Si vous ne détenez pas les données des utilisateurs, vous ne pouvez pas les divulguer

• En créant un iPhone app qui enregistre des souvenirs positifs et des évaluations émotionnelles pour aider à les raviver plus tard, Matter a adopté une conception orientée confidentialité visant à empêcher l’entreprise de voir des photos sensibles et des données émotionnelles
• Au cœur de cette conception se trouvait un modèle de menace prenant en compte la confiance des utilisateurs, la protection contre les erreurs et bugs, ainsi que des situations futures où l’entreprise pourrait subir des pressions ou être rachetée
• Les évaluations émotionnelles privées, les descriptions de souvenirs et les photos jointes sont stockées non sur les serveurs de Matter, mais dans Core Data sur l’iPhone et dans la base de données privée iCloud de l’utilisateur, de façon à ce que l’entreprise ne puisse pas y accéder, même via les outils d’Apple
• Ce que l’entreprise reçoit se limite à certains résultats non réversibles comme le Matter Score et à des métriques d’événements d’usage privées, tandis que les comptes sont gérés comme des comptes numérotés, sans e-mail ni mot de passe
• Cela réduit le risque de fuite de données, mais comme l’entreprise ne peut ni identifier les utilisateurs ni détenir leurs données, elle ne peut pas non plus récupérer des données perdues à leur place, et les utilisateurs doivent utiliser les fonctions de sauvegarde/restauration

---

Les débuts de Matter et les choix de confidentialité

• Depuis le 1er octobre 2024, Sean Coates a quitté son poste de VP of Technology chez Matter et ne peut donc plus garantir personnellement les aspects de confidentialité de l’app
• Matter a d’abord commencé comme client de Faculty, avant que la relation agence-client n’évolue vers une relation de startup et que Coates en devienne VP of Technology
• L’idée produit est partie de la volonté de permettre aux utilisateurs d’enregistrer des souvenirs d’expériences positives pour les raviver plus tard et accroître leur sentiment de bonheur
  • Les utilisateurs peuvent enregistrer des photos d’expériences positives et évaluer les émotions ressenties à ce moment pour s’en souvenir plus tard
  • Coates se montrait d’abord sceptique face aux promesses de type bien-être, mais il dit avoir été convaincu par la technologie et la science selon lesquelles le fait de raviver des expériences positives peut favoriser la production et la libération de neurotransmetteurs associés au bonheur

La question : « pourquoi envoyer ce type de données à l’entreprise ? »

• La question décisive était de savoir pourquoi un utilisateur devrait envoyer à Matter des photos privées et des évaluations émotionnelles sensibles comme sexual desire
• Cette question a conduit Matter à définir très tôt dans le produit sa manière de traiter le contenu privé des utilisateurs ainsi que sa modélisation des menaces
• La confidentialité n’est pas devenue une fonction ajoutée après coup, mais une valeur centrale qui a orienté la conception du produit
  • L’équipe a estimé qu’ajouter la confidentialité après avoir déjà exposé les données des utilisateurs en interne risquait d’être source d’erreurs, voire impossible

Trois principes et des scénarios extrêmes

• Matter a résumé ses principes de traitement des données utilisateurs en trois points
  • Il faut instaurer la confiance afin que les utilisateurs puissent croire à la manière dont l’entreprise traite leurs données
  • Même en cas de mot de passe faible d’un employé ou de bug dans le code, les données des utilisateurs ne doivent pas pouvoir fuiter
  • Il ne faut pas compter uniquement sur la bonne volonté de l’équipe actuelle : le système doit aussi résister à une situation future où un nouveau pouvoir contrôlerait l’entreprise ou où un acquéreur non fiable apparaîtrait
• Des questions extrêmes ont aussi été examinées au niveau de l’infrastructure
  • L’équipe a envisagé de construire son propre datacenter, mais a jugé que la couche physique pouvait être mieux gérée par de grands hébergeurs, sans vouloir financer le creusement d’une montagne ni l’embauche d’une milice
  • Elle a même envisagé le cas d’un État malveillant réclamant les données d’un utilisateur précis et allant jusqu’à enlever des membres de la famille ; même dans ce cas, l’objectif était de n’avoir aucune donnée à remettre
• Le choix final a été de ne tout simplement pas détenir les données privées des utilisateurs

