知っておくべきこと: Apple の iCloud 写真とメッセージの子供の安全への取り組み

Apple が子供の安全に関する iCloud 写真の画像評価とメッセージ通知を発表して以来、何も変更はありませんでしたが、この件に関して同社から多くの説明がありました。 8 月 15 日に更新された、リリース以来 Apple が発表してきたすべての情報をまとめた、知っておくべきことです。

アップルが発表した、新しいツールスイートこれは、オンラインで子供たちを保護し、児童性的虐待資料 (CSAM) の拡散を抑制することを目的としています。これには、iMessage、Siri、検索の機能と、スキャンするメカニズムが含まれていました。iCloud既知の CSAM イメージの写真。

サイバーセキュリティ、オンラインの安全性、プライバシーの専門家は、この発表に対してさまざまな反応を示しました。ユーザーも同様でした。しかし、議論の多くは、CSAM のために画像データベースをスキャンする習慣が実際にどの程度普及しているかを明らかに無視しています。彼らはまた、Apple がプライバシー保護テクノロジーを放棄していないという事実も無視しています。

知っておくべきことは次のとおりです。

同社の一連の児童保護機能には、前述の iCloud 写真スキャンに加え、Siri と検索の更新されたツールとリソースが含まれます。また、未成年者との間で iMessage 経由で送信された不適切な画像にフラグを立てる機能も含まれています。

Apple が発表の中で述べたように、すべての機能はプライバシーを念頭に置いて構築されています。たとえば、iMessage 機能と iCloud Photo スキャンはどちらもオンデバイス インテリジェンスを使用します。

さらに、iCloud 写真の「スキャナー」は、ユーザーの iPhone 上の画像を実際にスキャンしたり分析したりするわけではありません。代わりに、既知の CSAM の数学的ハッシュと iCloud に保存されている画像を比較しています。既知の CSAM 画像のコレクションが iCloud に保存されている場合、アカウントにフラグが立てられ、国立行方不明児童搾取センター (NCMEC) にレポートが送信されます。

システムには、誤検知が驚くほど稀であることを保証するための要素があります。 Apple によれば、誤検知の可能性は 1 アカウントあたり 1 兆分の 1 です。これは前述のコレクションの「しきい値」のためであり、Apple は詳細を明らかにしなかった。

さらに、スキャンは iCloud 写真でのみ機能します。厳密にデバイス上に保存されている画像はスキャンされず、iCloud 写真がオフになっている場合は検査できません。

メッセージ システムはプライバシーをさらに保護します。これは子供に属するアカウントにのみ適用され、オプトインではなくオプトインです。さらに、外部エンティティへのレポートは生成されません。不適切なメッセージが送受信されたことが通知されるのは、子の親のみです。

iCloud 写真のスキャンと iMessage 機能の間には重要な違いがあります。基本的に、どちらも子供を保護することを目的としているという事実を除けば、まったく無関係です。

• iCloud Photo 評価は、コンテキストを調べずに画像をハッシュし、既知の CSAM コレクションと比較して、ハッシュ コレクションの管理者である NCMEC に発行するレポートを生成します。
• 子アカウントの iMessage 機能は、デバイス上の機械学習を使用し、画像を CSAM データベースと比較せず、Apple にレポートを送信せず、親のファミリー共有マネージャー アカウントのみを送信します。

これを念頭に置いて、ユーザーが懸念するいくつかの潜在的なシナリオを見てみましょう。

iCloud ライブラリの誤検知 - または「数学的に誤って一致したらどうなるの?」

Apple のシステムは、誤検知が驚くほど少ないように設計されています。しかし、理由は何であれ、人間はリスクと報酬の評価が苦手です。すでに述べたように、Apple は、特定のアカウントで誤った一致が発生する確率は 1 兆分の 1 であると述べています。 10 億分の 1。

人間が一生のうちに雷に打たれる確率は 15,000 分の 1 ですが、これは一般的な恐怖ではありません。一生のうちに隕石が直撃する確率は約25万分の1ですが、これも日常的な恐怖ではありません。どのメガジャックポット宝くじでも、当選確率は 1 億 5,000 万分の 1 を超えており、米国全土で毎日数百万ドルが費やされています。

