כדי לשמור על פרטיות ההודעות הקוליות, בחנו גם את מסלול השמע וגם את גורל הטקסט שנוצר ממנו.
תמלול ותרגום של הודעות קוליות יכולים להתבצע במכשיר או להסתמך על שירות אחר. לכן, עצם קיומן של היכולות האלה אינו מעיד על שבירת ההצפנה מקצה לקצה. השאלה המרכזית היא: מי או איזו מערכת מקבלים גישה לתוכן מובן כדי לבצע את הפעולה?
קובץ השמע המקורי, התמליל, התרגום ועותק הגיבוי הם ארבעה פריטים נפרדים. ההגנה על אחד מהם אינה מוכיחה שהאחרים מוגנים.
נבחין בין שלושה מסלולי עיבוד
| מסלול | גבול האמון | שאלה חשובה |
|---|---|---|
| עיבוד מקומי לחלוטין | המכשיר והתוכנה שמבצעת את העיבוד | האם שמע או טקסט יוצאים מהמכשיר? |
| עיבוד רגיל בענן | שירות העיבוד והתשתית שלו | איזה תוכן מתקבל ולכמה זמן הוא נשמר? |
| עיבוד בענן עם הגנות מיוחדות | התכנון המוצהר, החומרה ומנגנון האימות שלו | אילו ערבויות טכניות, הערכות ומגבלות פורסמו? |
הביטוי «בשרת» לבדו אינו מבהיר את פרטי הגישה של המפעיל; יש תכנונים שמשתמשים בסביבות מוגנות. מנגד, גם כינויים כמו «בינה מלאכותית פרטית» אינם ראיה מספקת בפני עצמם. הארכיטקטורה בפועל ותנאי השימוש צריכים להיות ברורים.
האם תמלול מקומי באמת אפשרי?
כן. בהכרזה הרשמית על תמלול הודעות קוליות, WhatsApp מציינת שהטקסט נוצר במכשיר. הדוגמה הזו מראה מדוע אין להתייחס לכל יכולות התמלול כאל עיבוד בענן; בדקו את הזמינות, השפות וההגדרות בגרסה שלכם.
גם בתחום התרגום, התיעוד של Google ML Kit מתאר עיבוד טקסט במכשיר. ייתכן שצריך להוריד תחילה את מודל השפה; הצורך בחיבור לאינטרנט לצורך הורדת המודל אינו מעיד כשלעצמו על שליחת הטקסט לתרגום. יש להעריך גם את איכות התרגום בהתאם לשפה ולשימוש שלכם.
אלה דוגמאות לארכיטקטורה, ולא אישור לכך שכל יישום שמשתמש במילה «מקומי» מתנהג באותה דרך.
היכן נשאר הטקסט שנוצר?
גם כשהעיבוד מקומי, הפלט עשוי להיכלל בהיסטוריה, בחיפוש במכשיר, בהתראות, בלוח ההעתקה או בגיבוי. כשבוחנים יכולת, אל תשאלו רק «היכן התבצע עיבוד השמע?»; שאלו גם «היכן נשמר הטקסט החדש ומי רואה אותו?»
אם הטקסט נשלח שוב לאיש קשר, צריך לבחון בנפרד את מסלול השליחה שלו. הצפנת הפלט לאחר העיבוד אינה מבטלת בדיעבד גישה שכבר הייתה לשירות אל הקלט. כמו כן, מחיקת השמע המקורי אינה מבטיחה את מחיקת כל עותקי הטקסט.
זהו איור רעיוני, ולא מיפוי טכני מאומת של מסלול עיבוד השמע ב-Livara.
שאלו את שש השאלות האלה לפני הפעלת היכולת
- היכן מתבצע העיבוד? במכשיר, בשרת של יישום ההודעות או אצל ספק אחר?
- אילו נתונים נשלחים? כל השמע, קטע נבחר, טקסט או רק בקשה להורדת מודל?
- למי יש גישה? למפעיל, לקבלן, לבודק אנושי או רק לסביבה טכנית מוגדרת?
- מהי מדיניות השמירה? האם הקלט או הפלט משמשים לדיווח על תקלות, לשיפור המודל או לאימון, ואילו אפשרויות בחירה יש למשתמש?
- איך הפלט נמחק ומשוחזר? בחנו בנפרד את ההיסטוריה, הגיבויים, המכשירים המחוברים וקובץ הפלט.
- אילו ראיות קיימות? תיעוד עם ציון גרסה, הערכה עצמאית ובדיקה שניתן לשחזר עדיפים על ציון פרסומי.
בתוכן הקשור לעבודה או בקול של אדם אחר, בדקו גם את ההסכמה ואת כללי הארגון. רשות להאזין להודעה קולית אינה בהכרח רשות לשלוח אותה לכל גורם עיבוד אחר.
איך בודקים בלי לחשוף מידע?
השתמשו בקובץ שמע לא רגיש שהקלטתם בעצמכם לצורך הבדיקה. לאחר שהמודל המקומי מוכן, פעולת היכולת ללא חיבור לאינטרנט יכולה להוות סימן לעיבוד מקומי; אבל היא אינה מוכיחה לבדה שהיישום לא ישלח נתונים מאוחר יותר. גם חוסר יכולת לפעול ללא אינטרנט אינו מוכיח כשלעצמו שליחה של תוכן גלוי.
השוו את התוצאה לתיעוד המוצר. אם התשובה אינה ברורה, השאירו את אפשרות העיבוד כבויה עבור שמע רגיש, או השתמשו רק בחלק הלא רגיש הנחוץ. להחלטה רחבה יותר, עיינו ברשימת הבדיקה לבחירת יישום הודעות מאובטח.
מה אפשר לומר על Livara?
עמוד האבטחה של Livara מסביר את ההגנה על הודעות קוליות בשיחות פרטיות. מההסבר הזה אי אפשר להסיק אם קיימת יכולת תמלול, היכן מתבצע העיבוד של יכולת בינה מלאכותית או מהי מדיניות השמירה שלה. אם אתם משתמשים ביכולת כזו, בדקו בנפרד את המדריך של אותה יכולת ואותה גרסה; המאמר הזה אינו מציג עבורה ציון או תוצאת בדיקה מומצאים.
בנוסף, מטא-נתונים של השליחה, כמו מידע ניתוב, שונים מתוכן השמע. סודיות ההודעה הקולית אינה מעידה על אנונימיות מלאה של התקשורת.
שאלות נפוצות
האם התמלול מבטל את יעילות ההצפנה של ההודעה המקורית?
לא באופן אוטומטי. עיבוד מקומי יכול להתבצע בלי לשלוח תוכן לגורם מתווך. אם אתם מוסרים במכוון את התוכן לשירות אחר, מעגל האמון לצורך אותו עיבוד מתרחב.
מה אם התמליל שגוי?
כשמדובר בשמות, במספרים, בהוראות רגישות או בהחלטות חשובות, אל תסתמכו רק על הטקסט האוטומטי. כשאפשר, השוו לשמע המקורי ובדקו עם השולח; שגיאת תמלול היא סוגיה נפרדת מהצפנה.
האם פעולה ללא אינטרנט היא הוכחה מלאה לפרטיות?
לא. בדיקה ללא אינטרנט היא תצפית מוגבלת, והיא אינה מחליפה בדיקה של שליחה מאוחרת יותר, אחסון, הגדרות ותיעוד.
