Die Funktion zur Fernübertragung von Daten in Apple Photos unter iOS 18 und macOS 15

 (lapcatsoftware.com)
2 Punkte von GN⁺ 2024-12-29 | 1 Kommentare | Auf WhatsApp teilen
  • In Photos unter iOS 18 und macOS Sequoia wurde Enhanced Visual Search hinzugefügt und war auf dem iPhone und dem Mac des Autors standardmäßig aktiviert
  • Diese Funktion unterstützt die Suche, indem sie Wahrzeichen und Points of Interest in Fotos privat mit dem globalen Index auf Apple-Servern abgleicht
  • Apple erklärt, dass durch homomorphe Verschlüsselung, Differential Privacy und OHTTP-Relay keine Fotoinformationen offengelegt werden, doch bereits die Serverkommunikation selbst steht im Zentrum der Datenschutzdebatte
  • Der Fokus der Kritik liegt nicht auf böser Absicht von Apple, sondern auf der Möglichkeit von Softwarefehlern; als Beleg wird angeführt, dass in Apples Sicherheits-Release-Notes fortlaufend Schwachstellen auftauchen
  • Unter macOS lässt sich die Kommunikation mit Little Snitch teilweise blockieren, unter iOS gibt es keine vergleichbare Option, sodass es für Nutzer schwierig ist, sich selbst zu schützen

Standardmäßige Aktivierung von Enhanced Visual Search

  • In den Photos-Einstellungen des iPhone wurde ein neuer Eintrag Enhanced Visual Search hinzugefügt und war standardmäßig aktiviert
  • Dieselbe Einstellung kam neu auch in Photos unter macOS Sequoia hinzu und war ebenso auf dem Mac standardmäßig eingeschaltet
  • Der Autor hat die Einstellung vor dem Erstellen der Screenshots manuell deaktiviert

Funktionsweise laut Apple-Dokumentation

  • Apples Dokument Photos & Privacy erklärt, dass Enhanced Visual Search die Suche nach Wahrzeichen oder Points of Interest in Fotos ermöglicht
  • Das Gerät gleicht Orte in Fotos privat mit dem globalen Index auf Apple-Servern ab
  • Apple gibt an, zum Schutz der Privatsphäre die folgenden Techniken zu verwenden

    • Homomorphe Verschlüsselung

    • Differential Privacy

      • OHTTP-Relay zum Verbergen der IP-Adresse
      • Laut Apple-Dokumentation lässt sich die Funktion unter iOS·iPadOS in Settings > Apps > Photos, auf dem Mac unter Photos > Settings > General deaktivieren
      • Apple Machine Learning Researchs Combining Machine Learning and Homomorphic Encryption in the Apple Ecosystem wurde am 24. Oktober 2024 veröffentlicht, während iOS 18 und macOS 15 am 16. September 2024 allgemein freigegeben wurden

Kritik am Schutz der Privatsphäre

  • Ausgangspunkt der Kritik ist, dass Apple ohne Anforderung durch den Nutzer ein On-Device-Erlebnis durch Serverkommunikation erweitert hat
  • Nach dem Maßstab des Autors ist etwas nur dann privat, wenn die gesamte Verarbeitung auf dem Gerät bleibt; sobald Daten an Server des Herstellers gehen, lässt es sich kaum noch als vollständig privat ansehen
  • Der Autor erklärt, dass er nicht selbst beurteilen könne, ob Apples Implementierung technisch sicher ist
  • Wegen der fortlaufenden Einträge von Schwachstellen in Apples Sicherheits-Release-Notes hält er es jedoch für schwierig, Apples Datenschutzversprechen einfach so zu vertrauen
  • Auch ohne böse Absicht oder Verschwörung können Nutzer allein durch Softwarefehler verwundbar werden, und Apple könne keine fehlerfreie Software garantieren

Wahlfreiheit der Nutzer und Werkzeuge zum Blockieren

  • Der Autor hat kein Interesse an Enhanced Visual Search und sieht deshalb selbst bei perfekter Funktion keinen Nutzen, der das Risiko rechtfertigen würde
  • Dass die Funktion ohne Einwilligung der Nutzer aktiviert wird, wird als Missachtung der Nutzer und ihrer Präferenzen kritisiert
  • Der Apple-Werbespruch „What happens on your iPhone, stays on your iPhone.“ passe nach Ansicht des Autors nicht zu diesem Fall
  • Unter macOS lässt sich mit Little Snitch die Fernkommunikation von Apple-Software größtenteils blockieren
  • Unter iOS sind Werkzeuge wie Little Snitch nicht erlaubt, sodass Apple nach diesem Empfinden Nutzer daran hindert, sich selbst zu schützen

Weiterführendes Material

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2024-12-29
Hacker-News-Kommentare

