Исследователи из Citizen Lab провели серию экспериментов, которые подтвердили, что китайские власти следят за учетными записями WeChat, зарегистрированными за рубежом. Документы и изображения, которыми обмениваются такие пользователи, подвергают проверке контента и анализу на содержание, которое может цензурироваться внутри Китая. Такие файлы могут затем использовать для обучения алгоритмов и создания системы политической цензуры в китайском сегменте WeChat.
Стоит отметить, что WeChat стал уже не первой китайской платформой, которую подозревают в цензуре. До этого аналогичные обвинения прозвучали в адрес TikTok.
WeChat является самой популярной социальной медиа-платформой в Китае и третьей по популярности в мире (1,15 млрд пользователей, 45 млрд сообщений ежедневно). Площадка предприняла усилия по интернационализации, но, тем не менее, следует правилам китайских властей в отношении запрещенного контента. Ранее уже стало известно, что WeChat реализует цензуру для пользователей с учетными записями, зарегистрированными на телефонные номера материкового Китая. Эта цензура осуществляется без уведомления пользователей, ее нормы динамически обновляются, часто в ответ на текущие события.
В своей новой работе исследователи анализируют, как иностранные пользователи, отправляющие конфиденциальный контент в WeChat, могут невольно вносить вклад в политическую цензуру в Китае.
Они отмечают, что китайский рынок представляет собой уникальную проблему для поставщиков интернет-платформ из-за законов и нормативных актов, которые возлагают на компании ответственность за контент, публикуемый или передаваемый на их платформах. Компании, которые не осуществляют работу по модерации и соответствию требованиям, могут быть оштрафованы или лишены лицензии на ведение бизнеса. Между тем, китайские законы и положения о контроле над контентом имеют широкое определение, и запрещенные темы варьируются от «нарушения общественного порядка и стабильности» или «нанесения ущерба чести и интересам государства» до «пересечения нижней черты социализма».
Учетные записи WeChat, которые были первоначально зарегистрированы на телефонные номера материкового Китая, подпадают под эти условия обслуживания и они остаются в их сфере, даже если пользователь позже связывает учетку с некитайским номером телефона.
Предыдущая работа Citizen Lab показала, что WeChat поместил изображения, отправленные зарегистрированными в Китае аккаунтами, под два разных вида наблюдения. Эти методы нелегко адаптировать для работы в режиме реального времени. В результате WeChat сначала подвергает изображения наблюдению за хэшем файла, чтобы оценить, были ли они ранее классифицированы как чувствительные, что определяется путем проверки наличия хэша файла в индексе известных. Эта проверка хеш-индекса выполняется в режиме реального времени, и, если она подтверждает предположение о чувствительности, файл подвергается цензуре в режиме реального времени. Изображения, отсутствующие в хэш-индексе, проходят проверку содержимого, и при положительном результате добавляются в индекс хеширования, чтобы обеспечить будущую цензуру в реальном времени.
Теперь исследователи решили выяснить, как WeChat реализует наблюдение за документами и их цензуру. Также они решили проверить, применяются ли к изображениям и документам, передаваемым исключительно между зарегистрированными за пределами Китая учетными записями, те же методы наблюдения, которые ранее были признаны применимыми только внутри страны.
Чтобы обнаружить наблюдение за коммуникацией не зарегистрированных в Китае учетных записей, Citizen Lab провела два эксперимента. В первом общение происходило между не зарегистрированными в Китае учетными записями, а во втором — между зарегистрированными и иностранными. Затем был проведен третий тест, чтобы проверить, удаляет ли вызов сообщения, содержащего файл, хеш этого файла из индекса хеша.
Авторы исследования сделали вывод о том, что цензуры в сообщениях между не зарегистрированными в Китае учетными записями нет, но такие учетные записи находятся под наблюдением. При этом политически чувствительный контент, который отправлялся исключительно между не зарегистрированными в Китае учетными записями, впоследствии подвергался цензуре при передаче между локальными учетками. То, что проверка контента производится не в режиме реального времени, удалось подтвердить, отправляя большой массив изображений.
