xyz/privacy
  “Se alterarmos esta Política de Privacidade, vamos atualizá-la aqui e atualizar a data de vigência no topo. Como não coletamos o endereço de e-mail de todos, não podemos enviar as alterações por e-mail. Alterações a esta política não se aplicam retroativamente.”
  Na prática, eles podem mudá-la a qualquer momento, e o usuário provavelmente nem vai saber.
  Se violarem isso, o usuário tem poder para fazer valer? Vai precisar pagar uma quantia de seis dígitos a um advogado? Por quais danos, com base em qual lei?
  Também não sei bem o que não se aplica retroativamente significa juridicamente aqui. Se a empresa tem meus dados e muda a política, ela pode usar meus dados a partir de amanhã de acordo com a nova política? De todo modo, como eu nem ficaria sabendo da mudança, isso não significa muita coisa.

  • Pode significar que a mudança na política não pode ser usada para justificar uma ação passada que violava a versão anterior, mas não viola a nova.
    É claro que não entendo totalmente até que ponto a política de privacidade de uma empresa é juridicamente executável.
  • Para uma postura extremamente focada em privacidade, isso é praticamente o melhor possível. Se eles não têm e-mail, não podem enviar; e, mesmo que a política mude, essa alteração não se aplica aos usuários existentes.
    “Não se aplica retroativamente” significa que a versão atualizada não se aplica ao uso de dados existentes, portanto exclui explicitamente a possibilidade de usar os dados do usuário de acordo com a nova política.

• Exato.
  Trabalho com cibersegurança, e a cada dia fico mais convencido de que a resposta é não ter os dados para serem roubados, em vez de tentar mitigar todas as ameaças possíveis.
  Combinando isso com zero trust e autenticação em duas etapas/passkeys, dá para ter um efeito muito maior do que muitas soluções de segurança tipo óleo de cobra que o setor adora.