Jika Anda Tidak Menyimpan Data Pengguna, Anda Tidak Bisa Membocorkannya

• Saat membangun Matter, sebuah aplikasi iPhone yang membantu pengguna mencatat kenangan positif dan penilaian emosi untuk dikenang kembali nanti, perusahaan menjadikan desain yang mengutamakan privasi sebagai dasar agar foto dan data emosi yang sensitif tidak dapat dilihat oleh perusahaan
• Inti desainnya adalah model ancaman yang mempertimbangkan kepercayaan pengguna, perlindungan dari kesalahan dan bug, hingga situasi ketika perusahaan kelak mendapat tekanan atau diakuisisi
• Penilaian emosi pribadi, deskripsi kenangan, dan foto terlampir disimpan bukan di server Matter, melainkan di Core Data pada iPhone dan basis data privat iCloud milik pengguna; konfigurasinya membuat perusahaan tidak dapat mengaksesnya bahkan dengan alat Apple
• Yang diterima perusahaan hanyalah sebagian hasil yang tidak bisa dibalik menjadi input semula, seperti Matter Score, serta metrik peristiwa penggunaan yang privat; akun juga diperlakukan sebagai akun bernomor tanpa email dan kata sandi
• Kemungkinan kebocoran data berkurang, tetapi karena perusahaan tidak mengidentifikasi pengguna atau menyimpan datanya, perusahaan tidak dapat memulihkan data yang hilang; pengguna harus memanfaatkan pencadangan/pemulihan sendiri

---

Titik awal Matter dan keputusan privasi

• Per 1 Oktober 2024, Sean Coates mundur dari perannya sebagai VP of Technology di Matter, dan sejak itu ia tidak lagi dapat secara pribadi menjamin aspek privasi aplikasi tersebut
• Matter awalnya dimulai sebagai klien Faculty, lalu hubungan agensi-klien berubah menjadi hubungan startup, dan Coates mengambil peran VP of Technology
• Ide produknya berangkat dari arah membantu pengguna mencatat kenangan pengalaman positif dan mengingatnya kembali nanti untuk meningkatkan rasa bahagia
  • Pengguna dapat menyimpan foto dari pengalaman positif dan menilai emosi yang mereka rasakan saat itu agar bisa mengingatnya kembali nanti
  • Coates awalnya skeptis terhadap klaim bergaya wellness, tetapi ia diyakinkan oleh teknologi dan sains bahwa mengingat pengalaman positif dapat menghasilkan dan melepaskan neurotransmiter terkait sehingga meningkatkan rasa bahagia

Pertanyaan “mengapa data seperti itu harus dikirim ke perusahaan?”

• Pertanyaan penentunya adalah mengapa pengguna harus mengirim foto pribadi dan penilaian emosi sensitif seperti sexual desire ke Matter
• Pertanyaan ini membuat Matter menetapkan cara menangani konten pengguna yang pribadi dan pemodelan ancaman sejak tahap awal produk
• Privasi menjadi nilai inti yang menentukan desain produk, bukan fitur yang ditambahkan belakangan
  • Mereka menilai pendekatan menambahkan privasi setelah data pengguna sudah terekspos di dalam perusahaan rentan terhadap kesalahan atau bahkan bisa mustahil

Tiga prinsip dan skenario ekstrem

• Matter merangkum prinsip penanganan data pengguna menjadi tiga hal
  • Harus membangun kepercayaan agar pengguna dapat mempercayai cara perusahaan menangani data
  • Data pengguna tidak boleh bocor meskipun ada kata sandi karyawan yang lemah atau bug kode
  • Tidak hanya mengandalkan niat baik tim saat ini, tetapi juga harus tahan terhadap situasi ketika di masa depan muncul kekuatan yang mengendalikan perusahaan atau pengakuisisi yang tidak dapat dipercaya
• Pada tingkat infrastruktur, mereka juga meninjau pertanyaan-pertanyaan ekstrem
  • Mereka membahas apakah perlu membangun pusat data sendiri, tetapi menilai bahwa lapisan fisik dapat ditangani lebih baik oleh penyedia hosting yang lebih besar, dan mereka tidak ingin memakai dana untuk menggali gunung dan menyewa milisi
  • Mereka bahkan mengandaikan skenario ketika kekuatan negara yang jahat menginginkan data pengguna tertentu dan menculik keluarga; bahkan dalam kasus itu, mereka memilih arah agar tidak ada data yang dapat diserahkan
• Pilihan akhirnya adalah sama sekali tidak menyimpan data pribadi pengguna