Итак, сначала исследователи отправляли новые конфиденциальные изображения в групповом чате за пределами Китая, а затем их же — в групповом чате Китая с разницей в одну минуту. Затем они сразу посылали изображения на учетную запись, зарегистрированную в Китае. Новые файлы генерировали для изменения хэшей этих файлов без изменения их способности распознаваться как конфиденциальные.
В таблице показаны результаты экспериментального тестирования для наблюдения за документами и изображениями в каждый из трех дней, в которые оно проводилось. Они показывают, что в каждый день тестирования, если конфиденциальный документ сначала отправляется между не зарегистрированными в Китае аккаунтами, перед отправкой на местный аккаунт он подвергается цензуре в режиме реального времени.
Из 60 изображений, отправленных в течение трех дней, 49 изображений были подвергнуты цензуре в режиме реального времени, если их отправляли сразу в Китай. Однако, если сначала отправка происходила между не зарегистрированными в Китае учетками, то цензурировались все 60 из 60 изображений.
WeChat использует MD5 в качестве алгоритма хэширования файлов и эта хеш-функция обладает известными уязвимостями. Исследователи сначала сгенерировали 20 новых, чувствительных изображений с теми же хэшами MD5, что и 20 не чувствительных. Первую группу отправили в чате за пределами Китая, а вторую передали уже в китайском чате, и подсчитали, сколько изображений не было получено зарегистрированным в Китае аккаунтом.
WeChat предоставляет функцию отзыва сообщения, которая позволяет пользователям удалять отправленные данные в течение последних двух минут. CitizenLab решила оценить, сохраняет ли WeChat хэш таких файлов. Новый конфиденциальный документ отправили в некитайском групповом чате, а затем немедленно удалили. Через час тот же документ отравляется в групповой чат Китая. Отдельно эксперимент проводили на соответствие GDPR, с учетки WeChat, зарегистрированной по бельгийскому номеру телефона, и используя VPN-сервер в Бельгии. В обоих тестах отозванный документ не был получен зарегистрированным в Китае аккаунтом, то есть хеш MD5 этого файла сохранился в хеш-индексе WeChat.
Исследователи связались с международным офисом по защите данных Tencent, чтобы получить дополнительную ясность относительно политики конфиденциальности и условий использования для международных пользователей. В политике WeChat International упоминается Закон о защите авторских прав в цифровую эпоху (DMCA) (закон США об авторском праве) и есть ссылки на европейские законы, хотя и прямо не упоминается Общее положение о защите данных (GDPR).
В политиках WeChat China и WeChat International проводится различие между конфиденциальной и публичной информацией. WeChat International определила личную информацию как «любую информацию или комбинацию информации, которая относится к вам и которая может использоваться (прямо или косвенно) для вашей идентификации». Далее компания уточняет, какие типы информации считаются «общедоступной информацией» (то есть «информацией о вас или касающейся вас, которая добровольно передается вами в WeChat»), то есть признает разницу между «обычной» и «конфиденциальной» личной информацией.
WeChat International утверждает, что данные чата «хранятся на вашем устройстве и устройствах пользователей, которым вы отправили сообщения, и она только проходит через наши серверы». При этом данные чата хранятся только в течение 120 часов. Для пользователей WeChat International личная информация передается, хранится или обрабатывается в Онтарио, Канаде или Гонконге.
WeChat International в своих условиях предоставления услуг заявляет: «Вы даете нам и нашим аффилированным компаниям бессрочную, неисключительную, передаваемую, сублицензируемую, бесплатную всемирную лицензию на использование вашего контента (без каких-либо сборов или платежей) в целях предоставления, продвижения, развития и улучшений WeChat и других наших сервисов, включая новые сервисы… В рамках этой лицензии мы и наши аффилированные компании можем копировать, воспроизводить, размещать хранить, обрабатывать, адаптировать, модифицировать, переводить, выполнять, распространять и публиковать ваш контент по всему миру во всех средствах массовой информации и всеми способами распространения, включая те, которые будут разработаны в будущем».
