قول حریم خصوصی واقعاً چطور ساخته شده.

هر تکه داده، و جایی که می‌نشیند

سه فهرست: آنچه روی دستگاهت می‌ماند، آنچه به فضای مشترک با همراهت می‌رود، و آنچه برنامهٔ ما ذخیره می‌کند. هر سطر می‌گوید چه چیزی از آن محافظت می‌کند و آن محافظت کجا تمام می‌شود.

• جملهٔ روز از دادهٔ سلامت تو بیرون آمده، و از گوشی بیرون می‌رود

  چاره‌ای نیست: این جمله برای همراهت نوشته شده. کنار برچسب حال، درون فضای مشترک iCloud شما سفر می‌کند و مثل گفت‌وگو رمزنگاری سرتاسری جداگانه ندارد، پس اپل از نظر فنی می‌تواند بخواندش. این را صریح می‌گوییم چون «روی دستگاه تفسیر می‌شود» به‌سادگی شنیده می‌شود «هیچ‌چیزی از سلامتت بیرون نمی‌رود»، و فقط جملهٔ اول درست است. آنچه سفر نمی‌کند، اندازه‌گیری پشت جمله است: نه ضربان، نه تغییرپذیری ضربان، نه ساعت خواب. تنها عدد سلامتی‌ای که می‌تواند به‌تنهایی سفر کند تقویم چرخه است، که کلید جداگانه‌ای دارد، پیش‌فرض خاموش است، و در جدول بالا ردیف خودش را دارد.

• ما فراداده را می‌بینیم و رمزنگاری آن را از بین نمی‌برد

  می‌بینیم حسابی وجود دارد، دو حساب به هم وصل‌اند، پیامی با اندازه‌ای مشخص در زمانی مشخص بینشان جابه‌جا شده، و توکنی که اپل برای تحویل لازم دارد. تا جای ممکن کمش را نگه می‌داریم و هیچ‌کدامش را نمی‌فروشیم، اما «نمی‌توانیم پیام‌هایتان را بخوانیم» و «هیچ‌چیز دربارهٔ شما نمی‌دانیم» دو جملهٔ متفاوت‌اند و فقط اولی دربارهٔ هیچ‌کس دروغ نیست.

• نسخه‌های داخل یک تقویم بیرون از رمزنگاری‌اند

  اگر برنامه‌هایتان را در یک تقویم آینه کنی، پالس ورودی‌های معمولی تقویم می‌نویسد: عنوان‌ها، زمان‌ها، مکان‌ها و یادداشت‌ها، خوانا. تقویمی که با iCloud، Google یا Outlook همگام می‌شود آن‌ها را نزد همان سرویس نگه می‌دارد، و هر کسی که تقویم را با او به اشتراک گذاشته‌ای می‌تواند ببیندشان. پالس پیش از نوشتن در چنین تقویمی می‌پرسد، اما وقتی نسخه آنجا باشد، قواعد همان تقویم حاکم است، نه قواعد ما. این را صریح می‌گوییم چون خودِ تقویم مشترک رمزنگاری سرتاسری دارد و خواننده به‌درستی فرض می‌کند نسخه هم دارد.

• بعضی ورودی‌های مشترک عمداً ساده‌اند

  ورودی‌های فهرست تماشا و آرزوها، یعنی عنوان و نوع و لینک و وضعیت، و برای آرزویی که از یک مکان واقعی ذخیره شده نشانی و موقعیتش روی نقشه، به‌صورت رکوردهای ساده داخل فضای مشترک همگام می‌شوند، چون پیش از تبادل کلیدی جریان دارند که گفت‌وگو را محافظت می‌کند. روزی که از آن می‌شمارید هم همین‌طور. اپل می‌تواند بخواندشان؛ هرگز دادهٔ سلامت ندارند. نظرها و واکنش‌های روی آیتم‌های فهرست تماشا رمز شده‌اند.

• اپل زیر همهٔ این‌هاست

  فضای مشترک شما ناحیه‌ای در iCloud است، کلیدهایت در iCloud Keychain می‌نشینند و اندازه‌گیری‌هایت در Apple Health. رکوردهای رمزشده برای اپل دقیقاً همان‌قدر بسته‌اند که برای ما. بقیهٔ فضای مشترک این‌طور نیست، همان‌طور که دو سطر بالا گفت. استفاده از پالس یعنی همین اندازه به اپل اعتماد کردن، و معماری‌ای که چیز دیگری بگوید، اپ دیگری را وصف می‌کند.

