<?xml version="1.0" encoding="utf-8"?><feed xmlns="http://www.w3.org/2005/Atom" xml:lang="pl_PL"><generator uri="https://jekyllrb.com/" version="3.10.0">Jekyll</generator><link href="https://www.ciemnastrona.com.pl/feed.xml" rel="self" type="application/atom+xml" /><link href="https://www.ciemnastrona.com.pl/" rel="alternate" type="text/html" hreflang="pl_PL" /><updated>2026-03-18T23:20:24+00:00</updated><id>https://www.ciemnastrona.com.pl/feed.xml</id><title type="html">Ciemna strona</title><subtitle>Blog o ochronie prywatności i przekrętach korporacji.</subtitle><entry><title type="html">Firefox ujawnia miniaturki filmów? Prywatnościowa ciekawostka</title><link href="https://www.ciemnastrona.com.pl/2026/03/13/firefox-mpris-miniaturki-filmu.html" rel="alternate" type="text/html" title="Firefox ujawnia miniaturki filmów? Prywatnościowa ciekawostka" /><published>2026-03-13T16:00:00+00:00</published><updated>2026-03-13T16:00:00+00:00</updated><id>https://www.ciemnastrona.com.pl/2026/03/13/firefox-mpris-miniaturki-filmu</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2026/03/13/firefox-mpris-miniaturki-filmu.html"><![CDATA[<p>Wiosna za rogiem, czas się budzić ze snu zimowego i dodać jakieś wpisy na stronie głównej :smile:</p>

<p>Systemy operacyjne i przeglądarki internetowe można uznać, z perspektywy użytkowników, za fundamenty współczesnego cyfrowego świata.<br />
Te pierwsze umożliwiają podporządkowanie sobie urządzeń elektronicznych, jak laptopy czy smartfony. Te drugie pozwalają nawigować po oceanie internetu.</p>

<p>W każdej z tych dwóch kategorii istnieje co najmniej kilka znaczących opcji, różniących się pod względem stopnia „korporatyzacji”, a także szanowania prywatności swoich użytkowników.</p>

<p>Zestawiając ze sobą skrajności: systemy na bazie otwartego, darmowego <a href="/2025/04/22/koniec-windows-10-rok-linuksa" class="internal">Linuksa</a> bardziej szanują użytkowników niż Windows od Microsoftu. Zaś przeglądarka Firefox chroni prywatność o niebo lepiej niż Chrome.</p>

<p class="post-meta bigspace-after">Choć czasem niestety też się <a href="/2024/08/27/make-firefox-private" class="internal">mizia ze światem reklam</a>.</p>

<p>Tym ciekawsza jest w tych realiach sytuacja, kiedy jedynie po połączeniu dwóch prywatniejszych rzeczy, Linuksa i Firefoksa, ujawnia się jakąś informację na swój temat.<br />
Może niezbyt groźną, niemal nieistotną na tle innych danych… ale bez wątpienia istniejącą i możliwą do wykorzystania.</p>

<p>Takie coś odkryłem na swoim komputerze. <strong>Podczas odtwarzania niektórych filmów Firefox tworzy ich tymczasowe miniaturki</strong> w folderze ukrytym, ale domyślnie ogólnodostępnym.<br />
Gdyby ktoś miał u siebie zainstalowany jakiś wścibski program, to mógłby on co pewien czas, bez łamania żadnych zabezpieczeń, zerkać tam i odgadywać po miniaturach, co akurat oglądamy.</p>

<p>Nie uważam tego za powód do alarmu, stąd „ciekawostka” w tytule. Tym niemniej warto ją poznać.<br />
Zapraszam!</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/firefox-mpris/firefox-mpris-baner.jpg" alt="Zdjęcie cytryny odbijającej się w&nbsp;lustrze. Jej oryginał to czarny kontur ze znakiem zapytania, stojący obok loga Firefoksa. W&nbsp;lustrze podpisanym firefox-mpris odbija się jej prawdziwa postać, na którą nałożono miniaturkę filmu." /></p>

<p class="figcaption">Źródło: <a href="https://www.freepik.com/free-photo/lime-blue-table-isolated-orange_7727489.htm">zdjęcie cytryny</a> ze strony Freepik (autor: <em>drobotdean</em>). Przeróbki moje.</p>

<h2 id="odkrycie">Odkrycie</h2>

<p>Wierzcie lub nie, ale odkrycia dokonałem zupełnym przypadkiem, szukając sposobu na instalowanie dodatku <a href="/2021/10/21/ublock-origin" class="internal">uBlock Origin</a> automatycznie, bez uruchamiania przeglądarki. W tym celu zajrzałem do jej plików wewnętrznych, słuchając sobie filmu z YouTube’a w tle (ważne!).</p>

<p class="post-meta bigspace-after">Gwoli ścisłości: korzystałem z Librewolfa, czyli przeglądarki opartej na Firefoksie i jeszcze bardziej uszczelnionej pod kątem prywatności. Ale ma to minimalne znaczenie, dlatego przez większość wpisu będzie o Firefoksie.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Więcej o&nbsp;tych plikach
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">W przypadku Linuksa po pierwszym uruchomieniu przeglądarki Firefox powstaje, w folderze domowym (tym domyślnym, gdzie są podfoldery <em>Muzyka</em>, <em>Dokumenty</em> itd.), ukryty folder na różne rzeczy.<br />
Jeśli przeglądarka to zwykły Firefox, to folder nosi nazwę <code class="language-plaintext highlighter-rouge">.mozilla</code> (od firmy). W przypadku opartego na nim Librewolfa nazywa się <code class="language-plaintext highlighter-rouge">.librewolf</code>.</p>
    
  </div>
</div>

<p>Moim oczom ukazał się folder o nazwie <code class="language-plaintext highlighter-rouge">firefox-mpris</code>. Kolejny szczęśliwy traf, bo nazwa podstawowego Firefoksa rzucała się w oczy w folderach Librewolfa, z którego akurat korzystałem. W innym wypadku mógłbym ją pominąć, a tak przyciągnęła wzrok. Zajrzałem do środka.</p>

<p>A tam ujrzałem pojedynczy plik. Format PNG, czyli obrazek. <strong>Przedstawiał miniaturkę filmu, który akurat oglądałem</strong>.</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/firefox-mpris/firefox-mpris-miniaturka.png" alt="Zrzut ekranu pokazujący miniaturkę filmu, z&nbsp;tekstem 'Kurzgesagt Propaganda'" /></p>

<h2 id="obserwacje">Obserwacje</h2>

<p>Nazwa pliku to ciąg kilku cyfr, po których pojawia się podkreślnik. A po nim kolejna liczba.</p>

<p>Ta pierwsza liczba wbrew pozorom nie jest losowa; to <strong>numer procesu</strong> odpowiadającego uruchomionemu Firefoksowi. Coś, co jest przydzielane przez system każdemu działającemu programowi, ale rzadko widoczne dla użytkowników.</p>

<p class="post-meta bigspace-after">To dokładnie ta sama liczba, którą wyświetliłby program <code class="language-plaintext highlighter-rouge">xprop</code> po kliknięciu okna Firefoksa.<br />
Swoją drogą: przydatna właściwość, gdyby ktoś chciał ustalić numer procesu najprostszymi narzędziami, bez konsoli czy włączania Monitora Systemu.</p>

<p>Druga liczba z kolei zaczyna się od zera i rośnie o 1 z każdym kolejnym załadowanym filmem. Do jakiej wartości? Na pewno osiąga dwucyfrową, tyle sprawdziłem. Nie testowałem limitów, a w kodzie źródłowym Lisa/Wilka nie planuję póki co szperać.</p>

<p>Z ciekawości zacząłem sobie eksperymentować i sprawdzać, w jakich sytuacjach pojawia się miniaturka.</p>

<p>Jak się okazuje – pokazywała się za każdym razem, kiedy odtwarzałem w przeglądarce jakiś film ze strony <strong><em>youtube.com</em></strong>. I znikała wraz z całym folderem <code class="language-plaintext highlighter-rouge">firefox-mpris</code>, kiedy zamknąłem kartę, w której ten film się znajdował (samo wciśnięcie pauzy nic nie zmieniało).</p>

<details class="framed bigspace">
  <summary><strong>Inne obserwacje</strong></summary>

  <p class="bigspace-before">Parę innych, mniej znaczących ciekawostek dotyczących działania miniaturki:</p>

  <ul>
    <li>zawsze widoczna była u mnie tylko jedna miniaturka naraz;</li>
    <li>gdybym w trakcie odtwarzania pierwszego filmu zaczął odtwarzać też inny, w osobnej karcie, to miniaturka by się zmieniła i pokazywała ten później włączony;</li>
    <li>czasem jednak nie była na bieżąco z odtwarzanym filmem, zwłaszcza jeśli przełączałem się między filmami przez pauzowanie jednego i odtwarzanie drugiego;</li>
    <li>
      <p>gdybym akurat miał w przeglądarce plików wyświetloną zawartość folderu z miniaturą, to po przełączeniu na nowy film (np. wskutek autoodtwarzania) by mnie z tego folderu wyrzuciło do nadrzędnego.</p>

      <p>Przyczyna? Według moich obserwacji Firefox nie ogranicza się do zmiany samej miniatury, tylko usuwa i dodaje od nowa cały folder.</p>
    </li>
  </ul>

</details>

<p>Sprawdziłem, czy miniaturka pojawia się również w przypadku PeerTube’a, a nawet znanej stronki z filmami mniej familijnymi – czego się nie robi dla nauki!<br />
Nie pojawiała się. Ulga, zwłaszcza w tym drugim przypadku :smile:</p>

<p>Kiedy już się znudziłem eksperymentowaniem, to wyszukałem w DuckDuckGo tekstu <code class="language-plaintext highlighter-rouge">firefox-mpris</code>, żeby znaleźć jakieś pewniejsze źródło wyjaśniające całą sprawę.</p>

<h2 id="wyjaśnienie">Wyjaśnienie</h2>

<p>Kluczem jest tutaj słowo <code class="language-plaintext highlighter-rouge">mpris</code> w nazwie folderu. To akronim oznaczający <a href="https://wiki.archlinux.org/title/MPRIS"><em>Media Player Remote Interfacing Specification</em></a>. Standard pozwalający dzielić się z systemem informacjami o multimediach.</p>

<p>Na Linuksach istnieje coś takiego jak <strong><em>D-Bus</em></strong>. To, mówiąc ogólnie, sposób na przekazywanie systemowi informacji przez różne programy, w sposób ustandaryzowany, żeby ten mógł lepiej wszystko ze sobą integrować. MPRIS to jego część.</p>

<p>Linux, na którym wszystko sprawdzałem, był oparty na względnie minimalistycznym środowisku (MATE) i nie wykorzystywał możliwości MPRIS. Nic mi się nie pokazywało poza miniaturą w folderze.</p>

<p>Inne środowiska, jak Cinnamon, potrafią lepiej wykorzystywać to udogodnienie.</p>

<p>Jeśli podczas odtwarzania filmu kliknie się kontrolkę odpowiedzialną za dźwięk na systemowym pasku, to pojawia się miniatura oraz trochę informacji na temat odtwarzanego klipu.</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/firefox-mpris/linux-miniatura-ogladanego-filmu.jpg" alt="Zrzut ekranu pokazujący kontrolkę odpowiedzialną za głośność. Nad nią wyświetla się tytuł filmu 'Czy Kurzgesagt tworzy propagandę dla miliarderów?', a&nbsp;także miniaturka przedstawiająca mężczyzn w&nbsp;garniturach" /></p>

<p class="post-meta bigspace-after">Miniaturka byłaby widoczna również na ekranie logowania. Czy to dobrze, czy źle – zależy od człowieka (i pewnie od filmiku).</p>

<p>Jak widać, to całkiem przydatna opcja. A nawet doceniana w komputerowym światku. <a href="https://hn.algolia.com/?dateRange=all&amp;page=0&amp;prefix=true&amp;query=%22mpris%22&amp;sort=byDate&amp;type=story">Na forum HN</a> ludzie polecają różne swoje odtwarzacze multimediów, wskazując integrację z MPRIS jako zaletę.</p>

<p>Te bajery mają jednak swoją cenę, którą jest powstawanie miniaturek w folderze.</p>

<h2 id="ocena-ryzyka">Ocena ryzyka</h2>

<p>Z punktu widzenia prywatności <strong>powstała miniaturka jest ogólnodostępna</strong>. Gdyby na naszym systemie oprócz przeglądarki działał jakiś program, to mógłby co pewien czas wypatrywać folderu <code class="language-plaintext highlighter-rouge">.mozilla/firefox-mpris</code> i zapisywać sobie zauważone tam obrazki, wraz z godziną utworzenia miniaturki. Miałby małą kronikę naszej historii oglądanych filmów.</p>

<p>…Tylko że to zagrożenie raczej niewielkie na tle tego, co program mógłby wyciągnąć z innego folderu ogólnodostępnego, <code class="language-plaintext highlighter-rouge">.cache/mozilla</code>, gdzie znajduje się <a href="/2021/12/24/caching" class="internal">pamięć podręczna</a> Firefoksa. A tam skarby, takie jak miniaturki <em>wszystkich</em> obrazków, jakie załadowała przeglądarka.</p>

<p>Teoretycznie może zajść sytuacja, gdy jakiś administrator systemu ustawia taką politykę bezpieczeństwa, żeby żaden program nie miał dostępu do folderu <code class="language-plaintext highlighter-rouge">.cache</code> (bo wrażliwe rzeczy). Równocześnie mógłby zostawić dostęp do folderu <code class="language-plaintext highlighter-rouge">.mozilla</code>, żeby ludzie mieli np. możliwość integrowania innych programów z przeglądarką.</p>

<p>W takim wypadku miniatura byłaby faktycznym wyciekiem informacji. Ale to raczej naciągany scenariusz.</p>

<p>A w przypadku typowym? Nieznaczące zagrożenie na tle pamięci podręcznej.</p>

<h2 id="wyłączanie-opcji">Wyłączanie opcji</h2>

<p>Niezależnie od skali zagrożenia, ktoś mógłby zechcieć nie tworzyć miniaturek. Jak je wyłączyć?<br />
Ktoś już o to <a href="https://www.reddit.com/r/firefox/comments/q1vnns/what_is_firefoxmpris/">zapytał na Reddicie</a> i dostał bardzo konkretną odpowiedź.</p>

<p>Po pierwsze: według komentarza <strong>miniaturka nie pojawia się, jeśli ogląda się film w zakładce prywatnej/<em>incognito</em></strong>. Kolejny dowód na to, że w tryb prywatny jednak włożoną jakąśtam pracę i <a href="/2024/09/09/tryb-prywatny-incognito" class="internal">nie jest tylko zabawką do ukrywania historii</a>.</p>

<p>A co, jeśli nie chcemy każdorazowo używać tego trybu? W takim wypadku można wyłączyć tworzenie miniaturek w ustawieniach, żeby uczynić ich brak stanem domyślnym całego Firefoksa.</p>

<details class="framed bigspace">
  <summary><strong>Więcej o&nbsp;wyłączaniu przez opcje</strong></summary>

  <p class="bigspace-before">Należy uruchomić przeglądarkę i wpisać w pasek u góry (ten sam, w którym wyświetlają się adresy stron) tekst <code class="language-plaintext highlighter-rouge">about:config</code>. Gdyby pojawiło się ostrzeżenie, to można je przeklikać.</p>

  <p>Pojawi się lista dostępnych opcji. W pasek wyszukiwania po lewej stronie można zacząć wpisywać tekst <code class="language-plaintext highlighter-rouge">media.hard</code>…</p>

  <p>Powinno wyświetlć się kilka opcji, w tym tę, która nas interesuje – <strong><code class="language-plaintext highlighter-rouge">media.hardwaremediakeys.enabled</code></strong>. Należy kliknąć ikonkę dwóch strzałek po jej prawej stronie, żeby wartość obok niej zmieniła się na <code class="language-plaintext highlighter-rouge">false</code>. Zrobione.</p>

</details>

<h2 id="słowo-na-koniec">Słowo na koniec</h2>

<p>W tym wpisie pokazałem ciekawostkę – ujawnienie pewnych informacji przez teoretycznie najbezpieczniejszą kombinację systemu i przeglądarki.</p>

<p>Piszę „ciekawostkę”, bo nie uważam tego za realne zagrożenie, zwłaszcza na tle łatwo dostępnej pamięci podręcznej przeglądarki.</p>

<p class="post-meta bigspace-after">Patrzę na to trochę jak na okrężne metody <a href="/internetowa_inwigilacja/2023/08/19/historia-przegladania" class="internal">odczytywania historii przeglądania</a> (które polegają <em>de facto</em> na zamaskowaniu formularza, w którym użytkownicy sami klikają strony, które ostatnio widzieli).</p>

<p>Ta sprawa wyraźnie pokazuje natomiast pewną uniwersalną rzecz w realiach cyfrowej prywatności – <strong>informacje mogą wyciekać z najmniej spodziewanych miejsc, a próba ich przewidzenia to walka z wiatrakami</strong>.</p>

<p>W tym wypadku musiało wystąpić kilka czynników naraz: przeglądarka Firefox, system na bazie Linuksa (wspierający <em>D-Busa</em>), do tego film odtwarzany z YouTube’a.</p>

<p>Odkryłem to zupełnym przypadkiem, uszczelniłem. Ale ilu innych rzeczy, pojawiających się w jeszcze bardziej nietypowych warunkach, nie odkryłem i nie uszczelnię?</p>

<p>W takich realiach najpewniejsze wydają się sposoby ogólne, oparte na redukcji <em>wszystkich</em> informacji, a nie ściganiu konkretnych luk.</p>

<ol>
  <li>Instalować na swoim systemie jak najmniej programów.</li>
  <li>
    <p>Izolować od siebie uruchamiane programy.</p>

    <p class="post-meta bigspace-after">Zaawansowani użytkownicy mogą użyć czegoś w rodzaju Firejaila; inni mogą uruchomić cały system w jakiejś przyjaznej w obsłudze maszynie wirtualnej, takiej jak VirtualBox.</p>
  </li>
</ol>

<p>Istnieje też sposób trzeci – <strong>jak najczęściej ładować świeży system</strong>. Żeby potencjalny wścibski program, nawet jeśli się nawinie, miał dość ubogą ucztę, pozbawioną naszych danych.</p>

<p>Stałe zaczynanie od zera może brzmieć absurdalnie, zwłaszcza jeśli ktoś przywykł do typowych, ciężkich, ładujących się dość długo systemów.<br />
Ale przy lżejszych Linuksach, ładowanych z pendrive’a? Możliwe i skuteczne. Co jeszcze pokażę w przyszłych wpisach.</p>

<p>I na tej zajawce zakończę. Do zobaczenia! :smile:</p>]]></content><author><name></name></author><category term="Inwigilacja" /><category term="Podstawy" /><summary type="html"><![CDATA[Okruchy dla podglądaczy mogą leżeć w najmniej oczekiwanych miejscach.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/firefox-mpris/firefox-mpris-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/firefox-mpris/firefox-mpris-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Podsumowanie 2025 roku</title><link href="https://www.ciemnastrona.com.pl/2025/12/31/podsumowanie-2025-roku.html" rel="alternate" type="text/html" title="Podsumowanie 2025 roku" /><published>2025-12-31T16:13:10+00:00</published><updated>2025-12-31T16:13:10+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/12/31/podsumowanie-2025-roku</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/12/31/podsumowanie-2025-roku.html"><![CDATA[<p>Witajcie! Kolejny rok zbliża się ku końcowi, więc czas na tradycyjne podsumowanie wydarzeń z bloga i ze świata!</p>

<p>Jeśli chodzi o świat, będzie dziś względnie optymistycznie – zebrało się bowiem parę małych triumfów ludzi nad korporacjami, zaś w społeczeństwie widać większą niż kiedyś niechęć do branżowych narracji.</p>

<p>Możliwe jednak, że wygrane bitwy to dopiero rozgrzewka, a przyszły rok przyniesie większe walki. Związane chociażby z patologiami wokół „sztucznej inteligencji”, o których tu wspomnę.</p>

<p>Jeśli chodzi o bloga, to można uznać, że trwał na nim <strong>rok systemu Linux</strong> (czy raczej: różnych systemów na bazie Linuksa).<br />
Miałem okazję zagłębić się w testowanie różnych odmian tej alternatywy dla Windowsa. Nabić parę poziomów doświadczenia w jego obsłudze i podzielić się wiedzą w różnych poradnikach.</p>

<p>Zapraszam na przegląd zdarzeń z bloga i ze świata!</p>

<p class="bigspace-before"><img src="/assets/posts/podsumowania/2025/linux-podsumowanie-2025-baner.jpg" alt="Przerobiony obrazek, na którym Mikołaj pokazuje cieszącej się dziewczynce worek prezentów. Z&nbsp;worka wyłania się maskotka systemu Linux oraz loga różnych jego wersji. Na Mikołaja nałożono numer roku 2025, a&nbsp;na dziewczynkę 2026." /></p>

<p class="figcaption">Źródło: <a href="https://www.freepik.com/free-photo/she-is-so-excited-new-christmas-present_12375656.htm">zdjęcie z serwisu Freepik</a>, maskotka Linuksa (pingwin Tux), loga różnych systemów na jego bazie. Przeróbki moje.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#wieści-zbloga">Wieści z bloga</a>
    <ul>
      <li><a href="#rok-pracy-upodstaw">Rok pracy u podstaw</a></li>
      <li><a href="#rok-linuksa-umnie-na-pewno">Rok Linuksa? U mnie na pewno!</a></li>
    </ul>
  </li>
  <li><a href="#wieści-ze-świata">Wieści ze świata</a>
    <ul>
      <li><a href="#odtajnione-dokumenty-na-temat-">Odtajnione dokumenty na temat <em class="cover">???????</em></a></li>
      <li><a href="#ai-iwspółczesna-gorączka-złota">AI i współczesna gorączka złota</a></li>
      <li><a href="#proctorio-ikoniec-prześladowania-badacza">Proctorio i koniec prześladowania badacza</a></li>
      <li><a href="#obrywające-korporacje-rolno-spożywcze">Obrywające korporacje rolno-spożywcze</a></li>
    </ul>
  </li>
  <li><a href="#2026rokiem-promowania-federalizacji">2026 rokiem promowania federalizacji?</a></li>
  <li><a href="#plany-na-przyszły-rok">Plany na przyszły rok</a></li>
</ul>