Также компания ссылается на улучшение услуг и защиту безопасности.
Что касается блокировки контента, WeChat China утверждает, что Tencent будет действовать в соответствии с законами и правилами на основе своего «разумного суждения», чтобы «удалить или скрыть соответствующее содержимое в любое время без предварительного уведомления, наложить на нарушающий аккаунт наказание». WeChat International заявила, что она «может просматривать (но не брать на себя обязательство проверять) контент (включая любой контент, публикуемый пользователями WeChat) или сторонние программы или услуги, предоставляемые через WeChat, чтобы определить, соответствуют ли они правилам»: «Мы можем удалить или отказаться предоставлять доступ или ссылаться на определенный контент или сторонние программы или услуги, если они нарушают права интеллектуальной собственности, являются непристойными, дискредитирующими или оскорбительными, нарушают какие-либо права или представляют какой-либо риск для безопасности или производительности WeChat».
Хотя из общедоступной информации понятно, что контент может быть заблокирован для зарегистрированных в Китае учетных записей, неясно, как международные данные используются для блокировки контента или обоснование этой политики.
Tencent подпадает под действие Закона о защите личной информации и электронных документов (PIPEDA), потому что он имеет существенную коммерческую связь с Канадой по причине ведения бизнеса с лицами, проживающими в Канаде, а также потому, что некоторые из центров обработки данных компании расположены в этой стране. Принцип 4.9 PIPEDA гласит: канадцы имеют право «получать информацию о существовании, использовании и раскрытии своей личной информации и получать доступ к этой информации».
Один из исследователей подал два запроса на личную информацию. Первый включал два отдельных электронных письма: одно в международное отделение защиты данных Tencent, а второе — в китайское отделение защиты данных Tencent. Второй включал электронное письмо в международное отделение по защите данных Tencent.
В первом запросе содержалась просьба к компании раскрыть, использовался ли контент каких-либо сообщений или хэши, полученные из таких сообщений, для обеспечения или оптимизации обнаружения нарушений условий обслуживания для пользователей, находящихся в КНР или любой другой юрисдикции. Автор ссылался на PIPEDA и требовал от Tencent ответить в течение тридцати дней.
В ответ Tencent предоставил инструкции по доступу и использованию инструмента «Экспорт личных данных» в WeChat. Когда исследователь сообщил, что не смог найти этот инструмент, холдинг предложил упрощенную процедуру экспорта данных, но после проверки личности автора запроса. Когда тот выполнил требование, Tencent попросил вставить сгенерированную ссылку в чат WeChat и открыть URL-адрес в WeChat для экспорта личных данных. По этой ссылке исследователь должен был подтвердить свой адрес электронной почты. После подтверждения он автоматически отправил по электронной почте ссылку на веб-страницу, на которой был загружен * .zip-файл, содержащий информацию, касающуюся использования приложения. В нем содержалась:
- личная информация учетной записи: идентификатор WeChat, регион регистрации, связанные учетные записи (адрес электронной почты, прикрепленный к учетной записи), время регистрации и номер телефона;
- контактные данные: друзья и групповой чат контакты;
- данные моментов: мои моменты, мои комментарии и лайки, скрыть мои моменты и скрыть пользовательские моменты;
- местоположение и информация для входа: информация о местоположении и устройства входа.
В итоге автор запроса так и не получил ответа о том, использовались ли его данные для создания цензуры для зарегистрированных в Китае учетных записей и передавали ли их третьим лицам.
Теперь исследователи хотят понять, является ли это поведение уникальным для Tencent или только для китайских социальных сетей, работающих на международном уровне и использующих коммуникацию для реализации цензуры.
См. также:
Комментариев нет:
Отправить комментарий