  • Was ich will, ist sehr einfach: Software, die nichts ins Internet sendet, bevor es eine ausdrückliche Absicht dazu gibt.
    Die Engineering-Arbeit, mit der man diese Funktion plausibel privat machen will, ist beeindruckend, und die Implementierung einer solchen Funktion an sich ist auch kein Problem, aber sie muss zwingend Opt-in sein.
    Solange Software Endnutzer und deren Daten sowie Ressourcen wie Netzwerkverbindungen wie einen Spielplatz des Anbieters behandelt, wird das Vertrauen weiter erodieren. Daten auf lokalen Geräten dürfen nicht unerwartet aus der Funkschnittstelle herauslecken, und Funktionen, bei denen lokale Daten über das Netzwerk gehen, müssen zwingend mit einer Nutzerabsicht verknüpft sein.
    Die zynische Antwort darauf, warum Apple die Nutzer nicht einfach gefragt hat, ob sie diese Funktion einschalten wollen, ist aus meiner Sicht: Apple weiß, dass einige Nutzer sofort ablehnen würden, wenn man sie fragt, hält sich aber für klüger als diese Nutzer. Ich mag diese Haltung nicht, und ich denke, aus demselben Grund wächst auch der Ärger über Opt-out-Telemetrie.

    • Genau diese Denkweise hat die schrecklichen Cookie-Banner hervorgebracht.
      Mehr Dialogfelder, bei denen die meisten Nutzer gedankenlos auf „Zulassen“ klicken, lösen das Problem nicht.
      Die Gesellschaft hat im Grunde akzeptiert, dass Datenzugriff an Dritte weitergegeben wird; fügt man hier Reibung hinzu, bestraft man 98 % zugunsten der 2 %, die solche Dienste ohnehin nicht nutzen würden.
      Bei einer besser aufgeklärten Öffentlichkeit könnte sich das Gleichgewicht vielleicht verschieben, aber die Realität sieht anders aus, und eine gute User Experience muss die Realität widerspiegeln.
    • Opt-in funktioniert nicht und hat eigentlich noch nie funktioniert.
      Die überwältigende Mehrheit der Nutzer, über 95 %, versteht nicht, was ein Popup bedeutet, scheint gar nicht in der Lage zu sein, es zu lesen, und akzeptiert immer, lehnt immer ab oder klickt auf den auffälligeren Button.
      Beobachte einmal Familienmitglieder, die weder in der Tech-Branche noch in der professionellen Managementschicht sind, und frage sie, was das Popup war, das sie gerade geschlossen haben, und warum sie es geschlossen haben. Das ist die beste Lektion über das Zusammenspiel von Technik und Privatsphäre.
    • iOS Fotos konnte schon seit Langem Fotos nach der Adresse suchen, an der sie aufgenommen wurden.
      Dafür muss man die Breiten- und Längengrade des Foto-Standorts nehmen und in eine für Menschen verständliche Adresse umwandeln; dafür braucht es eine Reverse-Geocoding-Abfrage, und die erfolgt fast immer über eine Anfrage an einen globalen Reverse-Geocoding-Dienst.
      Mich würde interessieren, ob du auch diese Funktion als Eingriff in die Privatsphäre siehst, der ein Opt-in braucht. Falls nicht, sehe ich nicht, warum ein Reverse-Geocoding-Dienst privater sein sollte als ein Landmarken-Abfragedienst.
    • Das Ergebnis ist so etwas wie https://chromewebstore.google.com/detail/i-still-dont-care-a....
      Ich persönlich glaube nicht, dass solche Popups irgendeinen Zweck erfüllen. Denn letztlich lässt sich nicht vernünftig nachweisen, ob eine Website in gutem Glauben handelt. Nur weil eine App fragt, ob sie den Server kontaktieren darf, gibt es keine Garantie, dass ein Klick auf „Nein“ tatsächliches Tracking verhindert.
      Es überrascht mich immer wieder, wie man sich einreden kann, Privatsphäre im großen Maßstab könne über verschiedene Kombinationen von Ja/Nein-Buttons funktionieren. Es gibt nur zwei Möglichkeiten, Software zu vertrauen: 1. naiv nachsehen, ob irgendwo „privacy first“ steht 2. bis hinunter zu den Befehlen verstehen, die die laufende Software ausführen kann.
      Berechtigungs-Popups fehlt es zudem an Granularität. Wenn ich Zugriff auf die Kontaktliste erlaube, auf welche Kontakte wird tatsächlich zugegriffen? Kann ich nur Namen erlauben und Telefonnummern blockieren? Erfolgt die Verarbeitung offline oder online? Wenn online, braucht es dann noch ein Popup für Internetzugriff? Müsste man dann auch filtern können, welche Art von Internetaktivität stattfindet? Wenn man diesen Weg weitergeht, landet man am Ende bei einem Turing-vollständigen Berechtigungssystem; andernfalls hat die „Privatsphäre“ Löcher.
    • Selbst mit Opt-in werden Anbieter Nutzer so lange nerven, bis sie in einem unaufmerksamen Moment auf „Ja“ klicken.
      Ich habe definitiv schon erlebt, dass ein Kästchen angehakt war, das ich nicht angehakt hatte. Ich würde solche Dinge gern abschalten und verhindern, dass sie jemals wieder eingeschaltet werden können, aber Anbieter werden das nie zulassen. Deshalb nutze ich Linux.

