Соленый Audacity

Как вы думаете, что бы сделала любая нормальная компания после обрушившегося шквала критики в свой адрес от пользователей и признания своего продукта Audacity шпионским ПО в мировых СМИ с призывами удалить его как можно скорее с ПК? Может быть, пересмотрела свою политику или публично извинилась?

Впрочем, зачем гадать, ведь ответ Muse Group не заставил себя долго себя ждать и вчера разработчики Audacity выпустили офицальное разьяснение своей новой политике конфиденциальности, всю суть которого можно передать одной пикчей...

Побробнее ознакомится с ним можно тут

Пока мы тезисно пробежимся по основным пунктам:

1. Не переживайте, в полном обьеме сбор ваших личных данных заработает со следующей версии Audacity 3.0.3 в которой телеметрия будет включена по умолчанию

2. Не переживайте, ваши данные в полной безопасности, мы не будем передавать их напрямую по запросу правоохранительных органов, а только по решению суда в который само собой обратятся правоохранительные органы

3. Не переживайте, мы обещаем что никакую информацию кроме вашего IP-адреса, версии ОС и CPU и сообщения об ошибках мы собирать не будем, также как мы обещали ранее не вводить телеметрию

4. Мы ни в чем нивиноваты, это все вы просто нас не так поняли и наши юристы уже третий мать его третий раз за 2 месяца раз не могут четко сформулировать политику безопасности, такую чтобы вас красиво поиметь без лишних вопросов и вазелина

5. Да че вы пристали к нам, ведь закон нас обязывает сливать ваши данные по решению суда, правда только в том случае если мы сами внедрим телеметрию в своем продукте о которой никто не просил назло своим пользователям

6. Ой все!

Нет, не все, ведь данное разьяснение не более чем пустое балабольство не имеющее юридического силы в отличии от соглашения о конфиденциальности и не отвечающее ни на один конкретный вопрос от комьюнити, главый из которых "а зачем вам мой IP-адрес?", ведь в конечном счете все полученные данные о пользователе привязаны к нему

"С этого места статья мной переработана и дополнена, так как после гугления и спора с разрабом Audacity я так и не вьехал какова грань между геопозицией и определением стран, а также не могу дать ответ является ли геопозиция в качестве страны с юридической точки зрения персональными данными, но есть и хорошая новость IP является 100% персональными данными, поэтому сосредоточусь на нем, а от него уже и геопозиция пляшет"

Хэши с солью и финал

Сначала проясним одну очень важную вещь, IP-адрес является персональными данными согласно GDRP на который ссылается Muse Group, следовательно IP-адрес позволяет вас одназначно идентифицировать через провайдера связи, заметьте что с какой целью собираются IP-адреса как бы отражено и как бы не отражено в соглашении о конфиденциальности, поэтому прежде чем начать разбор напомню что GDRP требует, чтобы в соглашении о конфиденциальности было отражено не только что собирается, в данном случае IP(GDRP закон ЕС о защите персональных данных)

Вернувшись снова к перечитыванию соглашений и обращений от Audacity в последнем сообщение обнаружил весьма занятную формулировку, о том что IP-выступает в роли псевдонима на 24-часа, типа однодневный аккаунт получается, после прошествия суток старый аккаунт удаляется, а новый создается, а потом я заглянул в соглашение о конфиденциальности и там сказано IP-адрес необходим чисто для геолокации по странам и у меня один вопрос "а какого хера?" в соглашении сказано, что IP необходим для поиска страны, а в разьяснении указано что IP необходим только в роли псевдонима для аккаунта однодневки и в том же сука соглашении об конфиденциальности рядом, сказано что IP еще используются для идентицикации хранимых данных ОС, CPU и прочей телеметрии... это как понимать из заявленных трех вариантов использования IP в тексте соглашения о сборе данных прописан лишь один в четко определенном контексте, для геолокации, а не для ключа к телеметрии и связанного с ним аккаунта... Заврались совсем, сами себе противоречат

Финалом данного нагибалова пользователей, является манипуляция со сроками и способом хранения IP-адреса пользователя, так Muse Group делит это время на два этапа, первый этап это те самые 24 часа который IP-адрес хранится в виде хэша с так называемой солью, только эти 24 часа хранится не адрес, а сама соль, то есть дополнительные данные передаваемые в хэш-функцию вместе с IP-адресом для большей рандомизации хэша(уникальности ID), после истечения 24 часов как утверждает Muse Group соль использованная для генерации хэша удаляется, что делает задачу восстановления IP-адреса из хэша практически нереальной, но самое интересное состоит в том, что уже не подлежащий восстановлению хэш зачем то хранится еще в течении года, после прошествии года он удаляется, однако в лицензионном соглашении сказано что собранные данные пользователя не удаляются и продолжают хранится, так как без хэша они становится обезличенной, проясню этот момент, обезличенной считается та информация по которой в данном случае нельзя восстановить IP-адрес, то есть компания фактически прямым текстом говорит что есть способ восстановления IP-адреса в течении года, ведь в если бы его не было то хэш становился обезличенным через 24 часа после которых поменялась бы изначальная его соль и он бы стал попросту невосстанавливаемым раз и навсегда, но так как мы знаем что чудес не бывает и что восстановить хэш сгенерированный с солью можно только с той самой солью которая была в момент генерации, значит они хранят соль.

Хотя я думаю, что это еще не финал, на вопрос че вы делаете с хэшем моего IP целый год разрабы молчат, бредовые по моему мнению их рассказы про то, что удалить хэши очень сложно с диска, ага да бля, но при этом каждый день создавать бамп телеметрии под новый хэш, ведь у него поменялась соль это норм? Тогда какой вообще реальный смысл в такой телеметрии, ведь один и тот же юзер зашедший в Audacity сегодня, завтра и послезавтра будет тремя совершенно разными юзерами с новыми бампами телеметри у каждого, ну че за хрень? Кто нибудь в это верит? Это же бред

Под конец отмечу что Audacity собирает геолокацию своих пользователей по странам, по крайней мере так заявляют, но что то мне это напоминает ситуацию балабольством с солью и хэшами, ну да ладно, вообще как то так, очень креативный шпионский дрон у них получился, да еще и аудио редактировать умеет

P.S. Собственно пруфы и ссылки

Требования GDRP к прозрачности и конкретной цели обработки данных

Соглашение о конфиденциальности Audacity в котором целями сбора данных указаны аналитика, улучшение приложения и геолокация страны пользователя, но не сказано что IP будет использоваться как ключ к бампу памяти и однодневным аккаунтом, еще раз повторюсь цель обработки данных(IP) должна быть определенна конкретно

Кто не верит в сбор геолокации по странам, вот пост сотрудника Muse Group(MuseScore является частью Muse Group) о сборе геолокации пользователей, а также это прописано в соглашении о кофиденциальности

Собственно сам сабж

Такой херни нагородили, жалею что вообще взялся за эту статью, тут черт голову сломит, настолько все прозрачно и открыто в духе opensourse(sarcasm)