<h2 id="wieści-zbloga">Wieści z bloga</h2>

<h3 id="rok-pracy-upodstaw">Rok pracy u podstaw</h3>

<p>Gdyby oceniać ten rok pod kątem liczby wpisów na stronie głównej, to wypadłby najgorzej od początku istnienia bloga. Między sierpniem a listopadem pojawił się tylko jeden nowy wpis!</p>

<p>Panel aktywności Githuba (na którym trzymam kod źródłowy bloga) pokazuje jednak, że działo się całkiem niemało – i to dokładnie w tym pozornie martwym okresie:</p>

<p class="figure bigspace"><img src="/assets/posts/podsumowania/2025/github-aktualizacje-2025.png" alt="Zrzut ekranu z&nbsp;panelu aktywności Githuba" /></p>

<p>To dlatego, że na pewien czas odłożyłem na bok dłuższe eseje i wziąłem się za tworzenie krótszych poradników oraz minirelacji ze swoich zmagań z cyfrowym światem. Stworzyłem, jeśli dobrze liczę, <strong>13 nowych samouczków i 5 minirelacji</strong>.</p>

<p>Były to głównie rzeczy związane z obsługą wspomnianego już darmowego i otwartego systemu <strong>Linux Mint</strong>.</p>

<p>Poza tym nieco doszlifowałem i dopracowałem dawne poradniki. Żeby nie zanudzać, upchnąłem ich przegląd w rozwijanej zakładce, dla zainteresowanych.</p>

<details class="framed bigspace">
  <summary><strong>Dokładniejsze omówienie zmian</strong></summary>

  <ul>
    <li>
      <p>Dodałem <a href="/galeria" class="internal">widok galerii wpisów</a>, na razie eksperymentalny.</p>

      <p>To ta sama lista wpisów co na stronie głównej, tylko że z obrazkami („banerami”) – jak ten z Mikołajem w przypadku obecnego wpisu.<br />
Być może taka forma bardziej się spodoba osobom przyzwyczajonym do interfejsów z miniaturkami, jak ten na YouTubie. Co kto lubi!</p>

      <p class="post-meta bigspace-after">Przy okazji odkryłem stary błąd: jedna z miniatur mi nie działała przez błąd w ścieżce. Mam też świadomość, że parę najstarszych wpisów jeszcze nie ma swoich miniaturek. Ale to się zmieni :wink:</p>
    </li>
    <li>
      <p>Zmodernizowałem nieco <a href="/tutorials/youtube-dl" class="internal">samouczek</a> dotyczący programu <code class="language-plaintext highlighter-rouge">yt-dlp</code> (od łatwego pobierania filmów i muzyki z różnych serwisów).</p>

      <p>Poprzednia wersja nieco mąciła, wspominając o starszej wersji programu. Z racji tego, że stopniowo odchodzi ona w niepamięć, zepchnąłem ją do osobnej zakładki. Doprecyzowałem też parę innych rzeczy.</p>
    </li>
    <li>
      <p>Zmodernizowałem samouczki dotyczące Pythona.</p>

      <p>Skupiłem się zwłaszcza na obchodzeniu <a href="/tutorials/python-blad-externally-managed-environment" class="internal">irytującego komunikatu o środowisku zarządzanym zewnętrznie</a>.<br />
Wynika on z tego, że popularne Linuksy postanowiły ściśle oddzielić Pythona systemowego od „roboczego”. Nie działa przez to prosta, powszechna komenda od instalowania dodatkowych modułów, zalecana w tysiącach porad dla początkujących.<br />
Moim osobistym zdaniem – ostra rewolucja, która może popsuć wielu osobom początki z Pythonem :roll_eyes: No ale jest jak jest, pozostaje podsuwać rozwiązania.</p>
    </li>
    <li>
      <p>Dodałem parę regułek automatycznie usuwających wiszące spójniki w tytułach wpisów.</p>

      <p>Koniec z nieestetycznymi <code class="language-plaintext highlighter-rouge">i</code> czy <code class="language-plaintext highlighter-rouge">z</code> wiszącymi na końcu linijki. Mała rzecz, ale cieszy moje pedantyczne oczy.</p>
    </li>
  </ul>

</details>

<h3 id="rok-linuksa-umnie-na-pewno">Rok Linuksa? U mnie na pewno!</h3>

<p>Gigant Microsoft w tym roku nieco poleciał w kulki:</p>

<ul>
  <li>wygasza wsparcie dla Windowsa 10;</li>
  <li>w zamian oferuje Windowsa 11, który nie zadziała na niektórych komputerach przez sztuczne wymogi dotyczące sprzętu;</li>
  <li>obciąża wspomnianego nowego Windowsa telemetrią, nachalnymi reklamami i funkcjami AI;</li>
  <li>
    <p>…a do tego now system zawiera irytujące błędy, dotykające najbardzej podstawowych funkcji.</p>

    <p class="post-meta bigspace-after">Mój ulubiony przykład: powolna przeglądarka plików, którą dało się naprawić, celowo wywołując błąd usuwający górny pasek – bo to on był źródłem problemu.<br />
Mam czasem wrażenie, że Microsoft skrycie sprzyja Linuksowi i sabotuje sam siebie.</p>
  </li>
</ul>

<p>Ten splot czynników – wraz z malejącą rolą programów biurowych, wynikającą z przepychania wielu rzeczy do internetu – dał duże szanse otwartej i darmowej alternatywie. Linuksowi.</p>

<p>Jak napisałem we <a href="/2025/04/22/koniec-windows-10-rok-linuksa" class="internal">wpisie, w którym go promuję</a>:</p>

<blockquote>
  <p>Ze swojej strony na pewno stworzę parę przewodników po Linuksie i zachęcam innych do tego samego</p>
</blockquote>

<p>I jak napisałem, tak zrobiłem. Na blogu zagościły liczne poradniki.</p>

<p>Było o instalowaniu Linuksa z pendrive’a. O rozwiązywaniu popularnych błędów. O ustawianiu języka polskiego, zdobywaniu czcionek Microsoftu w celu poprawienia kompatybilności LibreOffice’a…<br />
Ogólnie: rzeczy podstawowe, szczególnie przydatne dla osób wchodzących w nowy, otwarty świat równoległy wobec Windowsa.</p>

<p>Odszedłem też od typowego dla siebie skakania po tematach. Każdy post/samouczek rozwiązuje zwykle jeden konkretny problem, z jakim mogą się zderzyć ludzie przechodzący na Linuksa.</p>

<p>I wygląda na to, że wyszukiwarki nawet polubiły taką formę wpisów. Zarówno DuckDuckGo:</p>

<p class="figure bigspace"><img src="/assets/posts/podsumowania/2025/duckduckgo-linux-mint-ciemna-strona.jpg" alt="Zrzut ekranu z&nbsp;wyszukiwarki DuckDuckGo. Pod hasłem 'libreoffice czcionki z&nbsp;windowsa' wyświetla się post z&nbsp;Ciemnej Strony." /></p>

<p>Jak i Gugiel:</p>

<p class="bigspace-before"><img src="/assets/posts/podsumowania/2025/google-linux-mint-ciemna-strona.jpg" alt="Zrzut ekranu z&nbsp;wyszukiwarki Google. Widać, że jednym ze źródeł wymienionych pod odpowiedzią podaną przez AI jest Ciemna Strona." /></p>

<p class="figcaption">Wprawdzie to tylko mały link obok wyniku wyplutego przez AI… Ale przy Google’u trudno liczyć na więcej.</p>

<p>Linux jest na fali. I choć nie wiem, ile osób ostatecznie zjedna – mając przeciw sobie mechanizmy korporacyjnych powiązań – bardzo fajnie się czuję, mając swój mały wkład w rewolucję. W przyszłym roku będzie jeszcze większy :sunglasses:</p>

<h2 id="wieści-ze-świata">Wieści ze świata</h2>

<h3 id="odtajnione-dokumenty-na-temat-">Odtajnione dokumenty na temat <em class="cover">???????</em></h3>

<p>W USA z wielką pompą, na szczeblu rządowym, ogłoszono publikację dokumentów związanych ze skandalem <em class="cover">????????</em>. Jednak <em class="cover">?????</em> <em class="cover">??????????????</em> danych była <em class="cover">???????</em> czarnymi prostokątami, ocenzurowana.</p>

<p>Popełniono jednak elementarny błąd, o którym <a href="/2021/10/29/zakrywanie-danych" class="internal">pisałem kiedyś na blogu</a> – prostokąty po prostu nałożono na tekst wewnątrz plików PDF. W takiej sytuacji w dokumencie pozostaje i tekst, i prostokąty. <strong>Można normalnie zaznaczać i kopiować to, co się pod nimi ukrywa</strong>.</p>

<p>Niekompetencja czy celowy bunt cenzorów? W sumie nieistotne. W każdym razie chętne osoby mogą <a href="https://news.ycombinator.com/item?id=46368946">zapoznać się z pełniejszymi informacjami</a> niż te zawarte we fragmentach nieocenzurowanych.</p>

<p>Sprawa mnie oczywiście cieszy, bo stoję na stanowisku, że informacje chcą być wolne. Im więcej się ich ujawni, tym lepiej.</p>

<p>Ale czy samo odtajnienie cokolwiek zmienia?<br />
Powiedzmy sobie wprost: już raczej nie jest żadną tajemnicą ani tabu, że każdy kraj ma swoją <strong>kastę oligarchów</strong>. Dogadują się tylko ze sobą, realizują własne interesy, nie liczą się z innymi. I są przy tym bezkarni.</p>

<p>Obawiam się, że społeczeństwo zostało już doprowadzone do takich podziałów i poczucia bezsilności, że nawet najmocniejsze dowody przestępstw nie pchną ludzi do buntu. „No właśnie się pan dowiedział. I co?”.</p>

<blockquote class="bigspace-before">
  <p>Lost in the monochrome as self fades away<br />
Atrocity walks free at the end of all days<br />
There is no hope but what we can make<br />
The last human to stand against fate</p>
</blockquote>

<p class="figcaption">Źródło: <a href="https://www.youtube.com/watch?v=HOLnQEv5JcI"><em>Uberbyte</em>, <em>„Last Human”</em></a> (uwaga: YouTube). <em>Industrial</em> sprzed kilkunastu lat.</p>

<p>Jeśli znieczuleni ludzie na coś zareagują, to raczej na rzeczy dotykające ich bezpośrednio, godzące w ich życie.</p>

<p>…A tak się składa, że takie rzeczy też się szykują. Przykładem współczesne patologie związane z automatyzacją i elastycznymi algorytmami (nazwanymi marketingowo <em>sztuczną inteligencją</em> – AI).</p>

<h3 id="ai-iwspółczesna-gorączka-złota">AI i współczesna gorączka złota</h3>

<p>„AI to rewolucja”. „AI zmienia świat”. Bez wątpienia.<br />
Wiele wskazuje jednak na to, że nie będzie to zmiana, za którą jej architekci zyskają pomniki i wieczną chwałę.<br />
Na ten moment nastroje są zgoła inne, zaś pędzący (postę-)pociąg dużo gniecie i niszczy pod swoimi kołami.</p>

<p>Pominę nawet aspekt zastępowania ludzi i „zabierania pracy”, w wielu branżach jednocześnie. To temat-rzeka, zbyt obszerny na krótką notkę.</p>

<p>Wspomnę zamiast tego o <strong>wielkim, nieposkromionym apetycie AI</strong>.</p>

<p>Po pierwsze: apetycie na dane. Pod tym względem złą sławą cieszy się firma Perplexity, której boty <a href="https://news.ycombinator.com/item?id=42790252">masowo dobijają się do stron</a>, powodując niemalże ataki przeciążające (<em>DDoS</em>). Obsługa ich zapytań nie jest darmowa – koszty utrzymania niewinnych, prostych stronek nagle poleciały w górę.</p>

<p>Po drugie: apetyt na podzespoły, w tym pamięć (RAM).</p>

<p>Już teraz niektóre firmy, węsząc większe zyski, całkowicie olały sektor konsumencki i zaczęły zaopatrywać tylko branżę tworzącą modele AI. A to prowadzi do deficytów różnych podzespołów na rynku, wzrostów cen… I niezadowolenia społecznego.</p>

<p>Po trzecie: apetyt na energię. Prognozy <a href="https://cdn.xcancel.com/pic/orig/26B30BBF499F7/media%2FG6bEfGXX0AAKZkf.jpg">sugerują</a>, że samo tylko OpenAI, jeden z liderów, w ciągu 8 lat może zwiększyć swoje zapotrzebowanie na energię 125-krotnie. Żłopiąc jej więcej niż współczesne Indie z ponad miliardem ludności.</p>

<details class="framed bigspace">
  <summary><strong>Uwag parę o&nbsp;hipokryzji i&nbsp;wyrachowaniu OpenAI</strong></summary>

  <p>Kilka lat temu, gdy pojawiały się pierwsze modele z serii GPT (a o Chacie GPT nikt jeszcze nie mówił), tworząca je organizacja OpenAI była dość zamknięta (wbrew swojej nazwie). Nie ujawniali niczego, co związane z ich modelami.</p>

  <p>Mieli jednak wiarygodną wymówkę – względy bezpieczeństwa. <strong>Twierdzili, że ich modele w złych rękach mogą być groźne, że należy zachować najwyższą ostrożność</strong>. Wprowadzić regulacje i mechanizmy bezpieczeństwa, nim to trafi do ludzi.</p>

  <p>A teraz? Jesteśmy kilka generacji dalej, modele znacznie mocniejsze… A OpenAI dostaje pozwami za to, że ich automat nakłonił trochę osób do samobójstwa.<br />
I będzie ich więcej. Sama firma podaje, że według ich własnych statystyk <a href="https://arstechnica.com/ai/2025/10/openai-data-suggests-1-million-users-discuss-suicide-with-chatgpt-weekly/">ponad milion osób</a> dzieli się z Chatem myślami samobójczymi.</p>

  <p>Co robi w tych warunkach ta och-jakże-odpowiedzialna organizacja, widząc rosnącą zależność niektórych osób od swojego produktu?<br />
Zapowiada wprowadzenie <a href="https://www.insights.uca.org.au/altman-defends-plan-to-introduce-adult-mode-in-chatgpt-sparking-debate-over-ai-boundaries/">funkcji czatów intymnych</a>. „Bo jest na nie popyt”.</p>

  <p>Można teraz dostrzec w innym świetle ich wcześniejsze zapewnienia o odpowiedzialności. Dopuścić do głowy możliwość, że <strong>promowali regulacje tylko po to, żeby zmonopolizować rynek</strong>. Żeby postawiono bariery prawne, które tylko oni przeskoczą.</p>

  <p class="post-meta bigspace-after">Ale przy tym na tyle niskie, żeby nie psuły im interesów; dlatego byli przeciwni regulacjom unijnym.</p>

  <p>A wszelkie słowa o odpowiedzialności? Puste i bezduszne, jak teksty z ich generatorów.</p>

</details>

<p>Wszystkie wspomniane wyżej zasoby, jakie żłopie branża AI, są albo zabierane ludziom, albo wiążą się z utrudnieniem ich życia.</p>

<p>Co więcej, nie tylko firmy od sprzętu i tworzenia algorytmów rzuciły się na AI. Prawie każda, której zależy na inwestorach, próbuje się zaprezentować jako pionier. Trwa taka współczesna gorączka złota.</p>

<p>Microsoft zapowiedział, że Windows to od teraz „agentowy system operacyjny”. Czyli po ludzku: nabity elastycznymi algorytmami, próbującymi na siłę ułatwić użytkownikom życie.</p>

<p class="post-meta bigspace-after">To akurat odbieram pozytywnie, bo to kolejna rzecz – na fali licznych słabości i niedoróbek Windowsa 11 – która może pchnąć ludzi ku alternatywowm.</p>

<p>Nawet <strong>Firefox</strong> poszedł ku gorszemu. Nowy szef Mozilli zapowiedział, że planuje zrobić z niego „współczesną przeglądarkę AI”.</p>

<p>Ogólnie: napieranie do przodu, za wszelką cenę, na wielu frontach, obiecywanie nieograniczonych zysków. A na przekór tym zapewnieniom już zaczęły się wyłaniać różne przeszkody.<br />
<strong>To w końcu rypnie</strong>. A patrząc na to, jak entuzjaści AI w swoim wyścigu kompletnie nie liczyli się z ludźmi – raczej nie będą mogli liczyć na społeczne współczucie.</p>

<h3 id="proctorio-ikoniec-prześladowania-badacza">Proctorio i koniec prześladowania badacza</h3>

<p>Z dobrych wieści – zakończyła się właśnie kilkuletnia sprawa, która szczególnie mnie oburzała.</p>

<p>Kanadyjski badacz, Ian Linkletter, skrytykował kiedyś publicznie amerykańską firmę <strong>Proctorio</strong>, sprzedającą program do automatycznego nadzorowania zdalnych egzaminów (takie „wczesne AI”).</p>

<p>Zdaniem firmy program był niezawodny. Linkletter dowodził, że jest inaczej.<br />
Często błędnie oznaczał osoby o nietypowym wyglądzie i zachowaniu jako potencjalnych oszustów, do dalszej weryfikacji. Niektórzy nauczyciele akademiccy, wierzący w nieomylność algorytmu, robili potem nieprzyjemności.</p>

<p class="post-meta bigspace-after">Miałem okazję wspomnieć o tej sprawie we <a href="/2025/02/10/prywatnosc-maszyny-wirtualne" class="internal">wpisie o prywatności maszyn wirtualnych</a> (bo często się ich używa do ominięcia wspomnianego programu).</p>

<p>Na swoje nieszczęście Linkletter podał w swojej krytyce linki do filmów marketingowych. Firma wprawdzie sama rozsyłała je pracownikom uczelni, ale przy tym miała je ustawione jako niepubliczne.</p>

<p>Firma Proctorio olała krytykę i zamiast tego pozwała badacza, twierdząc że linkowanie do niejawnych filmów było naruszeniem jej praw autorskich.<br />
Sprawa toczyła się pięć lat. Po drodze zostały przetestowane możliwości kanadyjskiego sądownictwa i przepisów przeciw pozwom kneblującym (zawiodły na całej linii).</p>

<p>Ale ostatecznie <a href="https://linkletter.org/update-33-the-lawsuit-is-over/">sprawa zakończyła się ugodą</a>, badacz może wrócić do życia. Można sobie poczytać jego bloga i historię batalii.</p>

<p class="post-meta bigspace-after">Zaś z Proctorio – nie powiem co robić :wink:</p>

<p>Samo zjawisko pozwów kneblujących (tak zwanych SLAPP-ów; <em>strategic lawsuits against public participation</em>) jest niestety dość częste. Czasem opierają się na prawie autorskim, jak tutaj albo w przypadku <a href="/2025/01/05/podsumowanie-2024-roku#newag-ici%C4%85g-dalszy-afery" class="internal">sporu z firmą Newag</a>, producentem pociągów.</p>

<p>Innymi przepisami używanymi do celów duszenia krytyki są te związane ze zniesławieniem (Kodeks Karny) i naruszeniem dóbr osobistych (Kodeks Cywilny). Więcej napisałem o nich we <a href="/corponomicon/2025/03/17/slapp-efekt-mrozacy" class="internal">wpisie z serii <em>Corponomicon</em></a>.</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/grozba-za-propagandyste.jpg" alt="Zrzut ekranu z&nbsp;portalu społecznościowego, na którym pewien człowiek pisze, że po wysłaniu pisma przez pełnomocniczkę pewien człowiek go przeprosił za naruszanie dóbr osobistych. Wyraża też nadzieję, że będzie to przestrogą dla innych internautów" /></p>

<h3 id="obrywające-korporacje-rolno-spożywcze">Obrywające korporacje rolno-spożywcze</h3>

<p>Ten rok przyniósł parę ciekawych potyczek między korporacyjnym marketingiem a jego przeciwnikami i demaskatorami.</p>

<p>Swego czasu napisałem o nieetycznym marketingu wokół <a href="/2024/10/01/nestle-mleko-dla-niemowlat-afryka" class="internal">mleka zastępczego dla niemowląt</a>. Przodowała w tym grupa <em>Fed is Best</em>. Zaczęła jako neutralna, twierdząca że zależy im tylko na dobrostanie mam (czymkolwiek by nie karmiły).</p>

<p>Po zdobyciu popularności zaczęli jawnie uderzać w wytyczne Światowej Organziacji Zdrowia, promować mieszanki i zniechęcać do karmienia piersią.</p>

<p>W styczniu tego roku ich profil został strącony z rowerka przez nieznanych hakerów. Właścicielki odzyskały dostęp, ale wiele treści zniknęło. Obecnie profil jest cieniem siebie.</p>

<p>Trochę żałuję, że nie zdążyłem zarchiwizować licznych komentarzy i pokazać, jakie mechanizmy manipulacji były stosowane na grupie, jak duszono głosy krytyczne. No trudno.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Od czasu opisania afery znalazłem <a href="https://thebreastfeedingfoundation.substack.com/p/the-documented-origin-of-fed-is-best">arcyciekawy artykuł</a>, który opisuje, że za pierwotnym sloganem <em>Fed is Best</em> stała firma Abbott oraz agencja Ogilvy; potem inne firmy podchwyciły hasło.</p>
    
  </div>
</div>

<p>W przypadku firm z branży korporolnictwa (handel nasionami i chemią rolniczą) nie odnotowałem większych upadków; w ich przypadku powiedziałbym raczej, że <strong>ten rok był rokiem precyzyjnego demaskowania</strong>.</p>

<p>Z pewnego czasopisma naukowego wycofano w końcu <a href="https://cen.acs.org/research-integrity/misconduct/Glyphosate-study-2000-retracted-amid/103/web/2025/12">artykuł na temat pewnego herbicydu</a> ze względu na konflikt interesów jego autorów.<br />
Ponownie: nie jest to żadna nowość. W mailach wewnętrznych firmy Monsanto, znanych od lat, wprost sugerowano, że to publikacja na zlecenie. Ale dobrze, że wydawnictwo naukowe też się po latach wzięło za zwalczanie patologii.</p>