  • Nutzer meiner kostenlosen Open-Source-App scheinen überrascht zu sein, dass wir keinerlei Einblick in Nutzungsmuster haben.
    Es gibt Situationen, in denen eine kleine Menge anonymer Telemetrie enorm hilfreich wäre, aber ich werde die Finger davon lassen.
    Opt-in reduziert nicht nur die Datenmenge stark, sondern bringt auch eine erhebliche Verzerrung in die ausgewählten Daten und macht sie damit nutzlos. Diejenigen, die opt-in wählen, sind vermutlich keine gute Stichprobe „typischer Nutzer“.
    Opt-out ist für manche Nutzer inakzeptabel, egal welche Schutzmaßnahmen oder Zusicherungen man bietet, und sie werden das deutlich zum Ausdruck bringen.
    Ich verstehe, dass böswillige Akteure Telemetrie leicht missbrauchen können und dass sich „anonyme Daten“ auf überraschend vielfältige Weise als gar nicht anonym herausstellen können. Trotzdem fühlt es sich nach einem „deshalb können wir keine schönen Dinge haben“ an.

    • Ich weiß nicht mehr, wo ich es früher gesehen habe, aber es gab eine Website, die Analysedaten clientseitig in etwas wie einem Ringpuffer gesammelt hat und es im Einstellungsmenü ermöglichte, sie einmalig zu senden, immer zu senden oder selbst herunterzuladen.
      Wenn ein Fehler auftrat, erschien ein Toast mit der Bitte, zur Fehlerbehebung Analysedaten zu teilen; natürlich konnte man ablehnen. Das war wahrscheinlich das beste System, das ich je gesehen habe, aber ich erinnere mich nicht mehr, welche Website es war.
    • Im Kern hängt alles an Einwilligung. Ohne Opt-out gibt es gar keine Einwilligung, und wenn Opt-out die Standardeinstellung ist, sinkt die Qualität der Einwilligung stark. Vertrauen ist der einzige Weg zur Einwilligung.
      1. Um Vertrauen aufzubauen, braucht es drei Wege: Opt-in, zustimmungsartige Abfrage und Opt-out. Eine Abfrage ist ein aktiver Validator von Vertrauen und hilft bei Kommunikation mit geringer Bandbreite. Man sollte fragen, wenn der Nutzer die App zum ersten Mal verwendet oder beim nächsten App-Start, nachdem diese Funktion hinzugefügt wurde.
      2. Die gewünschten, genauen Analyseinformationen müssen dem Endnutzer bereitgestellt werden, damit auch er sie parsen kann. Wenn man einen Bericht oder eine Ansicht anbietet, mit der Nutzer selbst bewerten können, welche Informationen zur Weitergabe erlaubt sind, stärkt das das Vertrauen.
      3. Vertrauenswürdige Berechtigungen führen zu mehr Einwilligung. Nutzern, die opt-in gewählt haben, könnte man auch bevorzugten Support für Funktionen und Bugs anbieten. Analyseverläufe und Performance-Informationen können helfen, gerade gemeldete Bugs zu beheben.
        Apple, Microsoft, Google usw. behandeln das Teilen von Analysedaten vage und ohne Details und machen nicht klar, wie sie genutzt und missbraucht werden können. Die meisten bieten nicht einmal ein Opt-out an. Ich vertraue diesen Organisationen nicht, muss ihnen aber im Alltag begegnen. Facebook oder Twitter muss ich nicht nutzen und tue es auch nicht. Steam-Umfragen akzeptiere ich.
        Wenn die Open-Source-Community den Mangel an Analysedaten beheben will, von denen sie profitieren würde, könnte ein gemeinsamer Analyse-Standard-RFC ein Schritt sein: ein Weg, bei dem beide Seiten einer abgestimmten Kommunikation zustimmen.
        Aus meiner Sicht sind auch Metadaten personenbezogene Daten. Ohne Nutzer gibt es weder Daten noch Metadaten. Da der Endnutzer die Entropie der Metadaten ist, gehören Metadaten und Daten dem Nutzer.
    • Wäre es nicht möglich, Statistiken auf dem Gerät zu sammeln und alle paar Monate ein Popup anzuzeigen, das diese Statistiken zeigt?
      Ich bin mir nicht sicher, welche Verzerrung dadurch hinzukommt.
      Zum Beispiel könnte man fragen: „Wir haben diese App entwickelt und Datenschutz ist uns wichtig. Das sind die Informationen, die im letzten Monat während der Nutzung gesammelt wurden. Dürfen wir diese Informationen zur Verbesserung der App an uns senden?“ – und die gesammelten Daten in menschenlesbarer Form anzeigen.
    • Es ist nicht offensichtlich, warum Opt-in die Daten nutzlos macht. Das kann auch damit zusammenhängen, wie man das Opt-in präsentiert.
      Im Allgemeinen würde ich erwarten, dass es eine praktikable Lösung ist. Selbst wenn sich die Opt-in-Gruppe von „typischen Nutzern“ unterscheidet, sind es die besten Daten, die man ehrlich und ethisch bekommen kann. Das sollte doch eindeutig besser sein als gar keine Daten.
      Bei allen Websites und Apps, die Opt-in-Cookie-Consent-Banner anzeigen, gilt dieser Zustand implizit bereits.
    • Das ist einer der Hauptgründe, warum Menschen im Allgemeinen eher fürs Web entwickeln.
      Desktop-Software zu verbessern ist sehr schwierig, und besonders Linux-Nutzer stehen Mustern, die Verbesserungen ermöglichen, eher feindselig gegenüber.