Apple のアカウントあたり 1 兆分の 1 は、誤検知によって誰かの人生が台無しになる大きな可能性と呼べるようなものではありません。そして、一部の人が信じているように、Apple は裁判官、陪審員、死刑執行人ではありません。

資料が発見された場合は、法執行機関に引き渡される前に人間による検査が行われます。そしてその場合にのみ、潜在的なマッチが法執行機関に引き渡されることになります。

裁判所はハッシュマッチのみを許容するものとして認めないため、その後、令状を発行するかどうかは彼ら次第です。

Face ID を使用した iPhone の誤ったロック解除の可能性は、誤った一致よりも信じられないほど高く、100 万分の 1 です。 Touch ID が一致しない可能性は 50,000 分の 1 よりもさらに高くなりますが、どちらもユーザーにとって大きな懸念事項ではありません。

つまり、子供がお風呂に入っている写真や、iCloud にある自分のヌード写真が誤った一致を生成する可能性は非常に低いのです。

メッセージ監視 - または「パートナーにヌードを送ったら報告されますか?」

あなたが成人であれば、パートナーにヌード画像を送信しても、報告されることはありません。 Apple の iMessage メカニズムは、未成年の子供に属するアカウントにのみ適用され、オプトインです。

同意した大人 2 人の間で送信された画像にフラグが立てられたとしても、あまり意味はありません。前述したように、システムは外部レポートを通知したり生成したりしません。代わりに、オンデバイスの機械学習を使用して機密性の高い写真を検出し、ユーザーに警告します。

そして、繰り返しになりますが、これは未成年のユーザーが写真を送信していることを保護者に警告することのみを目的としています。

子供がお風呂に入っている写真はどうですか？

この懸念は、Apple の iCloud 写真スキャンの仕組みについての誤解から生じています。画像が CSAM であるかどうかを判断するために、個々の画像を状況に応じて調べているわけではありません。 iCloud に保存されている写真の画像ハッシュを、NCMEC が管理する既知の CSAM のデータベースと比較するだけです。

言い換えれば、子供の画像が何らかの方法で NCMEC のデータベース内でハッシュ化されない限り、iCloud Photo スキャン システムの影響を受けることはありません。さらに、このシステムは、既知の CSAM のコレクションのみを捕捉するように設計されています。

したがって、たとえ 1 つの画像が何らかの方法で誤検知 (すでに説明したありそうもない出来事) を生成したとしても、システムは依然としてアカウントにフラグを立てません。

誰かが私に違法な素材を送ってきた場合はどうなりますか?

もし誰かが本当にあなたを狙っていたとしたら、ユーザーが設定したパスワードが「1234」などのナンセンスであるため、誰かがあなたの iCloud に侵入し、そこに資料をダンプする可能性が高くなります。ただし、それが自分のネットワーク上にない場合は、防御可能です。

繰り返しになりますが、iCloud 写真システムは、Apple のクラウド写真システムに保存されている画像のコレクションにのみ適用されます。誰かが iMessage 経由で既知の CSAM を送信した場合、それが何らかの方法で iCloud に保存されない限り、システムは適用されません。

誰かがあなたのアカウントをハッキングして、大量の既知の CSAM をあなたの iCloud 写真にアップロードする可能性はありますか?これは技術的には可能ですが、適切なセキュリティ対策を講じている場合には、その可能性は非常に低いです。強力なパスワードと 2 要素認証があれば問題ありません。何らかの方法で個人や組織の敵をこれらのセキュリティ メカニズムをすり抜けることができた場合、おそらくはるかに大きな懸念を抱くことになるでしょう。

また、Apple のシステムでは、自分のアカウントに CSAM のフラグが立てられ閉鎖された場合に異議を申し立てることができます。極悪非道な組織があなたの iCloud アカウントに CSAM を侵入させたとしても、事態を正せる可能性は常にあります。

また、スキャンするには、写真ライブラリに移動する必要があります。また、アカウントにフラグを立てるには、少なくとも 30 枚の画像のコレクションが必要です。

プライバシーに関する正当な懸念事項

こうしたシナリオが邪魔にならなかったとしても、多くの技術自由主義者は、Apple のプライバシーの保証にもかかわらず、メッセージと iCloud 写真のスキャン メカニズムに異議を唱えています。多くの暗号化とセキュリティの専門家も懸念を抱いています。