<p>Swoją cegiełkę do punktowania korpo dorzucił również youtuber działający pod nickiem Veritasium, jeden z najpopularniejszych twórców zajmujących się popularyzacją nauki.</p>

<p>Opublikował w tym roku <a href="https://www.youtube.com/watch?v=CxVXvFOPIyQ">film na temat afer wokół firmy Monsanto</a>, który zebrał 17 milionów wyświetleń. Ominął przy tym popularne pułapki czy szarlatanów doklejonych do tematu i zaserwował samo mięso, wskazując realne machlojki.</p>

<p>Co więcej, wprawne oko może dostrzec w komentarzach pod filmem narracje – a nawet konkretne trollkonta – jakie punktowałem parę lat wcześniej <a href="/2022/12/24/biotechnologia-trolle-youtube" class="internal">w swoim wpisie</a>. Pięknie się to wszystko zazębia!</p>

<p class="post-meta bigspace-after">Oczywiście Veritasium ma też swoje cienie, a pochwała tego filmu nie oznacza z mojej strony rekomendacji ogólnej; wiem, że kiedyś np. bezkrytyczne promowali samojezdne auta firmy Waymo.<br />
Sam film również miał wady – niepotrzebnie użyto w nim fragmentów nagrań z rosyjskiej telewizji. Było to tylko kilkanaście sekund migawek z protestów, ale to wystarczyło, żeby dać oponentom amunicję.</p>

<details class="framed bigspace">
  <summary><strong>I jeszcze aferka Bonus Eventus z&nbsp;jesieni 2024&nbsp;roku</strong></summary>

  <p>Nie zalicza się to wprawdzie do 2025 roku, ale i tak ją tu dodam, bo sprawa jest bardzo ciekawa.</p>

  <p>Mianowicie: grupa poważnych portali zajmujących się dziennikarstwem śledczym nagłośniła <a href="https://rsf.org/en/usa-rsf-condemns-agrochemical-industry-s-shameful-practice-profiling-and-slandering-environmental">aferę Bonus Eventus</a>. Zinfiltrowali platformę internetową, na której branża i politycy z amerykańskich agencji odpowiedzialnych za żywność wprost wymieniali się informacjami, narracjami, a nawet danymi krytyków.</p>

  <p>Dziennikarze ujawnili między innymi próbki maili propagandowych, jakie regularnie otrzymywali subskrybenci strony. Wśród nich – trochę nazwisk, które już wcześniej przewijały się w różnych odtajnionych mailach.</p>

  <p>Właściciele tych nazwisk dotąd konsekwentnie zaprzeczali swoim branżowym powiązaniom. No to teraz muszą zaprzeczać mocniej :smiling_imp:</p>

</details>

<p>Ogólnie widać, że nie są to już lata 2015-2019, kiedy korporolnictwo wydawało się chronione niezniszczalną tarczą propagandy.</p>

<p><strong>Reakcje ludzi – pod filmem Veritasium i nie tylko – wydają się mocnym dowodem na to, że nastawienie społeczne się zmienia</strong>. Podobnie jak przy Linuksie – tworzy się niepowtarzalna okazja, żeby się przebić, uderzyć w gigantów.</p>

<p>U siebie również mam nieco nagromadzonych materiałów na temat korporolnictwa. Kto wie, może pójdę za <em>Zeitgeistem</em> i też je dorzucę? :smiling_imp:</p>

<h2 id="2026rokiem-promowania-federalizacji">2026 rokiem promowania federalizacji?</h2>

<p>W obliczu napięć między USA a resztą świata, w tym Unią Europejską, nie dziwią dążenia Europy ku suwerenności, w tym również cyfrowej. Rozwijanie własnych usług i platform na terenie Unii, uniezależnienie się.</p>

<p>Ogólnie mnie to cieszy; w końcu pokrywa się z wieloma moimi poglądami.</p>

<p>Jestem przeciw <em>big techom</em> i cyfrowej kolonizacji. Umiałem docenić regulacje takie jak prywatnościowe GDPR czy antymonopolowe DMA.<br />
Poza tym zyskiwanie niezależności pewnie by się opierało na świecie <em>otwartego kodu źródłowego</em>, który tak przecież chwalę.</p>

<p>Mam jednak problem z tym, że na tle słów o suwerenności zaczęły się uaktywniać konta, które promują bardzo konkretną jej wersję – <strong>federalizację</strong>. „Stany Zjednoczone Europy”.</p>

<p>Żeby nie było, że sobie to zmyślam – portal <em>Politico</em> również <a href="https://www.politico.eu/article/mario-draghi-push-pragmatic-federalism-get-europe-out-predicament/">wspomina, że to szerszy ruch</a>. Orędownikiem jest między innymi Mario Draghi, były szef Europejskiego Banku Centralnego.</p>

<p>Oto widzę na portalach społecznościowych jednostronne komentarze promujące federalizację, wstawione jako odpowiedzi pod zwykłymi wpisami o Europie (<a href="https://xcancel.com/MaBo974/status/1973884861258907818#m">„Stwórzmy Stany Zjednoczone Europy! Tu i teraz!”</a>).<br />
Zostawiają je jednowymiarowe konta, których całe „jestestwo” (nazwa i profil) obraca się wokół federalizacji.</p>

<p>Oto widzę, jak osoba z Polski nazywana przez niektórych płatnym propagandystą – i ewidentnie działająca dotąd w interesie biznesu zagranicznego, nie Unii – zaczyna nagle wrzucać treści chwalące jedność Europy, niepasujące do swojej dotychczasowej twórczości.</p>

<p>…I przypominam sobie, jak niedawno portal Wykop był zalewany postami nazywającymi Unię skansenem, zostającym w ogonie innowacji. Posty na jedno kopyto, zbierające nie wiadomo skąd po kilkaset plusów.</p>

<p>Urabianie ludzi, jak smarowanie brytfanny masłem.<br />
A zaraz po tym wjechało mięcho – raport wspomnianego wyżej Draghiego. Wspominający, że żeby nie zostać w tyle, Unia powinna osłabić przepisy regulujące AI i ochronę danych. Niejedno korpo się pewnie ucieszyło.</p>

<p>I dochodzę w tym wszystkim do wniosku, że <strong>federalizacja nie jest promowana oddolnie</strong>. Że to jakaś kampania.</p>

<p>A czy to coś złego? Mam mieszane uczucia. Osobiście cenię w Unii kilka warstw „filtrowania” – unijną i krajową. Dzięki temu, że sito jest gęste, udaje się blokować patologie takie jak pomysł kontroli czatów (wypłynął z USA, poparła go Komisja, utknął na Parlamencie).</p>

<p>Gdyby federalizacja miała w ostateczności zwiększać centralizację i osłabić to filtrowanie – to nie zyska mojego poparcia. Bo stawianie świata na jednym wąskim filarze <a href="/serie/cyfrowy_feudalizm/" class="internal">krytykuję od dawna</a>.</p>

<p>Na ten moment zachowuję otwartą głowę, ale przeczucia mam złe. Pozostaje zobaczyć, co przyszły rok przyniesie.</p>

<h2 id="plany-na-przyszły-rok">Plany na przyszły rok</h2>

<p>Od strony aferowej będzie więcej o AI (planuję na początku roku opisać patologie, z jakimi mierzą się osoby od tagowania danych). Będzie więcej punktowania propagandy, w tym wspomniane już materiały o korporolnictwie.</p>

<p>Będzie o śledzących zastosowaniach czujników smartfona (chciałem wrzucić w tym roku, ale temat okazał się rozleglejszy niż myślałem – ostatecznie rozbiję go na dwa wpisy).</p>

<p>W przyszłym roku na pewno wspomnę o zaletach prywatnościowych <strong>trybu ulotnego (<em>live</em>)</strong>, czyli ładowania czystego systemu z pendrive’a prosto do pamięci, z pominięciem trwałego zapisu na dysku.</p>

<p>Będzie też o <strong>adresie MAC</strong>, dzięki któremu hotspoty mogą identyfikować nasze urządzenie i wyławiać nas z tłumu. Rzecz wredna, ale często łatwa do maskowania.</p>

<p class="post-meta bigspace-after">Zarówno tryb <em>live</em>, jak i losowy adres MAC to atuty prywatnościowego systemu <em>Tails</em>. Będzie dobra okazja, żeby go poznać od podszewki.</p>

<p>Jeśli wena dopisze, to chciałbym też poświęcić nieco uwagi programowi <strong>OpenSnitch</strong>, który pozwala monitorować wszystkie interakcje naszych programów z zewnętrznymi serwisami. A także blokować te niechciane.<br />
To świetny sposób na podejrzenie, co różne programy wysyłają w świat i na zyskanie odrobiny władzy nad swoim sprzętem. Można nieco się przestraszyć tym, jak „gadatliwy” bywa nawet najspokojniejszy system.</p>

<p>To tyle z zapowiedzi. Życzę sobie i Wam przyjemnego witania 2026 roku! :metal:</p>]]></content><author><name></name></author><category term="AI" /><category term="Manipulacja" /><category term="Open Source" /><category term="Rolnictwo" /><summary type="html"><![CDATA[Rok Linuksa, pracy u podstaw i ludzkiego oporu.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/podsumowania/2025/linux-podsumowanie-2025-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/podsumowania/2025/linux-podsumowanie-2025-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Między TikTokiem a unijnym DSA. Bój o dziecięce social media</title><link href="https://www.ciemnastrona.com.pl/2025/12/03/tiktok-korpo-kontra-dsa.html" rel="alternate" type="text/html" title="Między TikTokiem a unijnym DSA. Bój o dziecięce social media" /><published>2025-12-03T09:00:00+00:00</published><updated>2025-12-03T09:00:00+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/12/03/tiktok-korpo-kontra-dsa</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/12/03/tiktok-korpo-kontra-dsa.html"><![CDATA[<p>Kolejny raz robię małą przerwę od tworzenia samouczków na temat Linuksa, bo oto kilka tygodni temu wypłynęła aferka, którą uważam za wartą nagłośnienia.</p>

<blockquote class="bigspace">
  <p>brzydki atak ze strony Pani Magdaleny Bigaj, samozwańczego Robin Hooda polskiego internetu.</p>
</blockquote>

<p>Takich słów użył Wiceminister Cyfryzacji, kiedy właścicielka pewnej fundacji skrytykowała kampanię <strong>TikToka</strong>. Popularnej platformy, która wypromowała koncepcję social mediów opartych na krótkich, uzależniających filmikach.</p>

<p>Skrytykowana kampania ociepla wizerunek firmy i przedstawia ją jako potencjalne rozwiązanie problemów, a nie ich źródło. Wydaje się odpowiedzią na nadciągające zmiany prawne, które mogą oderwać od TikToka sporą część najmłodszych, najsilniej wciągniętych odbiorców.</p>

<p>Pod fasadą życia codziennego trwa niewidoczna wojenka. Przepychanka między Unią a korporacjami, która może zmienić życie młodszych pokoleń. Mam przyjemność nieco ją przybliżyć w tym wpisie.</p>

<p>Zapraszam!</p>

<p class="bigspace-before"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/tiktok-vs-polski-robin-hood-baner.jpg" alt="Dwa kadry z&nbsp;animowanego Robin Hooda umieszczone obok siebie. Na lewym Robin mierzy z&nbsp;łuku. Na prawym widać szarżujących strażników, na których nałożono logo TikToka. Pchają przed sobą księcia Jana, podpisanego jako Ministerstwo Cyfryzacji." /></p>

<p class="figcaption">Źródła: <a href="https://www.youtube.com/watch?v=UoDE3lY0KXA">scena z zamku</a> (uwaga, YouTube!) z odświeżonej wersji „Robin Hooda” z 1973 roku, logo TikToka. Przeróbki moje.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#unijny-akt-ousługach-cyfrowych">Unijny Akt o usługach cyfrowych</a></li>
  <li><a href="#walka-okrajowe-wdrożenie-dsa">Walka o krajowe wdrożenie DSA</a></li>
  <li><a href="#strona-niekorporacyjna">Strona niekorporacyjna</a></li>
  <li><a href="#strona-korporacyjna">Strona korporacyjna</a></li>
  <li><a href="#kampania-tiktoka">Kampania TikToka</a>
    <ul>
      <li><a href="#krytyka">Krytyka</a></li>
      <li><a href="#reakcja-na-krytykę">Reakcja na krytykę</a></li>
    </ul>
  </li>
  <li><a href="#ciąg-dalszy-nastąpi">Ciąg dalszy nastąpi?</a></li>
</ul>

<h2 id="unijny-akt-ousługach-cyfrowych">Unijny Akt o usługach cyfrowych</h2>

<p>Wszystko zaczęło się od wejścia w życie unijnego rozporządzenia zwanego <strong><em>Aktem o usługach cyfrowych</em> (<em>Digital Services Act</em>, w skrócie DSA)</strong>.</p>

<p>Zanim przejdę do samego aktu, umieszczę go w kontekście innych przepisów.</p>

<p>Osobiście jestem człowiekiem raczej sprzyjającym Unii. To żadna tajemnica, łatwo można odczytać to nastawienie z moich dotychczasowych wpisów. Nie oznacza to jednak, że przyjmuję entuzjastycznie wszystkie regulacje.</p>

<p>Pozytywny stosunek mam na przykład do dyrektywy Omnibus, nakazującej podawanie najniższej ceny produktu z ostatnich 30 dni. Fajny sposób na ukrócenie zjawiska fałszywych promocji.</p>

<p>Cenię także GDPR/RODO od danych osobowych. Mimo paru uciążliwości dla mniejszych organizacji i problemów z egzekwowaniem, przepisy te dają oręż w walce z naruszaniem prywatności i ujawniają skalę śledzenia w internecie.</p>

<p class="post-meta bigspace-after">Są też korzyści uboczne. Te przepisy pozwoliły np. francuskiemu urzędowi od ochrony danych <a href="/2022/12/24/monsanto-posilac-roundup#front-szpiegowski" class="internal">dojechać korporację Bayer</a> za tworzenie „teczek” z dokładnymi danymi krytyków firmy.</p>

<p>Ale, żeby nie było zbyt różowo, z Unii spływają też potworki. Takie jak <a href="/2023/10/19/chat-control" class="internal">kontrola czatów</a>. Łącząca w sobie najgorsze korpo-polityczne zakusy: walkę z prywatnością i powierzanie wrażliwych spraw niejasnym algorytmom (zwanym potocznie AI).</p>

<p>Przepychana łokciem i kolanem, rok w rok, w sposób niejawny, z użyciem licznych manipulacji (jak kupno reklam profilowanych omijających krytyków). Nie szczędziłem jej gorzkich słów, a obecnie dorzuciłbym ich dużo więcej.</p>

<p>Umawiany tutaj DSA umieściłbym gdzieś pomiędzy wymienionymi skrajnościami. W najogólniejszym ujęciu: to przepisy, które mają ukrócić samowolę dużych platform (jak TikTok, YouTube, Facebook…).<br />
<strong>Zacieśnią wymogi dotyczące moderacji treści</strong>, a także wymuszą sprawniejszą komunikację między dużymi platformami a instytucjami krajowymi (np. polskim Urzędem Komunikacji Elektronicznej).</p>

<p>To, czym przepisy są na powierzchni, mógłbym nawet docenić. Ale kiedy pomyślę o tym, do czego mogą zostać użyte w praktyce, to już zapala się mała żółta lampka w głowie.</p>

<details class="framed bigspace">
  <summary><strong>Więcej przemyśleń na temat DSA</strong></summary>

  <p class="bigspace-before">Za najciekawsze <a href="https://pl.wikipedia.org/wiki/Akt_o_us%C5%82ugach_cyfrowych">cechy nowych przepisów</a> uważam dwie właściwości.</p>

  <ul>
    <li>
      <p>Wprost wskazują z nazwy duże platformy, do których się odnoszą.</p>

      <p>Moim zdaniem powiew świeżości w świecie, gdzie dotąd próbowało się tworzyć przepisy jednolite i zarzucić jedną sieć na wszystkie możliwe podmioty. A to niezbyt się sprawdzało.<br />
DSA już nie udaje, że małe portale są tym samym co cyfrowi giganci. Wprost bierze na celownik tych drugich.</p>
    </li>
    <li>
      <p>Narzucają wymóg większej współpracy tych platform z organami państwowymi.</p>

      <p>Platformy muszą reagować na zgłoszenia nielegalnych treści, uzasadniać swoje decyzje dotyczące usuwania kont/treści. Mają się także poprawić możliwości mediacji w przypadku sporów.</p>
    </li>
  </ul>

  <p>W scenariuszu pozytywnym dzięki DSA dałoby się sprawniej strącać z rowerka oszustwa wykorzystujące wizerunek znanych osób do nagonienia ludzi na trefne „inwestycje”. Póki co platformy niezbyt współpracowały w tym zakresie.</p>

  <p>Inny możliwy pozytyw? Osoby, którym platforma niesłusznie usunęła konto, mogłyby w końcu walczyć o swoje prawa, zwracając się do odpowiednika Rzecznika Praw Konsumenta.</p>

  <p>W scenariuszu negatywnym władze państwowe mogłyby natomiast wykorzystać sprawniejszą komunikację z platformami do tłumienia oporu. Niejedna osoba obawia się, że DSA posłuży do cenzury.</p>

  <p>Osobiście mam mieszane uczucia co do tych przepisów i zdecydowanie więcej sympatii odczuwam wobec DMA, bliźniaczej regulacji (tłumiącej cyfrowe monopole i również wskazującej z nazwy konkretne platformy). Do krytyki DSA jeszcze wrócę pod koniec.</p>

</details>

<p>Związek DSA z dziećmi opiera się głównie na wspomnianym wymogu moderacji, utrudniania dostępu do treści „szkodliwych” i nielegalnych. Ogólnik? Jak najbardziej; jak zobaczycie, spór toczy się na poziomie konkretyzacji.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">W ostatnich dniach mogła wam mignąć informacja o ustaleniu minimalnego wieku korzystania z <em>social mediów</em> na poziomie 16 lat na poziomie całej Unii. Faktycznie, w Parlamencie Europejskim odbyło się głosowanie na ten temat, a pomysł został <a href="https://www.dw.com/en/eu-lawmakers-back-plan-for-social-media-age-rules/a-74909572">poparty przez większość głosujących</a>.<br />
Można to jednak traktować co najwyżej jak sondaż, bo <strong>głosowanie nie prowadzi do powstania nowego prawa</strong>.<br />
Cały czas poruszamy się w tym wpisie w obrębie DSA oraz jego wdrażania w Polsce. Inne przepisy to sprawy poboczne, niezwiązane z naszą.</p>
    
  </div>
</div>

<h2 id="walka-okrajowe-wdrożenie-dsa">Walka o krajowe wdrożenie DSA</h2>

<p>Czyli DSA weszło, koniec z samowolką dużych platform, sprawa rozwiązana? Nie do końca. Kluczowy jest tutaj fakt, że <strong>przepisy unijne narzucają tylko ogólne ramy</strong>. To władze poszczególnych krajów dopasowują je do swoich realiów.</p>

<p>Właściciele dużych platform, dociśnięci na poziomie unijnym, mają jeszcze pewne pole manewru. Pokażę to na uproszczonym, zmyślonym przykładzie, na razie bez konkretnych nazw.</p>

<p>Powiedzmy, że Unia mówi ogólnik: „duże platformy muszą stosować zabezpieczenia, żeby nie dopuszczać dzieci do szkodliwych treści”. A teraz prawodawcy krajowi mają na tej podstawie stworzyć przepisy. Korporacje zastanawiają się zaś, jak to rozcieńczyć.</p>

<ul>
  <li>Czym są „zabezpieczenia”? Może wystarczy pod to podpiąć zwykłe okno z pytaniem, łatwe do odkliknięcia?</li>
  <li>Czym są „dzieci”? Może uda się pod to podczepić tylko osoby tak młode, że i tak nie korzystają z platformy?</li>
  <li>Czym są „szkodliwe treści”? Może dałoby się tak nagiąć definicję, żeby nie obejmowała na przykład „miękkiego hazardu”, a jedynie rzeczy tak czy siak nielegalne?</li>
</ul>

<p>Jakieś pozory zostają oczywiście zachowane. Spotykając się z politykami, żaden lobbysta nie powie wprost: „nie ograniczajcie, bo nie chcę!”.<br />
Powie coś w stylu: „nadmierna regulacja może odebrać dzieciom dostęp do treści edukacyjnych”. I powoła się na jakieś korzystne dla siebie badanie, wyciągając je z teczki na oczach polityków.</p>

<p class="post-meta bigspace-after">Jakieś na pewno znajdzie, niezależnie od stanu faktycznego. Gwarantuję.</p>

<p>Politycy słuchają i kiwają głowami. Ale nadal jest pewien element wahania. Czy pójście korposowi na rękę nie zaszkodzi politycznej karierze?</p>

<p>Z tego względu w takich sytuacjach trwa równoległe urabianie opinii publicznej. Jak smarowanie brytfanny masłem. Można włożyć do piekarnika i bez tego, ale wtedy coś się może sfajczyć.</p>

<p>Korporacja liczy na to, że pewne minimum społecznego poparcia – plus badania i inne rzeczy pokazywane politykom, wyciągane z teczki – doprowadzą do korzystnej dla niej interpretacji.</p>

<p>Tak wyglądają kontakty polityczno-korporacyjne, tak wygląda budowanie wpływów. Tak, niestety, wygląda świat. Mnóstwo korporacji napiera w ten sposób, gdy tylko mają okazję.</p>

<p>W naszej historii możemy wyróżnić <strong>trzy strony sporu – korporacyjną, niekorporacyjną oraz rządową</strong>. Dwie pierwsze się spierają, rządowa słucha (choć czasem, jak pokazałem na początku, coś wtrąci).<br />
Przybliżę teraz pokrótce dwie aktywniejsze, przeciwstawne strony.</p>