Cara Matter benar-benar menangani data

• Meski pengguna memberi penilaian tinggi pada emosi seperti pride di Matter, perusahaan tidak dapat mengetahui hal itu
  • Sistem metrik sengaja dikonfigurasi agar tidak mengumpulkan data pribadi semacam ini
  • Data tersebut hanya diakses oleh aplikasi yang berjalan di perangkat pengguna
• Matter adalah aplikasi iPhone, dan datanya disimpan di Core Data pada ponsel serta basis data privat di dalam akun iCloud pengguna
  • Kode aplikasi yang dijalankan dengan kredensial pengembang perusahaan dapat membaca dan menulis data di dalam perangkat
  • Data tidak dikirim ke Matter, dan perusahaan juga tidak dapat mengaksesnya melalui alat Apple
• Data yang diterima perusahaan adalah hasil dari sebagian input, tetapi dalam bentuk yang tidak dapat dikembalikan ke nilai input aslinya
  • Misalnya, jika hanya mengetahui nilai hasil 600, tidak dapat diketahui apakah inputnya adalah 1 × 600, 100 × 6, 30 × 20, atau 12 × 50
  • Matter Score dapat diketahui, tetapi input apa yang membentuk skor itu, bagaimana kenangan dideskripsikan, atau apa isi fotonya tidak dapat diketahui
  • Yang diketahui perusahaan hanya sebatas bahwa ada kenangan pada akun bernomor tertentu dan skornya 600
• Saat ini Matter tidak menghubungkan alamat email ke akun pengguna aplikasi dan tidak memiliki kata sandi
  • Selain milis, perusahaan tidak menyimpan alamat email
  • Tidak ada pula koneksi paksa antara pengguna milis dan pengguna aplikasi
  • Ke depan, jika pengguna menginginkannya, perusahaan dapat mengizinkan identifikasi diri, tetapi bahkan dalam kasus itu rencananya tetap tidak mengumpulkan data pribadi

Penyimpanan gambar terenkripsi dan harga yang harus dibayar untuk pemulihan

• Meski pengguna menambahkan konten seperti gambar ke sebuah kenangan, Matter tidak menyimpannya dengan cara yang dapat dilihat oleh perusahaan
  • Secara default, gambar disimpan di perangkat pengguna
  • Karena keterbatasan ruang penyimpanan perangkat, ada juga sistem untuk menyimpan aset seperti gambar yang dienkripsi di perangkat
  • Isi foto sebenarnya dan kunci dekripsi tidak dikirim ke Matter
  • Dari sudut pandang perusahaan, data yang disimpan tampak bukan seperti foto, melainkan ciphertext biner seperti noise acak
• Desain ini menimbulkan konsekuensi yang jelas dari sisi pemulihan
  • Jika pengguna kehilangan data, Matter tidak dapat memulihkannya
  • Perusahaan tidak dapat mengidentifikasi pengguna lewat email lalu mengatur ulang kata sandi, dan meskipun ada alamat email serta kata sandi, perusahaan tetap tidak dapat memulihkan data karena tidak menyimpannya
• Aplikasi saat ini memiliki fitur pencadangan/pemulihan, dan pengguna harus memanfaatkannya sendiri untuk mencegah kehilangan data
• Masalah menyimpan cadangan atas nama pengguna sambil tetap mengidentifikasi pengguna dan menyimpan data dengan cara yang tidak dapat diakses perusahaan masih menjadi tantangan yang belum terselesaikan
• Matter terikat oleh kebijakan privasi, dan bagi Coates, mengawasi implementasi privasi adalah salah satu pekerjaan teknis paling memuaskan yang ia lakukan di Matter

[GN⁺]

