Приложение удалило ваши фото. А потом Google удалил приложение

В марте 2023 года случилось событие, которое должно было напугать каждого, кто хранит личное в телефоне. По сообщениям СМИ и исследователей безопасности, приложение Pinduoduo — одного из крупнейших китайских маркетплейсов — удаляло фотографии пользователей из их галерей и совершало другие действия за пределами того, что обычно делает магазин. Вскоре Google удалил Pinduoduo из Google Play, назвав причиной вредоносное поведение.

Подумайте об этой паре фактов спокойно. Приложение удалило ваши фото. А потом магазин приложений удалил само приложение. Первый факт страшнее второго: он означает, что фотографии в вашем телефоне принадлежат вам только до тех пор, пока какое-то приложение не решит иначе.

«В моём телефоне» не значит «под моим контролем»

Большинство людей живут с простым убеждением: мои фотографии лежат в моём телефоне, значит, они мои, и никто их не тронет. Это убеждение ложно, и ложно оно по техническим причинам, а не из-за чьих-то злых намерений.

Когда вы устанавливаете приложение и даёте ему «полный доступ к фото» или «доступ ко всем файлам», вы даёте ему не разрешение посмотреть. Вы даёте ему способность. Способность читать, изменять и удалять. Телефон не спрашивает у приложения, зачем оно удаляет фотографию, и не проверяет, соглашались ли вы на каждое конкретное действие. Разрешение — это не список того, что приложение обещает делать. Это список того, что оно может делать.

Разница между «обещает» и «может» — это вся суть истории с Pinduoduo. Никто не нажимал кнопку «удалить мои фото». Приложение просто могло это сделать — и, по сообщениям исследователей, сделало.

Настройки приватности — это не стена. Это табличка

В ответ на такие новости люди обычно делают одно и то же: открывают настройки и начинают проверять разрешения. Это разумный жест, но он мало что меняет по существу.

Во-первых, приложения умеют просить разрешения постепенно и убедительно: «дайте доступ к фото, чтобы загрузить аватар», «дайте доступ к файлам, чтобы сохранить чек». Отказать можно, но тогда половина функций не работает, и рано или поздно человек соглашается — просто чтобы пользоваться сервисом.

Во-вторых, разрешения — это не договор. Приложение может вести себя в рамках выданного разрешения так, как вы не предполагали. Полный доступ к галерее означает полный доступ: и к снимкам для объявления на маркетплейсе, и к тем кадрам, которые никто, кроме вас, видеть не должен.

В-третьих, разрешения можно пересматривать только задним числом. Вы узнаёте о проблеме из новостей — как в случае с Pinduoduo, — когда фотографии уже удалены. Проверка разрешений после случившегося — это как запирать дверь после того, как из квартиры уже вынесли вещи.

Облачная синхронизация: удаление размножается

Есть ещё один привычный успокоительный механизм — облачная синхронизация. «У меня всё в облаке, — говорят люди, — даже если с телефоном что-то случится, фото сохранятся». Иногда это правда. Но у синхронизации есть обратная сторона: она синхронизирует и удаления.

Удалили фотографию на телефоне — облако послушно удалило её и у себя. Приложение стёрло снимки из галереи — синхронизация разнесла это изменение по всем устройствам. То, что задумывалось как страховка, превращается в механизм мгновенного распространения потери. Резервная копия, которая сама следует за оригиналом, — это не резервная копия. Это зеркало. А зеркало разбивается вместе с оригиналом.

Настоящая резервная копия живёт отдельно: не синхронизируется, не обновляется автоматически, не подчиняется командам из телефона. Всё, что связано с телефоном проводом синхронизации, — часть телефона, как бы далеко географически ни находился сервер.