  • 100 % volle Zustimmung:
    „Die einzige Möglichkeit, Datenschutz beim Computing zu gewährleisten, besteht darin, Daten nicht vom Gerät wegzuschicken.“
    „Wie viel Risiko einer Verletzung der Privatsphäre man in Kauf nimmt, sollte jeder Nutzer selbst entscheiden. [...] Indem Apple eine ‚Funktion‘ aktiviert, ohne überhaupt zu fragen, respektiert das Unternehmen weder die Nutzer noch deren Präferenzen. Ich wollte nie, dass mein iPhone Kontakt zu Apple-Servern aufnimmt.“
    Egal wie stark diese Funktion verschleiert ist, wie „sicher“ sie ist oder wie sehr sie sonst „Privacy-preserving“ sein soll: Es ändert nichts daran, dass irgendeine aus privaten Inhalten abgeleitete Information ohne vorherige Zustimmung übertragen wird.
    Selbst wenn die Informationen geschützt sind, ist jede Netzwerkanfrage eine Information. Ein Zeitstempel, dass zu einem bestimmten Zeitpunkt eine bestimmte Aktion durchgeführt wurde; wenn etwa unmittelbar nach dem Hinzufügen eines neuen Fotos etwas an diesen Dienst gesendet wird, kann das offenlegen, dass ein Foto aufgenommen wurde, einen bestimmten Ort in Korrelation mit den Standortdaten zu dieser Zeit usw. Und das ist nur die Spitze des Eisbergs. Informationen ohne ausdrückliche Zustimmung vom Gerät eines Nutzers zu übertragen, ist eine Verletzung der Privatsphäre.

    • Bedeutet das dann, dass Signal-Nachrichten auch unsicher sind, weil sie übertragen werden, und dass „Verschleierung“ nicht ausreicht, um Daten zu schützen? Ich frage mich, ob der Autor gelesen hat, was Apple nach eigener Aussage tatsächlich mit den Daten macht, bevor sie übertragen werden — die Stelle, die er zitiert und später zugibt, nicht verstanden zu haben.
      Das Argument zu Metadaten halte ich für möglich, aber auch darin stecken mehrere Annahmen. Insbesondere müsste man annehmen, dass Apple tatsächlich kein OHTTP nutzt und sich verschwört, um herauszufinden, wann Nutzer Fotos aufgenommen haben. Wenn man der Mathematik im Grunde nicht vertraut, weiß ich nicht, wo Unsicherheit und Misstrauen enden sollen.
    • Die Prämisse „wenn man annimmt, dass wie beim Fotografieren unmittelbar nach dem Hinzufügen eines neuen Fotos etwas an diesen Dienst gesendet wird“ ist falsch, und darauf wird dann zur Schlussfolgerung gesprungen.
      Dass es nicht direkt nach der Aufnahme eines Fotos passiert, lässt sich leicht überprüfen. Erstens würde der Netzwerk-Traffic das zeigen, und tatsächlich tut er das nicht. Zweitens ist homomorphe Verschlüsselung zu teuer, um das so zu machen. Photos synchronisiert normalerweise nicht sofort, was man daran sieht, dass die meisten iPhone-Nutzer in der Photos-App angezeigt bekommen, wann synchronisiert wird. Teure Aufgaben werden in der Regel in eine Warteschlange gelegt, bis das Gerät am Strom hängt und im WLAN ist.
    • Wie viel Speicherplatz bräuchte man, um Modelle aller bekannten Orte weltweit und gängiger Objekte zu speichern?
      Ich habe zum Beispiel einer Freundin ein Foto von einem Hund in der Badewanne geschickt, und ihre AirPods haben ihr über das iPhone mitgeteilt: „Jemand hat ein Foto von einem Hund in der Badewanne geschickt.“ Sie fand das auch cool, und ich persönlich halte es für eine nützliche Funktion. Ich weiß nur nicht, in welchem Ausmaß dafür Verarbeitung außerhalb des Geräts nötig ist.
    • All diese Punkte werden in Apples Blogbeitrag zur Implementierung dieser Funktion behandelt. Zur Risikoreduzierung werden zwei Schritte eingesetzt:
      1. iOS erzeugt zusätzliche Fake-Anfragen, und alle Anfragen laufen durch einen Scheduler, der verhindert, dass sich echte und Fake-Anfragen anhand des Abfragezeitpunkts unterscheiden lassen oder der Aufnahmezeitpunkt eines Fotos identifiziert werden kann.
      2. Alle Anfragen werden anonym über einen Relay-Dienst eines Drittanbieters ausgeführt. Daher kann Apple eine bestimmte Anfrage nicht einem bestimmten Gerät oder einer bestimmten IP-Adresse zuordnen.
        Berücksichtigt man diese beiden Abhilfen, müsste man, um über diese Funktion an private Daten zu kommen, zuerst das Telefon des Ziels kompromittieren, um die Fake-Anfragen abzuschalten, und anschließend den Relay-Anbieter kompromittieren, um Anfragen mit einer bestimmten IP-Adresse zu korrelieren.
        Wenn man all das kann, wäre eine solche Verschwendung von Aufwand ehrlich gesagt dumm. Denn man könnte die iOS-Kompromittierung einfach nutzen, um das Gerät direkt Standortdaten senden zu lassen. Man müsste nicht darauf warten, dass das Ziel Fotos macht, mehrere Landmarken-Abfragen verfolgen und bei jeder Anfrage ein wenig zusätzliche Daten sammeln, um am Ende den Standort des Ziels zu identifizieren.
        Das Ganze erinnert an XKCD 538.
        https://machinelearning.apple.com/research/homomorphic-encry...