• ما ادعای forward secrecy نداریم

  کلید گفت‌وگو از توافق Curve25519 میان دو کلید هویت شما می‌آید، نه از زنجیرهٔ کلید تازه برای هر پیام که یک مسنجر تخصصی به کار می‌برد. پس ادعای forward secrecy نمی‌کنیم: کلید خصوصی‌ای که از یک دستگاه برداشته شود می‌تواند پیام‌هایی را که با آن محافظت شده‌اند باز کند، نه فقط پیام بعدی را. ترجیح می‌دهیم محدودیت را نام ببریم تا اینکه بگذاریم «رمزنگاری سرتاسری» خاصیتی را حمل کند که نساخته‌ایم.

• کلیدهایت به حساب اپل تو وابسته‌اند

  کلید خصوصی‌ات در iCloud Keychain می‌ماند تا دستگاه‌های خودت به آن برسند. همین است که گوشی تازه را بی‌آنکه نسخه‌ای دست ما باشد به کار می‌اندازد، و همین هم یک وابستگی است: کسی که حساب اپل تو را در اختیار دارد و می‌تواند دستگاهی به آن بیفزاید، جایی ایستاده که ما کاری از دستمان برنمی‌آید، چون هیچ رمز عبوری از ما سر راه نیست. ورود دومرحله‌ای آن حساب را روشن نگه دار.

• وصل شدن ردی کوتاه و عمومی باقی می‌گذارد

  تا وقتی یک دعوت باز است، رکوردی شامل یک شناسهٔ بی‌نام iCloud، نام نمایشی انتخابی تو و یک کد کوتاه برای دیگر کاربران واردشدهٔ کانتینر iCloud این اپ خواندنی است. کدها بعد از ۴۸ ساعت منقضی می‌شوند و رکوردها هنگام پذیرش، قطع اتصال و حذف حساب پاک می‌شوند. خود فضای مشترک این‌طور در معرض نیست: به هویت iCloud همراهت محدود شده، پس لینکی که کسی برداشته باشد چیزی را باز نمی‌کند.

• نقطهٔ پایانی اعلان با کلیدی محافظت می‌شود که داخل اپ می‌آید

  یعنی راز واقعی نیست. بدترین حالت این است که کسی بتواند روی گوشی‌ای که شناسهٔ بی‌نامش را از قبل می‌داند یک اعلان بی‌محتوا ظاهر کند؛ آن نقطهٔ پایانی فقط تعداد تحویل را برمی‌گرداند و چیزی دربارهٔ آن آدم فاش نمی‌کند. نرخش محدود شده، و سفت‌تر کردنش با تأیید هویت هر دستگاه در فهرست کارهاست، نه انجام‌شده.

• دستگاه‌های خودت، و آدم‌های نزدیکشان

  هر کس بتواند گوشی‌ات را باز کند می‌تواند پیام‌هایت را بخواند، و این دربارهٔ هر اپ پیام‌رسانی صادق است. اگر برایت مهم است، قفل Face ID داخل اپ را روشن کن. به همین ترتیب، رمزنگاری سرتاسری از سیم محافظت می‌کند، نه از آدمی که خودت انتخاب کردی چیزی برایش بفرستی.

• همراه، همیشه آدم امنی نیست

  پالس برای دو نفر ساخته شده که همدیگر را انتخاب کرده‌اند، و هیچ‌چیز در آن فرق میان همراهی که نگرانت است و همراهی که کنترلت می‌کند را نمی‌فهمد. اگر کسی فشار می‌آورد که اپ را نصب کنی، اشتراک را دوباره روشن کنی یا گوشی‌ات را بدهی، این مسئله‌ای نیست که رمزنگاری حلش کند. مکث و قطع اتصال یک لمس فاصله دارند، مکث می‌تواند نامرئی باشد، و بابت هیچ‌کدام به کسی توضیح بدهکار نیستی.

• مکث جلوی چیز بعدی را می‌گیرد، نه چیزی که رسیده

  مکث هر چیز تازه را متوقف می‌کند و می‌تواند بی‌خبر دادن به همراهت این کار را بکند. به عقب نمی‌رسد: جمله یا پیامی که رسیده روی دستگاه اوست و هیچ دکمه‌ای از ما برش نمی‌گرداند. قطع اتصال هم رکوردهای مشترک را برمی‌دارد و به همان دلیل نمی‌تواند گوشی او را خالی کند. هر مسنجری همین‌طور است، و بهتر است پیش از روزی که به کار بیاید بدانی‌اش.