Komentar Hacker News

• Saya setuju dengan gagasan intinya. Pendekatan kalau tidak disimpan, maka tidak bisa bocor itu tepat, dan menurut saya sistem hukum juga seharusnya lebih berorientasi pada hasil untuk mendorong pola pikir seperti ini
  Saat diretas, fakta bahwa mereka “sudah melakukan semuanya sesuai standar industri” tidak terlalu penting; yang penting adalah data saya sudah bocor. Meski mengikuti cara yang diyakini benar oleh industri, mereka tetap harus memikul tanggung jawab

  • Gagasan “jangan simpan informasi jika ingin memastikan itu tidak bisa bocor” itu bagus. Ini mirip dengan prinsip hak akses minimum; simpan hanya yang dibutuhkan untuk layanan yang diberikan. Risikonya berkurang baik bagi penyedia maupun pengguna
    Namun di AS, tampaknya makin banyak perusahaan yang menganggap data pribadi itu bernilai uang. Inilah alasan sebagian besar toko menjalankan program reward dan mengumpulkan data tentang apa yang dibeli dan kapan dibeli
    Jika tujuannya sekadar mendorong kunjungan ulang, kartu stempel seperti 10 tahun lalu pun sudah cukup. Saya tidak tahu bagaimana data itu dipakai, tetapi kalau nilai yang mereka dapat tidak lebih besar daripada biaya hadiahnya, mengapa mereka memberi insentif seperti makanan gratis atau diskon
  • Bisa dibuat asuransi tanggung jawab kebocoran, lalu jika tidak ada yang bisa bocor, premi asuransinya dibuat lebih rendah
    Tentu saja ini mengandaikan dunia lain, tempat perusahaan benar-benar membayar biaya nyata atas kesalahan mereka sejak awal
  • Saya setuju dengan maksudnya, tetapi saya belum yakin bagaimana ini bisa diterapkan dalam praktik
    Hukum tidak boleh menghukum orang yang sudah berupaya jujur dan maksimal, dan akan lebih berbahaya lagi jika ditambah klausul seperti “tidak peduli meski itu standar industri”. Itu akan kacau dan berpotensi menghukum orang yang salah, bahkan menciptakan insentif untuk menyuruh peretas menyerang pesaing lalu mendorong mereka ke tanggung jawab hukum
  • Saya bukan ahli hukum, tetapi untuk kejahatan lain perbedaan tingkat seperti ini sudah ada
    Jika seseorang meninggal karena kelalaian, itu bisa dianggap pembunuhan karena kealpaan; jika dibunuh dengan niat jahat dan perencanaan, itu menjadi pembunuhan berencana dengan pemberatan
    Jika pada akhirnya nyawa benar-benar hilang, setidaknya harus ada tingkat peninjauan yudisial tertentu. Namun untuk insiden peretasan, proses seperti itu nyaris tidak terlihat
  • Akar utama meningkatnya pelanggaran privasi adalah karena ada celah besar dalam sistem hukum yang seharusnya mencegah pengawasan dan peretasan
    Mengembangkan dan menyebarkan spyware yang mengumpulkan data pribadi tanpa izin itu ilegal, dan tetap ilegal meski data yang dikumpulkan tidak dibocorkan. Tetapi jika dibungkus dengan pemasaran yang mewah, syarat layanan puluhan halaman yang sulit dipahami, dan kebijakan “privasi”, tiba-tiba semuanya jadi legal, bahkan ketika data itu bocor atau dijual pun nyaris tidak ada hukuman
    Ini bukan hanya di AS, tetapi juga di Eropa. Bahkan sebelum GDPR, sebagian besar negara sudah punya hukum soal pemrosesan, penggunaan, dan penyimpanan data pribadi, tetapi tidak ditegakkan. GDPR pun dari sisi penegakan tidak jauh lebih baik; masih banyak alur “persetujuan” yang tidak patuh, dan bisnis yang bertumpu pada pemrosesan data tanpa persetujuan tetap berjalan lancar

