Hình ảnh & hình ảnh · Trình chuyển đổi & nén hình ảnh
Tại sao máy nén hình ảnh trực tuyến lại gây rủi ro về quyền riêng tư và những điều cần kiểm tra
· Tại sao nó quan trọng
image-privacy browser-processing image-compression
Tải ảnh lên để nén ảnh sẽ chuyển giao các pixel, siêu dữ liệu được nhúng và thường là một bản sao tồn tại trong một thời gian. Bài đăng này giải thích những gì đang bị đe dọa, những gì cần tìm trong hành vi của dịch vụ và cách một công cụ chuyển đổi địa phương tránh được câu hỏi.
Ảnh sản phẩm chưa được phát hành của khách hàng trên máy chủ của người khác — bước nén thông thường trở thành tiết lộ như thế nào
Việc nén ảnh khách hàng chưa được phát hành bằng dịch vụ từ xa có thể tiết lộ chính những pixel mà khách hàng yêu cầu bạn bảo vệ. Rủi ro bắt đầu trước khi có bất kỳ chính sách lưu giữ nào quan trọng: việc tải lên nhất thiết phải cung cấp tệp cho hệ thống khác. Giao diện kéo và thả quen thuộc không tiết lộ liệu điểm cuối xử lý là cục bộ, từ xa hay hỗn hợp, vì vậy sự tiện lợi không phải là bằng chứng về quyền giám hộ.
Phân loại vật liệu trước khi chọn dụng cụ. Nội dung của chiến dịch công khai có hậu quả khác với hình ảnh sản phẩm bị cấm vận, giấy tờ tùy thân hoặc ảnh chụp cơ sở riêng tư. Đối với công việc nhạy cảm, hãy sử dụng các mẫu tổng hợp hoặc đã được công khai khi đánh giá dịch vụ. Việc kiểm tra quyền riêng tư với bản gốc bí mật sẽ khiến bản đánh giá trở thành hành vi tiết lộ mà bạn mong muốn tránh.
Những gì đi cùng với hình ảnh được tải lên — nội dung hiển thị, EXIF bao gồm vị trí cũng như các hình thu nhỏ và hồ sơ được nhúng
Tệp hình ảnh có thể chứa chủ đề hiển thị cùng với thông tin về vùng chứa như siêu dữ liệu máy ảnh, trường vị trí, hình thu nhỏ hoặc mô tả màu sắc. Bản ghi nào tồn tại phụ thuộc vào định dạng nguồn và nhà sản xuất. Trình chuyển đổi của ToolAcre không phân tích cú pháp và liệt kê các trường đó, vì vậy bài viết này không khẳng định rằng mọi nội dung tải lên đều chứa thẻ EXIF cụ thể hoặc bản xem trước được nhúng.
Việc giảm thiểu vẫn hữu ích ngay cả khi không có hàng tồn kho đầy đủ. Cắt xén môi trường xung quanh riêng tư trong trình chỉnh sửa thích hợp, xóa siêu dữ liệu đã được xác minh bằng công cụ chuyên dụng khi được yêu cầu và chỉ gửi tệp cần thiết cho tác vụ. Việc mã hóa lại thường làm giảm siêu dữ liệu nhưng cấu hình của trình chuyển đổi rõ ràng từ chối hứa hẹn loại bỏ. Tác dụng phụ không phải là biện pháp kiểm soát quyền riêng tư cho đến khi kết quả đầu ra được kiểm tra.
Nội dung tải lên có thể bao gồm pixel và dữ liệu vùng chứa; công cụ này không kiểm kê mọi trường siêu dữ liệu nguồn
Một tuyên bố như “đã xóa sau một giờ” mô tả cam kết của nhà điều hành chứ không phải cơ chế có thể nhìn thấy từ bên ngoài. Nó có thể chân thành và vẫn phụ thuộc vào nhật ký, bản sao lưu, hàng đợi hoặc hệ thống hỗ trợ mà khách truy cập không thể kiểm tra. Đánh giá chính sách, thẩm quyền, mô hình tài khoản và nghĩa vụ hợp đồng chính xác thay vì biến một câu lưu giữ thành bằng chứng xóa ngay lập tức.
Nếu không thể tránh khỏi việc xử lý từ xa, hãy hỏi những gì được giữ lại, tại sao, trong bao lâu, ai có thể truy cập nó và liệu nhà cung cấp có đào tạo hoặc kiểm tra nội dung của khách hàng hay không. Lưu phiên bản chính sách áp dụng cho hồ sơ khách hàng. Không có câu hỏi nào trong số này được trả lời bằng biểu tượng ổ khóa: mã hóa truyền tải bảo vệ kết nối trong khi vẫn phân phối hình ảnh đến máy chủ dự kiến.
Các tập lệnh xung quanh công cụ — phân tích, thẻ quảng cáo và phông chữ của bên thứ ba sẽ nhìn thấy bạn ngay cả khi hình ảnh được xử lý tốt
Trang xung quanh trình chuyển đổi có thể tải các tài nguyên phân tích, quảng cáo hoặc phông chữ ngay cả khi byte hình ảnh vẫn ở cục bộ. Ngược lại, việc xem những yêu cầu đó không chứng tỏ tệp đã chọn đã được truyền đi. Kiểm tra các URL, phương thức và nội dung yêu cầu để tìm điểm đánh dấu vô hại đặc biệt thay vì coi mọi đường mạng là tương đương.
