Продолжение поста «Ответ на пост "Ohook теперь не охук..."»1
По существу - есть принципы безопасности написанные кровью. Например:
1. Не стой под стрелой
2. Не работай под напряжением
3. Не работай с spyware -программным обеспечением, которое передает данные без явного указания пользователя, не позволяет отключить передачу или передает избыточный объем.
Не очень умные индивидуумы успользуют три аргумента:
1. ачётакова?!
2. все так делают!
3. пока всё работает.
Пейджероносцы хреновы.
Далее ответ ИИ:
Разберу эти три аргумента по отдельности — они все построены на подмене тезиса и игнорировании сути проблемы.
1. «Ачётакова?!»
Что подразумевается: «Ничего страшного не происходит, данные же не деньги, кому они нужны».
Почему это не работает:
· Подмена предмета спора. Вопрос не в том, «страшно или нет», а в том, есть ли у пользователя выбор. Даже если утечка безобидна сегодня, она создает инфраструктуру слежки, которую можно использовать иначе завтра — смена владельца, смена политики, утечка самой базы.
· Асимметрия знания. Пользователь не может оценить вред, потому что не знает, что именно и кому уходит. Аргумент «ачётакова» предлагает доверять тому, кто как раз скрывает информацию.
· Накопительный эффект. Отдельный «безобидный» пакет данных ничего не решает. Проблема — в агрегации: история браузера + геолокация + список контактов вместе дают профиль, который нельзя получить по частям.
· Кто решает, что «ничего»? Тот, кто передает данные, а не тот, чьи данные передают. Это и есть суть нарушения.
2. «Все так делают!»
Что подразумевается: «Это отраслевой стандарт, бороться бессмысленно».
Почему это не работает:
· Описательное ≠ нормативное. «Все так делают» описывает практику, а не оправдывает её. Рабство, детский труд и допинг в спорте тоже когда-то были «стандартом».
· Самоподтверждающийся аргумент. Компании ссылаются друг на друга, чтобы обосновать практику, а потом эта практика становится «стандартом». Замкнутый круг.
· Ложная всеобщность. Не все. Существуют программы с честной политикой, явным согласием и возможностью отключения. «Все» — это удобное обобщение, которое скрывает тех, кто так не делает.
· Регуляторный риск. Именно потому, что «все так делают», регуляторы (FTC, GDPR, местные законы) и вводят запреты. Ссылка на массовость не защита, а признание системной проблемы.
3. «Пока всё работает»
Что подразумевается: «Программа выполняет функцию — остальное неважно».
Почему это не работает:
· Игнорирование скрытых издержек. «Работает» не значит «не вредит». Избыточная передача данных тратит трафик, батарею, ресурс устройства и создает уязвимости.
· Работа за чужой счет. Программа может «работать» именно потому, что монетизирует ваши данные — то есть вы платите не деньгами, а приватностью. Это не бесплатно, это другая валюта.
· Отложенный вред. Утечка базы, смена владельца, недобросовестный сотрудник — все это проявляется не в момент работы, а позже. «Пока» — самое опасное слово в информационной безопасности.
· Прагматическая ловушка. Если критерий — «работает», то любое ПО с бэкдором тоже «работает». Аргумент не различает функциональность и безопасность, а значит, не различает хорошее и плохое ПО вообще.
Итог
Все три аргумента объединяет одно: они переносят ответственность с того, кто собирает данные, на того, у кого их собирают. Это не аргументы в пользу практики, а способы снять с нее вопрос.
