Go 也搞了 Telemetry：「Telemetry in Go 1.23 and beyond」。
不過這邊是 opt-in design，預設不會送出去，需要下指令開：
Starting with Go 1.23, you can enable uploading of your local telemetry data with the following command[.]
這種侵入性低一些...
Tag: privacy
Percona 的 Telemetry Package
Percona 開始搞 Telemetry (收集資料) 了，翻公告才發現已經一陣子了：「Percona Is Introducing Telemetry Mechanisms Into MySQL, PostgreSQL, and MongoDB」。
關掉的方法：
sudo systemctl disable --now percona-telemetry-agent
Telegram 的 CEO Pavel Durov 在法國機場被收押
好幾個地方都有報導 Telegram 的 CEO Pavel Durov 在法國的機場被收押的事情，引 Reuters 的好了：「Telegram messaging app CEO Durov arrested in France」。
目前傳言的理由是缺乏管理，允許犯罪行為：
TF1 and BFM both said the investigation was focused on a lack of moderators on Telegram, and that police considered that this situation allowed criminal activity to go on undeterred on the messaging app.
算是剛發生的新聞，接下來幾天應該會有後續的消息...
關閉 Firefox 的廣告蒐集功能
前陣子有提到 Mozilla 併購了廣告公司後，就在 Firefox 裡面實作廣告投放的蒐集功能：「Firefox 128 實作廣告投放蒐集功能 (Ad measurement)」，然後看到「Make Firefox Private Again (make-firefox-private-again.com)」這篇，網站是 make-firefox-private-again.com。
其中的設定就是把 dom.private-attribution.submission.enabled 設為 false，透過 GUI 介面改記得也是類似的效果。
但 Mozilla 已經變成廣告公司了，後續應該只會有更多動作；而廣告公司熟悉的 PR 方法應該都會被拿出來用，至於對 open source community 有沒有用就再看看了...
網站名字的梗... 應該就是 Donald Trump 的 Make America Great Again 口號。
看起來 Apple 是打算繼續蒐集 OCSP 資訊...
在「Apple memory holed its broken promise for an OCSP opt-out (lapcatsoftware.com)」這邊看到的，原文是「Apple memory holed its broken promise for an OCSP opt-out」。
Apple 的系統機制會在每次啟動應用程式的時候去 Apple 自家的 OCSP 伺服器確認這個應用程式是否被 Apple 註銷了：
When you launch an app, macOS connects to Apple's OCSP service to check whether the app's Developer ID code signing certificate has been revoked by Apple.
本來 Apple 有說要改善，但看起來吃書了...
這有明顯的 privacy 問題，所以我的作法是參考 Apple 自家的「Use Apple products on enterprise networks」這份官方資料，把裡面所有 ocsp 相關的 record 都設到 /etc/hosts 內，目前是：
127.0.0.1 ocsp.apple.com ocsp.digicert.cn ocsp.digicert.com ocsp.entrust.net ocsp2.apple.com
可以重開機確保生效，然後用 ping ocsp.apple.com (或是其他 domain) 看看是不是 127.0.0.1。
Apple 拿 Live Caller ID Lookup 當作 Homomorphic Encryption 的範例
上個禮拜 Swift 的 blog 上面發表了 Homomorphic encryption 的 library (其實當作 Apple 發表的比較實際)：「Announcing Swift Homomorphic Encryption」。
裡面提到了 Live Caller ID Lookup 這個功能用到了 Homomorphic encryption：
One example of how we’re using this implementation in iOS 18, is the new Live Caller ID Lookup feature, which provides caller ID and spam blocking services. Live Caller ID Lookup uses homomorphic encryption to send an encrypted query to a server that can provide information about a phone number without the server knowing the specific phone number in the request.
傳統實作 Live Caller ID Lookup 的作法是手機將號碼傳回伺服器端，然後伺服器回答相關的資訊，這樣做的缺點是伺服器端的單位就會知道誰打進來。
而以前改善的方式是類似於 k-anonymity 的方式，像是手機端只傳其中幾位數字給伺服器端 (像是收到 0912-345678 的號碼，只傳 0912-345 的部分給伺服器端)，然後伺服器端針對符合的 range 給出答案，這樣可以避免伺服器端直接知道哪個號碼打來，但也透漏了比較多的資訊給手機端。
Homomorphic encryption 的重點在於可以對 ciphertext 進行運算，在手機端提供 ciphertext A 給伺服器後，伺服器端拿著 ciphertext A 與資料庫互動，最後也會得到一個 ciphertext B，然後手機端拿回 ciphertext B 後可以解回結果。
不過我沒有很買單就是了，在資料庫是 plaintext 的情況下，是否有機會從 ciphertext A 與資料庫互動的 access pattern 得知更多資訊？畢竟不能是 table scan，不然以 Apple 會拿到的查詢量來說太大了...