Cách diễn đạt quyền riêng tư của chính ToolAcre tạo nên sự tách biệt này. Mã chuyển đổi không gửi yêu cầu mang tệp hoặc đầu ra, trong khi các yêu cầu cấp trang được tiết lộ sẽ được ghi lại riêng biệt. Một cuộc kiểm toán có trách nhiệm báo cáo cả hai sự kiện. “Trang đã liên hệ với bên thứ ba” và “ảnh đã được tải lên” là những phát hiện khác nhau, mỗi phát hiện đều yêu cầu bằng chứng riêng.
Tập lệnh trang và yêu cầu xử lý tệp là những câu hỏi riêng biệt yêu cầu kiểm tra thời gian chạy
Trước khi tải lên bất kỳ đâu, hãy xác định xem tài khoản có bắt buộc hay không, liệu yêu cầu máy chủ có bắt đầu khi lựa chọn hay chuyển đổi hay không và trang quyền riêng tư cam kết giữ lại những gì. Mở các công cụ dành cho nhà phát triển, xóa các yêu cầu sau khi trang tải xong và sử dụng một mẫu vô hại có tên tệp hoặc byte dễ nhận biết. Lặp lại sau mỗi hành động liên quan thay vì chỉ quan sát điều hướng ban đầu.
Đồng thời kiểm tra việc thực hiện khi nguồn có sẵn. Tìm kiếm luồng Tệp hoặc ArrayBuffer vào `fetch`, XMLHttpRequest, gửi biểu mẫu, thông báo của nhân viên và bộ mã hóa cục bộ. Quan sát thời gian chạy có thể bỏ sót hành vi có điều kiện; nguồn có thể khác với việc triển khai. Thỏa thuận giữa cả hai mạnh hơn một trong hai, nhưng vẫn mô tả phiên bản và phiên thử nghiệm hơn là tất cả các bản phát hành trong tương lai.
Giải pháp thay thế cục bộ và cách xác nhận nó — một công cụ chuyển đổi giải mã và mã hóa lại trong tab của bạn, Chính sách bảo mật nội dung nghiêm ngặt và bảng điều khiển mạng im lặng
ToolAcre xác thực tệp, đọc ArrayBuffer của nó và chuyển bộ đệm đó vào Web Worker. Nhân viên xây dựng kế hoạch chuyển đổi, giải mã bằng `createImageBitmap`, vẽ lên canvas và mã hóa Blob. Kiểm tra đơn vị cấm truy cập mạng trong khi lập kế hoạch cho mọi kết hợp định dạng được hỗ trợ. Đó là những lý do cụ thể để mô tả đường dẫn xử lý là trình duyệt cục bộ.
Ngoài ra, sổ làm việc còn đề xuất một bảng điều khiển mạng im lặng và CSP nghiêm ngặt làm bằng chứng chung. Những tuyên bố rộng hơn đó không chỉ được thiết lập bởi các tệp hình ảnh được đọc ở đây. Xác nhận riêng các tiêu đề đã triển khai và yêu cầu thời gian chạy nếu chúng quan trọng đối với mô hình mối đe dọa. Bằng chứng phải tỷ lệ thuận: chuyển đổi cục bộ sẽ loại bỏ máy chủ xử lý tệp, không phải mọi rủi ro do tab trình duyệt chung đưa ra.
Nguồn và các thử nghiệm của ToolAcre chứng minh đường dẫn chuyển đổi cục bộ; hành vi trang rộng hơn cần bằng chứng riêng biệt
Chuyển đổi cục bộ không thể bảo mật thiết bị bị xâm nhập, tiện ích mở rộng trình duyệt độc hại, lịch sử bảng tạm, ảnh chụp màn hình hoặc đích gửi tệp nén. Nó cũng không quyết định liệu khách hàng có được phép chuyển đổi hay không. Chính sách kiểm soát và xử lý quyền truy cập vẫn cần thiết ngay cả khi không xảy ra quá trình tải lên chuyển đổi.
Đánh giá đầu ra cũng quan trọng. Huy hiệu, hình ảnh phản chiếu hoặc tài liệu hiển thị trong pixel vẫn tồn tại khi nén cục bộ. Siêu dữ liệu cũng có thể yêu cầu xác minh chuyên dụng. Quyền riêng tư là một chuỗi từ lựa chọn nguồn đến chuyển đổi, lưu trữ và phân phối; cải thiện một liên kết là có giá trị, nhưng nó không thể cho phép một hành động bất cẩn ở liên kết tiếp theo.
Bài học rút ra: nén nơi tệp đã tồn tại - cách Trình chuyển đổi & Máy nén hình ảnh thu nhỏ hình ảnh mà không tải lên gì
Ưu tiên xử lý ở nơi tệp đã tồn tại khi đáp ứng được công việc. Kiến trúc Worker của ToolAcre cung cấp cho người làm việc tự do một đường dẫn cục bộ được hỗ trợ từ nguồn và đầu ra có thể đo lường được mà không cần tuyên bố rằng toàn bộ trang hoặc thiết bị không có mạng. Tuyên bố hẹp hơn đó hữu ích hơn vì người khác có thể sao chép nó bằng cách kiểm tra mã và điểm đánh dấu thời gian chạy vô hại.
Ghi lại những gì bạn đã kiểm tra: ngày, trình duyệt, hành động được thử nghiệm, quan sát yêu cầu, phiên bản chính sách và đường dẫn nguồn nếu có. Sau đó, giữ bí mật các bản gốc ở nơi lưu trữ đã được phê duyệt và chỉ chia sẻ những sản phẩm phái sinh được yêu cầu. Quyền riêng tư đến từ các ranh giới có thể kiểm chứng và giảm thiểu, không phải từ một khẩu hiệu an ủi được in bên cạnh hộp tải lên.