例えば、一部の専門家は、この種のメカニズムが整備されていると、権威主義政府による虐待の取り締まりが容易になるのではないかと懸念している。 Apple のシステムは CSAM を検出するためだけに設計されているが、専門家らは、圧政的な政府が Apple に反対意見や反政府メッセージを検出できるようにシステムを作り直すよう強いる可能性があると懸念している。

このようなテクノロジーの「ミッションクリープ」については、正当な議論があります。たとえば、著名なデジタル著作権非営利団体である電子フロンティア財団は、もともと CSAM を検出することを目的とした同様のシステムが、CSAM のデータベースを作成するために転用されていると指摘しています。「テロリスト」コンテンツ。

メッセージ スキャン システムによって生成される有効な引数もあります。メッセージはエンドツーエンドで暗号化されますが、オンデバイスの機械学習は技術的にはメッセージをスキャンしています。現在の形式では、メッセージの内容を表示するために使用することはできません。また、前述したように、この機能によって外部レポートは生成されません。ただし、この機能は理論的には抑圧的な目的に使用される可能性のある分類子を生成する可能性があります。たとえばEFFは、同性愛が違法な国でLGBTQ+コンテンツにフラグを立てるためにこの機能を適用できるかどうかを疑問視した。

同時に、最終目標は必然的にこれらの最悪のシナリオであると仮定すると、これは滑りやすい論理的誤りです。

これらはすべて良い議論です。しかし、最悪のケースが来ると仮定して、Apple とそのシステムにのみ批判を加えるのは不公平で非現実的です。それは、インターネット上のほぼすべてのサービスが、Apple が現在 iCloud に対して行っているのと同じ種類のスキャンを長い間行ってきたからです。

Apple のシステムは新しいものではありません

Apple 関連の見出しを何気なく見ていると、同社の子供の安全メカニズムが何らかの点で独特であると考える人もいるかもしれません。そうではありません。

としてザ・ヴァージ 2014年に報告された, Google は 2008 年以来、既知の CSAM がないか Gmail ユーザーの受信トレイをスキャンしています。これらのスキャンの中には、CSAM を送信した個人の逮捕につながったものもあります。 Google は、検索結果から CSAM にフラグを立てて削除することにも取り組んでいます。

Microsoft は当初、NCMEC が使用するシステムを開発しました。 Microsoft から寄贈された PhotoDNA システムは、画像が変更されている場合でも画像ハッシュをスキャンし、CSAM を検出するために使用されます。 Facebook は 2011 年にこれを使用し始め、Twitter は 2013 年にこれを採用しました。Dropbox がこれを使用しており、ほぼすべてのインターネット ファイル リポジトリも同様に使用しています。

AppleもCSAMをスキャンしていると述べている。 2019年に同社はプライバシーポリシーを更新し、「児童の性的搾取コンテンツを含む潜在的に違法なコンテンツ」をスキャンすると述べた。あ2020年の物語からテレグラフ紙Appleは児童虐待の画像がないかiCloudをスキャンしたと指摘した。

Appleは妥協点を見つけた

Apple の他のリリースと同様、議論の真ん中の 75% だけがまともです。プライバシーが何らかの形で侵害されていると叫んでいる人々は、Twitter、Microsoft、Google、その他ほぼすべての写真共有サービスが10年以上にわたってこれらのハッシュを使用しているという事実をそれほど懸念していないようだ。

彼らはまた、Apple がハッシュ化や保護者へのメッセージ警告から写真のコンテキストに関する情報をまったく収集していないことも気にしていないようだ。カメラアプリを開いているときに誤って音量ボタンを押してしまったため、犬の写真が 2500 枚、庭の写真が 1200 枚、地面の写真が 250 枚もあるあなたの写真ライブラリは、これまでと同様に Apple に対して依然として不透明です。そして、大人である Apple は、あなたが自分の性器の写真を別の大人に送信していることを警告することも、気にすることもありません。