Проблема не в одном приложении

Самое важное в истории с Pinduoduo — не Pinduoduo. Не стоит думать, что проблема в конкретной компании, стране или магазине. Google удалил приложение из своего магазина — и правильно сделал, — но сам механизм никуда не делся. Любое приложение, которому вы дали полный доступ к фото, обладает той же способностью. Вопрос не в том, злонамерен ли разработчик. Вопрос в том, что у него есть ключ.

Русскоязычный пользователь живёт в той же экосистеме, что и весь мир: тот же Android, тот же Google Play, те же маркетплейсы, те же мессенджеры с доступом к галерее. Привычка ставить приложения «на всякий случай», давать разрешения не глядя, держать всё личное в одном телефоне — это не национальная особенность, это всеобщая беспечность. И расплачиваться за неё приходится одинаково везде: в один день обнаруживаешь, что фотографий нет, а объяснений никто не даёт.

Есть здесь и более глубокая мысль, о которой стоит сказать прямо. Мы привыкли думать о приватности как о секрете: главное, чтобы никто не подсмотрел. Но история с удалением фото показывает, что приватность — это ещё и контроль. Не «никто не увидел», а «никто не может тронуть». Увидеть — это одно нарушение. Удалить, изменить, переписать — другое, и оно хуже: подсмотренное можно отрицать, удалённое не вернуть.

Чего не должно быть рядом с тем, что нельзя показывать

Отсюда следует простой практический вывод, который не требует ни технических знаний, ни доверия к громким обещаниям. То, что не должно быть увидено и тем более тронуто, нельзя держать рядом с тем, что умеет это трогать.

Телефон — это место, где живут десятки приложений с разрешениями. Облако — это место, где ваши файлы подчиняются чужим правилам и чужой кнопке «удалить». Домашний жёсткий диск, подключённый к сети, — это тот же телефон, только больше. Банковская ячейка? Она не подключена к сети, это правда, но в неё можно прийти, её можно вскрыть по решению, а её содержимое не имеет никакой процедуры приёма и учёта. Все эти варианты объединяет одно: в них есть кто-то, кроме вас, у кого есть доступ или способность.

Единственная структура, в которой этой способности нет ни у кого, — это носитель, отключённый от сети и от приложений, переданный на хранение по процедуре. Носитель, который вы сами шифруете и к которому никто не прикасается. При приёме ему присваивается номер, он опечатывается пломбой, приём проверяют два человека и фиксируют фотографией. Дважды в год проводится визуальный осмотр пломбы и внешнего вида с фотографированием — без контакта с содержимым, без вскрытия. Что-то большее делается только с вашего письменного согласия.

Заметьте: здесь нет ни одного приложения, ни одного разрешения, ни одной синхронизации. Некому удалить фотографию, потому что некому до неё дотянуться. Это не обещание «мы не будем трогать». Это устройство ситуации, в которой трогать нечем.

Не обещание, а устройство

Сенека писал, что мы страдаем больше от воображения, чем от действительности. С телефоном всё наоборот: действительность оказалась хуже воображения. Мы воображали, что фотографии «наши», а действительность показала, что они наши ровно до первого приложения, которому мы сами вручили ключ.

Разница между обещанием и устройством — самая важная разница во всём разговоре о приватности. Обещание можно нарушить, забыть, переписать в новой версии пользовательского соглашения. Устройство нарушить нельзя: у носителя без сети нет кнопки «удалить», у пломбы нет дистанционного доступа, у процедуры с номером и двойной проверкой нет «случайного» удаления.

История марта 2023 года закончилась для Pinduoduo удалением из Google Play. Но для нас она не закончилась: она просто показала механизм. Механизм никуда не делся. Он сидит в вашем телефоне прямо сейчас — в списке разрешений, который вы давно не открывали.

Вывод прост и спокоен: если что-то нельзя показывать и нельзя терять, оно не должно лежать там, где у кого-то есть способность это показать или потерять. Оно должно лежать там, где его принимают по номеру, опечатывают, проверяют вдвоём и хранят отдельно от всего, что умеет удалять.