<h2 id="strona-niekorporacyjna">Strona niekorporacyjna</h2>

<p>W tej historii za główną twarz oporu można uznać <strong>Magdalenę Bigaj</strong>.</p>

<p>To prezeska fundacji Instytut Cyfrowego Obywatelstwa. Od dawna zwraca uwagę na uzależniające działanie różnych internetowych platform i ich patologie, a także na zalety płynące z utrzymywania higieny cyfrowej.</p>

<p>Nieraz wchodziła w <a href="https://xcancel.com/panoptykon/status/1644013377763540993">interakcje</a> z Fundacją Panoptykon, która skupia się w szczególności na prywatności.</p>

<p class="post-meta bigspace-after">Gdyby link nie działał, to można w nim zmienić <em>xcancel.com</em> na <em>x.com</em>. Podobnie w przypadku innych linków do Twittera/X.</p>

<p>Sprzeciw wobec większych graczy nie jest jej obcy. Jak <a href="https://xcancel.com/magdabigaj/status/1764698408986526161#m">napisała</a> w swoim tweecie z 4 marca 2024 r., cytując fragment wywiadu dla miesięcznika „Znak”:</p>

<blockquote>
  <p>mamy przeciwko sobie kartele technologiczne. Nie tylko ich twórcy, lecz także korzystający z nich reklamodawcy, twórcy treści, a nawet politycy zarabiają na naszej uwadze.</p>
</blockquote>

<p>W zajawce promującej inny wywiad pisze bardziej bezpośrednio:</p>

<blockquote class="bigspace">
  <p>Nie możemy zgadzać się na miękką korupcję w białych rękawiczkach</p>
</blockquote>

<p>W kontekście obecnej sprawy szczególnie interesujące jest natomiast to, że pani Bigaj jest <strong>współautorką <a href="https://higienacyfrowa.pl/publikacje/internet-dzieci/#pobierz">raportu „Internet Dzieci”</a></strong> z marca tego roku.<br />
Raport pokazuje, że młode osoby chłoną to, co w internecie najgorsze. Często podczas korzystania z wielkich platform – bo formalne ograniczenie wiekowe, pozwalające korzystać z nich tylko osobom powyżej 13. roku życia, to wydmuszka łatwa do obejścia.</p>

<p>Osobiście, widząc jakieś raporty „w obronie dzieci”, odruchowo się najeżam. Już zbyt często robiono z młodocianych wymówkę, żeby przepchnąć drakońskie przepisy.</p>

<p>W tym przypadku zalecenia raportu wydają się jednak całkiem racjonalne (str. 75 pliku PDF) i nie wygląda mi na konia trojańskiego. Jest o poprawie edukacji, ograniczeniach dla reklamodawców, niepublikowaniu wizerunków. Nie ma patologicznej walki z szyfrowaniem, a to cieszy.</p>

<p class="post-meta bigspace-after">Dodam jednak, że punkt o dyrektywie 2011/93/UE brzmi enigmatycznie. Mam też parę zastrzeżeń do poglądów współtwórcy raportu. Ale o tym bliżej końca wpisu.</p>

<p>Inną postacią stawiającą opór ekspansji TikToka – choć w tej sprawie raczej gościnnie, z drugiej linii – jest <strong>Sylwia Czubkowska</strong>.</p>

<p>To autorka dwóch książek na temat szeroko pojętego lobbingu i forsowania korporacyjnych wpływów: „Chińczycy trzymają nas mocno” oraz „Bóg techy”.</p>

<p>Obie panie wymienione z nazwiska mają długą historię punktowania wielkich firm technologicznych. Nie należą do osób, które krytykują TikToka, ale pobłażają przy tym molochom z USA.</p>

<h2 id="strona-korporacyjna">Strona korporacyjna</h2>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Drobna uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Zgodnie z konwencją przyjętą od początku istnienia tego bloga – skracam nazwiska niektórych osób i częściowo zakrywam wizerunki. Nie ma potrzeby doszukiwać się tu drugiego dna, po prostu taki drobny kaprys :wink:</p>
    
  </div>
</div>

<p>Głównym graczem po przeciwnej stronie jest TikTok. Platforma z krótkimi filmikami, której zarzuca się <a href="https://sites.brown.edu/publichealthjournal/2021/12/13/tiktok/">uzależnianie użytkowników</a> oraz spychanie ich ku <a href="https://www.amnesty.org/en/latest/news/2023/11/tiktok-risks-pushing-children-towards-harmful-content/">treściom szkodliwym dla zdrowia</a>. Ten wizerunek to ciężar, który chętnie by z siebie zrzucili.</p>

<p>Zanim napiszę, w jaki sposób się za to wzięli, spójrzmy na pewną organizowaną przez nich konferencję, którą odwiedziło grono potencjalnych sojuszników.</p>

<p>Można ich wszystkich podejrzeć w jednym <a href="https://www.instagram.com/marcelina_maciag/p/DRAoroDkt6O/">poście z Instagrama</a>. Dzięki uprzejmości niejakiej Marceliny M., działającej w „młodzieżówce” TikToka (<em>TikTok Global Youth Council</em>), która wszystkich oznaczyła.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Wspomniana Marcelina, przebywająca w USA, działa publicznie nie tylko w młodzieżówce TikToka, ale również w innej, promującej… <a href="https://www.instagram.com/marcelina_maciag/p/DH22fXjNoqz/">NATO</a>.<br />
Byłaby ta całkiem niezła dywersyfikacja od strony geopolitycznej, gdyby nie to, że TikTok <a href="https://www.brookings.edu/articles/tiktok-may-not-be-chinese-owned-anymore-but-there-still-is-a-privacy-problem/">nie jest już tak całkiem chiński</a>.</p>
    
  </div>
</div>

<p>A wracając do wymienionych organizacji i osób, które pojawiły się na konferencji:</p>

<ul>
  <li>
    <p>Fundacja SEXEDPL</p>

    <p>Znana organizacja prowadząca kampanie społeczne. Główna siła napędowa całej kampanii. Zaraz będzie nieco dokładniejszy opis.</p>
  </li>
  <li>
    <p>Antonina „Tosia” K.</p>

    <p>Ściśle współpracująca z Fundacją SEXEDPL, wcześniej jedna z członkiń <a href="https://xcancel.com/MZ_GOV_PL/status/1778757520535781493#m">zespołu</a> powołanego przez Ministerstwo Edukacji, układającego program nauczania edukacji zdrowotnej.</p>
  </li>
  <li>
    <p>„Socjolożki.pl”, czyli Dorota P. i Katarzyna K.-Z.</p>

    <p>Działają głównie na Instagramie, ale mają też konto na Twitterze (zwanym czasem X). Poza prowadzeniem social mediów aktywnie zajmują się badaniami społecznymi. Jak piszą o sobie w biogramie: „partnerki firmy badawczej IRCenter”.</p>

    <p>Można znaleźć <a href="https://xcancel.com/socjolozkipl/status/1819299342286528999#m">wątek</a>, w którym wypowiadają się na temat nowego zespołu do spraw etyki badań (z udziałem dzieci). Chciały, żeby prywatne firmy miały większy wpływ na procesy decyzyjne.</p>

    <blockquote>
      <p>Czujemy gorycz, ponieważ w inicjatywie tej został pominięty biznes – czyli badania rynkowe. (…) Czujemy gorycz, ponieważ przedstawiciele agencji badawczych mają ogromne doświadczenie w realizacji badań z dziećmi i mogliby być cennym źródłem wiedzy.</p>
    </blockquote>
  </li>
  <li>
    <p>Przemysław „Przemek” S.</p>

    <p>Nauczyciel i twórca internetowy, wypowiadający się w tematach psychologii, filozofii i edukacji.</p>
  </li>
  <li>
    <p>Caroline M. z sieci popularyzatorskiej WHO Fides.</p>

    <p>O niej więcej w rozwijanej ciekawostce. Nie wydaje się mieć większego wkładu w polską sprawę, ale może sugerować jej międzynarodowy wymiar.</p>
  </li>
</ul>

<details class="framed bigspace">
  <summary><strong>Wątek WHO Fides (ciekawostka)</strong></summary>

  <p class="bigspace-before">WHO to Światowa Organizacja Zdrowia, zaś Fides to sieć różnych internetowych twórców wypowiadających się w temacie zdrowia publicznego. Można znaleźć <a href="https://link.springer.com/article/10.1186/s12982-025-00777-2">artykuł z czerwca</a> wprost mówiący o tym, że nawiązali współpracę z TikTokiem – choć mam nadzieję, że w kwestii budowania zasięgów, a nie promowania konkretnych rzeczy.</p>

  <p class="post-meta bigspace-after">Swoją drogą nie obraziłbym się, gdyby ta ich sieć popularyzatorska nieco skontrowała <a href="/2024/10/01/nestle-mleko-dla-niemowlat-afryka" class="internal">propagandę producentów mleka dla niemowląt</a>, która próbuje aktywnie rozmontować wytyczne WHO.</p>

  <p>…Ale mam pewne wątpliwości co do ich zasięgu, patrząc na to, że ich kanał na TikToku zawiera jeden film wyświetlony od 2024 roku łącznie 2000 razy, a profil śledzi obecnie 425 osób :roll_eyes:</p>

  <p>W każdym razie obecność kogoś z WHO na wydarzeniu promującym spojrzenie TikToka może budzić uniesienie brwi. Chętni mogą co pewien czas skanować internet w poszukiwaniu ewentualnych powiązań między tymi dwoma podmiotami.</p>

</details>

<p>Filarem całej akcji jest Fundacja SEXEDPL, więc poświęcę nieco uwagi im oraz ich współpracy z <strong>Uberem</strong>. Mającej pewne znaczenie dla sprawy, bo historia lubi się powtarzać.</p>

<h3 id="więcej-ofundacji-sexedpl">Więcej o Fundacji SEXEDPL</h3>

<p>Oficjalnie to fundacja zajmująca się promowaniem edukacji seksualnej wśród młodzieży. Swoją twarzą firmuje ją znana modelka i była uczestniczka programu „Top Model”, Anja R.</p>

<p class="post-meta bigspace-after">Tak, przez <em>jot</em>. „Ja nie jestem taka pierwsza lepsza Ania”.</p>

<p>Ich inicjatywy budzą raczej pozytywne emocje. „Tam, gdzie szkoła sobie nie radzi, tam uzupełnimy wiedzę”. „Jesteśmy pełni zrozumienia”. „Jesteśmy otwarci na pytania, nikogo nie wykluczamy”.<br />
Taki przekaz płynie z ich komunikatów – niekiedy wyświetlanych nawet na miejskich teleekranach reklamowych. Na których biedniejsze fundacje raczej nie zagoszczą.</p>

<details class="framed bigspace">
  <summary><strong>Śmieszkowątek o&nbsp;bojach z&nbsp;Wikipedią</strong></summary>

  <p>Gdyby spojrzeć na <a href="https://pl.wikipedia.org/w/index.php?title=Sexed.pl&amp;action=history">historię zmian</a> wpisu na temat Fundacji na Wikipedii, to wyłania się ciekawa przepychanka.</p>

  <p>Pierwszą wersję wpisu opublikowała użytkowniczka o nicku Jagodela dnia 18 maja 2021 roku, w dniu założenia konta. Była ona (wersja!) dość sucha i pozbawiona jakichkolwiek odnośników do źródeł.</p>

  <p>25 maja jakiś wikipedysta A wycofał wpis do poczekalni z adnotacją „Artykuł należy dopracować”. Jagodela się obruszyła i przywróciła go, dodając dopisek w tonie ciutkę korporacyjno-wilanowskim:</p>

  <blockquote>
    <p>artykuł został profesjonalnie przygotowany i jest gotowy do publikacji, prosiłabym o nie usuwanie go.</p>
  </blockquote>

  <p>Jakiś inny wikipedysta B chyba był innego zdania, bo znów go wycofał.</p>

  <p>Autorka przywróciła go 27 maja po paru edycjach. <a href="https://pl.wikipedia.org/w/index.php?title=Sexed.pl&amp;diff=prev&amp;oldid=63468318">Dodała linki</a>, przy czym niektóre chyba trochę na wyrost (pod słowami „Polska”, „Wrocław” i „Kraków”). Jakby chciała zagrać na nosie weryfikatorom.</p>

</details>

<p>Ta zaufana marka miała jednak okazję pojawić się obok organizacji budzącej mniejszą sympatię. Jakby użyczając jej reputacyjnego parasola.<br />
Jak zauważyła pod pewnym postem wspomniana już Sylwia Czubkowska z obozu niekorporacyjnego:</p>

<blockquote>
  <p>to co dla twórców/badaczy jest działaniem społecznym, dla tech korporacji jest po prostu washingową strategią. (…) po to je w Bóg Techach opisałam, w tym choćby <strong>współpracę @sexedpl z Uberem po skandalu z gwałtami w przewozach</strong></p>
</blockquote>

<p class="figcaption">Źródło: <a href="https://www.instagram.com/p/DQrpfoYjKpB/c/18119240908532294/">komentarz</a> spod filmu Socjolożek. Lekkie skróty i edycje moje.</p>

<p>Książki nie czytałem, ale obstawiam, że może chodzić o głośne afery, zwłaszcza z 2022 roku, gdy kierowcy jeżdżący dla Ubera skrzywdzili <a href="https://www.vogue.pl/a/molestowanie-i-gwalty-w-taksowkach-z-aplikacji-typu-uber-i-bolt">liczne pasażerki</a>.<br />
Reputacja firmy oberwała i pojawiła się groźba nałożenia na nią większych wymagań w kwestii weryfikacji kierowców.</p>

<p>Od tego czasu firma przyjęła imidż szlachetnego szeryfa antyprzemocowego.</p>

<ul>
  <li>Wprowadzili aplikację <a href="https://warszawa.wyborcza.pl/warszawa/7,54420,30334988,uber-wprowadzil-usluge-dla-kobiet-firmowana-przez-sexedpl-anji.html"><em>Uber by Women</em></a>, pozwalającą zamawiać przejazdy wyłącznie z kobietami.</li>
  <li>Uber został partnerem strategicznym telefonicznej linii wsparcia prowadzonej przez SEXEDPL.</li>
  <li>W tym roku wprowadzili kolejną apkę, tym razem do komunikowania się z zaufaną osobą w celu bezpiecznego powrotu do domu.</li>
</ul>

<p class="bigspace"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/homegirl-aplikacja.jpg" alt="Kolaż pokazujący na jednym kadrze loga Fundacji SEXED oraz Ubera na jednej talicy, a&nbsp;pod spodem plakat promujący ich aplikację." width="500px" /></p>

<p>Wszystko to przy pełnym wsparciu Fundacji. Brzmi tak pięknie i szlachetnie, nieprawdaż? Nie dość, że bezwarunkowe zaostrzenie weryfikacji, to jeszcze działania społeczne?</p>

<p>…Tylko czemu w samym środku sprawy, między kolejnymi inicjatywami społecznymi, Uber nie ujawniał statystyk dotyczących zgłoszonych napaści? Czemu aktywnie walczył z wymogiem posiadania polskiego prawa jazdy (który pozwalałby lepiej kontrolować, kto u nich jeździ)? A kiedy wymóg już został wprowadzony, to czemu weryfikacja <a href="https://www.auto-swiat.pl/wiadomosci/aktualnosci/uberowcy-maja-w-nosie-polskie-prawo-jazdy-szokujace-dane-po-kontrolach-policji/nzgxrgw?srcc=undefined">była dziurawa</a>?</p>

<p>Gdy czyta się takie coś, to spod lukru wsparcia, troski i empatii może wyjrzeć mroczniejsza myśl. „Co, jeśli inicjatywy społeczne nie miały <em>wesprzeć</em> realnych zmian modelu biznesowego? Co, jeśli miały je tylko <em>zastąpić</em>?”.</p>

<p>A Fundacja reklamowała te inicjatywy swoją reputacją. Ale pewnie w dobrej wierze, prawda? „Fundacja jest Dobra™”.</p>

<h2 id="kampania-tiktoka">Kampania TikToka</h2>

<p>Poznaliśmy kontekst, poznaliśmy ważnych graczy, więc czas wreszcie przejść do sedna.</p>

<p>Kształtują się polskie przepisy, które mogą się okazać niekorzystne dla TikToka. Firma odpowiedzialna za apkę zrobi wiele, żeby je zmiękczyć.</p>

<p>TikTok zaczął działać na kilku frontach. Tym bardziej pozytywnym były <strong>„Karty Bez Tabu”</strong>. Zestaw kart z pytaniami, na które młode osoby powinny odpowiadać razem z rodzicami, poznając nawzajem swoje poglądy na temat różnych internetowych spraw. Opracowała je Tosia K., wspomniana wyżej współpracowniczka Fundacji.</p>

<p>Na <a href="https://www.youtube.com/shorts/dc1V3FD6_wo">jednym z filmików</a> od SEXEDPL różne osoby pokazują, co by odpowiedziały na pytania z kart. Z pozoru to przypadkowe grono osób lubianych w <em>social mediach</em>. W praktyce – ludzie aktywnie zaangażowani w kampanię TikToka.</p>

<p>Ale to jeszcze pół biedy, karty są względnie nieszkodliwe; można nawet powiedzieć, że realizują dość powszechne postulaty, żeby uczyć ludzi o cyfrowych sprawach.<br />
Problem w tym, że są zaledwie cząstką większej kampanii. Równocześnie pojawiły się inne rzeczy, śmielej ocieplające wizerunek platformy.</p>

<ul>
  <li>
    <p>Filmik Fundacji na temat <a href="https://www.youtube.com/shorts/B8ga0cl09e0">funkcji ograniczeń rodzicielskich</a> pokazuje TikToka jako narzędzie łatwe do okiełznania i ściśle sterowane przez rodziców, zmienione niemal w pomoc edukacyjną.</p>

    <p class="figure"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/tiktok-niby-edukacyjny.jpg" alt="Przycięty kadr z&nbsp;filmu pokazujący ogolonego mężczyznę w&nbsp;koszuli, odgrywającego rolę dziecka. W&nbsp;dolnej części widać słowa: 'Mamo, czemu ja widzę tylko tiktoki o&nbsp;chemii, fizyce, matematyce?'." /></p>
  </li>
  <li>
    <p>Inny ich <a href="https://www.youtube.com/shorts/qslTu5-iAZY">filmik</a> promuje integrację aplikacji z telefoniczną linią wsparcia Fundacji <em class="corr-del">(deja vu?)</em>. Na filmik nałożony jest pasek z nazwami partnerów: sieci T-Mobile, Ubera… A teraz również TikToka.</p>
  </li>
</ul>

<p>Równocześnie opublikowano raport o nazwie „Bez tabu: o czym (nie) rozmawiamy w domach”. Oznaczony jako wspólne dzieło TikToka, Fundacji SEXED oraz Socjolożek. To te ostatnie odegrały szczególną rolę przy jego powstaniu.</p>

<p>Streszczenie swoich wniosków <a href="https://www.instagram.com/p/DQuIYlOiL8i">opublikowały</a> w mediach społecznościowych. Na slajdach widać między innymi <strong>sugestię, że większość młodych osób używa TikToka do celów edukacyjnych</strong>.</p>

<p>Pojawiły się też artykuły w mediach internetowych, <a href="https://www.eska.pl/news/tiktok-socjolozki-pl-i-fundacja-sexedpl-sprawdzaja-czy-umiemy-rozmawiac-o-relacjach-i-bezpieczenstwie-w-sieci-raport-aa-xsSz-72kR-27Gx.html">takie jak ten</a>. Zaś w nim:</p>

<ul>
  <li>cytat szefowej SEXEDPL mówiący, że fajnie rozmawiać z dziećmi o tym, co widziały w cyfrowym świecie (implikacja: powinny być z nim na bieżąco);</li>
  <li>wspomniana wyżej informacja, że większość używa TikToka do celów edukacyjnych;</li>
  <li>potwierdzenie, że w kampanii biorą udział m.in. Przemek S. i <em>Ten Ojciec z TikToka</em>;</li>
  <li>cytat pracownika TikToka mówiący, że „równowaga między bezpieczeństwem a autonomią jest kluczowa” (implikacja: autonomia to możliwość swobodnego siedzenia na TikToku);</li>
  <li>informacja, że TikTok oferuje szerokie możliwości kontroli (w tym te promowane na filmikach SEXEDPL).</li>
</ul>

<p>Ogólnie: ofensywa na kilku frontach. Strona niekorporacyjna wyszła jej naprzeciw.</p>

<h3 id="krytyka">Krytyka</h3>

<p>Pod postem z pochlebnymi statystykami bardzo ciekawą <a href="https://www.instagram.com/p/DQuIYlOiL8i/c/18049810712367763/">uwagę</a> napisała Janina Daily. Popularyzatorka, która akurat ma sporo do czynienia z badaniami:</p>

<div class="comment_container " aria-label="Komentarz ze strony facebook">
  <img src="/assets/fb_avatar.jpg" class="round-avatar  big_avatar" alt="" />
  <div class="fb_comment"> 
    <div class="fb_comment_text">
      <p class="author_base">janina.daily</p>
      <span>„66% nastolatków korzysta z platform w celach edukacyjnych”, „61% śledzi tam newsy” to jedne z najchętniej powtarzanych statystyk z tego badania. Ależ brzmią dumnie! Ależ uspokajają, że nic złego się nie dzieje! Z tym, że są to statystyki z badania… deklaratywnego. Oczywiście, że mało kto zaznaczy, że korzysta z tych platform do [gorszych rzeczy]. (…)<br />
Te liczby pięknie wyglądają w raportach PR, ale nie wierzcie im za grosz. Żeby dobrze takie rzeczy zmierzyć, trzeba by przeanalizować oficjalne statystyki wyświetleń TikToka, a nie pytać o takie rzeczy dzieciaki - ale wtedy, obawiam się, otrzymalibyśmy wyniki, z których bylibyśmy trochę mniej dumni.</span>     
    </div>
  </div>
</div>

<p class="figcaption">Skróty w nawiasach moje.</p>

<p>Swoją krytykę opublikowała również Magdalena Bigaj na portalach społecznościowych: <a href="https://www.instagram.com/magbigaj/p/DQuIYlOiL8i/">Instagramie</a> oraz <a href="https://www.facebook.com/share/p/1BfMNi9B4P">Facebooku</a>.</p>