• Ini juga cukup sejalan dengan sudut pandang saya
  Hanya saja, pandangan ini tidak membuat saya lebih populer di antara rekan kerja. Seluruh industri ini sudah terlalu tenggelam dalam pengumpulan informasi identitas pribadi, dan memperlakukan informasi itu terlalu enteng. Bahkan aplikasi solitaire pun terus mendorong pengguna untuk mendaftar ke papan peringkat dan tantangan
  Di aplikasi baru kami, kami menolak sekitar 30% pendaftaran yang tampak seperti penipuan pig butchering, dan itu cukup membuka mata. Semua pendaftaran ditinjau manual, dan kami tidak terlalu peduli pada jumlah totalnya. Kami hanya menargetkan AS, Kanada, dan India, serta hampir tidak melakukan promosi, tetapi para penipu langsung berdatangan
  Sekarang memang masih kasar, tetapi menurut saya itu hanya karena kami menyasar demografi tertentu sehingga lebih sulit dipalsukan, dan ini akan segera berubah. Pada akhirnya saya menerima bahwa orang jahat akan tetap masuk, jadi yang penting adalah memastikan saat mereka datang untuk menjarah lemari minuman, tidak ada apa-apa di dalamnya

• Saya sangat simpati dengan klaim di judul. Melihat langkah-langkah soal residensi data, integritas, dan kerahasiaan di sekitar silo data raksasa, tim infrastruktur yang mengelola dan menskalakannya, lalu pada akhirnya artikel teknis bernada “injil” yang terbit di web, semuanya terasa mengejutkan, karena perusahaan sebenarnya bisa saja tidak mengumpulkan data itu sejak awal
  Saya suka model “data tetap berada di perangkat, kami tidak melihatnya, dan paling jauh hanya menerima statistik lokasi minimum”. Namun saya ragu pada klaim bahwa sistem metrik mereka tidak akan disalahgunakan. Sesuatu yang diprogram bisa diprogram ulang atau diperbarui, terlebih di zaman yang sangat berpusat pada update seperti sekarang. Selain penjelasan umum bahwa mereka sudah berhati-hati agar pengguna sama sekali tidak diawasi, rasanya bagian ini belum dibahas cukup dalam, jadi saya ingin membaca tulisan teknis jika ada
  Tambahan, di Sentinel Devices mereka juga mengambil pendekatan persis seperti ini untuk mesin industri: “kami tidak menyimpan data”. Bayangkan pipeline AI otomasi yang air-gapped. Mereka sedang merekrut, jadi kalau tertarik bisa hubungi [e-mail]

• Karena itu, B2B SaaS harus berhenti menjadikan harga enterprise untuk SSO sebagai fitur premium, dan cukup menjadikan alur seperti IdP atau OAuth/OIDC sebagai keharusan
  https://vaultvision.com/blog/what-is-oidc
  Pengalaman penggunanya adalah tombol “continue with” seperti ini
  https://id.atlassian.com/login
  https://www.xsplit.com/user/auth
  Dengan begitu, mereka memang tidak akan memiliki kredensial akun yang bisa hilang. Data pribadi, informasi identitas pribadi, dan sejenisnya adalah utang risiko

  • Kalau begitu, bagaimana caranya mereka menghasilkan miliaran dolar dari iklan bertarget berbasis metadata

• Ada konsep terkait bernama Datensparsamkeit: https://martinfowler.com/bliki/Datensparsamkeit.html

  • Ada juga tulisan yang agak terkait: https://www.w3.org/2001/tag/doc/leastPower.html
  • Ungkapan yang lebih baik adalah Datenenthaltsamkeit, yaitu pantang data. Bukan sekadar menyimpan lebih sedikit, melainkan benar-benar hanya menyimpan jika tidak ada pilihan lain