• هنوز هیچ بازرسی مستقلی نشده

  بررسی‌ای که این صفحه از رویش ساخته شده را خودمان انجام داده‌ایم، در برابر کد خودمان، در تاریخ‌هایی که پایین آمده. این بیشتر از یک نیت است و کمتر از یک آدیت بیرونی، و هر اسم دیگری رویش بگذاریم اولین جملهٔ نادرست این صفحه خواهد بود. می‌خواهیم بررسی مستقلی سفارش بدهیم و هر وقت شد، تاریخش همین‌جا می‌آید.

• یک ارتباط می‌تواند تمام شود بدون اینکه هیچ‌کدامتان تمامش کرده باشید

  Pulse مراقب فضای مشترک همراه شماست، چون خداحافظی صریح ممکن است گم شود: ممکن است آن‌ها ارتباط را تمام کنند در حالی که گوشی شما آفلاین است، و بدون این بررسی یک دستگاه تا ابد به هیچ‌کس «متصل» می‌ماند. پس فضای مشترکی که دائم در دسترس نباشد، بالاخره به معنای ارتباطی تمام‌شده گرفته می‌شود، در حالی که داده‌های شما سر جایشان می‌مانند. این را اینجا می‌گوییم چون تصمیمی است که اپ به جای شما می‌گیرد، و چون یک بار بد اشتباهش کردیم: نسخه‌ای قدیمی‌تر بعد از سه بررسی، حدود یک دقیقه، عمل می‌کرد، و چون تمام کردن ارتباط روی یک گوشی دقیقا همان چیزی را برمی‌دارد که گوشی دیگر دنبالش می‌گردد، یک اختلال کوتاه می‌توانست هر دو نفر را در فاصله‌ی چند دقیقه قطع کند. حالا هفت روز پیوسته لازم است، یک بار دیده شدن ساعت را صفر می‌کند، و هر چیزی که اپ نتواند مطمئن باشد، از جمله آفلاین بودن، اصلا شمرده نمی‌شود.

آخرین بار کِی بررسی شد

هر سطر یا وارسی کد منتشرشده در برابر ادعاهای این سایت و سیاست حریم خصوصی است، یا اصلاح خودِ آن ادعاها، همراه با آنچه پیدا و عوض شد.

1. ۲ ژوئیهٔ ۲۰۲۶

   بررسی کامل هر دو مخزن. پیدا و اصلاح شد: فهرست ناقص گیرندگان، ادعای «ما چیزی ذخیره نمی‌کنیم» که دربارهٔ رکورد اعلان درست نبود، و حذف حسابی که آن رکورد را پاک نمی‌کرد. برچسب حریم خصوصی App Store هم در همان دور اصلاح شد.

2. ۲۴ ژوئیهٔ ۲۰۲۶

   بررسی رلهٔ زمان‌واقعی و دو قابلیت تازه. رله به‌عنوان یک مسیر انتقال اضافه افشا شد، و صریح نوشته شد که پرسش روزانه مثل گفت‌وگو رمزنگاری سرتاسری ندارد.

3. ۲۹ اوت ۲۰۲۶

   بررسی فهرست تماشای مشترک و ورود WHOOP. ‏WHOOP به‌عنوان گیرندهٔ نام‌برده برای کسانی که بند وصل می‌کنند اضافه شد، و مستند شد که پیش‌نمایش لینک و کاور فقط توسط دستگاه فرستنده گرفته می‌شوند.

4. ۱۳ سپتامبر ۲۰۲۶

   وارسی متن کل سایت، نه وارسی تازهٔ کد، پس تاریخ بالا عوض نشده. ادعاهایی که از معماری فراتر رفته بودند اصلاح شد: جملهٔ روز طوری توصیف شده بود که انگار روی دستگاه می‌ماند، پرسش روز در صفحهٔ قابلیت‌ها «مثل گفت‌وگو سرتاسری» خوانده شده بود، فهرست داده‌های سرور «کامل» نامیده شده بود بی‌آنکه ایده‌های قابلیت و توکن‌های Live Activity در آن باشند، و پاسخ مربوط به حکم قضایی چنان بود که انگار اصلاً چیزی نداریم. دید اپل به فضای مشترک صریح شد و محدودیت‌های forward secrecy، حساب اپل، فشار از سوی یک آدم نزدیک، و مکث اضافه شدند.