Comment Matter traite réellement les données

• Même si un utilisateur attribue une note élevée à une émotion comme pride dans Matter, l’entreprise ne peut pas le savoir
  • Le système de métriques est délibérément conçu pour ne pas collecter ce type de données personnelles
  • Seule l’app exécutée sur l’appareil de l’utilisateur peut accéder à ces données
• Matter est une iPhone app, et les données sont stockées dans Core Data sur le téléphone ainsi que dans la base de données privée du compte iCloud de l’utilisateur
  • Le code de l’app, exécuté avec les identifiants développeur de l’entreprise, peut lire et écrire les données à l’intérieur de l’appareil
  • Les données ne sont pas envoyées à Matter, et l’entreprise ne peut pas y accéder, même via les outils d’Apple
• Les données que l’entreprise reçoit sont certains résultats dérivés d’entrées, mais sous une forme qui ne permet pas de remonter aux valeurs d’origine
  • Par exemple, si l’on ne connaît que le résultat 600, il est impossible de savoir si l’entrée était 1 × 600, 100 × 6, 30 × 20 ou 12 × 50
  • L’entreprise peut connaître le Matter Score, mais pas quelles entrées ont produit ce score, ni comment le souvenir a été décrit, ni ce qui apparaît sur la photo
  • Tout ce qu’elle sait, c’est qu’un compte numéroté donné contient un souvenir et qu’il a un score de 600
• À l’heure actuelle, Matter n’associe pas d’adresse e-mail aux comptes utilisateur de l’app et n’utilise pas non plus de mot de passe
  • En dehors de la mailing list, l’entreprise ne détient pas d’adresses e-mail
  • Il n’existe pas non plus de lien imposé entre les inscrits à la mailing list et les utilisateurs de l’app
  • À l’avenir, les utilisateurs pourront peut-être choisir de s’identifier, mais même dans ce cas Matter prévoit de continuer à ne pas collecter de données privées

Stockage d’images chiffrées et coût en matière de récupération

• Même lorsqu’un utilisateur ajoute à un souvenir du contenu comme une image, Matter ne le conserve pas d’une manière qui permette à l’entreprise de le voir
  • Par défaut, les images sont stockées sur l’appareil de l’utilisateur
  • En raison des limites de stockage local, il existe aussi un système pour stocker des ressources comme des images chiffrées sur l’appareil
  • Le contenu réel de la photo et la clé de déchiffrement ne sont pas envoyés à Matter
  • Du point de vue de l’entreprise, les données stockées ne ressemblent pas à une photo mais à un texte chiffré binaire indiscernable d’un bruit aléatoire
• Cette conception a un coût clair en matière de récupération
  • Si un utilisateur perd ses données, Matter ne peut pas les restaurer à sa place
  • L’entreprise ne peut pas identifier l’utilisateur par e-mail pour réinitialiser un mot de passe et, même s’il y avait une adresse e-mail et un mot de passe, elle ne pourrait pas restaurer les données puisqu’elle ne les détient pas
• L’app dispose actuellement d’une fonction de sauvegarde/restauration, et les utilisateurs doivent l’utiliser eux-mêmes pour éviter la perte de données
• La question de stocker des sauvegardes pour le compte des utilisateurs tout en les identifiant et en conservant les données d’une manière inaccessible à l’entreprise reste encore non résolue
• Matter est liée par sa politique de confidentialité, et pour Coates, superviser l’implémentation de la confidentialité a été l’un des travaux techniques les plus gratifiants qu’il ait réalisés chez Matter