  • Ich frage mich, ob das nicht ein Nebelvorhang ist, um CSAM-Scanning nach dem letzten Backlash langsam wieder einzuführen. Dass das Verhalten standardmäßig aktiviert ist, ist verdächtig.
    [1] https://www.wired.com/story/apple-photo-scanning-csam-commun...

    • Genau derselbe Gedanke. Es wirkt nach dem Motto: „Wir haben eine ausgeklügelte Technik zur Bild-Fingerprinterkennung, konnten sie aber nicht für CSAM-Erkennung ausrollen, weil das zu kontrovers war. Also bauen wir den Kernablauf in etwas ein, das für Nutzer nützlich aussieht, damit der Code am Leben bleibt, verbessert wird und für künftige Erweiterungen bereit ist.“
      Ob sich ein solcher Fingerprint-Abgleich zuverlässig nur auf öffentliche Landmarken beschränken lässt, ist eine interessante Frage und hängt von unklaren Implementierungsdetails ab.
      Selbst wenn die für Nutzer sichtbare Suche auf „Landmarken“ beschränkt ist: Werden dabei, wenn auch nur lokal auf dem Gerät, im Voraus Fingerprints von vielen anderen Dingen erstellt? Falls ja, könnte kurzzeitig aktivierte, nicht-persistente Malware Bilder von Interesse sofort finden, ohne die breiteren Zugriffsrechte und die zusätzliche Verarbeitung, die sonst nötig gewesen wären.
    • Genau. So wird unter dem harmlos wirkenden Vorwand des „Standortabgleichs“ ein Serverkontakt-Element eingeschleust.
      Der globale Index wird natürlich auch auf andere Merkmale matchen, die Apple für abgleichenswert hält, selbst wenn sie nicht an den Nutzer zurückgegeben werden.
    • Exakt wie Microsoft bei Recall „zurückgerudert“ ist. Und am Ende haben sie es dann doch wieder hineingedrückt und unlöschbar gemacht.
    • Ich denke dasselbe. Die Technik ist so teuer, dass sie offenbar getestet oder betrieben werden musste, um nachzuweisen, dass sie privat ist.
      Ich vermute, dass auch ein Modell zum Finden von Landmarken in Fotos lokal laufen könnte, aber da bin ich mir nicht zu 100 % sicher.
    • Nein. Welche anderen Schwächen Apple auch haben mag, das glaube ich nicht.
      Der zynische Grund: Eine Engineering-Funktion in diesem Umfang lässt sich nicht ohne Dokumente planen, und solche Dokumente kämen vor Gericht zwangsläufig ans Licht.
      Der naheliegende Grund ist, dass Apple aufrichtig nützliche Funktionen anbieten möchte, die Serverbeteiligung erfordern.

  • Zu dem Punkt, dass man die meisten technischen Details in Apples Blogbeitrag nicht versteht: Den zitierten Abschnitt habe ich verstanden, und tut mir leid, aber dieser Beitrag hätte auch optimistisch ausfallen können. So nach dem Motto: „Seht euch diese großartige neue Technik an!“
    Ich mag Apples Praktiken, die dem HN-Verständnis von Hackern widersprechen, genauso wenig wie andere und besitze aus solchen Gründen auch keine Apple-Geräte. Aber die Aussage „Es ist egal, wie sie das Datenschutzproblem gelöst haben, ich habe nicht das Gefühl, dass es privat ist“ macht daraus keine Tatsache.
    Die zitierten Begriffe verstehen die meisten anderen Menschen ebenfalls nicht, und es ist unklar, ob sie überhaupt so weit gelesen haben. Daher wirkt das wie unfaire Kritik.

