Apple хотела заглянуть в ваши фотографии. Все сказали «нет». И что дальше?

В августе 2021 года Apple — компания, которая годами строила свой образ на том, что «мы не смотрим в ваши данные», — объявила: она будет проверять фотографии, загружаемые в iCloud, прямо на устройстве. Сравнивать с базой известных изображений. Ради благой цели, разумеется.

Поднялся шум. Исследователи, правозащитники, обычные пользователи — все сказали «нет» так громко, что уже в сентябре Apple отложила план, а потом тихо его похоронила. Казалось бы, победа. Хорошая история с хорошим концом.

Только вот конец у неё не хороший. Он никакой. Потому что план похоронили, а способность — нет.

Вопрос не в том, смотрят ли. Вопрос в том, могут ли

Здесь важно не перепутать две вещи. «Нам не смотрят» и «нам не могут посмотреть» — это разные предложения, и между ними пропасть.

Первое — обещание. Обещание дают люди и компании, а люди и компании меняются: приходит новое руководство, меняется закон, меняется политическая погода, меняется бизнес-модель. Обещание, данное в 2021 году, никто не обязан помнить в 2027-м.

Второе — структура. Если технически посмотреть нельзя, то неважно, кто пришёл к руководству и что решил парламент. Нельзя — и всё.

История с Apple как раз об этом. Скандал случился не потому, что компания что-то плохое сделала. А потому, что она показала: технически это возможно. Механизм сканирования прямо на устройстве — реальный, рабочий, готовый. Его отложили. Не уничтожили как идею, не признали невозможным. Отложили.

А отложенное — это не отменённое. Это лежащее на полке.

«В этот раз ради хорошего» — не аргумент

Самое коварное в этой истории — благородство цели. Когда цель благая, возражать неудобно: получается, что ты против хорошего. И многие так и подумали: ну ладно, в этот раз можно.

Но механизм не помнит, ради чего его включили. Механизм — это дверь. Сегодня дверь открыли, чтобы впустить хорошего человека. Завтра через ту же дверь может пройти кто угодно, и дверь не спросит удостоверение. Кто определяет, что сканировать, по какой базе и с каким порогом срабатывания? Тот, у кого ключи от двери. А ключи — у платформы. В одностороннем порядке.

Это не конспирология, это здравый смысл. Любая способность, встроенная в устройство, которым пользуются миллиарды людей, рано или поздно найдёт себе применение шире первоначального. Так устроен мир: возможности не лежат без дела. Если что-то можно включить, найдётся повод это включить.

И заметьте: речь не о том, что Apple — плохая компания. Речь о том, что даже хорошая компания, даже с лучшими намерениями, не может гарантировать будущее своих обещаний. Обещание — это слова. А слова со временем выцветают.

Облако не случайно «понимает» ваши фото

Есть ещё один слой, о котором обычно не говорят вслух. Облачный фотоальбом устроен так, что он «понимает» ваши фотографии: раскладывает по лицам, местам, событиям, подбирает воспоминания «год назад». Это подаётся как удобство. И это действительно удобно.

Но удобство здесь не бесплатно. Чтобы «понимать» фотографии, их надо видеть. Сортировка, распознавание лиц, геометки — всё это разновидности просмотра, просто с вежливым названием. «Видеть» для облака — не авария и не злоупотребление. Это его работа.

Поэтому спорить о том, «смотрит ли облако» — всё равно что спорить, мокнет ли человек под дождём, стоя без зонта. Вопрос не в намерениях дождя. Вопрос в том, стоите ли вы под ним.

То же касается телефона: локальный альбом тоже не крепость. Телефон отдают в ремонт, меняют на новый, он синхронизируется с облаком, пока вы спите. Каждый из этих путей — маленькая дверь, через которую содержимое может уйти туда, где его увидят.

Что значит «нельзя посмотреть» по-настоящему

Есть старая мысль, которую любил повторять Сенека: спокойствие приходит не тогда, когда опасность обещала не приходить, а тогда, когда ей некуда прийти. Свобода — это не милость со стороны сильного. Это положение, в котором милость сильного вам не нужна.

Применительно к фотографиям и записям, которые не должен видеть никто, это значит одну простую вещь: они должны находиться там, где их физически нельзя просканировать удалённо. Не «где обещали не сканировать». А где сканировать нечем и неоткуда.

Диск, который не подключён к сети, не отвечает на запросы. У него нет «облака», нет удалённого доступа, нет обновлений, которые завтра принесут новый механизм проверки. Его нельзя «включить» из другого города. Его можно только взять в руки — а руки эти принадлежат людям, которые работают по процедуре, а не по настроению.

Поэтому настоящая защита выглядит скучно и старомодно: носитель, который никуда не подключён; номер, присвоенный при приёме; пломба, которую нельзя вскрыть незаметно; двойная проверка — двое людей, а не один; и профессиональное хранение, где содержимое никто не открывает и не читает, потому что процедура этого не предусматривает.

Заметьте: здесь нет ни слова о доверии к чьим-то обещаниям. Номер можно проверить. Пломбу можно увидеть. Двойную проверку нельзя подделать в одиночку. Это не «поверьте нам». Это «проверьте сами».

И стандартная полугодовая визуальная проверка пломбы и внешнего вида с фото, без контакта, — это часть той же логики: убедиться, что всё на месте, не прикасаясь к содержимому. А углублённая проверка — только по письменному opt-in клиента. Потому что любое прикосновение должно быть вашим решением, а не чьей-то инициативой.

Не «верьте», а «невозможно»

История с Apple закончилась аплодисментами, и это понятно: люди отстояли своё. Но аплодисменты — плохой фундамент для спокойствия. Сегодня сказали «нет» и услышали. Завтра скажут «нет» — и не услышат. Или не спросят вовсе: механизм можно включить молча, обновлением, которое никто не читает.

Поэтому правильный вывод из той истории — не «хорошо, что отбились», а «плохо, что отбиваться пришлось». Если для защиты самого личного вам нужно каждый раз побеждать в публичном споре с корпорацией — вы уже проиграли. Спокойствие не должно зависеть от исхода очередного скандала.

То, что не должен видеть никто, должно лежать там, где его нельзя увидеть. Не потому, что кто-то пообещал не смотреть. А потому, что смотреть нечем, неоткуда и некому. Это единственный ответ на вопрос «а если завтра передумают?» — ответ, которому не нужны обещания.

Примечание: в этом тексте «офлайн» означает только физическое неподключение к сети. Никаких технических подробностей здесь не требуется — достаточно того, что неподключённый носитель нельзя просканировать удалённо.