<p>Używa tam konkretnego określenia na działania TikToka – <strong><em>goodwashing</em></strong>. Pranie brudnej reputacji przez zalanie jej różnymi inicjatywami mogącymi wzbudzić pozytywne uczucia społeczeństwa.</p>

<p>Jej słowa poparła w komentarzach również Sylwia Czubkowska, dodając kontekstu (cytowaną wcześniej wypowiedź o dotychczasowych partnerstwach Fundacji).<br />
W komentarzach od zwykłych użytkowników też pojawiło się niemało głosów rozczarowania tym, w co zaangażowały się lubiane postacie.</p>

<h3 id="reakcja-na-krytykę">Reakcja na krytykę</h3>

<p>Osobom promującym kampanię najwidoczniej nie spodobało się punktowanie związanych z nią rzeczy, bo odpowiedziały publicznie i dość ostro.</p>

<p>Socjolożki odniosły się do krytyki w <a href="https://www.instagram.com/socjolozki.pl/reel/DQrpfoYjKpB/">krótkim filmiku</a> na Instagramie. Nie ma tu argumentów broniących metodologii badań, jest za to naburmuszenie:</p>

<blockquote>
  <p>jestem na tyle dojrzałą kobietą, że potrafię odróżnić to, co chcę robić, od tego, czego nie chcę robić i naprawdę doradców nie potrzebuję. Jeżeli chcecie doradzać, doradzajcie sami sobie i niech każdy robi to, co jest dla niego uczciwe</p>
</blockquote>

<p>Socjolożki dodały też drugi film, w którym jedna z nich mówi, że są badaczkami i od początku było wiadome, że działają na zlecenie różnych firm. Konkretów na temat metodologii niestety nie ma.</p>

<p class="bigspace-before"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/socjolozki-kontra-krytyka.jpg" alt="Kadr z&nbsp;filmiku jednej z&nbsp;Socjolożek. Widać fragment jej twarzy, zasłonięty czarnym prostokątem, a&nbsp;pod spodem fragment wypowiedzi, w&nbsp;której sugeruje, że krytycy muszą się pogodzić z&nbsp;sytuacją." /></p>

<p class="figcaption">Źródło: filmik instagramowy Socjolożek. Wypowiedzi ze screena padły w rzeczywistości w rożnych momentach, nie jedna po drugiej.</p>

<p>W tym momencie zaangażował się również Przemek S. Twórca internetowy, uczestnik konferencji TikToka, wprost wspomniany w mediach jako osoba wspierająca kampanię.</p>

<p>Opublikował <a href="https://www.instagram.com/przemek_staron/reel/DQ2PK12iig3/">filmik</a>, w którym, z tego co rozumiem, wypowiada się o kartach w samych superlatywach.</p>

<blockquote>
  <p>Boże, jak ja się tym jaram. Ja naprawdę jestem metodofilem. I to co jest po prostu tym to tutaj – Karty Bez Tabu</p>
</blockquote>

<p>W opisie filmiku odnosi się również do zarzutów i je zbywa, powołując się na dobrą reputację uczestników kampanii.</p>

<blockquote>
  <p>i nie, nie jest to tzw. prywatyzacja odpowiedzialności, co chyba powinno być oczywiste dla każdego, kto zna działalność SEXEDPL, Tosi, Socjolożek czy moją 😈</p>
</blockquote>

<p class="post-meta bigspace-after">Dla osób, które nie znają – parę przykładów działalności jest nieco wyżej.</p>

<p>W samym filmiku odnosi się również do osób, które w jego odczuciu „hejtują” współpracę z TikTokiem:</p>

<blockquote>
  <p>To mnie tak bardzo bawi jak różne osoby [teatralne ryknięcie], a różne mega rzeczy tu robimy wspólnie z TikTokiem.</p>
</blockquote>

<p>Jednocześnie na ekranie pojawia się klasyczny cytat o tym, że ludzie walczący z potworami muszą uważać, żeby sami potworami się nie stać. W powietrzu zawisa (niewypowiedziana) sugestia w stronę osób krytykujących karty.</p>

<p>Socjolożki doceniły wsparcie Przemka S. i podziękowały mu w opisie jednego z filmików, nazywając go mistrzem empatii.</p>

<p>To w tym miejscu miał również okazję wypowiedzieć się Michał G., <strong>Wiceminister Cyfryzacji</strong>. Przedstawiciel strony rządowej, teoretycznie neutralnej i wysłuchującej argumentów stron. <a href="https://www.facebook.com/share/p/15KxrhRTjnB/?mibextid=wwXIfr">A powiedział to</a>:</p>

<div class="comment_container " aria-label="Komentarz ze strony facebook">
  <img src="/assets/fb_avatar.jpg" class="round-avatar  big_avatar" alt="" />
  <div class="fb_comment"> 
    <div class="fb_comment_text">
      <p class="author_base">Poseł Michał G<em class="cover">????????</em> - Wiceminister Cyfryzacji</p>
      <span>(…) Odnotowuję także brzydki atak ze strony Pani Magdaleny Bigaj, samozwańczego Robin Hooda polskiego internetu. Na swoim instastory nawrzucała autorom badania zarzucając im „wybielanie” działalności platform społecznościowych. Ani to pierwszy, ani pewnie ostatni wyskok wymienionej Pani - swego czasu sam dość mocno się przez nią nacierpiałem. 
Nic to. Fajnie, że ludzie dobrej woli pracują na rzecz najmłodszych. Wielki szacunek 💛</span>     
    </div>
  </div>
</div>

<p class="post-meta bigspace-after">Dawne cierpienia to zapewne aluzja do poprzedniego spięcia z Magdaleną Bigaj. Podczas posiedzenia komisji z udziałem przedstawicielek Mety i Google’a nazwał duże firmy partnerami i zirytował się, gdy pani M.B. krytycznie wchodziła im w słowo.</p>

<p>Tak ma wyglądać świat według niektórych.<br />
Jest Książę Jan, który ma koronę i władzę. Jest Szeryf z Nottingham, który zbiera sakiewki pełne złota. Są strażnicy pełni cnót, rycerze antyprzemocowi, mistrzowie empatii. Wszyscy oni radośnie rządzą z pięknego zamku.</p>

<p>Któż śmiałby podnosić na to rękę i stać się potworem?</p>

<p>…A jednak pojawiają się niepokorne obdartusy, mierzące z (metaforycznych) łuków w cały ten zgrany, nabzdyczony, zamkowy kram. I zawsze chętnie do nich dołączę! :smile:</p>

<p class="figure bigspace-before"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/robin-hood-plus-ciemna-strona.jpg" alt="Przerobiony kadr z&nbsp;Robin Hooda, na którym lis Robin mierzy z&nbsp;łuku. Obok niego stoi mały królik z&nbsp;logiem Ciemnej Strony nałożonym na twarz, również mierzący z&nbsp;własnego łuku." /></p>

<p class="figcaption">Źródło: ponownie <a href="https://www.youtube.com/watch?v=UoDE3lY0KXA">scena</a> z odświeżonego „Robin Hooda”.</p>

<h2 id="ciąg-dalszy-nastąpi">Ciąg dalszy nastąpi?</h2>

<p>Socjolożki w jednym z postów z 6 listopada piszą wprost, że <a href="https://www.instagram.com/socjolozki.pl/p/DQuCFJ0jG-d/?img_index=10">ich obecne badanie to dopiero początek</a>:</p>

<p class="figure"><img src="/assets/posts/korpoafery/tiktok-dsa-walka/tiktok-socjolozki-ciag-dalszy.png" alt="Informacja mówiąca, że badanie jest częścią nowej platformy komunikacyjnej o&nbsp;nazwie 'Kocham, ale nie lubię'." /></p>

<blockquote>
  <p>A my już dziś zapowiadamy, że w 2026 roku startujemy z nową platformą komunikacyjną „Kocham, ale nie lubię”, która będzie przestrzenią do porozumienia nie tylko w rodzinach, ale szerzej. Dziękujemy agencji @ancy_agencja za zaproszenie do tej inicjatywy</p>
</blockquote>

<p>Wchodząc na podlinkowany profil krakowskiej agencji marketingowej (pełna nazwa: Ancymony), można znaleźć <a href="https://www.instagram.com/ancy_agencja/p/DKL_BCsCt10/">post</a> sprzed kilku miesięcy, w którym wspominają, że już wcześniej współpracowali z SEXEDPL.</p>

<p>Wiele wskazuje na to, że w przyszłym roku kampania, w bardzo podobnym składzie osobowym jak teraz, nabierze rozpędu. Kto i co będzie głosił, co będzie promowane?</p>

<p>Obecnie uczestnicy kampanii wydają się obruszeni krytyką. Może to faktycznie było niefortunne nieporozumienie, ale intencje mieli dobre? Skoro akcja trwa, to będą mieli świetną okazję, żeby publicznie odnieść się do zarzutów wobec TikToka i na nowo zjednać ludzi!</p>

<p>A gdyby jakimś niefortunnym trafem zapomnieli o TikToku wspomnieć, to zawsze można o tym grzecznie przypomnieć w komentarzach. W końcu mistrzowie empatii doskonale zrozumieją wątpliwości swoich odbiorców :wink:</p>

<p>Poza promotorami mamy też stronę rządową. Zachowanie Wiceministra może sugerować pewne <strong>niefortunne sympatie rządzących</strong>, dlatego tym bardziej warto obserwować, jak będą się kształtowały nowe przepisy.</p>

<p>Na tym kończę wątek główny. Czas na sprawy poboczne. Opiszę przykład <em>goodwashingu</em> z innej branży oraz moje osobiste, dość sceptyczne, zdanie na temat weryfikacji wieku.</p>

<details class="framed bigspace">
  <summary><strong>Potencjalne ciemne strony weryfikacji wieku</strong></summary>

  <p class="bigspace-before">W sprawie punktowania kampanii TikToka użyczam łuku Robin Hoodowi i doceniam pracę pań walczących z <em>big techami</em> i ich nieubłaganym rozrostem.</p>

  <p>Mam jednak pewne zastrzeżenia do szerszego grona skupionego wokół raportu „Internet dzieci”, ich motywacji oraz możliwych skutków ubocznych ich działań.</p>

  <p>Jeden ze współautorów raportu <a href="https://xcancel.com/ciesiolkiewicz/status/1989002402893295774#m">pisze na Twitterze</a>, że popiera kontrolę czatów i że jest potrzebna, bo „na szyfrowanych komunikatorach zachodzi krzywdzenie dzieci”.</p>

  <p class="post-meta bigspace-after">Ponadto komisja, w ktorej działa, przedstawia swoje <a href="https://pkdp.gov.pl/stanowisko-panstwowej-komisji-wdrozenie-dsa-to-warunek-skutecznej-ochrony-maloletnich-w-sieci/">stanowisko</a>, powołując się parę razy na organizację <em>We Protect</em>. Która lobbowała za kontrolą czatów.</p>

  <p>Czarno-biały obraz świata, neoficki zapał. Słowa, które nie pozostawiają miejsca na dyskusję. Autor nie odnosi się do kontrowersji, do licznych patologii i manipulacji związanych z kontrolą czatów.</p>

  <p class="post-meta bigspace-after">Jeśli ktoś chce sobie odświeżyć wątek, to można poczytać <a href="/2023/10/19/chat-control" class="internal">mój dawny wpis</a>. Ale jeszcze mocniej zachęcam do <a href="https://mullvad.net/en/why-privacy-matters/going-dark">artykułu</a> od firmy Mullvad, gdzie wyraźnie pokazują siłę lobbingu i skalę przekrętów przy przepychaniu tych przepisów.</p>

  <p>Mam pewne obawy, że przy takim nastawieniu autorzy raportu mogą próbować napierać za wszelką cenę. „Weryfikacja wieku musi być niezawodna. I jest absolutnie konieczna. I potrzebna na już”.</p>

  <p>W obecnych realiach przyciśnięte korposy mogłyby wybrać najprostsze wyjście i po prostu wprowadzić obowiązek <strong>weryfikacji tożsamości</strong>. Zgarniając oprócz wieku szczegółowe dane na temat użytkowników i nadużywając ich do celów reklamowych.<br />
A to byłby w moich oczach najgorszy, najbardziej dystopijny scenariusz.</p>

  <p>Siedzę trochę w sprawach cyfrowych i wiem, że da się zrobić weryfikację wieku bez weryfikacji tożsamości. Ale przy obecnych trendach najpewniej nastąpiłaby próba wepchnięcia tej funkcji do mObywatela. Który z kolei jest, jak na mój gust, <a href="/cyfrowy_feudalizm/2025/06/05/mobywatel-problemy" class="internal">zbyt zależny od Google’a i Apple</a>.</p>

  <p class="post-meta bigspace-after">Zresztą mObywatel to beniaminek Ministerstwa Cyfryzacji. Michał G., autor kontrowersyjnych słów z tego wpisu, <a href="https://pl.fediverse.pl/@mkljczk/posts/Aid1OYdZRyI6HF4NtY">zbył kiedyś</a> osobę apelującą o otwarcie jego kodu źródłowego w podobny sposób jak panią Bigaj.</p>

  <p>W przypadku weryfikacji mObywatelem wpływy TikToka i Mety by osłabły, ale Google i Apple stałyby się ściśle zrośnięte z państwem, zaś alternatywne systemy smartfonowe straciłyby resztki szans. To też mi się nie podoba.</p>

  <p>Rozwiązaniem, które mógłbym zaakceptować, byłby <strong>fizyczny dynks</strong> rozdawany na życzenie przez urzędy. Coś jak pendrive albo klucz sprzętowy, poświadczający na żądanie: „tak, używająca mnie osoba jest pełnoletnia”.</p>

  <p>Mógłbym zajrzeć w wysyłane dane i zobaczyć tam proste „tak”, tyle że oznaczone podpisem cyfrowym Polski, respektowanym przez platformy. I nic poza tym. Weryfikacja anonimowa i zdecentralizowana? Od biedy dopuszczam.</p>

</details>

<details class="framed bigspace">
  <summary><strong>Bonus: goodwashing z&nbsp;branży chemii rolniczej</strong></summary>

  <p class="bigspace-before">Na koniec, skoro już tu padło pojęcie <em>goodwashingu</em>, pozwolę sobie wyjść poza banieczkę cyfrową i może zachwiać czyimś obrazem świata.</p>

  <p>Niejedna osoba słusznie krytykująca <em>big techy</em> i dostrzegająca ich sztuczki potrafi – z jakichś niepojętych dla mnie przyczyn – ulegać niemal identycznym chwytom, jeśli zastosuje je inna branża, zwłaszcza jakaś powołująca się na nauki ścisłe.</p>

  <p>Przykładem producenci chemii dla rolnictwa. Korposami z tego świata są chociażby Bayer, Syngenta, BASF. Ich narrację powielają zaś różne „niezależne ośrodki”, jak CropLife czy Genetic Literacy Project.</p>

  <p>Pięknym przykładem <em>goodwashingu</em> jest forsowana przez to grono <a href="/2023/05/19/dzien-pszczoly-neonikotynoidy" class="internal">opowieść na temat neonikotynoidów</a>, czyli środków owadobójczych w formie zaprawy nasiennej. Są oskarżane o szkodzenie owadom zapylającym, w szczególności dzikim, i zakazane w Europie.</p>

  <p>Producenci i różni <em class="corr-del">propagandyści</em> popularyzatorzy próbują cofnąć ten zakaz. W tym celu organizują kampanie, podczas których rozdają torebki z nasionami roślin miododajnych. W USA promują apki do mapowania populacji motyli. Podkreślają problemy pszczół z roztoczami, bagatelizując zarazem wpływ insektycydów i spychając je na sam dół hierarchii winnych.</p>

  <p>Stosują również manipulację opartą na upoczywym powtarzaniu, że liczba pszczół <em>miodnych</em> rośnie, więc obawy są zbędne.<br />
A to chochoł, bo w sprawie od początku chodziło o dzikie zapylacze, a nie pszczoły hodowlane, trzymane w bardziej kontrolowanych warunkach, które można łatwo domnożyć.</p>

  <p>Sprawę nagłaśniały różne gazety zajmujące się dziennikarstwem śledczym, <a href="https://theintercept.com/2020/01/18/bees-insecticides-pesticides-neonicotinoids-bayer-monsanto-syngenta/">w tym znany <em>Intercept</em></a>. Ale wielu popularyzatorów to ignoruje, podając dalej jedynie (dez-)informację o liczbie pszczół miodnych oraz tematy zastępcze.</p>

  <p class="post-meta bigspace-after">Sylwia Cz., jedna z bohaterek pozytywnych tego wpisu, <a href="https://xcancel.com/sylvcz/status/1992257927978369065">poleciła niedawno kilkoro twórców</a> jako autorytety od nauki – niestety część z nich w temacie rolniczym akurat powieliła korporolniczą narrację. Co najmniej jedna z poleconych grup/osób robi to nagminnie.</p>

  <p>Na tym wątku pobocznym kończę. Szczerze mnie cieszy dostrzeganie <em>goodwashingu</em> i innych form prania reputacji. Dostrzeganie ich w ogólności, a nie w jednej wybranej branży, cieszyłoby jeszcze bardziej!</p>

  <p>I takiego czujnego oka życzę nam wszystkim. Wzroku jak Robin Hood! :wink:</p>

</details>]]></content><author><name></name></author><category term="Afera" /><category term="Kolonizacja" /><category term="Manipulacja" /><category term="Szkolnictwo" /><summary type="html"><![CDATA[Kto przechwyci nowe pokolenia, ten przechwyci przyszłość.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/korpoafery/tiktok-dsa-walka/tiktok-vs-polski-robin-hood-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/korpoafery/tiktok-dsa-walka/tiktok-vs-polski-robin-hood-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">„Dowodzik proszę”. Wojna Google’a z niezależnymi aplikacjami?</title><link href="https://www.ciemnastrona.com.pl/google/2025/10/02/google-play-store-weryfikacja-tozsamosci.html" rel="alternate" type="text/html" title="„Dowodzik proszę”. Wojna Google’a z niezależnymi aplikacjami?" /><published>2025-10-02T17:00:34+00:00</published><updated>2025-10-02T17:00:34+00:00</updated><id>https://www.ciemnastrona.com.pl/google/2025/10/02/google-play-store-weryfikacja-tozsamosci</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/google/2025/10/02/google-play-store-weryfikacja-tozsamosci.html"><![CDATA[<p>Od pewnego czasu nie dodaję wpisów na stronie głównej bloga. Nie oznacza to jednak spadku zainteresowania. Skupiam się po prostu na poradnikach dotyczących <a href="/tutorials/ventoy" class="internal">pierwszych kroków</a> z systemem Linux (które w swoim czasie połączę w jeden większy).</p>

<p>Jest jednak pewna afera, dla której zrobiłem wyjątek i stworzyłem pełnoprawny wpis. Właśnie ten tutaj.</p>

<p>Oto koncern Google, kontrolujący system smartfonowy Android, chce wprowadzić <strong>obowiązkową weryfikację tożsamości dla osób publikujących aplikacje</strong>. Nie tylko w ich bazie Play Store, lecz również poza nią.<br />
Niebawem testy pilotażowe. Od 2026 roku rozwiązanie ma wejść w wybranych krajach, zaś rok później na całym świecie.</p>

<p>Oficjalnym powodem – jak to często w przypadku Google’a – jest troska o bezpieczeństwo. Realnymi konsekwencjami – również jak to u nich – będzie zamykanie dotąd otwartych drzwi i zacieśnianie kontroli.</p>

<p>W tym wpisie opiszę sprawę, przybliżając przy okazji parę niuansów związanych z instalowaniem aplikacji na Androidzie.</p>

<p>Zapraszam!</p>

<p class="bigspace-before"><img src="/assets/posts/google/play-store-tozsamosc/google-sideloading-swiadoma-zgoda-baner.jpg" alt="Przeróbka mema o&nbsp;świadomej zgodzie. Nad głową mężczyzny widać opcję „instaluj z&nbsp;tego źródła”, nad głową kobiety włączony pstryczek. Logo firmy Google unoszące się obok mówi „Nie”." /></p>

<p class="figcaption">Źródła: <a href="https://imgflip.com/memegenerator/323520777/Consent-Jesus">mem</a> o świadomej zgodzie, logo Google’a, elementy interfejsu Androida. Przeróbki moje.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#wpływ-googlea-na-smartfony">Wpływ Google’a na smartfony</a></li>
  <li><a href="#instalowanie-aplikacji-na-androidzie">Instalowanie aplikacji na Androidzie</a>
    <ul>
      <li><a href="#przez-google-play">Przez Google Play</a></li>
      <li><a href="#instalacja-zinnych-źródeł">Instalacja z innych źródeł</a></li>
      <li><a href="#co-się-zmieni">Co się zmieni</a></li>
    </ul>
  </li>
  <li><a href="#chodzi-obezpieczeństwo">„Chodzi o bezpieczeństwo”</a></li>
  <li><a href="#kontrola-wświecie-protestów">Kontrola w świecie protestów</a></li>
  <li><a href="#co-można-zrobić">Co można zrobić?</a>
    <ul>
      <li><a href="#nagłaśniać">Nagłaśniać!</a></li>
      <li><a href="#wyłączyć-usługi-googlea">Wyłączyć Usługi Google’a</a></li>
      <li><a href="#podczepić-się-pod-inne-aplikacje">Podczepić się pod inne aplikacje</a></li>
    </ul>
  </li>
</ul>

<h2 id="wpływ-googlea-na-smartfony">Wpływ Google’a na smartfony</h2>

<p>Idąc do każdego większego sklepu z elektroniką, można napotkać wiele smartfonów od różnych producentów. Xiaomi, Huawei, iPhone, OnePlus… Aż się może wydawać, że panuje zdrowa konkurencja i mamy bogaty wybór.</p>

<p>W rzeczywistości jednak ta galaktyka możliwości opiera się niemal wyłącznie <em class="corr-del">na skorupach czterech żółwi</em> na dwóch dominujących systemach operacyjnych. Jednym z nich jest Android, nad którym pieczę sprawuje Google. Drugi z nich to iOS, obecny na iPhone’ach, czyli smartfonach firmy Apple.</p>