    • Von homomorpher Verschlüsselung habe ich vor ein paar Jahren in Forschungsarbeiten gehört.
      Nach meinem damaligen Verständnis konnte eine Operation wie SUM die Summe einer Liste verschlüsselter Zahlen berechnen. Dank des Verschlüsselungsverfahrens lassen sich alle Werte addieren, ohne sie zu entschlüsseln, und auch das Ergebnis bleibt verschlüsselt, sodass der Besitzer es entschlüsseln und eine Zahl mit bekannter Genauigkeit erhalten kann.
      Wenn Apple homomorphe Verschlüsselung korrekt einsetzt, sollte Apple keine Möglichkeit haben, die vom Telefon erhaltenen Daten einzusehen. Die anderen im Beitrag erwähnten Dinge sind Maßnahmen, um Informationslecks über Metadaten oder Seitenkanäle zu verhindern.
      Dass diese Funktion standardmäßig aktiviert ist, ist nicht besonders gut. Nach einem Upgrade hätte man die Nutzer fragen sollen, ob sie sie aktivieren möchten.
    • Der Kern der Kritik ist, dass private und sensible Daten ohne Zustimmung und Warnung an Apple gesendet werden.
    • Wie kann man etwas vertrauen, das man nicht versteht? Letztlich muss das Vertrauen von einer Person oder Organisation kommen, der man zutraut, solche Probleme zu kennen, also von einer Autorität.
      Für viele Menschen ist diese Autorität nicht Apple. Ich vertraue Apples Datenschutzpolitik vorsichtig, aber viele Menschen vertrauen Apple nicht, und dafür gibt es Gründe.
      Wenn also eine nicht per Opt-in aktivierte Apple-Funktion persönliche Daten teilt und man Apples technische Erklärung nicht versteht, verstärkt das das Gefühl einer Verletzung der Privatsphäre und führt zu noch größerem Misstrauen. Kann man das dann unfaire Kritik nennen?
    • Kritisiert hier jemand Betroffene, obwohl er selbst gar keine Apple-Geräte besitzt?
      Mein Blogbeitrag ist aus der Perspektive eines Apple-Nutzers geschrieben, dessen Vertrauen enttäuscht wurde. Aus sicherer Entfernung die Technik für cool zu halten ist in Ordnung, und sie kann es tatsächlich sein, hat aber nichts mit dem Kernproblem der fehlenden Nutzereinwilligung zu tun.

  • Für mich wirkt das insgesamt wie eine vernünftige Funktion, die mit erheblicher Rücksicht auf die Privatsphäre der Nutzer umgesetzt wurde. Vielleicht vertraue ich der Erklärung aber auch zu sehr.
    Der Beitrag wirkt größtenteils wie Empörungsbait, und ich denke, man sollte darauf achten, bei solchen Beiträgen auf Hacker News nicht „anzubeißen“. Ähnlich wie man vorsichtig sein sollte, wenn in Boulevardmedien oder auf Facebook Empörungsbeiträge auftauchen.
    Einige Bedenken im Beitrag oder in diesem Thread dürften Apples Umsatz wahrscheinlich kaum beeinflussen. Eine Sorge, die reale Kunden haben könnten, wäre eher das Datenvolumen; ich vermute, dass diese Funktion im Datensparmodus deaktiviert ist.
    Ich frage mich, ob sich solche Probleme über eine Einstellung wie Datenschutz-Defaults lösen ließen: Journalisten, Aktivisten, manche Unternehmens-IT-Abteilungen und Leute, die Beiträge wie den ursprünglichen schreiben, könnten dann bei OS-Updates eine Einstellung wählen, bei der das System weniger mit dem Netzwerk kommuniziert. Eine verständliche UI dafür zu bauen, scheint schwierig. iOS hat bereits einen „Lockdown-Modus“, aber ich weiß nicht, ob er diese Einstellung beeinflusst.

    • Alles, was Apple hätte tun müssen, war buchstäblich, sie nicht standardmäßig zu aktivieren. Ohne Nachfrage etwas über das Netzwerk zu senden, verringert das Vertrauen in Apple immer weiter.
    • Es ist eine vernünftige Funktion, aber sie braucht trotzdem ein Opt-in der Nutzer. Um den Aufwand zu reduzieren, könnte man bei Installation oder Upgrade mehrere Opt-ins gebündelt abfragen.
    • Besonders unklar ist, ob iOS alle Daten auf dem Telefon scannt und einen Teil davon als öffentlichen Index sendet.
      Nach der Art, wie die Funktion in der UI wirkt, scheint das nicht der Fall zu sein. Wenn die Funktion durch eine Nutzerhandlung aktiviert wird, frage ich mich, ob auch das als Serverkontakt gelten sollte.
    • Wenn ein anderes Unternehmen das getan hätte, könnte man es wahrscheinlich als eine vernünftig umgesetzte, vernünftige Funktion ansehen. Das Problem ist, dass Apple zig Millionen bis hunderte Millionen Dollar dafür ausgegeben hat, zu bewerben, dass es solche Dinge nicht tut.
      Die Botschaft war, dass solche Dinge im iPhone bleiben, anders als bei diesem unangenehmen anderen OS, das von einer Werbefirma betrieben wird. Dass Apple niemals Daten abzieht, dass du nicht das Produkt bist und dass Apple sich um dich kümmert.
      So etwas zerstört dieses Narrativ völlig, ob es für sich genommen vernünftig ist oder nicht. Wenn sie bereit sind, auf riesigen Plakatwänden so offen zu lügen, weiß man nicht, was sie sonst noch tun werden, wenn der Profit es verlangt.

