Wyszukiwarka twarzy obiecywała prywatność i bezpieczeństwo. Zostawiła 9 milionów zdjęć bez hasła

👁 155 przeczytań

Serwis ClarityCheck, który reklamuje się jako narzędzie do prywatnego i bezpiecznego wyszukiwania twarzy, zostawił publicznie dostępną bazę danych liczącą ponad 9 milionów plików graficznych i 450 GB danych - bez żadnego hasła, bez uwierzytelnienia, bez logów dostępu. Odkrył to Jeremiah Fowler, badacz bezpieczeństwa znany z tropienia niezabezpieczonych baz danych w sieci. Swoje ustalenia opublikował za pośrednictwem ExpressVPN, a sprawę nagłośniły serwisy WIRED i Digital Trends.

Jak działał wyciek

Mechanizm był banalny. Adres URL do zasobu można było znaleźć bezpośrednio w publicznym kodzie strony ClarityCheck - wystarczyło zajrzeć w źródło witryny. Wyszukiwarki co prawda nie indeksowały tego linku, ale sam zasób nie był w żaden sposób chroniony. Foldery nosiły wymowne nazwy: „faces” i „profiles”. Znajdowały się w nich zdjęcia profilowe, zrzuty ekranu i inne obrazy przedstawiające dorosłych, nastolatków i dzieci.

Fowler zastrzega, że nie jest w stanie stwierdzić, czy ktokolwiek pobrał te pliki przed zabezpieczeniem bazy - zasób nie prowadził żadnych publicznych logów dostępu, które mógłby przejrzeć. Firma zamknęła dostęp po tym, jak badacz ją powiadomił. Ile czasu dane leżały otwarte - nie wiadomo.

To jednak nie był jedyny problem. WIRED opisał drugą, niezależną lukę: zmieniając parametry w adresach URL serwisu i wpisując imię i nazwisko osoby, można było wyciągnąć powiązane z nią adresy e-mail, numery telefonów i adresy fizyczne. Bez żadnego specjalnego dostępu, bez konta, bez logowania. Dwie oddzielne błędne konfiguracje - jedna dla zdjęć, druga dla danych kontaktowych - tworzyły razem kompletny profil osoby.

Największy paradoks: serwis zbudowany na zaufaniu

ClarityCheck to narzędzie, które pozwala przesłać czyjeś zdjęcie, żeby sprawdzić, kim ta osoba jest. Firma sama się reklamuje jako sposób na wykrywanie catfishingu i fałszywych profili randkowych - czyli na weryfikację, czy ktoś jest tym, za kogo się podaje. Strona internetowa wprost zapewnia użytkowników, że „twoje wyszukiwanie obrazem odwrotnym jest prywatne i bezpieczne”.

Ironia jest podwójna. Po pierwsze, serwis zbudowany na obietnicy bezpieczeństwa zostawił dane swoich użytkowników bez żadnej ochrony. Po drugie - i to jest aspekt, który wydaje mi się szczególnie niepokojący - w bazie mogły znaleźć się zdjęcia osób, które nigdy w życiu nie słyszały o ClarityCheck. Serwis działa na zasadzie: wgrywasz czyjeś zdjęcie, żeby kogoś sprawdzić. Oznacza to, że twarz w bazie danych może należeć do osoby, która nie wyraziła żadnej zgody, nie zaakceptowała regulaminu, nie miała pojęcia, że jej wizerunek trafił do jakiejkolwiek bazy. Część zdjęć, według Fowlera, pochodziła z mediów społecznościowych, profili randkowych i zrzutów ekranu.

Fowler znalazł pliki z sygnaturami czasowymi wykraczającymi poza deklarowany przez ClarityCheck 14-dniowy limit przechowywania przesłanych zdjęć. Jeśli to prawda, serwis przetrzymywał niektóre obrazy dłużej, niż pozwala jego własna polityka prywatności.

ClarityCheck nie odniósł się do kwestii czasu przechowywania plików w swoim oficjalnym oświadczeniu.

Szerszy kontekst: wyszukiwarki twarzy i regulacyjna szara strefa

ClarityCheck to część rosnącego ekosystemu serwisów do wyszukiwania odwrotnego po twarzy, które skierowane są do zwykłych konsumentów - nie do agencji wywiadowczych ani korporacji. Obok głośnego Clearview AI, który był przedmiotem postępowań regulacyjnych w Europie i Australii, działa wiele mniejszych graczy o znacznie skromniejszej infrastrukturze bezpieczeństwa i bez poważnego nadzoru.

Problem z tego rodzaju serwisami jest strukturalny. Działają w modelu, który z założenia gromadzi ogromne ilości wrażliwych danych biometrycznych - twarz to nie hasło, które można zmienić po wycieku. Równocześnie ich bazy zasilane są zdjęciami przesyłanymi przez użytkowników, którzy sami nie zawsze mają prawo do tych danych. Osoba szukająca „catfishera” wgrywa zdjęcie ze screenshotu z Tindera - i czyjaś twarz ląduje na serwerach firmy, której nie zna i której polityki prywatności nie czytała.

W Europie sytuacja jest nieco bardziej uregulowana - RODO nakłada obowiązek minimalizacji danych i określone wymogi dotyczące podstawy prawnej przetwarzania danych biometrycznych. Ale ClarityCheck to serwis zarejestrowany poza UE, a jego użytkownicy mogą znajdować się wszędzie. Dla polskiego użytkownika, który wgrywa zdjęcie na taki serwis lub - co ważniejsze - którego zdjęcie ktoś inny tam wgrywa, ochrona jest w praktyce bardzo ograniczona.

Co z tego wynika

Sprawa ClarityCheck to podręcznikowy przykład kilku nakładających się na siebie problemów naraz: błędna konfiguracja chmury (wciąż jedno z najczęstszych źródeł wycieków danych), brak logowania dostępu do zasobów, retencja danych przekraczająca własne deklaracje firmy, i model biznesowy oparty na danych, do których serwis ma wątpliwe prawo.

Fowler zaznaczył, że nie znalazł dowodów na to, że ktoś wykorzystał lukę w złośliwym celu przed jej zamknięciem. To pocieszające, ale niczego nie zmienia w strukturze problemu. WIRED zwrócił uwagę, że serwisy oferujące wyszukiwanie twarzy konsumentom wchodzą na rynek z narzędziami, które dotychczas były zarezerwowane dla firm dysponujących co najmniej minimalną infrastrukturą bezpieczeństwa i prawnymi działami compliance.

Serwis, który obiecuje pomóc ci sprawdzić, czy osoba na zdjęciu jest prawdziwa, sam okazał się niewiarygodny w ochronie tych zdjęć. To nie jest drobna ironia - to fundamentalne zaprzeczenie wartości, na których zbudował swój marketing.

// czytaj dalejAI znajduje błędy bezpieczeństwa szybciej, niż ludzie są w stanie je naprawićNewsyxAI Muska pozywa Minnesotę za zakaz technologii do tworzenia nagich zdjęćNewsyKoreański model AI ocenia każdą trasę pod kątem bezpieczeństwa, zanim auto ruszyNewsy