<p>Jabłkofony od Apple od zawsze mocniej ograniczały możliwości użytkowników (jeszcze do tego wrócę), są natomiast całkiem poza kontrolą Google’a. Dlatego planowane zmiany kompletnie ich nie dotyczą.</p>

<p>Android jest z kolei systemem dużo popularniejszym na świecie. Popularność tę zyskał w dużej mierze dzięki swojej otwartości – jego kod źródłowy jest darmowy i publicznie dostępny, jako tzw. <a href="https://source.android.com/">AOSP (<em>Android Open Source Project</em>)</a>. Producenci smartfonów mogą tworzyć na jego bazie własne systemy.</p>

<p class="post-meta bigspace-after">Otwarty Android jest niestety coraz mniej przydatny dla małych twórców, zwłaszcza że stopniowo usuwane są z niego funkcje, jak np. podstawowe apki od dzwonienia i kontaktów. Ale to osobna historia.</p>

<p>Można znaleźć smartfony, których domyślny system jest wprawdzie oparty na kodzie Androida, ale poza tym nie korzystają z rzeczy od Google’a. To na przykład prywatnościowe smartfony od Mureny.<br />
Ciekawym przypadkiem jest Huawei. Wielkie korpo, które jednak ze względu na sankcje było zmuszone odciąć się od Google’a. Ich nowsze smartfony zawierają już ich własny, autorski <a href="https://en.wikipedia.org/wiki/HarmonyOS">system</a>, ale wszystkie poprzednie edycje to Android  bez usług Google’a.</p>

<p>Wspomniane przypadki „Androida bez Google’a” (z wyboru albo przymusu) również nie powinny zostać dotknięte zmianami. Jest to jednak mniejszość w smartfonowym świecie.</p>

<p>Producenci wiedzą, że ludzie przywykli do obecności Google’a i sami dążą do tego, żeby mieć na swoich smartfonach domyślnie zainstalowane apki od giganta. W tym celu podpisują umowy, stając się tzw. <strong>certyfikowanymi partnerami Google’a</strong>.</p>

<p>To właśnie smartfony od tych producentów dotknie planowana zmiana. I to niestety znaczna większość urządzeń dostępnych w sklepach. Na <a href="https://www.android.com/certified/partners/#tab-panel-brands">oficjalnej liście</a> znajdziemy: Samsunga, Xiaomi, Motorolę, Oppo, OnePlusa, Nokię, Fairphone’a…</p>

<p>Podsumowując: <strong>zmiany dotkną większości smartfonów z Androidem</strong>, a zatem większości smartfonów na świecie. A jakie to zmiany?</p>

<h2 id="instalowanie-aplikacji-na-androidzie">Instalowanie aplikacji na Androidzie</h2>

<p>Dla lepszego zrozumienia tematu przyda nam się parę podstawowych faktów na ten temat instalowania aplikacji na Androidzie. Dlatego już je serwuję.</p>

<h3 id="przez-google-play">Przez Google Play</h3>

<p>Dla niektórych osób instalacja na Androidzie opiera się na tym, że odwiedzają jakąś stronę internetową i znajdują tam takie dwa guziki:</p>

<p class="figure bigspace"><img src="/assets/posts/google/play-store-tozsamosc/play-store-app-store.png" alt="Przyciski z&nbsp;linkami do baz Play Store oraz App Store." /></p>

<p>Mając Androida, stuka się w przycisk z <em>Google Play</em>. W tym momencie uruchamia się aplikacja o tej samej nazwie, zainstalowana domyślnie na telefonie. Jeśli ktoś nie ma jej podpiętej do konta Google, to <strong>pojawia się wymóg zalogowania</strong>. Google będzie dokładnie widział, jakie apki sprawdza i pobiera konkretna osoba.</p>

<p>Po zalogowaniu następuje połączenie ze Sklepem Play (ang. <em>Play Store</em>), czyli wielką bazą aplikacji kontrolowaną przez Google’a. Ładuje się strona odpowiadającą tej konkretnej apce, która odesłała w to miejsce.</p>

<p>Na tej stronie wyróżnia się przycisk pozwalający zainstalować apkę.<br />
Stuknięcie palcem, wyrażenie zgód (których niektórzy niestety nie czytają uważnie), chwila czekania – po czym ikona nowej aplikacji pojawia się na ekranie smartfona. Można z niej korzystać.</p>

<h3 id="instalacja-zinnych-źródeł">Instalacja z innych źródeł</h3>

<p>Wiele stron, zwłaszcza dużych, umieszcza u siebie jedynie odsyłacz do Play Store’a. Można przez to odnieść wrażenie, że to jedyny sposób na zdobywanie aplikacji na Androidzie.<br />
Ale to nieprawda. W rzeczywistości <strong>Play Store jest ułatwieniem, ale nie koniecznością</strong>.</p>

<p>Tak naprawdę instalacja polega w uproszczeniu na:</p>

<ol>
  <li>pobraniu pliku APK,</li>
  <li>instalacji tego pliku przez system.</li>
</ol>

<p class="post-meta bigspace-after">Pomijam tu pakiety, czyli tzw. <em>APK bundles</em>, z którymi jest ciut więcej zachodu, ale reguła podobna.</p>

<p>Play Store odpowiada za krok 1, ale potem odsuwa się w cień i zostawia główną robotę systemowi. Nie ma tu żadnej magii, którą tylko apka od Google’a mogłaby wykonać i którą strach powierzać innym.</p>

<p>Równie dobrze ktoś mógłby użyć alternatywnego sklepu/źródła, takiego jak <a href="https://f-droid.org/">F-Droid</a>. Działa w bardzo podobny sposób jak Play Store.</p>

<p>Dałoby się też osobiście pobrać plik APK z internetu (oczywiście sprawdzając reputację źródła). Jak na przykład ten <a href="https://signal.org/android/apk/">ze strony komunikatora Signal</a>. Albo nawet: pobrać ten plik na komputer, a stamtąd zrzucić przez kabelek na smartfona.<br />
Po otwarciu smartfonowej przeglądarki plików można go odnaleźć i kliknąć. System spyta, czy chcemy go zainstalować. Jeśli się zgodzimy, to apka trafi po chwili na ekran główny.</p>

<p>W każdym z tych przypadków wyświetli się <strong>pytanie, czy chcemy instalować aplikację z nieużywanego wcześniej źródła</strong>. Wystarczy raz, na początku, wyrazić zgodę.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Analogia
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Play Store jest jak usługa transportu materiałów. Popularna, ale wykonywana przez wścibskiego kierowcę. 
Można je również zdobyć na własną rękę.<br />
Na miejscu u nas czeka majster-instalator. Jeśli widzi, że sami dowieźliśmy, to jedynie pyta, czy jakość będzie dobra. Gdy się potwierdzi, to bierze się do pracy.</p>
    
  </div>
</div>

<p>Niektórzy nazywają instalację z innych źródeł niż Play Store <strong><em>sideloadingiem</em></strong>. Uważam tę nazwę za niefortunną, bo to w dosłownym tłumaczeniu „ładowanie od boku”. Lekkie skojarzenie z jakimś obejściem, kombinowaniem, skradaniem.</p>

<p>A to przecież po prostu klasyczna, zwykła <em>instalacja</em>. Tak, jak się to od wielu lat robiło, nawet na poważnym byznesowym systemie Windows. Nie ma w tym żadnej pokątności.<br />
Powiem więcej – to taki prawdziwy, czysty sposób, gdzie jest tylko instalator i system, bez polegania na kontach, łączności i firmie-pośredniku. Mogliby go nazywać <em>trueloadingiem</em>.</p>

<p class="bigspace-before"><img src="/assets/posts/google/play-store-tozsamosc/fullmetal-alchemist-from-the-front.jpg" alt="Kolaż z&nbsp;mangi Fullmetal Alchemist. Pokazuje postać stojącą na wprost schodów i&nbsp;bramy, mówiącą że król nie wchodzi do swojego zamku tylnymi drzwiami. Obok widać salutujących żołnierzy." /></p>

<p class="figcaption">Źródło: Hiromu Arakawa, <em>Fullmetal Alchemist</em>, rozdział 97. Tłumaczenie fanowskie grupy <em>Franky House</em>. Aranżacja moja.</p>

<p>Dotąd publikacja apek poza Play Store’em była równie łatwa jak ich instalacja. Twórcy mogli po prostu stworzyć plik APK i go umieścić na swojej stronie internetowej. Ale to ma się zmienić, bo Google planuje wymagać od <em>wszystkich</em> twórców weryfikacji tożsamości.</p>

<h3 id="co-się-zmieni">Co się zmieni</h3>

<p>Choć plany Google’a jeszcze nie całkiem się skrystalizowały, opublikowali właśnie <a href="https://www.androidauthority.com/how-android-app-verification-works-3603559/">więcej szczegółów</a> na temat nowego trybu instalacji.</p>

<p><strong>Z punktu widzenia użytkowników</strong>:</p>

<ul>
  <li>
    <p>W momencie próby zainstalowania aplikacji (również spoza Play Store’a) nastąpi sprawdzenie, czy jej twórcy są na liście zweryfikowanych.</p>

    <p>Ta lista siłą rzeczy będzie dynamiczna, bo aplikacji stale przybywa. Dlatego, o ile nie trafimy na apkę z listy popularnych, na tym etapie nastąpi kontakt z zewnętrznym serwerem. Instalacja <strong>może nie działać w przypadku braku internetu</strong>.</p>
  </li>
  <li>
    <p>Jeśli aplikacji nie będzie na liście, to użytkownicy zobaczą informację w stylu:</p>

    <blockquote>
      <p>Uwaga! Próbujesz zainstalować aplikację od niezweryfikowanego twórcy</p>
    </blockquote>
  </li>
</ul>

<p>Czy ostrzeżenie będzie możliwe do łatwego przeklikania (tak jak wspomniany wcześniej komunikat o instalacji z nieznanego źródła)? A może będzie barierą nie do obejścia?</p>

<p>Gdzie zostanie upchnięty program odpowiedzialny za weryfikację? W samym Androidzie, w Usługach Google (aplikacji zrośniętej z systemem), a może tu i tu?</p>

<p>Nie znam niestety odpowiedzi na te pytania. W najnowszym artykule ich nie znalazłem, możliwe że sam Google dopiero to dopracowuje.</p>

<p>Zwrócę natomiast uwagę na podpunkt pierwszy. Niezależnie od szczegółów technicznych, prawie na pewno gdzieś pojawi się funkcja, która <strong>najpierw coś sprawdza u Google’a, a potem zwraca odpowiedź pozytywną/negatywną</strong>.</p>

<p>A to może tworzyć niebezpieczny precedens. Choć formalnie rzeczą sprawdzaną ma być „czy twórca tej apki potwierdził tożsamość?”, to Google mógłby z czasem rozszerzać kryteria, tworząc <em>de facto</em> listę aplikacji zakazanych.</p>

<p><strong>Z punktu widzenia twórców</strong> pojawi się z kolei obowiązek zarejestrowania się na platformie, którą Google w tym celu stworzył (o ile jeszcze nie są zarejestrowani w głównym Play Storze).</p>

<p class="post-meta bigspace-after">Hobbyści dostali niby możliwość rozpowszechniania apek osobnym kanałem, ale musieliby ręcznie zatwierdzać każde urządzenie, które chce zainstalować ich apkę. Jest to więc skrajnie niepraktyczne, a większość zostanie zepchnięta w stronę głównej platformy.</p>

<p>W ramach weryfikacji będzie trzeba podesłać <a href="https://support.google.com/googleplay/android-developer/answer/15633622?hl=en">szereg rzeczy</a>, w tym adres mailowy, numer telefonu i zapewne zdjęcie dokumentu tożsamości. W przypadku organizacji – jakieś inne potwierdzenie, że to my jej szefujemy.</p>

<p>Bez wykonania tych kroków nie trafi się do bazy zweryfikowanych apek. A to oznacza wspomniany wyżej komunikat i dalsze, nieokreślone jeszcze utrudnienia.</p>

<h2 id="chodzi-obezpieczeństwo">„Chodzi o bezpieczeństwo”</h2>

<p>Na chwilę oddam głos drugiej stronie. Google twierdzi, że wprowadza zmiany z tego względu, że ludzie często instalują apki z nieznanych źródeł, trafiając na złośliwe podróbki i tracąc pieniądze. Wymóg zgłaszania tożsamości przez twórców aplikacji ma temu rzekomo zapobiec.</p>

<p class="figure bigspace-before"><img src="/assets/posts/google/play-store-tozsamosc/android-korpobelkot.png" alt="Zrzut ekranu pokazujący nagłówek ze strony Androida, mówiący po angielsku: 'Wzmacnianie zabezpieczeń na Androidzie, żeby pozostał otwarty i&nbsp;bezpieczny'." /></p>

<p class="figcaption">Źródło: <a href="https://developer.android.com/developer-verification">oficjalny komunikat Google’a</a>.<br />
Jak to zawsze u nich: „to dla twojego dobra”. „Będziesz bezpieczny i szczęśliwy”.</p>

<p>Gdyby jednak bliżej się temu przyjrzeć, cała argumentacja pada na pysk.</p>

<p>Po pierwsze: <strong>weryfikacja Play Store’a nie jest niezawodna</strong> i już się zdarzało, że ludzie pobierali tym oficjalnym kanałem jawne oszustwa. Mimo że wszyscy twórcy publikujący tam apki <em>już teraz</em> muszą weryfikować tożsamość.<br />
Przykładowo: 331 złośliwych aplikacji <a href="https://www.forbes.com/sites/daveywinder/2025/03/18/60-million-malicious-google-play-downloads-as-331-apps-bypass-security/">pobranych kilkadziesiąt milionów razy</a> z oficjalnego Play Store’a. Historia z marca, więc nie jest żadną ripostą na nowe plany Google’a. Taka jest po prostu rzeczywistość w ich bazie.</p>

<p class="post-meta bigspace-after">A mowa tu o jawnych wirusach i oszustwach; pomijam przypadki, gdy przykładowo elementy reklamowe w oficjalnych, popularnych apkach wysyłały obcym firmom <a href="/2025/03/23/gravy-analytics-wyciek" class="internal">dokładne dane o lokalizacji</a>.</p>

<p>Po drugie: istnieją bezpieczniejsze źródła, którym ta zmiana dokopie.<br />
Wspomniany już F-Droid ma znacznie mniej aplikacji niż Play Store. Jest natomiast dużo bardziej wybredny – dopuszcza tylko otwarty kod źródłowy, z którego buduje apki po swojej stronie, analizując je ponadto pod kątem ewentualnych naruszeń.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Anegdotka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Podejście F-Droida sprawdziło się w praktyce.<br />
Kiedy aplikacje z serii Simple Mobile Tools zostały cichaczem przejęte przez firmę reklamową i wzbogacone o elementy zbierające dane, to Play Store radośnie przyjął aktualizację (bo dla Google’a inwazyjne reklamy śledzące nie zaliczają się do złośliwych).<br />
F-Droid z kolei ją <a href="https://forum.f-droid.org/t/simple-mobile-apps-update/24384">zablokował</a>, a ostatnią dostępną u nich wersją jest ta sprzed zmian na gorsze.</p>
    
  </div>
</div>

<p>…A teraz w ten niezależny, działający ekosystem wbija się Google. Olewa to, że bezpieczeństwo jest większe niż u nich i forsuje wymóg weryfikacji tożsamości. A to może się nie spodobać wielu niezależnym autorom, którzy cenią anonimowość i nie lubią wielkich monopolistów (zwłaszcza <a href="/google/2024/08/07/google-antymonopol-wyrok" class="internal">z wyrokami</a>, jak Google).</p>

<p>F-Droid odniósł się <a href="https://f-droid.org/2025/09/29/google-developer-registration-decree.html">bardzo krytycznie</a> do planowanych zmian, przywołując jeszcze więcej przykładów słabości Play Store’a i tego, że tak naprawdę Google już ma wystarczająco narzędzi do walki ze złymi aplikacjami (w tym możliwość ich usuwania po instalacji – Play Protect).</p>

<p>Po trzecie: półświatek naprawdę nie ma problemu ze znalezieniem jakiegoś spłukanego nieszczęśnika, który zgodzi się zostać słupem. Poświadczy za aplikację własną tożsamością, apka zacznie przechodzić weryfikację i naciągnie ludzi na kasę. Nawet jeśli policja dorwie słupa, mocodawcy się zwiną z zarobionymi pieniędzmi.</p>

<p class="post-meta bigspace-after">Pomijając już fakt, że wtedy Google mógłby spojrzeć na statystyki, ogłosić „tam nadal jest wiele oszukańczych aplikacji!” i zacieśnić kontrolę jeszcze bardziej. Na przykład przez zastąpienie „listy apek znanych twórców” swoją subiektywną „listą apek zaakceptowanych”.</p>

<h2 id="kontrola-wświecie-protestów">Kontrola w świecie protestów</h2>

<p>Patrząc na kraje, w których za rok Google chce wprowadzić nowe ograniczenia (w ramach pilotażu), trudno nie powiedzieć sobie pod nosem: „niezłą ekipę żeście zmontowali”. To Brazylia, Indonezja, Singapur i Tajlandia.</p>

<p>Oficjalna logika jest taka, że w tych krajach ludzie dość często są oszukiwani, instalując apki z szemranych źródeł. Ale dziwnym trafem łączy je coś jeszcze – szukając w DuckDuckGo pod hasłem <code class="language-plaintext highlighter-rouge">{nazwa_kraju} protests</code>, można trafić na dość dystopijne opowieści.</p>

<p>W Brazylii właśnie trwają <a href="https://theweek.com/world-news/brazil-bolsonaro-bandit-bill-protest">wielkie protesty</a> przeciw ustawie zwanej <em>bandit bill</em>, która pozwoliłaby uniknąć odpowiedzialności watażce, który zorganizował przewrót po przegranych wyborach. Wcześniej miały też miejsce protesty <a href="https://apnews.com/article/brazil-musk-x-moraes-bolsonaro-sao-paulo-protest-demonstration-e8f4ed59ec397aed9810d058af8dbc0c">przeciw blokadzie X/Twittera</a>.</p>

<p>W Tajlandii niedawno miały miejsce <a href="https://www.reuters.com/world/asia-pacific/thai-protesters-call-prime-minister-paetongtarns-resignation-2025-06-28/">protesty przeciw ichniejszej premierce</a>, kiedy wyszło na jaw, że dogadywała się z byłym przywódcą Kambodży, zachowując przy tym dość poddańczy ton i wyzywając krajowych dowódców wojskowych.</p>

<p>Protesty w Indonezji trwają <a href="https://en.wikipedia.org/wiki/2025_Indonesian_protests">od wielu miesięcy</a>, natomiast w ostatnim czasie doszło do ich <a href="https://edition.cnn.com/2025/09/01/asia/indonesia-protests-explainer-intl-hnk">nasilenia</a> po tym, jak jednego z protestujących rozjechano opancerzonym samochodem. Od tego czasu ofiar tylko przybyło.</p>

<p>Nic nie znalazłem o większych protestach w Singapurze, ale może to dlatego, że <a href="https://monitor.civicus.org/explore/singapore-government-continues-its-crackdown-on-anti-death-penalty-activism-and-other-forms-of-expression/">ściśle kontrolują obywateli</a>, wymagając między innymi policyjnej zgody <em>nawet na pokojowe protesty</em>. Tegoroczne, przeciw karze śmierci, po prostu skutecznie wygasili.</p>

<p>Przypadkowy dobór krajów? Możliwe; obecnie mamy ciekawe czasy, a protestów na świecie niemało. Ale warto spojrzeć, co mogą spowodować działania Google’a w takich realiach.</p>

<p class="post-meta bigspace-after">Łączenie spraw aplikacji z protestami nie jest jakimś moim skojarzeniem z czapy; niebawem przytoczę historię z Hongkongu.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Jednym z symboli walki, w Indonezji i nie tylko, jest piracka flaga z mangi i anime <em>One Piece</em> – bodaj najpopularniejszej japońskiej serii na świecie. Patrząc pobieżnie, jest to przygodowa opowieść o piratach. Ale im dalej w las, tym wyraźniej pokazuje aluzje do stanu świata i walkę wolności z kontrolą.<br />
Paru indonezyjskim politykom nie spodobało się wywieszanie flag i publicznie <a href="https://animehunch.com/public-display-of-one-pieces-straw-hat-flag-labelled-treason-by-indonesian-government/">nazwali to zdradą stanu</a>. Gdyby powstała apka dająca protestującym możliwość koordynacji – może nawet z ikonką tej flagi – to ci sami politycy raczej by się nie zawahali przed pisaniem do Google’a, żeby ją ubił wszelkimi możliwymi sposobami.</p>
    
      <div>
      <p class="figure bigspace-before"><img src="/assets/posts/google/play-store-tozsamosc/indonezja-flaga-one-piece.jpg" alt="Fragment zdjęcia pokazujący flagę z&nbsp;trupią czaszką w&nbsp;słomianym kapeluszu przyczepioną do tira" /></p>
      <p class="figcaption nospace">Źródło: <a href="https://en.wikipedia.org/wiki/Straw_Hat_Pirates%27_Jolly_Roger">Wikipedia</a></p>
    </div>
    
  </div>
</div>

<p>Wyobraźmy sobie, że jakaś osoba z kraju dotkniętego protestami, która umie programować, czuje rewolucyjny zryw. I myśli o publikacji apki, którą wrzuci na znane forum, żeby ułatwić koordynację i działania przeciw skorumpowanej władzy.</p>

<p>Ale w tym momencie widzi, że musi ujawnić swoją tożsamość Google’owi. I ta myśl działa jak kubeł zimnej wody. Rząd na pewno zwróci się do Google’a o ujawnienie danych. Co, jeśli je udostępnią? Ostatecznie apka nie powstaje.</p>

<p>Takich przypadków raczej nie znajdziemy w statystykach. To <strong>efekt mrożący</strong>, sprawiający że ludzie nie działają w słusznej sprawie, widząc nieuchronność konsekwencji. Podobny patologiczny efekt ma w życiu publicznym <a href="/corponomicon/2025/03/17/slapp-efekt-mrozacy" class="internal">groźba oberwania pozwem</a>.</p>

