Семейный альбом опаснее хакеров

Десять лет я занимаюсь хранением данных. И за эти годы выучил одно простое правило: люди защищаются не от тех людей.

Вы придумываете пароль из четырнадцати символов. Включаете двухфакторную аутентификацию. Шифруете ноутбук. Проверяете, не утек ли ваш адрес в очередной базе. Вы защищаетесь от хакеров — от абстрактных незнакомцев, которые, честно говоря, понятия не имеют о вашем существовании.

А потом вы сами, своими руками, загружаете всю свою жизнь в облачный альбом, который расшарен на всю семью. И отдаёте ребёнку планшет — посмотреть мультики.

Вас не надо взламывать. Вас уже открыли.

Вы защищались не от тех

Перечислите, чего вы боитесь. Потерять телефон? Взлом почты? Вирус-шифровальщик? Всё это реальные угрозы, но у них есть одна общая черта: их исполнители вас не знают и вами лично не интересуются.

А теперь перечислите тех, кто каждый день держит в руках ваши устройства. Жена. Муж. Ребёнок, который берёт ваш телефон, потому что его разрядился. Мама, у которой «тот же Apple ID, что и у всех, — так проще». Родственники в семейном чате.

У большинства моих клиентов страх устроен так: потерять — это десять процентов тревоги, быть обнаруженным — девяносто. Но вся их защита построена против первой угрозы и совершенно беззащитна против второй. Пароль от телефона знает половина семьи. Отпечаток пальца приложит ребёнок, пока вы спите. А облачный альбом вообще не спрашивает пароля у тех, с кем вы им однажды поделились.

Облачный альбом создан с одной целью: чтобы увидели

Посмотрите, как устроены облачные фотосервисы. У каждой их функции — одна задача: убрать трение между снимком и зрителем.

iCloud. Общие альбомы: пригласили человека — и он видит всё, что туда попадает, включая добавленное «по ошибке». Семейный доступ: подписки, покупки и медиатека могут быть общими. А в семьях до сих пор живёт практика «одного Apple ID на всех»: когда-то завели ребёнку аккаунт на родителя — и теперь все снимки с детского телефона автоматически уезжают в родительское облако. И наоборот: детские пальцы листают родительскую галерею на общем iPad.

Яндекс Диск. Автозагрузка камеры — включили один раз, и каждый снимок с телефона копируется в облако. Общие папки по ссылке: ссылку переслали в семейный чат — и вот уже родственники листают. Семейный тариф с общим хранилищем. А в гостиной — телевизор с виджетом, подтягивающим фото из облака: семейные посиделки, а на экране в фоновом режиме — ваша галерея.

VK. Семейный чат, куда фото улетает в один тап. Альбомы, общие с родственниками.

Заметьте: ни одна из этих функций не «сломалась». Они работают ровно так, как задумано. Их дизайн-цель — «пусть увидит больше людей, проще и быстрее». И чем лучше они работают, тем хуже подходят для того единственного, чего никто не должен увидеть.

Отдельно — про доверие. Часть этих облаков живёт на серверах в чужой юрисдикции: вы не выбирали её законы, но ваши данные живут по ним. А часть — в российской, где к данным давно привыкли относиться как к ресурсу. В обоих случаях правило одно: то, что лежит в чужом облаке, видно не только вам — вопрос лишь в том, кто именно и когда посмотрит.

Хранить приватное в облачном альбоме — всё равно что вести дневник на кухонном столе и надеяться, что его никто не откроет. Надежда — не стратегия.

«Недавно удалённые»: ещё тридцать дней у всех на виду

Отдельная история — удаление. В iOS есть папка «Недавно удалённые»: всё, что вы стёрли, лежит там ещё тридцать дней, прежде чем исчезнуть по-настоящему. Тридцать дней то, чего никто не должен видеть, продолжает жить в телефоне, который берут в руки ваши домашние.

То есть «удалить» и «спрятать» — разные глаголы. Удалить — значит попросить программу убрать файл из виду. Спрятать — значит сделать так, чтобы его не нашёл человек, у которого есть физический доступ к устройству и полчаса свободного времени.

