אחסון תמונות בענן: האם זה בטוח? מה מדיניות הפרטיות אומרת

ביקורת מדיניות פרטיות של iCloud, Google Photos, Amazon Photos, Dropbox ו-OneDrive.

שירותי אחסון תמונות בענן מצפינים תמונות בדרך ובמנוחה. מה שהם לא אומרים בבולטות: הספק מחזיק במפתחות ההצפנה עבור רוב השירותים האלה. זה אומר שהספק יכול לגשת לתמונות שלך במסגרת מודל האבטחה והמדיניות שלו, לנתח אותן לצרכי שירות, ולציית לבקשות אכיפת חוק.

השאלה המרכזית: מי מחזיק במפתחות ההצפנה?

הצפנת צד שרת (הספק מחזיק במפתחות): השירות מצפין נתונים בשרתים שלו עם מפתחות שהוא מנהל. זה מגן מפני גניבה פיזית של חומרת שרת ופרצות חיצוניות. זה לא מגן מפני הספק עצמו, עובדיו, בקשות משפטיות או צווי ממשלה.

הצפנה מקצה לקצה (המשתמש מחזיק במפתחות): נתונים מוצפנים במכשיר שלך לפני העלאה. הספק מאחסן טקסט צופן שלא יכול לפענח. רק Apple מציעה זאת כ-opt-in לאחסון תמונות (Advanced Data Protection). אף שירות ענן תמונות מרכזי אחר לא מציע E2EE לתמונות.

iCloud Photos

מודל הצפנה: צד שרת כברירת מחדל; E2EE זמין דרך Advanced Data Protection (ADP)

תיעוד האבטחה של iCloud קובע את גבול הפרטיות: תחת הגנת נתוני iCloud הרגילה, Apple מחזיקה במפתחות ל-iCloud Photos ויכולה לפענח את התוכן. עם ADP מופעל, תמונות הופכות מוצפנות מקצה לקצה ו-Apple לא יכולה לפענח אותן.

Google Photos

מודל הצפנה: צד שרת בלבד. אין אפשרות E2EE.

תנאי השירות של Google קובעים: "כשמעלים, שולחים, מאחסנים... תוכן... אתה נותן ל-Google... רישיון עולמי לשימוש, אחסון, שכפול, שינוי..." הרישיון הוא "למטרה המוגבלת של הפעלה, קידום ושיפור השירותים."

Google Photos משתמשת ב-AI לארגון, חיפוש והצעת עריכות. זה מחייב ניתוח תוכן תמונה מצד שרת. Google סורקת תמונות לזיהוי פנים ועצמים, חילוץ מיקום ממטא-נתוני EXIF, גילוי CSAM והפרות מדיניות תוכן.

Google לא מציעה הצפנה מקצה לקצה ל-Google Photos. כל נתוני Google Photos נגישים למערכות Google.

Amazon Photos

מודל הצפנה: צד שרת בלבד. אין אפשרות E2EE.

Amazon Photos כלול בחברות Prime. מדיניות הפרטיות של Amazon מכסה את כל שירותי Amazon ביחד, כלומר נהלי הנתונים שחלים על קמעונאות Amazon, Alexa ועסק הפרסום חלים גם על תמונות שלך.

Amazon Photos מספקת חיפוש מבוסס AI, קיבוץ זיהוי פנים וארגון אוטומטי. מערכות Amazon מנתחות תוכן תמונה לתכונות אלה.

Dropbox

מודל הצפנה: צד שרת בלבד (AES-256 עם מפתחות Dropbox). אין אפשרות E2EE לחשבונות צרכנים.

Dropbox Vault (תכונה בתשלום) מוסיפה הגנת PIN אך לא הצפנה מקצה לקצה. Dropbox עדיין יכולה לגשת לתוכן Vault. בשנת 2012, Dropbox סבלה מפרצת נתונים שפגעה ב-68 מיליון חשבונות.

OneDrive

מודל הצפנה: צד שרת בלבד. אין E2EE לאחסון תמונות צרכנים.

OneDrive Personal Vault מוסיף אימות זהות (2FA) לגישה לקבצים ספציפיים. זה לא מוסיף הצפנה מקצה לקצה. Microsoft מחזיקה במפתחות. Personal Vault הוא תכונת בקרת גישה, לא תכונת הצפנה.

השוואה בין ספקים

חמש תצפיות מהביקורת

1. כל ספק מחזיק במפתחות ההצפנה שלך כברירת מחדל. Apple היחידה שמציעה opt-in לשינוי זה (ADP). Google, Amazon, Dropbox ו-Microsoft לא מציעים אפשרות הצפנה מקצה לקצה לאחסון תמונות צרכנים.
2. "מוצפן" לא אומר "פרטי מהספק". כל חמשת השירותים משתמשים בהצפנה. בכל חמשת המקרים (למעט iCloud עם ADP), הספק יכול לפענח ולגשת לתמונות שלך.
3. ניתוח מצד ספק הוא סטנדרטי. Google מנתחת תמונות שלך בהיקף נרחב. Amazon ו-Microsoft מציעות תכונות חיפוש וארגון מבוססי AI.
4. גישת אכיפת חוק שגרתית. Apple, Google ו-Microsoft מקבלות כל אחת למעלה מ-100,000 בקשות נתונים ממשלתיות מדי שנה.
5. מדיניות פרטיות כתובה באופן רחב. מדיניות Amazon ו-Microsoft מכסות את כל השירותים ביחד.

החלופה: אחסון מוצפן אפס-ידע

Vaultaire מצפינה תמונות על המכשיר ב-AES-256-GCM לפני כל העלאה. מפתח ההצפנה נגזר מתבנית על רשת 5x5 באמצעות PBKDF2 עם HMAC-SHA512. המפתח לא עוזב את המכשיר. אפילו גיבוי iCloud המוצפן של Vaultaire מעלה blobs מוצפנים שאפל לא יכולה לפענח.

ההחלפה: אין שחזור סיסמה (אם איבדת את התבנית וביטוי השחזור, הנתונים אבודים), אין חיפוש מבוסס AI, ואין גישת אינטרנט. הפרטיות היא תוצאה ישירה של מגבלות אלה.

שאלות נפוצות

האם אחסון תמונות בענן בטוח?

בטוח מהאקרים חיצוניים, כן. בטוח מהספק עצמו, לא. הספק מחזיק במפתחות ההצפנה כברירת מחדל ויכול לגשת לתמונות, לנתח אותן ולספק אותן בתגובה להליכים משפטיים.

אחסון ענן אחד פרטי יותר לתמונות?

iCloud עם Advanced Data Protection מופעל הוא האפשרות המיינסטרים הפרטית ביותר. הוא שירות הענן המרכזי היחיד שמציע הצפנה מקצה לקצה לאחסון תמונות.

האם ספקי ענן סורקים תמונות שלי?

ספקים מרכזיים מנתחים תוכן מאוחסן בדרכים שונות. Google Photos משתמשת בניתוח תוכן לחיפוש וארגון. Amazon ו-Microsoft מציעות תכונות חיפוש וקיבוץ מבוססי AI. Dropbox מצהירה שעשויה להשתמש במערכות אוטומטיות לאכיפת מדיניות.

האם המשטרה יכולה לקבל תמונות שלי מאחסון ענן?

עם צו בית משפט תקף, כן, לכל הספקים שמחזיקים במפתחות. Apple עם ADP מופעל היא החריג: Apple יכולה לספק מטא-נתוני חשבון אך לא תוכן iCloud Photos.