  • Ich glaube, ich habe gerade eine ähnliche Sucheinstellung gesehen, die es vor iOS 18 nicht gab.
    Unter Einstellungen -> Suche gibt es die Option „Apple beim Verbessern der Suche helfen“, und sie ist standardmäßig aktiviert.
    „Erlaubt Apple, Suchanfragen, die du in Safari(!!), Siri und Spotlight eingibst, auf eine Weise zu speichern, die nicht mit dir verknüpft ist, um die Suche zu verbessern. Zu den Suchanfragen gehören allgemeine Wissensabfragen sowie Anfragen wie Musikwiedergabe und Wegbeschreibungen.“
    Falls es das früher schon gab, wurde es wieder aktiviert.

    • Bei „Suchanfragen, die du in Safari eingibst, [...] auf eine Weise zu speichern, die nicht mit dir verknüpft ist“ war schon vor 10 Jahren anhand von Forschung zur De-Anonymisierung klar, dass Suchverläufe Nutzer vollständig offenlegen können.
      Um zu glauben, dass Apples Speicherverfahren meine Privatsphäre zuverlässig schützt, bräuchte es viele Details. Natürlich behauptet das Zitat das so nicht.
    • Das ist schlimmer als der ursprüngliche Beitrag. In welchem Paralleluniversum lebt Apple, dass sie glauben, Suchverläufe von Menschen zu sammeln und das ohne Zustimmung als Standard festzulegen, sei in Ordnung?
    • Verdammt, stimmt. Auf meinem Gerät war es ebenfalls standardmäßig aktiviert, und ich bin ziemlich sicher, dass ich dem nie zugestimmt habe.
    • Stimmt. Das ist noch eine weitere Einstellung, die standardmäßig aktiviert ist.

  • Zur Einordnung: Unter macOS läuft der Dienst photoanalysisd im Hintergrund und durchsucht Fotos, selbst wenn man Apple Fotos noch nie geöffnet hat.
    Deaktivieren lässt er sich nur, wenn man SIP, also den System Integrity Protection, ausschaltet; dafür ist ein komplizierter Ablauf mit mehreren Neustarts und Warnhinweisen nötig. Schaltet man SIP wieder ein, wird der Dienst erneut aktiviert.
    Apple scheint aus irgendeinem Grund ziemlich begeistert davon zu sein, Fotos zu analysieren, ob Nutzer das wollen oder nicht.

    • Es könnte dich auch überraschen zu erfahren, dass Spotlight ebenfalls alle Dateien auf dem Mac durchsucht.
    • Aber das läuft doch lokal auf dem Mac, oder nicht?
    • Theoretisch könnte CSAM bereits Teil irgendeines lokalen Dienstes sein. In dem Moment, in dem ein mit dem Gerät verknüpftes Konto erforderlich wurde, war es mit der Privatsphäre vorbei. Nicht nur iCloud, sondern ein Konto, das mit dem Gerät selbst verknüpft ist. Um einen Linux-Rechner zu benutzen, braucht man kein Konto.
    • Kontaktiert es einen Server? Dass meine Dateien gescannt werden, ist mir egal. Mich stört, wenn Details meiner privaten Daten das Gerät verlassen.
    • Der Teil „Apple scheint aus irgendeinem Grund ziemlich begeistert davon zu sein, Fotos zu analysieren, ob Nutzer das wollen oder nicht“ wäre doch anfällig, wenn Endnutzer ihn vergiften, oder?
      Was wäre, wenn alle einen lokalen Bildgenerator laufen lassen, der mit ihren eigenen Fotos trainiert wurde, ihn leicht kaputtmachen und dann Apples Sammlung von Foto-Hashes mit Müll füllen?
      Und dann?
      Das wäre eine sehr gute Reinigungsaktion. Man kann viel daran ablesen, wer wie wütend wird.

  • Das erinnert mich an die Empörung während Corona über das von Apple und Google entwickelte, privatsphärewahrende Exposure Notification System.
    Dass man über eine Exposition informiert werden kann, ohne getrackt zu werden, ist kontraintuitiv, aber genau das hat die Technik tatsächlich ermöglicht.
    Auch hier scheint der Autor sich auf eine spontane Reaktion auf eine Datenschutzverletzung zu stützen, statt die Wirkung von Technologien wie clientseitiger Vektorisierung, Differential Privacy, OHTTP-Relay und homomorpher Verschlüsselung ernsthaft zu bewerten.
    Allerdings stimme ich zu 100 % zu, dass Apple bei solchen Funktionen zuerst die Zustimmung der Nutzer einholen sollte.

    • Ich würde gern die Privatsphäre-Eigenschaften dieser Technologien bewerten.
      Wenn jemand einen Link zum Quellcode posten würde, müsste ich nicht irgendeinem Menschen im Internet glauben, sondern könnte genau sehen, was passiert.
      Noch besser wäre, wenn ich es selbst kompilieren könnte.
    • Diese COVID-Funktion war Opt-in. Der Autor beschwert sich hier gerade darüber, dass es kein Opt-in gibt.