<p>Ten efekt zachodziłby nawet w przypadku, gdyby Google zachował faktyczną neutralność i tylko wymagał weryfikacji, nie usuwając żadnych aplikacji na żądanie.</p>

<h3 id="czym-grozi-pełna-kontrola-kazus-apple">Czym grozi pełna kontrola? Kazus Apple</h3>

<p>A co by było, gdyby spełniła się moja główna obawa, czyli przekształcenie listy twórców zweryfikowanych w subiektywną listę dopuszczonych?</p>

<p>Wspomniałem na początku, że system iOS od Apple, w przeciwieństwie do Androida, stawiał na ograniczanie możliwości użytkowników. I choć sama kontrola budzi moje negatywne uczucia, to trzeba przyznać, że dostarczyła ciekawych historii ku przestrodze.</p>

<p>Przykładem usunięcie <a href="https://www.cnet.com/tech/services-and-software/apple-removes-iphone-app-that-reports-us-drone-strikes/">mapy z oznaczeniami zgonów</a> spowodowanych przez ataki amerykańskich dronów.<br />
Na początku nazywała się <em>Drone+</em>, potem nazwę zmieniono na <em>Metadata+</em> – zapewne aluzja do hasła <a href="https://www.justsecurity.org/10311/michael-hayden-kill-people-based-metadata/">„zabijamy ludzi na podstawie metadanych”</a>. Autorem był dziennikarz pracujący dla <em>Intercepta</em>, dane pochodziły ze zbioru <em>Bureau of Investigative Journalism</em> – zatem rzetelne dziennikarstwo śledcze, a nie jakaś propaganda przeciw USA.</p>

<p>A jednak apka została usunięta przez Apple z bazy App Store. A że to jedyny sposób rozpowszechniania aplikacji na ich smartfonach – to zniknęła dla wszystkich użytkowników.</p>

<p>Inny przykład, bliższy tematyce sprzed chwili? Kiedyś Apple <a href="https://www.komputerswiat.pl/aktualnosci/inne/apple-wycofuje-aplikacje-zwiazana-z-protestami-w-hong-kongu/zte0lc6">usunęło aplikację</a>, której używały rzesze osób protestujących w Hongkongu do dzielenia się informacjami o położeniu policji.</p>

<p>W archiwalnych materiałach widać, jak niektórzy protestujący walczyli o swoje (niby przeciw lokalnym władzom, ale w praktyce przeciw Chinom). Prosili świat o pomoc, wielu machało amerykańskimi flagami. Nie miało to jednak znaczenia, świat milczał. Zaś Apple usunęło apkę. W jednej chwili stała się niedostępna dla protestujących ajfoniarzy.</p>

<p>Obecnie, gdy trwa spór USA z Chinami, można się zastanowić. Czy z takiej perspektywy działanie Apple – sabotowanie ruchów wyzwoleńczych we wrogim reżimie – nie zakrawa o zdradę interesu amerykańskiego? Obawiam się jednak, że to pytanie retoryczne, a na karę czy upomnienie giganta nie ma co liczyć.</p>

<p class="post-meta bigspace-after">Nie jest to zresztą pierwszy raz, gdy Apple <a href="https://applecensorship.com/news/banned-apps-in-china-are-apps-at-risk-in-hong-kong">idzie na rękę rządowi Chin</a> i blokuje co zechcą.</p>

<p>To tylko kilka przykładów, ale pokazują, do czego jest zdolna firma mogąca gasić apki jednym pstryknięciem. Nowy wymóg sprawdzania tożsamości też może z czasem doprowadzić do oddania takiej kontroli w ręce Google’a.</p>

<h2 id="co-można-zrobić">Co można zrobić?</h2>

<h3 id="nagłaśniać">Nagłaśniać!</h3>

<p>Przede wszystkim – <strong>protestujmy głośno przeciw zmianom</strong>. Nawet jeśli sprawa tu i teraz nie dotyczy aplikacji, z których korzystamy, może stać się furtką do wpychania nowych zmian, szkodliwych dla ekosystemu spoza oficjalnego Play Store’a.<br />
Można podkreślać, że Android zyskał obecną pozycję dzięki otwartości, a zatem odchodzenie od niej jest oszukaniem wszystkich użytkowników i twórców aplikacji.</p>

<p>Zauważyłem, że światek komputerowy lubi czasem spoczywać na laurach, gdy widzi techniczne obejścia problemu. „Aaa, jeśli zrobią mi na złość, to <em>zrootuję</em> telefon”.<br />
Ale wydaje mi się to niepraktyczne. To trochę tak, jakby z własnego wyboru dawać się kopać zbirowi w alejce. Myśląc sobie: „Jestem mistrzem swojego ciała. Tu zablokuję ramieniem. A tu rozluźnię ciało w momencie uderzenia, nie odczuję. To dla mnie nic”.</p>

<p>No i fajnie. Tyle że napastnik może w końcu wyjąć nóż i żadna duma z własnych technicznych umiejętności wtedy nie pomoże. A od początku dało się wezwać pomoc.<br />
Dlatego w pierwszej kolejności stawiałbym na informowanie. Można nagłaśniać sprawę w mediach społecznościowych, oznaczając polityków i organizacje.</p>

<p>Jeśli ktoś umie po angielsku, to może <a href="https://digital-markets-act.ec.europa.eu/contact-dma-team_en">zwrócić się</a> do zespołu odpowiedzialnego za europejską <em>Ustawę o rynkach cyfrowych (DMA)</em>. Te przepisy z założenia uderzają w gigantów i centralizację, więc ich twórcy nie powinni się bać Google’a.</p>

<p>Poniżej tak czy siak dodam parę technicznych obejść na wypadek, gdyby świat zaczął się domykać. Można już teraz przećwiczyć sobie parę działań.</p>

<h3 id="wyłączyć-usługi-googlea">Wyłączyć Usługi Google’a</h3>

<p>Zmiana ma dotknąć oficjalnych partnerów, a zatem smartfonów z domyślnie zainstalowanymi apkami Google’a. A to sugeruje, że kod odpowiedzialny za weryfikację mógłby się ukrywać wewnątrz aplikacji o nazwie Usługi Google Play.</p>

<p class="post-meta bigspace-after">Nie mam pewności, czy tak będzie; nie znalazłem tej informacji nawet w nowych obwieszczeniach, a sprawa się wciąż klaruje.</p>

<p>Choć Usługi wydają się czymś niemalże systemowym (domyślnie zainstalowane, ingerujące w wiele procesów), mimo wszystko pozostają aplikacją. <a href="/2024/02/03/smartfon-degoogle#fina%C5%82owy-boss--us%C5%82ugi-google-play" class="internal">Można je wyłączyć</a> (a w razie czego włączyć ponownie).</p>

<p>A czy po wyłączeniu Usług niezależna aplikacja zostanie tak po prostu zainstalowana? Czy też pozostanie zablokowana na głębszym, systemowym poziomie?<br />
Tego jeszcze nie wiem, na dwoje babka wróżyła. Ale gdyby brak Usług oznaczał brak weryfikacji, to można spróbować to zrobić.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Wyłączenie Usług sprawi, że zaczną wyświetlać się liczne powiadomienia „aplikacja X wymaga Usług Google Play”.<br />
Niektóre z nich to straszaki – treść komunikatu jest automatycznie tworzona przez system i niekoniecznie odpowiada rzeczywistości, zaś apka działa. Tak jest z Tricountem (do rozliczeń pieniężnych w grupach) i pewną apką od transportu, której nie wspomnę z nazwy. Swego czasu nawet <a href="/cyfrowy_feudalizm/2025/06/05/mobywatel-problemy" class="internal">mObywatel</a> śmigał mi po wyłączeniu Usług.</p>
    
      <div>
      <p class="bigspace-before">Wciąż jednak pozostaje trochę aplikacji, które faktycznie bez Usług nie ruszą. Dlatego ich wyłączanie to kwestia bardzo indywidualna i&nbsp;trzeba sobie osobiście odpowiedzieć na pytanie, czy jesteśmy na to gotowi.</p>
    </div>
    
  </div>
</div>

<h3 id="podczepić-się-pod-inne-aplikacje">Podczepić się pod inne aplikacje</h3>

<p>Jeśli system nie dopuści czyjejś niezależnej aplikacji, to można zamiast tego podczepić się pod istniejącą, ogólniejszego przeznaczenia, której twórca przeszedł weryfikację i która umożliwia ładowanie danych z zewnątrz. Możliwości jest wiele, omówię tu kilka.</p>

<p>Można postawić na <strong>stronę internetową</strong> otwieraną w przeglądarce. Obecnie przeglądarki są trochę jak małe systemy operacyjne i dają dostęp do wielu funkcji systemu. Ma to sporo możliwych wad <a href="/serie/internetowa_inwigilacja/" class="internal">od strony prywatności</a>, ale akurat do zastępowania smartfonowych aplikacji by się przydało.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Czasem można nawet używać takich stron-apek bez internetu.<br />
Przykładowo stronkę <a href="/tutorials/hat-sh-szyfrowanie" class="internal"><em>hat.sh</em></a>, zawierającą prosty i skuteczny szyfrator/deszyfrator, można zapisać dodatkiem SingleFile do pojedynczego pliku działającego bez łączności z siecią.<br />
Do jego otwarcia potrzeba jedynie przeglądarki zdolnej ładować pliki z „dysku” smartfona (co niestety wyklucza Firefoksa) i obsługującej JavaScript (co wyklucza uproszczony podgląd Androida).</p>
    
  </div>
</div>

<p>W podobny sposób, chcąc podzielić się trasami i ważnymi punktami na mapie, można postawić na <strong>pliki GPX</strong>. To uniwersalny standard. Takie pliki można na przykład <a href="https://organicmaps.app/news/2023-06-07/gpx-import-is-now-supported-in-organic-maps/">załadować w apce Organic Maps</a> (otwartoźródłowej, działającej offline po pobraniu map) i zyskać w ten sposób mapę dopasowaną do swoich potrzeb.</p>

<p>Rozwiązaniem nieco bardziej technicznym – ale i wszechstronnym – jest <a href="/tutorials/termux" class="internal">Termux</a>. To w skrócie konsola, w której można uruchamiać programy w wielu znanych językach, a także (po instalacji dodatkowego modułu) zyskać dostęp do funkcji smartfona, takich jak GPS czy schowek.</p>

<p>Sam Termux raczej nie zostanie tak łatwo zablokowany, bo ma zweryfikowanego twórcę, a do tego jest powszechnie używany na świecie. A przy odrobinie kreatywności można odtworzyć wewnątrz niego – przez jakieś skrypty Pythona itp. – możliwości niemal każdej dostępnej aplikacji.</p>

<p class="post-meta bigspace-after">Da się nawet obejść ograniczenia domyślnego, minimalistycznego interfejsu tekstowego, instalując <a href="https://wiki.termux.com/wiki/Graphical_Environment">środowisko graficzne</a>.</p>

<p>To tyle z pomysłów, mam nadzieję że nie będą w przyszłości potrzebne. Póki co życzę nam wszystkim powodzenia w starciu z coraz to nowymi pomysłami diabolicznego Wujka G. :metal:</p>]]></content><author><name></name></author><category term="google" /><category term="Android" /><category term="Apki" /><category term="Centralizacja" /><summary type="html"><![CDATA[Kontrola imperium zaczyna sięgać wolnych terytoriów.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/google/play-store-tozsamosc/google-sideloading-swiadoma-zgoda-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/google/play-store-tozsamosc/google-sideloading-swiadoma-zgoda-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Afera localhost – aplikacje widziały, jakie strony przeglądasz</title><link href="https://www.ciemnastrona.com.pl/2025/07/23/facebook-yandex-localhost-tracking.html" rel="alternate" type="text/html" title="Afera localhost – aplikacje widziały, jakie strony przeglądasz" /><published>2025-07-23T09:00:34+00:00</published><updated>2025-07-23T09:00:34+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/07/23/facebook-yandex-localhost-tracking</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/07/23/facebook-yandex-localhost-tracking.html"><![CDATA[<p>W zeszłym miesiącu badacze cyberbezpieczeństwa zdemaskowali bardzo ciekawe sztuczki, dzięki którym paru cyfrowych gigantów gromadziło dane swoich użytkowników.</p>

<p>Tożsamość winowajców nie jest zaskoczeniem. Koncern Meta wraz ze swoimi portalami, Facebookiem i Instagramem, to już niemal synonim naruszeń prywatności. Drugi sprawca, rosyjski Yandex, nie od dziś stara się zostać wschodnim Google’em – tak pod względem wachlarza usług, jak i śledzenia ludzi.</p>

<p>Zaskakiwać może natomiast trik, jakiego użyły obie firmy, niezależnie od siebie. Sprawnie obeszły bariery stawiane przez system smartfonowy Android, wykorzystując <em>localhosta</em> – wspólną przestrzeń dostępną dla różnych aplikacji. Trochę tak, jakby szpiedzy ukrywali listy do siebie w nieużywanych szafkach na pływalni. Niemal na widoku.</p>

<p>Stosując to obejście, firmy mogły <strong>łączyć naszą tożsamość, znaną ich aplikacjom, z naszymi wędrówkami po sieci</strong>. Mimo że odbywały się one wewnątrz zwykłych przeglądarek; niezależnych, a czasem wręcz trzymających stronę użytkowników.</p>

<p>W tym wpisie opiszę, przystępnie i krok po kroku, o co chodziło w całej tej <em>aferze localhostowej</em>. Pokażę również, że wystarczyłaby zmiana paru podstawowych ustawień i trzymanie się uniwersalnych zasad, żeby ochronić swoją prywatność.</p>

<p class="post-meta bigspace-after">Skupię się na Mecie, bo jej śledzenie dotyka znacznie więcej osób, zwłaszcza w naszym rejonie. Będę wprowadzał rozróżnienie między firmami tam, gdzie ich metody różniły się od siebie.</p>

<p>Zapraszam!</p>

<p class="figure bigspace-before"><img src="/assets/posts/inwigilacja/localhost/localhost-tracking-baner.jpg" alt="Przeróbka mema ze schematem podziemnej kryjówki Saddama Husajna. Jego leżący kontur jest oznaczony jako dane użytkowników. W&nbsp;górnej części obrazka dwie postacie z&nbsp;logami apek Facebook i&nbsp;Yanex zamiast głów zaczynają kopać." /></p>

<p class="figcaption">Źródła: mem o <a href="https://knowyourmeme.com/editorials/guides/whats-up-with-memes-about-saddam-husseins-hiding-spot-red-silhouette-diagrams-explained">kryjówce Saddama Husajna</a> , mem o <a href="https://knowyourmeme.com/memes/never-give-up-digging-for-diamonds">dwóch kopaczach</a>. Przeróbki moje.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#pliki-cookies-iklasyczne-śledzenie">Pliki cookies i klasyczne śledzenie</a>
    <ul>
      <li><a href="#kulturalne-logowanie">Kulturalne logowanie</a></li>
      <li><a href="#niekulturalne-elementy-śledzące">Niekulturalne elementy śledzące</a></li>
    </ul>
  </li>
  <li><a href="#aplikacje-jako-utrudnienie">Aplikacje jako utrudnienie</a></li>
  <li><a href="#obejście-barier">Obejście barier</a>
    <ul>
      <li><a href="#webrtc--sposób-wysłania">WebRTC – sposób wysłania</a></li>
      <li><a href="#localhost--sposób-odbioru">Localhost – sposób odbioru</a></li>
      <li><a href="#łączenie-danych">Łączenie danych</a></li>
    </ul>
  </li>
  <li><a href="#konsekwencje">Konsekwencje</a></li>
  <li><a href="#co-pomoże-aco-nie">Co pomoże, a co nie</a></li>
</ul>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Źródła
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Punktem wyjścia do wpisu była praca badaczy opisana na stronie <a href="https://localmess.github.io/"><em>localmess.github.io</em></a> (polecam! Ciut bardziej techniczne, ale nie jest tak źle. Szczególnym atutem jest interaktywna lista stron zawierających elementy śledzące od Facebooka).<br />
Drugim głównym źródłem było <a href="https://www.zeropartydata.es/p/localhost-tracking-explained-it-could">omówienie ich badań ze strony <em>zeropartydata.es</em></a>, wraz z analizą potencjalnych kar, jakimi mógłby oberwać Facebook.<br />
Reszta to <a href="https://news.ycombinator.com/item?id=44235467">dyskusje na forach</a> oraz wiedza własna, którą od dawna się dzielę na blogu. Będzie sporo linków do innych wpisów!</p>
    
  </div>
</div>

<h2 id="pliki-cookies-iklasyczne-śledzenie">Pliki cookies i klasyczne śledzenie</h2>

<p>Cała sprawa dotyczyła <strong>smartfonów z systemem Android</strong>, nie dotknęła iPhone’ów ani komputerów osobistych.</p>

<p>W przypadku komputerów nie wynika to jednak z jakiejś ich odporności, lecz raczej z tego, że już są rozpracowane przez Metę i innych łapserdaków. Pozwolę sobie na początek opisać panującą na nich anarchię i przejść stopniowo do sytuacji na smartfonach, która wymaga od technogigantów pewnych forteli.</p>

<p class="post-meta bigspace-after">Jeśli ktoś już pewnie się czuje z wiedzą na temat <em>trackerów</em> i nie chce powtórki, to może <a href="#aplikacje-jako-utrudnienie" class="internal">przeskoczyć do sedna</a>.</p>

<p>Kluczowa sprawa: na komputerach osobistych wiele rzeczy odbywa się zazwyczaj przez ogólną przeglądarkę, jak Firefox czy Opera. To wewnątrz niej ładuje się zarówno terytorium Mety (rozciągające się na domeny takie jak <code class="language-plaintext highlighter-rouge">instagram.com</code> czy <code class="language-plaintext highlighter-rouge">facebook.com</code>), jak i całe galaktyki niezależnych stron: portale informacyjne, katalogi przepisów czy kolekcje kocich zdjęć.</p>

<h3 id="kulturalne-logowanie">Kulturalne logowanie</h3>

<p>Załóżmy, że ktoś odwiedza po raz pierwszy stronę Facebooka. W takim przypadku Facebook poprosi o podanie maila i hasła. Gdy je podamy, to wyświetli się zawartość naszego konta na platformie.</p>

<p>Taki jest obraz widoczny na zewnątrz. Ale pod spodem wygląda to inaczej – w chwili zalogowania przeglądarka otrzymała tzw. „ciasteczko”, czyli <em>plik cookie</em>. Krótki tekst, który w bazie danych Facebooka jest jednoznacznie przypisany do konkretnej osoby. Można powiedzieć poetycko, że to tożsamość zapisana w bajtach.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/localhost/fb-cookie-otrzymywanie-schemat.jpg" alt="Schemat pokazujący za pomocą strzałek interakcję między laptopem a&nbsp;Facebookiem. Laptop wysyła login i&nbsp;hasło, a&nbsp;Facebook odsyła ikonę symbolizującą plik cookie." /></p>

<p class="figcaption">Źródła: laptop i strzałki z serwisu Flaticon; oficjalne ikony Facebooka i przeglądarki Firefox. Przeróbki moje.</p>

<p>Po zapisaniu ciasteczka przeglądarka zmienia swoje zachowanie. Od teraz okazuje ten plik przy każdym kolejnym kontakcie ze stroną <code class="language-plaintext highlighter-rouge">facebook.com</code>, ujawniając kim jesteśmy.<br />
Dzięki temu nie musimy się każdorazowo logować. Od razu po załadowaniu strony widzimy znajomych, wydarzenia, nowinki ze świata – ale częściej wygenerowane komputerowo bzdety – dopasowane specjalnie do siebie.</p>

<p class="bigspace"><img src="/assets/posts/inwigilacja/localhost/fb-cookie-korzystanie-schemat.jpg" alt="Kolejny schemat interakcji między laptopem a&nbsp;serwerem Facebooka. Obok laptopa widać ikonę ciasteczka. Wysyła on pytanie „co tam?” i&nbsp;otrzymuje od Facebooka odpowiedź „to tam”." /></p>

<p>Na tym etapie ciasteczko wydaje się jeszcze praktyczne i sensowne, ułatwia życie.</p>

<p class="post-meta bigspace-after">Warto jednak zapamiętać, że w takich realiach nie istnieje coś takiego jak anonimowe logowanie; co jakiś czas ktoś się nacina na braku tej wiedzy.</p>

<p>Problem w tym, że przeglądarka okazuje ciasteczko przy <em>każdym</em> kontakcie ze stroną <code class="language-plaintext highlighter-rouge">facebook.com</code>. Również wówczas, gdy wcale nie odwiedzamy Facebooka, a jedynie trafiamy na mały, pochodzący od niego element gościnny na całkiem obcej stronie.</p>

<h3 id="niekulturalne-elementy-śledzące">Niekulturalne elementy śledzące</h3>

<p><strong>Takie małe „posterunki” Facebooka również mogą odczytywać i zapisywać związane z nim ciasteczka</strong>. Elementy nazywa się <em>trackerami</em>, zaś związane z nimi ciasteczka to <a href="/internetowa_inwigilacja/2021/12/08/cookies-piksele-sledzace" class="internal"><em>third-party cookies</em></a> (ciasteczka od stron zewnętrznych). A co robią w internecie? Właściciele stron nieraz sami je dodają, skuszeni możliwościami współpracy reklamowej albo ściślejszej integracji z <em>social mediami</em>.</p>

<p>Działanie <em>trackerów</em> w praktyce, krok po kroku:</p>

<ul>
  <li>nasza przeglądarka (mająca w sobie zapisany plik cookie od Fejsa) prosi o jakąś stronę, całkiem od Facebooka niezależną;</li>
  <li>otrzymuje ją, zwykle jako plik HTML, i odczytuje jej treść;</li>
  <li>widzi, że strona jest jeszcze niekompletna, bo brakuje elementu od Facebooka, zwanego Facebook Pixel;</li>
  <li>
    <p>prosi o ten element stronę <code class="language-plaintext highlighter-rouge">facebook.com</code>, załączając do prośby plik cookie, który nas identyfikuje.</p>