[GN⁺]

Avis sur Hacker News

• Je suis d’accord avec l’idée centrale. L’approche selon laquelle si vous ne le stockez pas, vous ne pouvez pas non plus le divulguer est la bonne, et je pense que le système juridique devrait davantage encourager cette façon de penser en étant axé sur les résultats.
  Quand on se fait pirater, dire « on a tout fait selon les standards du secteur » n’a pas grande importance ; ce qui compte, c’est que mes informations ont été compromises. Même si l’on a suivi ce que le secteur croyait être la bonne pratique, il faut assumer la responsabilité.

  • « Ne stockez pas les informations de façon à ne pas pouvoir les divulguer » est une bonne idée. Comme le principe du moindre privilège, il ne faudrait conserver que ce qui est nécessaire au service fourni. Cela réduit le risque, côté fournisseur comme côté consommateur.
    Cela dit, aux États-Unis, il semble qu’un nombre croissant d’entreprises considèrent les données personnelles comme monétisables. C’est aussi pour cela que la plupart des magasins ont des programmes de fidélité et collectent ce que vous achetez et quand.
    S’il s’agissait simplement d’inciter les clients à revenir, des cartes à tampons comme il y a dix ans auraient suffi. Je ne sais pas comment les données sont utilisées, mais si la valeur obtenue n’était pas supérieure au coût des récompenses, pourquoi offriraient-ils des incitations comme de la nourriture gratuite ou des réductions ?
  • Il faudrait une assurance responsabilité en cas de fuite, avec des primes faibles s’il n’y a rien à faire fuiter.
    Bien sûr, cela suppose un autre monde, où les entreprises paient réellement le coût de leurs erreurs.
  • Je suis d’accord avec l’intention, mais je ne vois pas très bien comment on pourrait la mettre en œuvre en pratique.
    La loi ne devrait pas punir quelqu’un qui a honnêtement fait de son mieux, et cela devient particulièrement dangereux si l’on ajoute une clause du type « même si c’était le standard du secteur, peu importe ». Cela risque de créer de la confusion, de punir les mauvaises personnes, et même de créer une incitation à faire pirater un concurrent pour ensuite le pousser dans une responsabilité juridique.
  • Je ne suis pas juriste, mais ce genre de différence de degré existe déjà pour d’autres crimes.
    Si vous tuez quelqu’un par accident, cela peut relever de l’homicide involontaire ; si vous le faites avec malveillance et préméditation, cela devient un meurtre aggravé et prémédité.
    Au final, si une vie a été perdue, il doit y avoir un certain niveau d’examen judiciaire. Pourtant, dans les affaires de piratage, on voit rarement ce type de procédure.
  • La cause profonde de l’augmentation des atteintes à la vie privée est l’existence d’une énorme faille dans le système juridique censé empêcher la surveillance et le piratage.
    Développer et distribuer un spyware qui collecte des données personnelles sans autorisation est illégal, et cela reste illégal même si les données collectées ne sont pas divulguées. Mais si on l’enrobe de marketing sophistiqué, de dizaines de pages de conditions d’utilisation incompréhensibles et d’une politique de « confidentialité », cela devient soudain légal, et même la divulgation ou la vente de ces données est rarement sanctionnée.
    Ce n’est pas propre aux États-Unis ; c’est aussi le cas en Europe. Même avant le RGPD, la plupart des pays avaient des lois sur le traitement, l’utilisation et le stockage des données personnelles, mais elles n’étaient pas appliquées. Le RGPD n’est pas vraiment meilleur sur le plan de l’application : on voit quantité de parcours de « consentement » non conformes, et des entreprises fondées sur le traitement de données sans consentement continuent de très bien fonctionner.

