Apple’s Craig Federighi over kinderfoto’s scannen: ‘Niet goed aangepakt’

In een video-interview met Joanna Stern van de Wall Street Journal, gaat Federighi in op de reacties die zijn ontstaan na de aankondiging van nieuwe functies om kinderen te beschermen. Federighi geeft toe dat het aankondigen van twee heel verschillende maatregelen niet goed is aangepakt. Enerzijds wil Apple iCloud-foto’s gaan controleren op kindermisbruik, terwijl Apple tegelijk wil waarschuwen als kinderen naaktfoto’s via iMessage-berichten willen versturen. Dit werkt op twee heel uiteenlopende manieren en het doel is ook heel verschillend. Daardoor heeft Apple verwarring gecreëerd, geeft Federighi toe.

In het gesprek met WSJ benadrukt Federighi nogmaals dat CSAM-scannen alleen plaatsvindt bij foto’s die je naar iCloud wil uploaden. Vervolgens vindt de controle van die foto lokaal op het toestel zelf plaats. Schakel je iCloud-foto’s uit, dan zullen je foto’s niet worden gecheckt op CSAM-content.

Niet goed aangepakt
Federighi denkt dat Apple het verkeerd heeft aangepakt:

We hadden gewild dat dit wat duidelijker naar voren was gekomen, want wij voelen ons zeer positief en sterk betrokken bij wat wij doen. Maar we zien dat het op grote schaal verkeerd is begrepen.

Ook had Apple niet twee heel verschillende functies tegelijk moeten onthullen:

Achteraf gezien was het tegelijkertijd introduceren van deze twee functies een bron van verwarring. Door ze op hetzelfde moment uit te brengen, gingen mensen ze technisch met elkaar in verband brengen en vreesden ze: “Wat gebeurt er met mijn berichten? Het antwoord is… er gebeurt niets met je berichten.

Nou, behalve dan dat berichten bij kinderen van 12 jaar en jonger op blote inhoud wordt gecontroleerd, als de ouders dit inschakelen. Maar het is dan dus een persoonlijke keuze.

Limiet van 30 foto’s

Apple benadrukt dat er gebruik gemaakt wordt van hashes, die worden vergeleken met een database van bekende kinderpornofoto’s. Een account wordt echter niet meteen als verdacht gemarkeerd als er één plaatje wordt gedetecteerd. Om te voorkomen dat er bij valse positieven te snel wordt ingegrepen heeft Apple een minimum limiet ingesteld voor het aantal keren dat content is ontdekt. Gebeurt dat, dan zal het account worden gerapporteerd aan een intern team, dat de foto’s gaat bekijken. Uiteindelijk wordt het account ook bij NCMEC (National Center for Missing & Exploited Children) gemeld. Het scannen van foto’s gebeurt aanvankelijk alleen in de VS.

Apple heeft in het begin niet duidelijk gemaakt dat er limiet zou gelden. In het interview laat Federighi nu weten dat het “iets in de orde van 30 bekende pornoplaatjes” gaat. Dit getal wordt ook genoemd in een nieuw document dat Apple online heeft gezet (zie verderop).

Ook benadrukt hij dat bij accounts die als mogelijk verdacht worden gemarkeerd, alleen de gevonden foto’s worden bekeken door mensen. Het is dus niet zo dat Apple-medewerkers door je gehele fotobibliotheek gaan zitten bladeren.

Niet onder druk gezet
Op de vraag of Apple onder druk is gezet om de CSAM-functie in te voeren, zegt Federighi dat er geen sprake van is:

Nee, het kwam er echt op neer dat… we het uitzochten. We wilden iets maken, maar niet iets waarbij alle klantgegevens gescand zouden worden.

Een andere zorg waar veel gebruikers en privacy-experts zich druk over maken, is of Apple niet de deur openzet voor een achterdeurtje. Federighi verwerpt deze suggestie sterk. Apple heeft voor het systeem meerdere auditing-systemen ingebouwd, waardoor het systeem niet misbruikt kan worden. Verder zal dezelfde database met hashes wereldwijd worden gebruikt, dus er komt geen speciale variant voor China. Het is niet zomaar mogelijk om andere foto’s aan de database toe te voegen. De foto’s moeten in ieder geval in twee verschillende CSAM-databases staan, in verschillende jurisdicties, zodat het systeem niet misbruikt kan worden voor andere dingen. Apple geeft echter geen inzicht in de inhoud van de database zelf. De betrokken organisaties voeren samen met een onafhankelijke auditor controles uit.

Federighi lijkt de ophef onder beveiligingsonderzoekers wat overdreven te vinden, aangezien alles voor hen inzichtelijk is:

Omdat het op de telefoon gebeurt, zijn beveiligingsonderzoekers constant in staat om te kijken wat er gebeurt in Apple’s software. Dus als er veranderingen zouden worden aangebracht die de reikwijdte op een of andere manier zouden uitbreiden – op een manier die we niet hadden beloofd te doen – dan is dat te controleren. Ze kunnen zien wat er gebeurt.

Nieuw document geeft uitleg
Wil je nog meer weten over de gang van zaken, dan heeft Apple een uitgebreider document uitgebracht, waarin de beveiliging en privacy van de CSAM-detectie nader wordt uitgelegd. De achterliggende uitgangspunten qua design, beveiliging en privacy worden daarin duidelijker besproken. Veel details die in het interview met Craig Federighi naar voren kwamen, staan nu nog eens duidelijk zwart op wit, zoals de limiet van 30 bekende CSAM-afbeeldingen, voordat een iCloud-account als verdacht wordt gemarkeerd.

Apple zal ook een supportdocument uitbrengen met de root hash van de versleutelde CSAM hash-database die gebruikt gaat worden in elke versie van Apple’s besturingssystemen. Gebruikers kunnen de root hsh op hun toestel controleren met die van de versleutelde database, om zeker te zijn dat er (bijvoorbeeld door een kwaadwillende aanval) stiekem gebruik wordt gemaakt van een heel andere database met bijvoorbeeld politieke foto’s.

Het document is hier te vinden (PDF). Daarnaast vind je veel antwoorden in onze CSAM FAQ.

Bekijk ook

FAQ: Apple’s functies tegen kindermisbruik; privacygevaar of noodzakelijk kwaad?

Apple kondigde een reeks maatregelen aan om kinderen te beschermen en verspreiding van kinderporno tegen te gaan. Zo gaat Apple foto’s van kindermisbruik detecteren in iCloud-foto’s van gebruikers. Maar het leidt tot veel vragen. Betekent dit dat Apple jouw complete bibliotheek gaat scannen? En wat betekent het voor je privacy?