Эпикур говорил, что мы страдаем больше в воображении, чем в действительности. С облачными альбомами — наоборот: воображение рисует хакера в капюшоне, а действительность — это ребёнок с вашим планшетом на диване. Тревога настоящая. Просто её адрес записан неверно.

Удобство и приватность смотрят в разные стороны

Теперь разберём знакомые средства — честно, как их разбирают люди, которые десять лет смотрят на последствия.

Внешний жёсткий диск на полке. Его может взять любой, кто живёт в квартире, воткнуть в свой ноутбук — и всё. Пароль на диске? Тогда последует вопрос «а что там?», и начнётся разговор, которого вы хотели избежать.

NAS с «семейным доступом». Та же история, что с облаком, только сервер стоит у вас в прихожей. Доступ «для всех домашних» — это ровно то, от чего вы бежите.

Банковская ячейка. Во-первых, это про кражу, а не про «чтобы не увидели свои». Во-вторых — чужой график, чужие камеры, чужой регламент: каждый визит остаётся в записях.

Прятать дома. Дети находят всё. Это не шутка — это эмпирический факт, подтверждённый миллионами родителей.

У каждого средства есть своя задача, и ни одно из них не создавалось для вашей. Облако создано, чтобы делиться. Диск на полке — чтобы было под рукой. Ячейка — чтобы не украли воры. А вам нужно место, у которого вообще нет функции «показать кому-то». Такого места в списке выше нет — потому что оно не продаётся в магазине электроники. Оно — услуга.

Арендт проводила границу между публичным и частным: частное — это то, что по своей природе не предназначено для чужих глаз, и оно перестаёт быть частным в тот момент, когда попадает в общее пространство. Облачный альбом — общее пространство по построению. Туда нельзя «положить приватное»: оно перестаёт быть приватным в момент загрузки.

Техническая сноска, одной строкой: да, диск можно зашифровать стойким алгоритмом — но шифрование защищает от вора, а не от человека, который знает, где диск лежит, и может спросить пароль за ужином.

Место, которое не умеет делиться

Вывод простой, и он не про технологии. Приватному нужно место, у которого нет кнопки «поделиться», нет семейного тарифа, нет синхронизации и нет телевизора в гостиной, подтягивающего фото из облака.

Как это устроено на практике — расскажу на примере нашей работы, потому что честнее говорить о том, что знаешь изнутри.

Вы сами шифруете свой носитель — ключ знаете только вы, мы его никогда не видим и не храним. Мы вообще никогда не видим содержимое: принимаем диск, присваиваем номер, приём оформляют два сотрудника, ставим латунную пломбу, фотографируем, составляем акт. Две копии хранятся в двух разных местах — это страховка от физической потери. А от чужих глаз страхует другое: носитель офлайн, зашифрован вами, и к нему нет доступа ни у одного устройства, которое держат в руках ваши домашние.

Дальше — тишина. По умолчанию мы вообще ничего с вашим диском не делаем: раз в полгода — визуальный осмотр пломбы и внешнего вида, фотография, ноль контакта с данными. Любые проверки глубже — только по вашему письменному согласию. Мы не включаем ваш диск «проверить, всё ли читается» по собственной инициативе — потому что «не трогать» и есть услуга.

Ценность здесь не в гигабайтах и не в цене за год. Ценность — в том, что вы перестаёте полагаться на удачу. «Жена не откроет эту папку» — это удача. «Диска физически нет ни в одном устройстве, к которому имеет доступ семья» — это факт. Спокойствие — это когда между вашим секретом и чужими глазами стоит не надежда, а расстояние, пломба и люди, которые профессионально ничего не смотрят.

Сенека писал, что душе нужно убежище — место, куда не заглядывают. Две тысячи лет спустя убежище выглядит как опечатанный диск в хранилище, о котором не знает никто из ваших домашних. Принцип не изменился: приватное выживает только там, где его некому увидеть.

Everkeep — офлайн-хранение ваших зашифрованных носителей: нумеруем, опечатываем, фотографируем, храним две копии в двух местах. Мы никогда не видим содержимое и не знаем ключей. $199 в год за слот устройства.