• Cela correspond assez bien à mon point de vue.
  Cela dit, cette idée ne m’a pas rendu plus populaire auprès de mes collègues. Tout ce secteur baigne dans la collecte de données d’identification personnelle, et traite ces informations avec beaucoup trop de légèreté. Même une appli de solitaire pousse sans cesse à s’inscrire à des classements et à des défis.
  Dans une nouvelle appli, nous rejetons environ 30 % des inscriptions parce qu’elles ressemblent à des arnaques au pig butchering, et c’est assez saisissant. Toutes les inscriptions sont examinées manuellement, et le volume en lui-même ne nous intéresse pas vraiment. Nous ne ciblions que les États-Unis, le Canada et l’Inde, avec quasiment aucune promotion, et les escrocs se sont immédiatement précipités dessus.
  Pour l’instant, c’est grossier, mais c’est seulement parce que nous ciblons une population précise et que la falsification est difficile ; je pense que cela va vite changer. J’ai fini par accepter que des personnes mal intentionnées entreront, et qu’il est donc important que, lorsqu’elles viennent dévaliser l’armoire à alcools, il n’y ait rien dedans.

• Je suis largement d’accord avec l’affirmation du titre. Quand on voit les mesures de résidence, d’intégrité et de confidentialité des données autour d’immenses silos de données, les équipes d’infrastructure qui les gèrent et les font passer à l’échelle, puis les articles techniques « évangéliques » qui finissent sur le Web, c’est assez stupéfiant, car l’entreprise pourrait tout simplement ne pas collecter ces données.
  J’aime le modèle « les données restent sur l’appareil, nous ne les voyons pas ; au maximum, nous recevons des statistiques de localisation minimales ». Cela dit, je m’interroge sur l’affirmation selon laquelle leur système de métriques ne pourra pas être détourné. Ce qui est programmé peut être reprogrammé ou mis à jour, surtout à l’époque actuelle où tout tourne autour des mises à jour. En dehors d’une explication générale disant qu’ils ont veillé à ce que les utilisateurs ne soient jamais surveillés, je n’ai pas l’impression que ce point soit suffisamment traité ; j’aimerais voir un article technique à ce sujet s’il existe.
  Au passage, chez Sentinel Devices, nous adoptons exactement cette approche « nous ne détenons pas les données » pour les machines industrielles. Pensez à des pipelines d’IA d’automatisation en air gap. Nous recrutons ; si cela vous intéresse, contactez [e-mail].

• C’est pourquoi les SaaS B2B doivent arrêter de réserver le SSO aux tarifs entreprise, et rendre tout simplement obligatoires des flux comme IdP ou OAuth/OIDC.
  https://vaultvision.com/blog/what-is-oidc
  L’expérience utilisateur, ce sont ces boutons « continue with ».
  https://id.atlassian.com/login
  https://www.xsplit.com/user/auth
  Ainsi, on ne possède même pas d’identifiants de compte susceptibles d’être perdus. Les données personnelles, données d’identification personnelle, etc., sont une dette de risque.

  • Mais alors, comment gagner des milliards de dollars avec de la publicité personnalisée fondée sur les métadonnées ?

• Un concept lié est Datensparsamkeit : https://martinfowler.com/bliki/Datensparsamkeit.html

  • Il y a aussi un texte un peu lié : https://www.w3.org/2001/tag/doc/leastPower.html
  • Une meilleure expression serait Datenenthaltsamkeit, c’est-à-dire l’abstinence de données. Il ne s’agit pas seulement d’en stocker moins, mais de ne vraiment les stocker que lorsqu’il n’existe aucune autre option.

