תווית פרטיות היא דיווח שצריך לבחון, לא מדידה של כל מה שאפליקציה יודעת.
אי אפשר להגן על בחירה במנצחת אוניברסלית בתואר «אפליקציית המסרים שאוספת הכי פחות נתונים» בלי להגדיר מה סופרים: מזהי הרשמה, נתוני פנקס כתובות, רישומי חיבור שנשמרים, שימוש לפרסום או תוכן הודעות. תווית פרטיות היא נקודת פתיחה שימושית, לא מדידה של כל מה שאפליקציה מעבדת.
המדריך הזה מסביר איך להשוות דיווחים. הוא אינו ביקורת עצמאית שהושלמה על כל אפליקציית מסרים, ואינו מעניק ל-Livara או למתחרה כלשהי תג של איסוף הנתונים המועט ביותר.
קראו את התווית לפני שתספרו את הקטגוריות
הסעיף App Privacy של Apple והסעיף Data safety של Google Play מבוססים על הצהרות המפתחים, אבל ההגדרות שלהם שונות. ההנחיות של Apple מבחינות בין נתונים המקושרים למשתמש, מעקב ומטרות האיסוף. עיבוד שנשאר במכשיר אינו נחשב איסוף, ולחלק מהעיבוד הזמני ומהדיווחים האופציונליים יש חריגים מוגדרים.
גם להנחיות של Google יש חריגים: נתונים מוצפנים מקצה לקצה שעומדים בתנאים ואינם ניתנים לקריאה בידי מתווכים אינם נכללים בדיווח על נתונים שנאספו, וחלק מההעברות לספקי שירות אינם נחשבים שיתוף. «מוצפן בזמן העברה» ברישום בחנות אינו הבטחה להצפנה מקצה לקצה. לכן קטגוריה ריקה אינה מוכיחה שאין בקשת רשת או קשר עם ספק שירות.
אל תשוו את מספר המשבצות של Apple למספר המשבצות של Google ותכריזו על מנצחת. השוו באותה חנות, באותו תאריך ואזור, ובהתבסס על אותן הנחות לגבי התכונות.
השוואת פרטיות בחמש שכבות
| ראיה | שאלה שימושית | מה אי אפשר לקבוע על פיה בלבד |
|---|---|---|
| תווית החנות | אילו סוגי נתונים ושימושים מוצהרים? | דיוק מלא או שמירה בפועל |
| מדיניות פרטיות | מי מקבל נתונים, לאיזו מטרה ולכמה זמן? | האם המימוש תואם למדיניות |
| הרשאות המכשיר | האם האפליקציה יכולה לגשת לאנשי קשר, למיקום, למיקרופון או לתמונות? | מה קרה לנתונים שכבר הועלו |
| תיעוד הפרוטוקול | אילו משטחים ומפתחות מגינים על התוכן? | הגנה על כל מכשיר או בניית תוכנה |
| הערכה עצמאית | איזו גרסה ואילו רכיבים נבדקו, ומה תוקן? | אבטחה קבועה של גרסאות עתידיות |
השכבות האלה עונות על שאלות שונות. אפשר לבדוק לקוח בקוד פתוח; העובדה הזאת כשלעצמה אינה חושפת את השמירה בשרתים הפעילים. ביקורת יכולה לכסות קריפטוגרפיה בלי לבדוק ניתוח נתונים. קראו את היקף הבדיקה לפני שתשתמשו באחד מאלה כציון פרטיות.
השתמשו בדף ההשוואה הזה
עבור כל אפליקציה שאתם שוקלים, רשמו באופן פרטי את הפרטים הבאים. רישום קצר ומתוארך שימושי יותר מדירוג חסר ביסוס.
| שדה | מה לרשום |
|---|---|
| מוצר ופלטפורמה | האפליקציה המדויקת, קישור לחנות, מערכת הפעלה וגרסה |
| תאריך התצפית | מתי נבדקו התווית והמדיניות |
| הרשמה | מזהי טלפון, דוא״ל או תשלום נדרשים ואופציונליים |
| איתור אנשי קשר | פנקס כתובות, שם משתמש, קוד QR, קישור הזמנה או מזהה חשבון |
| רישומים טכניים | נתוני IP, מכשיר, אבחון ושימוש שעליהם הוצהר |
| שמירה | משך מוצהר, תנאי מחיקה או «לא צוין» |
| חריגי תכונות | גיבויים, בוטים, אינטראקציות עסקיות, תשלומים, ערוצים ציבוריים ושיחות |
| פער בראיות | על מה המסמכים אינם עונים |
אם מדיניות אומרת רק שהנתונים נשמרים «לפי הצורך», סמנו את המשך המדויק כלא ידוע במקום להמציא אותו. אם תווית משתנה אחרי עדכון, שמרו את התאריך הקודם עם ההערות כדי שההשוואה תישאר ניתנת לפרשנות.