これによりプライバシーの競争条件が他の製品と同等になるという議論は、プライバシーを個人的にどのように定義するかによって大きく異なります。 Apple はユーザーの指示に基づいて製品を販売するために Siri をまだ使用しておらず、広告を配信するために電子メールのメタデータを確認しておらず、その他の実際にプライバシーを侵害する措置を講じていません。 Appleはコストに関係なく、社会を守るために必要なことは何でもやるべきだという同様の主張も、同様に当たり障りのない、ナンセンスなものである。

Appleはこの反応に驚いたようだ。最初のプレスリリースとこのシステムについて論じた白書が発表された後でも、同社はメッセージを洗練させるために複数の記者会見やメディアインタビューを実施した。これが扇動的なものになることは私たちにとって明らかでしたし、Apple にとっても同様であるべきでした。

そして、受け身ではなく、積極的に取り組むべきでした。

情報を健全かつわかりやすい方法で提供するのは Apple の責任であるべきです最初からこれほど重大かつ扇動的なことが判明したのだから。メッセージングの事後的な改良は問題となっており、この件について詳しく読む気はなく、この件についての最初の解釈に満足しているインターネット住民の数を増大させるだけです。

状況をさらに悪化させるのは、Apple が同様のシステムを初めて導入したテクノロジー大手であり、最初ではないということです。また、いつものように、それはすべての中で最もインターネットベースの怒りを引き起こしました。

釈明の試みがなされたが、怒りは依然として残っている

騒動が勃発して以来、アップルは次のことを試みてきた状況を明確にする。しかし、その試みは、批判者をなだめるために必要な段階には程遠い。

苦情は外部の批評家やこのシステムに関する報道を読んでいる一般の人々だけでなく、Apple自身の従業員からも寄せられている。アン内部 Slack チャネル8月12日、このテーマに関するメッセージが800件以上残っていることが判明し、従業員は政府による搾取の可能性を懸念していた。

報道によると、これらの投稿の「主な苦情者」はセキュリティチームやプライバシーチームで働く従業員ではなかったが、この問題に関するAppleの立場を擁護する人もいた。

アンインタビューAppleのプライバシー責任者エリック・ノイエンシュワンダー氏は8月10日、このシステムについて政府の行き過ぎに関する議論をかわそうとした。同氏は、この制度は最初からこのような権威的濫用がさまざまな方法で起こらないよう設計されたものであると主張した。

たとえば、このシステムは合衆国憲法修正第 4 条の保護により違法な捜索や押収が防止されている米国にのみ適用されました。これは同時に、米国政府がこのシステムを合法的に悪用することを防ぎ、同時にそのシステムが米国内にのみ存在することで他国での悪用を排除します。

さらに、システム自体はオペレーティング システムに組み込まれているハッシュ リストを使用しており、iOS をアップデートしない限り Apple 側からハッシュ リストを更新することはできません。データベースへの更新も世界規模でリリースされるため、個別のユーザーを対象に高度に限定された更新を行うことはできません。

また、システムは既知の CSAM のコレクションのみにタグを付けるため、1 つのイメージだけに影響を与えることはありません。国立行方不明児童搾取センターから提供されたデータベースにない画像もタグ付けされないため、既知の画像にのみ適用されます。

手動レビュープロセスもあり、コレクションを持っているとフラグが立てられたiCloudアカウントは、外部エンティティに警告する前にAppleのチームによってレビューされ、正しく一致しているかどうかが確認されます。

ノイエンシュワンダー氏は、これは仮想の政府による監視状況を可能にするためにアップルが通過しなければならない多くの困難を意味していると述べた。

また、iCloud 写真を使用しないことも選択できるため、ユーザーにはまだ選択の余地があるとも述べています。 iCloud 写真が無効になっている場合、「システムのどの部分も機能しません」。

8月13日、Appleは新しい文書ユーザーや懸念する批評家に対する追加の保証を含めて、システムについてさらに説明するよう努めます。これらの保証には、セキュリティ研究者や非営利団体を含む第三者によるシステムの監査が可能であることが含まれます。

これには、暗号化された CSAM ハッシュ データベースのルート ハッシュを含むナレッジ ベースの公開が含まれ、ユーザー デバイス上のデータベースのハッシュを、予想されるルート ハッシュと比較できるようになります。