• Ada poin serupa juga di Notes From An Emergency [1] karya Maciej Cegłowski
  “Tidak jelas apakah siapa pun bisa menjaga kumpulan data berskala besar tetap aman seiring waktu. Asimetri antara serangan dan pertahanan mungkin terlalu besar. Jika pertahanan dalam skala besar memungkinkan, satu-satunya caranya adalah menggelontorkan jutaan dolar untuk mempekerjakan personel pertahanan terbaik. Pelanggaran data tingkat tertinggi telah menunjukkan bahwa ancamannya nyata dan terus-menerus. Dan untuk setiap pelanggaran yang kita ketahui, ada banyak pelanggaran senyap yang tidak akan kita ketahui selama bertahun-tahun
  Namun semakin berhasil pertahanan, semakin besar pula risikonya. Jika Anda menumpuk cukup banyak harta di balik tembok, pada akhirnya Anda akan menarik seseorang yang mampu memanjat tembok itu. Feodalisme membuat internet lebih rentan, dan memastikan bahwa ketika pelanggaran akhirnya terjadi, hasilnya akan menjadi bencana”
  [1] https://idlewords.com/talks/notes_from_an_emergency.htm

• Apakah mereka bersedia berjanji untuk tidak menyimpan data pengguna disertai penalti kontraktual? Jika tidak, berarti mereka tidak serius
  Perlu ingat, “Facebook - gratis, dan akan selalu begitu”

• Dari penjelasan yang dikutip, apakah maksudnya mereka menyimpan versi terenkripsi dari semua foto yang diinput pengguna di server, tetapi tidak menyimpan kuncinya?
  Kalau begitu, menyimpan data pengguna yang terenkripsi memang bukan akhir dari segalanya, tetapi saya tidak mengerti kenapa mereka mempromosikannya seolah-olah sama sekali tidak menyimpan data pengguna. Kenyataannya, mereka menyimpan data pengguna terenkripsi seperti banyak perusahaan lain, dan Backblaze juga memakai cara yang sama. Mungkin saya salah memahami

  • Saya membacanya sebagai data terenkripsi itu ada di perangkat pengguna, bukan di server

• Jika melihat kebijakan privasinya: https://matter.xyz/privacy
  “Jika kami mengubah kebijakan privasi ini, kami akan memperbaruinya di sini dan memperbarui tanggal berlaku di bagian atas. Karena kami tidak mengumpulkan alamat email semua orang, kami tidak dapat mengirimkan perubahan tersebut lewat email. Perubahan pada kebijakan ini tidak berlaku surut.”
  Pada dasarnya mereka bisa mengubahnya kapan saja, dan pengguna kemungkinan besar tidak akan tahu
  Apakah pengguna punya kekuatan untuk menegakkannya jika itu dilanggar? Haruskah membayar pengacara sampai enam digit? Berdasarkan hukum apa dan untuk ganti rugi yang seperti apa?
  Saya juga tidak terlalu paham apa arti tidak berlaku surut di sini secara hukum. Jika perusahaan memiliki data saya dan mengubah kebijakannya, apakah mulai besok mereka bisa menggunakan data saya sesuai kebijakan baru? Meski begitu, karena saya tetap tidak akan tahu kalau ada perubahan, rasanya tidak banyak artinya

  • Mungkin maksudnya itu tidak bisa dipakai untuk membenarkan tindakan masa lalu yang pada versi kebijakan sebelumnya merupakan pelanggaran, tetapi pada versi baru bukan lagi pelanggaran
    Tentu saja, saya juga tidak sepenuhnya paham seberapa dapat ditegakkannya kebijakan privasi perusahaan secara hukum
  • Dari sudut pandang yang sangat menekankan privasi, ini sebenarnya mendekati yang terbaik. Kalau mereka tidak punya email, ya mereka memang tidak bisa mengirim pemberitahuan, dan meskipun kebijakan berubah, perubahan itu tidak berlaku bagi pengguna yang sudah ada
    “Tidak berlaku surut” berarti versi yang diperbarui tidak berlaku untuk penggunaan data yang sudah ada, jadi itu secara eksplisit menutup kemungkinan penggunaan data pengguna berdasarkan kebijakan baru

• Betul
  Saya bekerja di bidang keamanan siber, dan dari hari ke hari saya makin yakin bahwa alih-alih mencoba memitigasi semua ancaman yang mungkin ada, jawabannya adalah tidak memiliki data yang bisa dicuri
  Jika digabungkan dengan zero trust dan autentikasi dua faktor/passkey, ini bisa memberi dampak yang jauh lebih besar daripada sekian banyak solusi keamanan minyak ular yang disukai industri