  • Zu der Stelle „Ich verstehe die meisten technischen Details in Apples Blogbeitrag nicht“: Ich verstehe sie.
    Clientseitige Vektorisierung: Das Foto wird lokal verarbeitet, um vor dem Senden eine nicht rückführbare Vektorrepräsentation zu erzeugen. Man kann sich das wie einen semantischen Hash vorstellen.
    Differential Privacy: Vor dem Senden wird dem Vektor eine beträchtliche Menge Rauschen hinzugefügt. Genug, um eine Rücksuche des Vektors unmöglich zu machen. Das Rauschniveau liegt hier bei ε = 0,8, was ziemlich gute Privatsphäre bedeutet.
    OHTTP-Relay: Die Übertragung erfolgt über einen Dritten, sodass Apple die IP-Adresse nicht kennt. Der Inhalt ist verschlüsselt, sodass auch der Dritte nichts erfährt. Es besteht ein gewisses Risiko, dass „IP X ist Apple-Fotos-Nutzer“ sichtbar wird, aber nicht der Inhalt der Mediathek.
    Homomorphe Verschlüsselung: Die Abfrage wird serverseitig auf verschlüsselten Daten ausgeführt. Apple kann weder den Inhalt des Vektors noch den Inhalt der Antwort entschlüsseln; nur der Client kann das Abfrageergebnis entschlüsseln.
    So sieht gutes Privacy-Design aus. Es gibt mehrere Schichten an Datenschutz, und jede der letzten drei sollte für sich genommen schon ausreichen, um die Privatsphäre zu schützen.
    Zur Behauptung „Welches Maß an Risiko einer Datenschutzverletzung akzeptabel ist, muss der einzelne Nutzer entscheiden“: Der Autor sieht zwar wie ein Apple-Sicherheitsforscher aus, sagt hier aber im Grunde, dass er keine informierte Wahl treffen kann.
    Ich bin mir nicht sicher, was die richtige Einschätzung ist. Aber die Schlussfolgerung „Daher besteht die einzige Möglichkeit, Computing-Privatsphäre zu gewährleisten, darin, Daten nicht vom Gerät zu senden“ stimmt nicht. Es gibt Werkzeuge, die Privatsphäre ermöglichen, während man Dienste nutzt, etwa Differential Privacy und homomorphe Verschlüsselung. Sie sind sehr komplex, und Nutzer können das Risiko realistischerweise nicht bewerten; aber wenn man Funktionen will, die Datensätze benötigen, die größer als die eigene Festplatte sind, oder Inhalte, die sich häufig ändern, braucht man solche Werkzeuge.

    • Danke für die Erklärung, aber sie scheint das Kernproblem nicht anzusprechen: Meine Daten werden standardmäßig und ohne angemessene Benachrichtigung vom Gerät gesendet.
      Viele Nutzer könnten dieser Funktion zustimmen. Wie gesagt, sie könnte sehr sicher sein. Das Problem ist aber, dass angenommen wird, alle hätten standardmäßig zugestimmt.
    • „Gutes Privacy-Design“ bedeutet, dass meine Fotos ohne ausdrückliche Opt-in-Berechtigung in keiner Form irgendwohin gesendet werden.
    • Hier wird eine falsche Dichotomie zwischen „perfektem Nutzerverständnis“ und „keiner Nutzerwahl“ aufgebaut. Es geht nicht darum, ob Nutzer homomorphe Verschlüsselung oder Differential Privacy vollständig verstehen können, sondern um grundlegende Zustimmung und Transparenz.
      Nutzer brauchen keinen Doktortitel, um „Diese Funktion sendet Daten über deine Fotos an Apple-Server, um die Suche zu verbessern“ zu verstehen.
      Dass der Schutz der Privatsphäre komplex ist, rechtfertigt nicht, den Nutzern die Wahl zu nehmen. Nach dieser Logik dürfte man Nutzer zu keiner technischen Funktion mehr befragen.
      Viele datenschutzbewusste Nutzer folgen einem einfachen Prinzip: Sie wollen kontrollieren, was das Gerät verlässt, unabhängig davon, wie es geschützt wird.
      Das Argument „zu kompliziert zu erklären“ kann jede datenschutzverletzende Standardeinstellung rechtfertigen. Würdest du denselben Maßstab auch auf die Logik anwenden, dass Ortungsdienste standardmäßig aktiviert sein dürfen, weil die Erklärung der GPS-Technik zu kompliziert ist?
      Die echte Lösung ist einfach: Die Funktion in einfachen Worten erklären, die Vorteile hervorheben, die Datenschutzmaßnahmen skizzieren und die Nutzer entscheiden lassen. Apple macht das bei vielen anderen Funktionen bereits so. Standardmäßig aus und Opt-in sind Kernprinzipien eines privacy-respektierenden Designs, egal wie robust die zugrunde liegenden Schutzmaßnahmen sind.
    • Gutes Privacy-Design bedeutet in Wirklichkeit, dass keinerlei Informationen jemals irgendwohin an irgendjemanden gesendet werden.
    • Der Autor ist kein Apple-Sicherheitsforscher.
      Jeff Johnson entwickelt Apps für Apple-Plattformen, insbesondere Safari-Erweiterungen, und bloggt häufig über Unbehagen gegenüber Apple, ist aber kein Sicherheitsforscher.