Apple はまた、少なくとも 2 つの児童安全団体と協力して、CSAM ハッシュ データベースを生成しています。 2 つの組織が同じ政府の管轄下にないという保証があります。

組織を監督する政府が協力した場合、人間の審査チームはアカウントにCSAM以外の理由でフラグが立てられていることを認識するため、それも保護されるとAppleは主張する。

同日、Apple ソフトウェアエンジニアリング担当上級副社長クレイグ・フェデリギ論争について語り、コミュニケーションに亀裂があったことを認めた。

「私たちは自分たちがやっていることに非常に前向きで強く感じているので、これがもう少しはっきりと皆さんに伝わればよかったのにと思いますが、それが広く誤解されているのは目に見えています」とフェデリギ氏は語った。

「今になって思えば、これら 2 つの機能を同時に導入したことが、この種の混乱を招く原因だったことは認めます」と彼は続けた。 「多くのメッセージがひどくごちゃ混ぜになっていたのは明らかだ。初期に出た音声は、『なんてことだ、Apple が私の携帯電話をスキャンして画像を探している』だったように思う。」これは起こっていることではありません。」

フェデリギ氏はまた、この機能をリリースするよう外部からの圧力はなかったと主張した。 「いいえ、結局のところ…私たちはそれを理解しました」と彼は言いました。 「私たちは何かをしたいと思っていましたが、すべての顧客データをスキャンするようなソリューションを導入することに消極的でした。」

信頼の問題

Apple は当初透明性が欠如しているように見えたが、Apple が宣言どおりにやっているのか、どのようにやっているのかという明らかな疑問が生じた。

その質問に対する良い答えはありません。すべての人間は、自分自身の基準に基づいて、どのブランドを信頼すべきか毎日決定しています。もしあなたの基準が何らかの形で、Apple がこれを長く続けてきた他のテクノロジー巨人よりも劣っているということである場合、または Apple が以前から行っているように、iCloud 記録に違法なものがある場合、法執行機関があなたの iCloud 記録への召喚を許可するかもしれないという懸念がある場合iCloud がローンチされ、おそらく 15 年以上脅されてきたプラットフォームへの移行をついに実行する時が来たのかもしれません。

そして、行く場合は、ほとんどの場合、ISP が要求した人に喜んでデータを提供することを受け入れる必要があります。そして、これはハードウェアに関連するものであるため、残りの OS ベンダーはこれ、またはそのより侵略的なバージョンを以前から実行しています。また、他のベンダーはすべて、日常業務においてユーザーにとってより深刻なプライバシー問題を抱えています。

安全と自由の間には常に紙一重があり、完璧な解決策は存在しません。また、間違いなく、この解決策は Apple が状況に応じて積極的に CSAM を追い詰めることはしないため、何よりも Apple の責任に関するものである。しかし、もしそれを行ったとしたら、現在一部の人々が叫んでいるプライバシー侵害を実際に行っていることになる。文脈と内容によって写真を知ることができます。

プライバシーは基本的な人権ですが、CSAM の蔓延を抑制するテクノロジーも本質的に良いものです。 Apple は、一般人のプライバシーを大幅に危険にさらすことなく、後者の目標に向けて機能するシステムの開発に成功しました。

オンライン プライバシーの消失についての滑りやすい懸念は、抱く価値があります。ただし、これらの会話には、フィールド上のすべてのプレーヤーが含まれる必要があり、その中には日常的にユーザーのプライバシーをより明らかに侵害しているものも含まれます。

8月6日金曜日午後5時23分（東部標準時間）更新Apple の 1 兆分の 1 という誤一致率は画像ごとではなくアカウントごとであることを明確にし、金曜日午後のバージョンの Apple テクニカル ガイドを埋め込んで更新しました。

8月15日日曜日午後4時32分（東部標準時間）更新Craig Federighi 氏とプライバシー責任者の Erik Neuenschwander 氏へのインタビューなど、システムを一般に明らかにしようとする Apple の試みの詳細が更新されました。

Apple の CSAM 検出メカニズムによるマイク・ヴェルテレScribd で