• On trouve un propos similaire dans Notes From An Emergency de Maciej Cegłowski [1]
  « Il n’est pas évident que quiconque puisse sécuriser de grands ensembles de données sur la durée. L’asymétrie entre attaque et défense est peut-être trop importante. Si une défense à grande échelle est possible, le seul moyen consiste à dépenser des millions de dollars pour recruter les meilleurs profils défensifs. Les violations de données les plus médiatisées ont montré que la menace est réelle et permanente. Et pour chaque faille dont nous avons connaissance, il en existe plusieurs, silencieuses, que nous ne découvrirons pas avant des années.
  Mais plus la défense réussit, plus le risque augmente. Si vous accumulez suffisamment de trésors derrière des remparts, vous finirez par attirer quelqu’un capable de les escalader. Le féodalisme rend Internet plus vulnérable et garantit qu’une compromission, lorsqu’elle finit par arriver, sera catastrophique. »
  [1] https://idlewords.com/talks/notes_from_an_emergency.htm

• Êtes-vous prêt à vous engager à ne pas détenir de données utilisateur, avec des pénalités contractuelles à la clé ? Sinon, ce n’est pas sérieux
  Il faut se souvenir de « Facebook - C’est gratuit et ça le restera toujours »

• D’après l’explication citée, cela signifie-t-il que toutes les photos saisies par l’utilisateur sont stockées sur le serveur dans une version chiffrée, mais que la clé ne l’est pas ?
  Si c’est le cas, stocker des données utilisateur chiffrées n’est pas forcément la fin du monde, mais je ne comprends pas pourquoi le présenter comme s’ils ne stockaient aucune donnée utilisateur. En réalité, ils stockent des données utilisateur chiffrées, comme beaucoup d’autres entreprises, et Backblaze utilise la même approche. Peut-être que j’ai mal compris

  • Je l’ai lu comme signifiant que les données chiffrées se trouvent sur l’appareil de l’utilisateur, et non sur le serveur

• Si l’on regarde la politique de confidentialité : https://matter.xyz/privacy
  « Si nous modifions cette politique de confidentialité, nous la mettrons à jour ici et actualiserons la date d’entrée en vigueur en haut de page. Comme nous ne collectons pas les adresses e-mail de tout le monde, nous ne pouvons pas envoyer les changements par e-mail. Les modifications apportées à cette politique ne s’appliquent pas rétroactivement. »
  En pratique, ils peuvent la changer à tout moment, et l’utilisateur ne le saura probablement pas
  Si cela est violé, l’utilisateur a-t-il un moyen de le faire appliquer ? Faut-il payer un avocat une somme à six chiffres ? Pour quels dommages, au titre de quelle loi ?
  Et je ne sais pas non plus très bien ce que non rétroactif signifie juridiquement ici. Si l’entreprise a mes données et change sa politique, peut-elle utiliser mes données selon la nouvelle politique à partir de demain ? De toute façon, je ne saurai probablement pas que le changement a eu lieu, donc cela n’a pas beaucoup de sens

  • Cela peut vouloir dire qu’ils ne peuvent pas s’en servir pour justifier des actes passés qui auraient violé l’ancienne version, mais qui ne violeraient plus la nouvelle
    Bien sûr, je ne prétends pas comprendre parfaitement dans quelle mesure la politique de confidentialité d’une entreprise est juridiquement opposable
  • Du point de vue de quelqu’un qui accorde une importance extrême à la protection de la vie privée, c’est quasiment ce qu’on peut faire de mieux. S’ils n’ont pas votre e-mail, ils ne peuvent pas vous écrire, et même si la politique change, ce changement ne s’applique pas aux utilisateurs existants
    « Ne s’applique pas rétroactivement » signifie que la version mise à jour ne s’applique pas à l’utilisation des données existantes ; cela exclut donc explicitement la possibilité d’utiliser les données de l’utilisateur selon la nouvelle politique

• Exact
  Je travaille dans la cybersécurité, et je suis de plus en plus convaincu que la réponse n’est pas d’essayer d’atténuer toutes les menaces possibles, mais de ne pas avoir de données à voler
  En combinant cela avec le zero trust et l’authentification à deux facteurs/les passkeys, on peut obtenir un effet bien plus important qu’avec les nombreuses solutions de sécurité façon poudre de perlimpinpin dont le secteur raffole