בלי מספר טלפון הוא ממד אחד, לא התוצאה כולה
Session ו-SimpleX מציעות דרכים להתחבר בלי זהות המבוססת על מספר טלפון. Threema הופכת קישור טלפון או דוא״ל לאופציונלי. התיעוד הציבורי של Livara מתאר הרשמה בלי מספר טלפון או דוא״ל, אבל מתאר גם מטא-נתונים של ניתוב וחברות. אין להתייחס לארכיטקטורות האלה כאילו הן ניתנות להחלפה זו בזו.
Signal מתעדת כעת מסלול הרשמה אופציונלי בלי מספר טלפון בגרסת הבטא שלה לאנדרואיד. אין פירוש הדבר שכל גרסה של Signal או כל חשבון קיים פועלים בלי מספר. שם משתמש בחשבון המבוסס על מספר ויצירת חשבון ללא מספר הם תכונות שונות.
גם בלי מספר, תמונת פרופיל שנעשה בה שימוש חוזר, חשבון תשלום, קובץ משותף, כתובת IP או הקשר השיחה עשויים לקשר חשבון לאדם. «אין צורך בטלפון» אינו ראיה לאנונימיות מוחלטת. בנושא הנפרד של מידע ניתוב, ראו את ההסבר על מטא-נתונים במסרים.
איך לבדוק גישה לאנשי קשר בלי לחשוף את פנקס הכתובות
- התקינו את האפליקציה הרשמית וסרבו תחילה להרשאת אנשי קשר.
- הוסיפו איש קשר אחד לצורך בדיקה ובהסכמתו, באמצעות מזהה נתמך, הזמנה או קוד QR.
- ודאו אם מסרים רגילים פועלים בלי גישה לפנקס הכתובות.
- בדקו גם את הגדרת סנכרון אנשי הקשר באפליקציה וגם את הרשאת מערכת ההפעלה. אלה לא תמיד אותו אמצעי בקרה.
- אם אנשי קשר סונכרנו בעבר, חפשו אפשרות מחיקה נפרדת או תהליך בקשה מתועד. ביטול ההרשאה מגביל גישה עתידית למכשיר; הוא לא בהכרח מסיר את העותק בשרת.
אל תעלו פנקס כתובות רק כדי לראות אם האפליקציה מעלה אותו. בקשת הרשאה חושפת את הגישה המבוקשת, לא ביקורת מלאה של זרימת הנתונים. בדיקת רשת יכולה לחשוף יעדים ותזמון, אבל הצפנה עלולה למנוע מכם להבין אילו שדות מועברים.
מה E2EE משאירה מחוץ להשוואה
הצפנה מקצה לקצה מגינה על התוכן שבתחולתה בין נקודות הקצה המשתתפות. היא אינה מסירה אוטומטית מזהי חשבונות, זמני חיבור, רישומי חברות בקבוצות או נתוני אסימוני דחיפה. היא גם אינה מגינה על עותק שנשלח במכוון לבוט, לכלי עסקי או לשירות תמיכה מחוץ לאותה שיחה מוצפנת.
במקרה של Livara במיוחד, תיעוד האבטחה מבחין בין הודעות ישירות מוצפנות וקבוצות פרטיות תואמות לבין ערוצים ציבוריים שהשרת יכול לקרוא. הסכמת המפתחות ההיברידית שלה היא טענה להגנת תוכן, לא ראיה לכך שהיא אוספת פחות מטא-נתונים מכל אפליקציית מסרים אחרת. מאמר זה לא מדד באופן עצמאי את התנהגות השרתים שלה.
בחרו את מינימום הנתונים הדרוש לשימוש שלכם
התחילו במידע שהכי חשוב לכם לא לחשוף. אם זה מספר טלפון, בדקו הרשמה ללא מספר. אם זה פנקס הכתובות, ודאו שאפשר לאתר אנשי קשר ידנית. אם זו היסטוריית שיחות קריאה באחסון ענן, בחנו את הגיבוי בנפרד. אם אלה מטא-נתונים של חיבור, קראו את תכנון הניתוב והשמירה במקום את רשימת הצפנים.
שאלה מסכמת שימושית היא: מה השירות הזה לומד כשאני משתמש בדיוק בתכונות שאני צריך, ואילו מהחשיפות האלה אני יכול למנוע? כך מתקבלת החלטה כנה יותר מגביע יחיד של «הכי פחות נתונים».
