Kaito Pulse po fali krytyki dotyczącej prywatności udostępnia kod źródłowy

Premiera odbywała się również w kontekście zaplanowanego na 20 sierpnia odblokowania 32,6 mln tokenów KAITO. Według doniesień odpowiadało to 7,63 proc. podaży znajdującej się w obiegu.

Jak miała działać weryfikacja zkTLS?

Kaito twierdziło, że Pulse korzysta z zero-knowledge TLS, czyli zkTLS, do weryfikacji danych w przeglądarce. Ogólna idea polega na tym, że użytkownik może udowodnić konkretne twierdzenie pochodzące z zewnętrznej witryny, bez przekazywania Kaito pełnej kopii danych z danego konta.

Zgodnie z wyjaśnieniami firmy weryfikację musi aktywnie rozpocząć użytkownik. Przeglądarka generuje następnie zaszyfrowany dowód, a Kaito otrzymuje wynikowy dowód lub atestację, a nie cały zestaw danych konta czy historię przeglądania.

Rozróżnienie to nabrało znaczenia po doniesieniach o dostępie do usług takich jak ChatGPT, Claude i Binance. Późniejsze informacje doprecyzowały, że witryny te były otwierane w ramach rozpoczętego przez użytkownika procesu weryfikacji, a nie jako dowód na ciągłe zbieranie ich danych w tle. Według tych doniesień zachowywanym rezultatem była atestacja wygenerowana podczas weryfikacji.

zkTLS odpowiadało więc na jedną część pytania o prywatność: ile informacji trzeba ujawnić, aby potwierdzić twierdzenie dotyczące aktywności poza X. Sama technologia nie rozstrzygała jednak, co rozszerzenie może obserwować lokalnie ani w jaki sposób mogą być łączone identyfikatory i dane telemetryczne.

Co zarzucono rozszerzeniu w analizie kodu?

18 sierpnia analityk 0x_ultra poinformował, że w kodzie źródłowym Pulse znalazł kilka mechanizmów gromadzenia danych. Najwięcej uwagi wzbudził odcisk urządzenia tworzony na podstawie wielu sygnałów, między innymi sposobu renderowania przez kartę graficzną niewidocznego obrazu, modelu urządzenia lub podzespołów oraz reakcji sprzętu na dźwięk testowy. Analiza wskazywała, że tak powstały identyfikator mógł być powiązany z kontem na X.

W analizie zarzucono także szczegółowe śledzenie aktywności wewnątrz X, w tym:

• postów i treści wyświetlanych użytkownikowi;
• czasu przewijania lub zatrzymania się na treści;
• kliknięć i innych interakcji;
• wyszukiwań i zakładek;
• okresowych pakietów aktywności, określanych jako „heartbeat”, wysyłanych mniej więcej co 30 sekund.

Należy podkreślić, że są to zarzuty wynikające z analizy kodu i późniejszych doniesień, a nie niezależnie rozstrzygnięte ustalenie, że Kaito niewłaściwie wykorzystało te informacje. Sednem sprawy był zakres i możliwość powiązania gromadzonych danych: identyfikator urządzenia połączony z informacjami o zachowaniu może tworzyć znacznie dokładniejszy profil niż jednorazowe potwierdzenie pozycji tradingowej.

Jak odpowiedziało Kaito?

Yu Hu przekonywał, że fingerprinting miał służyć celom związanym z przeciwdziałaniem nadużyciom — między innymi ograniczaniu oszustw związanych z kliknięciami i aktywności typu Sybil — a nie analityce czy profilowaniu użytkowników. Powiedział również, że zbieranie informacji o wyświetlanych treściach na X, czasie ich oglądania i interakcjach było objęte zgodą udzielaną podczas instalacji rozszerzenia.

Kaito stwierdziło ponadto, że aktywność przeglądania stron poza X nie była wysyłana do firmy, z wyjątkiem sytuacji, w których użytkownik samodzielnie uruchamiał obsługiwaną weryfikację. Firma zapewniła także, że Pulse nie przechwytuje obrazu ekranu, haseł ani naciśnięć klawiszy.

Kontrowersje wzbudził również komunikat dotyczący uprawnień w Chrome. Użytkownicy widzieli informację, że rozszerzenie może odczytywać i modyfikować dane na różnych stronach. Kaito przyznało, że ten opis był szerszy niż zamierzone zastosowanie produktu, i zapowiedziało jego skorygowanie w kolejnej wersji.

Co zmieniło się do 21 sierpnia?

Bezpośrednim skutkiem krytyki była konkretna ustępstwo na rzecz przejrzystości. Kaito poinformowało, że udostępniło kod Pulse na zasadach open source, przy wsparciu analityka uczestniczącego w jego przeglądzie, oraz przesłało zaktualizowaną wersję do Chrome Web Store. W tym momencie nowe zgłoszenie wciąż przechodziło standardową weryfikację — nie potwierdzono jeszcze jego zatwierdzenia.

Sekwencja wydarzeń — premiera 18 sierpnia, publiczna analiza, odpowiedź z 19 sierpnia i publikacja repozytorium do 21 sierpnia — dała sporowi wymierny finał. Użytkownicy i zewnętrzni recenzenci zyskali możliwość samodzielnego sprawdzenia implementacji, zamiast polegać wyłącznie na opisach produktu lub komunikatach o uprawnieniach.

Szersza lekcja dotycząca prywatności

Spór wokół Pulse pokazuje, że deklaracje dotyczące prywatności rozszerzeń przeglądarkowych trzeba analizować na kilku poziomach.

Pierwszy to warstwa dowodu. zkTLS może ograniczyć ilość danych z konta, które trafiają do usługi podczas potwierdzania konkretnego twierdzenia.

Drugi to warstwa gromadzenia danych. Rozszerzenie może obserwować aktywność na stronach, na których działa, zależnie od przyznanych uprawnień i sposobu implementacji. Kaito przyznało, że Pulse zbierało autoryzowane dane o interakcjach na X, a fingerprinting urządzenia broniło jako narzędzie przeciwdziałania nadużyciom.

Trzeci to możliwość powiązania informacji. Nawet jeśli usługa otrzymuje z zewnętrznego konta wyłącznie atestację, pytania o prywatność pozostają, gdy sygnały dotyczące urządzenia, tożsamości konta i dane o zachowaniu mogą zostać połączone. To właśnie było głównym napięciem wskazanym w analizie.

Premiera Pulse nie dowiodła, że zkTLS jest z definicji niezgodne z prywatnością. Pokazała coś bardziej konkretnego: ochrona treści weryfikowanego twierdzenia nie oznacza automatycznie minimalizacji wszystkich danych zbieranych przez narzędzie, które ten dowód generuje. Analiza społeczności wymusiła jasne rozdzielenie tych kwestii, a w ciągu kilku dni skłoniła Kaito do udostępnienia kodu publicznie.