算是個嘗試，但是不是 snakeoil 後續可以再看看。
Let's Encrypt 想要停掉 OCSP 服務
看到 Let's Encrypt 貼出來的文章，想要停掉 OCSP 服務：「Intent to End OCSP Service」，而打算以 CRLs 為主。
OCSP 是拿來驗證 certificate 是否有效的機制，由 CA 提供服務讓瀏覽器查詢，但這會有效能與 privacy issue。
前者比較容易理解，因為熱門網站所使用的 HTTPS certificate 會導致很多瀏覽器跑去 OCSP 服務查詢；後者則是因為 OCSP 服務就會知道哪個 IP 存取哪個網站。
不過這兩個應該都可以用 OCSP stapling 解決才對，也就是 web server 去 OCSP 服務拿有效的簽名 (證明你手上的是有效的)，然後在瀏覽器連上來的時候一起送出去，這樣瀏覽器就不用跑去煩 OCSP 服務，而且 OCSP 服務也不知道誰看了什麼網站。
不過跟 CRLs 相比還是不小的負擔就是了，尤其像是 Let's Encrypt 這種等級的量，光是 web server 固定時間去要 OCSP stapling 的簽名 (這又是個數位簽章的動作) 不容易 cache；反過來 CRLs 容易 cache 多了？
另外一方面，CA/Browser 在 2023 年的時候已經投票通過，將 OCSP 列為選擇性項目，而 CRLs 則變成必要項目：「Ballot SC-063 v4: Make OCSP Optional, Require CRLs, and Incentivize Automation」
看文章的語氣，應該是先放個風向？尤其故意不提到 OCSP stapling 這點...
Firefox 128 實作廣告投放蒐集功能 (Ad measurement)
六月底的時候就有一些消息，然後這幾天熱起來了，先是 Hacker News 上這兩篇，在講 Firefox 128 (現在的 stable 版) 預設開啟了廣告蒐集行為：「Firefox 128 enables "privacy-preserving" ad measurements by default (mstdn.social)」、「"Firefox added [ad tracking] and has already turned it on without asking you" (mastodon.social)」。
這個消息剛好可以跟六月底的時候「併購」了 Anonym 這家廣告公司一起看：「Mozilla acquires ad analytics company, for some reason」。
愈來愈像廣告公司了...
Chrome 停止信任 Entrust 憑證的計畫
Hacker News 上看到「Entrust Certificate Distrust (googleblog.com)」這個討論，Google 決定要停止信任 Entrust 頒發的憑證：「Sustaining Digital Certificate Security - Entrust Certificate Distrust」。
快速翻了一下 Google 列出來在 Mozilla Bug List 上面的記錄 (在這裡)，應該是出太多包，而且有些包給的解釋又不能說明出包的理由？
我拉了一下 Let's Encrypt 的情況，可以看到是兩種不同的情境：「這邊」，或是 GlobalSign：「這邊」。
目前的計畫是在下個 stable 版開始設限 (現在 stable 是 126，目前公告 127 開始擋)，但給了四個月的期限，仍然會認 Entrust 在 2024/10/31 前發的憑證：
TLS server authentication certificates validating to the following Entrust roots whose earliest Signed Certificate Timestamp (SCT) is dated after October 31, 2024, will no longer be trusted by default.
因為有 Certificate Transparency (CT) 的關係，所有的簽署資料都會是公開可以查的，所以 Hacker News 上面有人整理出來有受到影響的網站... 看起來是把抓回來的資料丟到 ClickHouse 上分析：「SELECT rank, domain, certificate_issuer FROM minicrawl_processed WHERE startsWith(certificate_issuer, 'Entrust') AND date = today() ORDER BY rank::UInt32」。
裡面可以看到許多知名的網站 (畢竟還是 Entrust)，這點從「Market share trends for SSL certificate authorities」這邊可以看得出來，雖然跟前面幾家比起來算小，但至少還是在榜上。
來等看看 Mozilla 與 Apple 的動作，會不會有更嚴格的 distrust 的行為 (提前？)，畢竟讓他再做四個月的生意也是很危險？
Slack 要拿使用者資料訓練 AI
在「Slack AI Training with Customer Data (slack.com)」這邊看到的，原公告在「Privacy Principles: Search, Learning and Artificial Intelligence」這邊。
預設會被丟進去訓練，Opt-out 無法直接設定，需要透過 e-mail 寫信找 feedback@slack.com (yeah，dark pattern)：
Contact us to opt out. If you want to exclude your Customer Data from Slack global models, you can opt out. To opt out, please have your Org or Workspace Owners or Primary Owner contact our Customer Experience team at feedback@slack.com with your Workspace/Org URL and the subject line “Slack Global model opt-out request.” We will process your request and respond once the opt out has been completed.
拿企業資料來搞事嗎... 這應該已經不只是 privacy 議題而是 security 層面了，PR 層面鐵定很難看，來看後面會不會轉彎？