    <p>My otrzymujemy mały, niezbyt wartościowy dla nas element. W zamian Facebook dostaje informację, że konkretna osoba o danej porze odwiedziła stronę X. Być może portal ze zdjęciami kotów, a może (zmyśloną) <code class="language-plaintext highlighter-rouge">leczymy-weneryczne.pl</code>. Nie nazwałbym tej wymiany interesem życia :roll_eyes:</p>
  </li>
</ul>

<p>Wisienka na torcie? Sam element, wbrew nazwie Pixel, nie jest żadnym pikselem, lecz kolekcją różnych rzeczy, w tym skryptów w języku JavaScript. Mogą kazać naszemu urządzeniu robić różne rzeczy, pozyskiwać informacje i wysyłać je Facebookowi. Warto zapamiętać ten fakt, bo jeszcze odegra ważną rolę.</p>

<p class="post-meta bigspace-after">Elementy od Yandeksa działają na tej samej zasadzie, ale raczej rzadziej występują w światowej sieci i mają nieco mniej mylącą nazwę Yandex Metrica.</p>

<p>A tutaj, dla osób lubiących obrazki, schemat całego opisanego procesu:</p>

<p class="bigspace-before"><img id="cookies-schemat" src="/assets/posts/inwigilacja/localhost/facebook-third-party-cookies.jpg" alt="Schemat pokazujący, za pomocą numerowanych strzałek, jak laptop najpierw pyta stronę o&nbsp;rysunek kota i&nbsp;otrzymuje w&nbsp;odpowiedzi miniaturkę strony internetowej. Czerwoną ramką zaznaczono na niej brakujący element Facebooka. Kolejne strzałki pokazują, jak laptop prosi o&nbsp;ten element samego Facebooka, wysyłając własne informacje." /></p>

<p class="figcaption">Źródła: serwer ze strony Flaticon, ikona kota z Emojipedii, reszta jak wcześniej. Przeróbki moje.</p>

<p>Ciasteczka od stron zewnętrznych to problem znany od dawna i poczyniono spore postępy w odchodzeniu od nich. Przeszkodą pozostaje Google, który nadal staje w ich obronie.<br />
…Ale nawet gdyby nikt od nich nie planował odchodzić, obecnie wiele firm mogłoby nie czerpać z nich takiej wartości jak kiedyś. Częściowo dlatego, że internet przejmują urządzenia mobilne, na których przeglądarka nie stanowi centrum świata.</p>

<h2 id="aplikacje-jako-utrudnienie">Aplikacje jako utrudnienie</h2>

<p>Cała powyższa sytuacja to norma na komputerach osobistych, bo tam wszystko dzieje się w obrębie jednej przeglądarki. Jest jedna i ta sama przegródka na ciastka Mety, które są okazywane zarówno ich serwisom, jak i pomniejszym elementom-wartownikom na stronkach nienależących do firmy.</p>

<p>…Ale <strong>na smartfonach Meta ma utrudnione zadanie</strong>. Z dwóch przyczyn:</p>

<ol>
  <li>
    <p>Użytkownicy często korzystają z jej własnych aplikacji, jak Facebook czy Instagram, zamiast otwierać w przeglądarce <code class="language-plaintext highlighter-rouge">facebook.com</code> lub <code class="language-plaintext highlighter-rouge">instagram.com</code>.</p>

    <p>Wprawdzie wersje mobilne też są dostępne, np. pod adresem <code class="language-plaintext highlighter-rouge">m.facebook.com</code>, ale apka Facebooka bywa nieraz domyślnie zainstalowana na telefonie, do tego sama strona nakłania na apkę. Dlatego to ona zgarnia ludzi.<br />
Ma to sens, bo aplikacja ma większy wgląd w system i dane użytkowników (w szczególności do listy kontaktów). Ale stawiając na to rozwiązanie, Facebook zamyka sobie inną opcję, o czym za sekundę.</p>
  </li>
  <li>
    <p>Dane z przeglądarki są osłonięte podwójną barierą.</p>

    <p>Po pierwsze: zabezpieczenia samego systemu Android. Jego twórcy chyba się czegoś nauczyli z historii komputerów osobistych i tego, do czego prowadziły nieograniczone możliwości ingerowania jednych programów w drugie.</p>

    <p>Na Androidzie każda apka ma własną, prywatną przestrzeń i nie może zaglądać do innych aplikacji. Możliwy powinien być tylko wgląd we wspólne przestrzenie. Ten podział to tak zwany <em>sandboxing</em>.</p>

    <p>Po drugie: przeglądarkom zależy na reputacji szczelnych, więc są ostrożne i m.in. unikają zapisywania plików do wspólnej przestrzeni. Nawet Chrome, szorujący po prywatnościowym dnie, przynajmniej dba o to, żeby tylko Google mógł żłopać informacje, a cudze apki były od nich odcięte.</p>
  </li>
</ol>

<p>Efekt? Nadal zachodzi pięć etapów ze wcześniejszego schematu. Tyle że <strong>Meta nie dostaje ciasteczka-tożsamości w pakiecie z danymi stron internetowych</strong>. Ciastka identyfikujące leżą jedynie wewnątrz ich apki (Facebooka lub Instagrama). Historie wędrówek po internecie gromadzą się zaś w przeglądarce, która nie zamierza ich wręczyć gigantowi.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/localhost/apki-piramida-facebook-cookies.jpg" alt="Schemat pokazujący dane z&nbsp;kilku stron zamknięte wewnątrz aplikacji-przeglądarki oraz ikonkę oznaczającą tożsamość zamkniętą w&nbsp;osobnej aplikacji Facebooka. Wspólną podstawą, na której stoją obie aplikacje, jest tu system Android." width="80%" /></p>

<p class="figcaption">Źródła: <a href="https://emojipedia.org/google/16.0-june-2025-update/ring">pierścień</a> w wersji Google’a oraz <a href="https://emojipedia.org/joypixels/9.0/automobile">samochodzik</a> w wersji JoyPixels z Emojipedii, reszta jak wcześniej.</p>

<p>Z punktu widzenia naszego korpo był to niekorzystny impas. Choć mieli inne metody (o nich niżej, w rozwijanej ciekawostce), nic nie pobiłoby unikalnego identyfikatora. Dlatego mocno szukali sposobu na powiązanie ze sobą obu źródeł danych.</p>

<details class="framed bigspace">
  <summary><strong>Jakie metody śledzenia pozostają Facebookowi (dla zainteresowanych)</strong></summary>

  <p class="bigspace-before">Warto wiedzieć, że sytuacja, wbrew pozorom, wcale nie jest dla Mety/Facebooka taka beznadziejna. Opisana tu metoda przez <em>localhosta</em> mogła być dla nich najwygodniejsza, ale mają też inne sposoby na śledzenie ludzi.</p>

  <p>Zacznę od rzeczy pewnych. Cała opisana wyżej rozdzielność między apką a przeglądarką ma zastosowanie tylko wtedy, gdy faktycznie korzystamy z przeglądarki. Brzmi banalnie? Ale Facebook <strong>nabrał wiele osób, imitując przeglądarkę</strong>.</p>

  <p>Jeśli klikniemy link do jakiejś zewnętrznej strony wewnątrz jednej z aplikacji Mety (Facebook albo Messenger; Instagrama i WhatsAppa nie sprawdzałem), to tak naprawdę nie opuszczamy ich terenu. To, co się otwiera, ma wprawdzie górny pasek z adresem i wygląd zwykłej przeglądarki, ale jest jedynie <a href="/apki/2023/08/08/wbudowane-przegladarki" class="internal">imitacją wbudowaną w Facebooka/Messengera</a>. Pozostając w niej, pozostajemy na oku Mety.</p>

  <div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Swoją drogą linki z Facebooka nie są bezpieczne również w standardowej przeglądarce. W chwili kliknięcia są dyskretnie <a href="/facebook_dane/2025/01/12/facebook-link-shimming" class="internal">podmieniane na przekierowania</a>.<br />
Kiedy je klikamy, to nie trafiamy prosto na stronę docelowej, tylko przechodzimy najpierw przez „śluzę” – małą stronkę między terytorium Facebooka a zewnętrznym internetem. Platforma widzi, dokąd idziemy i może to sobie zapisywać. Zaś z parametrów, czyli tekstu dodawanego do linków, może odczytać jeszcze więcej informacji, niż ujawniałby sam link.</p>
    
  </div>
</div>

  <p>A co z rzeczami, które niekoniecznie są dla Facebooka kluczowe, ale <em>mogłyby</em> im ułatwić identyfikację?</p>

  <p>Przede wszystkim mają do dyspozycji <a href="/internetowa_inwigilacja/2021/06/11/adres-ip" class="internal">adres IP</a>, siłą rzeczy otrzymywany przez strony Facebooka podczas każdej interakcji. Pozwala on (zwłaszcza w krótszym okresie) trafnie łączyć aktywność internetową z aplikacjową.<br />
„Z tego adresu odwiedziła nas Barbara P. Kilka minut później ten sam adres aktywował naszego <em>trackera</em> na stronie <code class="language-plaintext highlighter-rouge">koty-nieloty.pl</code> (zmyśliłem). Hipoteza: to Barbara P. odwiedziła stronę”.</p>

  <p>Adres ma jednak różne swoje słabości. Jeśli jest nadawany przez sieć mobilną, to co pewien czas się zmienia. Może go również współdzielić wiele osób – przykładem router w rodzinnym mieszkaniu albo publiczny hotspot. No i ktoś może celowo użyć pośrednika, takiego jak VPN, żeby ten adres zamaskować. Nie dziwota, że Facebook wolał pewniejszy sposób identyfikacji.</p>

  <p>Inną metodą jest profilowanie, czyli <a href="/internetowa_inwigilacja/2022/06/10/fingerprinting" class="internal"><em>fingerprinting</em></a>. Jak pokazuje wcześniejszy <a href="#cookies-schemat" class="internal">schemat</a>, elementy od Facebooka mogą w kroku 5 uruchamiać kod JavaScript. A za jego pomocą można odczytać bardzo szczegółowe informacje na temat systemu, a nawet sprzętu fizycznego (zainstalowane czcionki, możliwości karty graficznej, charakterystyczny wygląd pikseli po rysowaniu wskazanych elementów…).</p>

  <p>Takie informacje mogą umożliwić jednoznaczną identyfikację urządzenia. Apka Facebooka wykonuje jedno profilowanie, zaś elementy na stronach zewnętrznych – kolejne. Jeśli wyniki się pokryją, to mogą przyjąć, że rozpoznali konkretną osobę. Wadą metody może być jej inwazyjność, spowalniająca nieco urządzenia i czyniąca metodę względnie łatwą do wykrycia, zwłaszcza dla badaczy. Ale pokusa może być silniejsza.</p>

  <p>W każdym razie dwie metody wyżej to gdybanie. Czas wrócić do pewniaka, czyli naszego <em>localhosta</em>.</p>

</details>

<h2 id="obejście-barier">Obejście barier</h2>

<p>Podsumujmy sobie to, co dotychczas wiemy. Facebook ma:</p>

<ul>
  <li>jedną lub więcej aplikacji, w całości pod swoją kontrolą, zawierających czyjąś tożsamość;</li>
  <li>swój mały element załadowany w przeglądarce, który może z nią rozmawiać i ma dane na temat aktywności na stronie;</li>
  <li>barierę między tymi dwoma światami, którą chciałby przekroczyć.</li>
</ul>

<p>Żeby nie było nudno i technicznie, spróbujmy się wczuć w Facebooka. A konkretniej – w jakiegoś (zmyślonego, fikcyjnego) klepacza kodu zatrudnionego w tej firmie.<br />
Być może menedżer kazał mu znaleźć sposób na powiązanie aktywności internetowej z apką. Oczywiście wątpię, żeby w rozmowie użył słowa „śledzenie”. Prędzej frazesu w stylu „<em>bridge app and website experiences</em>”. Bo w końcu w korporealiach zawsze są „przeżycia”, rzadziej konkrety.</p>

<p>I teraz ten biedny pracownik stuka w klawiaturę, jak w <a href="https://www.youtube.com/watch?v=LCSN7WwV534">perkusję z filmu <em>Whiplash</em></a> (uwaga: YouTube), wyobrażając sobie w głowie, że właśnie dąży do perfekcji i Czyni Dobro™. Buduje rzeczy wielkie. Rozwój, postęp. Postęp, rozwój.<br />
„Uczestnicy chcą być widziani. Chcą czuć nas przy sobie. A te złe bariery nas od nich dzielą!”. Czy takie coś słyszy w swojej głowie?</p>

<p class="post-meta bigspace-after">Dodatkowo może go motywować fakt, że w razie niepowodzenia straci wizę pracowniczą i Ameryczka odeśle go do kraju urodzenia, wróci stara bida. Ale nie będę psuł przyziemnością górnolotnej motywacji.</p>

<p>Pracownik myśli, główkuje. Jakie są punkty wspólne między aplikacjami na systemie Android? Jak mogą ze sobą rozmawiać?</p>

<p>Pomysł 1: można zapisać jakiś tekstowy identyfikator przez przeglądarkę we wspólnej przestrzeni smartfona. Potem aplikacje od Mety mogłyby go odczytać.</p>

<p>Owszem, można. Tylko że przy próbie zapisu w przeglądarce wyświetli się wtedy okno wprost pytające użytkownika, czy chce coś pobrać z sieci. Takie jak np. przy pobieraniu PDF-a. I takie coś działoby się często. Zero szans na dyskrecję, odpada.</p>

<p>Pomysł 2: schowek (znany jako „kopiuj-wklej”). Strona internetowa skopiuje do niego dane, a apka Facebooka je odczyta.</p>

<p>Tylko że to by, po pierwsze, nadpisywało dane użytkowników już obecne w schowku, wywołując chaos. Po drugie: nie byłoby dyskrecji, bo Android wyświetla systemowy komunikat, gdy apka sięga po dane ze schowka. Ten pomysł też odpadał.</p>

<p>Zdesperowany pracownik oblewa się zimnym potem. Już widzi w wyobraźni, jak menedżer nazywa go <em>non-performant</em> i wyznacza mu za karę <em class="corr-del">obóz reedukacyjny</em> <em>Performance Improvement Plan</em>. Zdalnie, bezdusznie, podczas wideokonferencji.</p>

<p>…I w tym momencie doznaje olśnienia. Wideokonferencja. I obsługujący ją protokół, <strong>WebRTC</strong>.</p>

<h3 id="webrtc--sposób-wysłania">WebRTC – sposób wysłania</h3>

<p>WebRTC ma parę ogromnych zalet z punktu widzenia śledzenia.<br />
Działa w tle, w sposób niewidoczny dla użytkowników. Pozwala nawiązać bezpośredni kontakt z dowolnym adresem. Może go uruchomić każdy element stron internetowych, który wykorzystuje kod JavaScript.</p>

<p>A ten kod jest wszechobecny i nawet wspomniane już Pixele, małe elementy gościnne od Mety, mogą go używać. Jak coś odsyłam do <a href="#cookies-schemat" class="internal">schematu</a> z plikami cookies. <em class="corr-del">Chanel</em> Strzałka numer 5.</p>

<p>Protokół WebRTC to bestia złożona i pełna niuansów, właściwie cały parasol pomniejszych protokołów. Zainteresowane osoby znajdą więcej na stronce <a href="https://webrtchacks.com/"><em>webrtcHacks</em></a>. Moja znajomość WebRTC jest gorzej niż pobieżna… Ale hej! I tak się wypowiem, bo w naszej historii protokół został użyty w równie pobieżny sposób.</p>

<p>Nikomu ze śledzących nie zależy na pełnoprawnej komunikacji. WebRTC w tym wypadku ma być tylko pretekstem, żeby wysłać dane. Wykorzystany zostaje jedynie jeden z prostszych protokołów z parasola, <strong>SDP (<em>Session Description Protocol</em>)</strong>, służący do wynegocjowania między dwoma urządzeniami sposobu komunikacji.</p>

<p class="post-meta bigspace-after">Samo zapoznawanie ze sobą dwóch urządzeń miałem już okazję opisać, nazywając je swataniem. Pokazałem też ciemną stronę takiego swatania – złe strony mogą udawać, że chcą rozpocząć połączenie przez WebRTC, żeby <a href="/internetowa_inwigilacja/2023/11/05/webrtc" class="internal">dorwać nasz prawdziwy adres IP</a>.</p>

<p>W ramach SDP wysyłanych jest <a href="https://dyte.io/blog/webrtc-sdp-internals/">sporo różnych informacji</a>. Jedna z nich nazywa się <code class="language-plaintext highlighter-rouge">ice-ufrag</code> i powinna zawierać nazwę użytkownika. Zamiast niej Facebook Pixel upychał tu identyfikator tymczasowy użytkownika, nazwany <code class="language-plaintext highlighter-rouge">_fbp</code> (nazwa całkowicie dowolna, wybrana przez twórców).<br />
Upychanie to nazywa się oficjalnie <em>SDP munging</em> i polega na bezpośrednim edytowaniu informacji związanych z SDP, tuż przed ich wysłaniem (ogólnie za WebRTC odpowiada przeglądarka, a skrypty mają ograniczoną kontrolę, ale na początku mogą trochę gmerać).</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Analogia
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">SDP z założenia jest trochę jak napisanie komuś na komunikatorze: „może przejdziemy z tym na maila? Mój adres to <code class="language-plaintext highlighter-rouge">romek@zmyslona-strona.pl</code>, możesz tam załączyć obrazki”. Taka próba utworzenia nowego kanału komunikacji, opis jego możliwości.<br />
<em>SDP munging</em> w wydaniu Mety byłby natomiast jak nadużycie tego formatu rozmowy i podanie, zamiast swojej nazwy użytkownika, pseudonimu jakiegoś nieszczęśnika odwiedzającego sklep internetowy: „mój adres to <code class="language-plaintext highlighter-rouge">uzytkownik-strony-xyz-19821370@zmyslona-strona.pl</code>”.</p>
    
  </div>
</div>

<p>Pierwsza trudność (<em>jak</em> wysłać niepostrzeżenie dane użytkownika) została rozwiązana. Pozostała kolejna: <em>dokąd</em> to wysłać? Trzeba było wskazać jakieś miejsce docelowe, żeby WebRTC zadziałało.</p>

<h3 id="localhost--sposób-odbioru">Localhost – sposób odbioru</h3>

<p>Wcześniej zmyśliłem sobie biednego pracownika, który wpadł na pomysł wysłania danych przez WebRTC, kojarząc z tym słowo „wideokonferencja”. W podobny sposób mógłby wpaść na pomysł ich odebrania przez <strong>interfejs <em>localhost</em></strong>, przypominając sobie, jak to swego czasu aplikacja konferencyjna <em>Zoom</em> <a href="https://www.theverge.com/2019/7/10/20689644/apple-zoom-web-server-automatic-removal-silent-update-webcam-vulnerability">dość kreatywnie go (nad-)użyła</a>.</p>

<p>…A czym właściwie jest <em>localhost</em>?</p>

<p>Najpierw wyobraźmy sobie interfejs sieciowy, czyli miejsce, z którego wysyła się i odbiera rzeczy wymieniane z szerszym światem. To taki <strong>wielki paczkomat – rząd szafek, z których każda ma własny numer i jest nazywana <em>portem</em></strong>.</p>

<p class="post-meta">„Paczkomat” z małej, bo traktuję to jak rzeczownik powszechny – inaczej, niż by chcieli <a href="https://obserwatorlogistyczny.pl/2024/03/11/odmiana-paczkomat-inpost-zakazana-jak-teraz-musimy-mowic/">prawnicy InPostu</a> :smiling_imp:</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Szafek możliwych do wykorzystania jest bardzo wiele. Dokładniej rzecz biorąc: zazwyczaj <a href="https://stackoverflow.com/questions/24174795/how-many-ports-does-a-mobile-os-have">65 536</a>. Ta liczba, choć wydaje się z czapy, nie jest przypadkowa. Dokładnie tyle możliwości da się wyrazić w 16 bitach (gdzie każdy bit to jedno zero albo jedynka), a kiedyś umownie przyjęto za numer portu liczbę 16-bitową. I tak w wielu systemach zostało do dziś.</p>
    
  </div>
</div>

<p>Niektóre szafki/porty są używane bardzo często, inne rzadko. Przykładowo port numer 443 obsługuje ruch przez HTTPS, czyli większość aktywności związanej z surfowaniem po sieci. Wiele innych portów jest z kolei nieużywanych.</p>

<p>Dokładna kopia tego paczkomatu, przeznaczonego do kontaktu ze światem, stoi również wewnątrz systemu. Jest przeznaczona <strong>wyłącznie do użytku wewnętrznego</strong>. Na przykład symulowania na własnym urządzeniu działania serwera. I takim właśnie wewnętrznym paczkomatem jest bohater afery, <em>localhost</em>.</p>

<p class="post-meta bigspace-after">Nie jest to żadna egzotyka. Sam na przykład każdorazowo czytam wpis z bloga przez <em>localhosta</em>, żeby móc wiernie ocenić jego wygląd przed publikacją. Tym niemniej zaskoczyło mnie, że na Androidzie tak wiele aplikacji mogło tutaj sięgnąć.</p>

<p>Żeby coś wysłać do <em>localhosta</em>, wystarczy wskazać jako cel specjalny adres IP, <code class="language-plaintext highlighter-rouge">127.0.0.1</code>. Zawsze odnosi się on do aktywnego urządzenia, a nie czegoś zewnętrznego. Oprócz adresu należy wskazać port docelowy (numer szafki).</p>

<p>Oba wścibinosy, Meta i Yandex, kazały swoim aplikacjom <em>nasłuchiwać</em> portów dużo rzadziej odwiedzanych. Meta upodobała sobie porty o numerach 12387, 12388 oraz zakres od 12580 do 12585. Yandex wybrał numery 29009, 29010, 30102 i 30103.<br />
Można powiedzieć, że firmowe aplikacje co pewien czas otwierały szafki o odpowiednich numerach i patrzyły, czy w środku znajdują się jakieś nowe informacje.</p>

<h3 id="łączenie-danych">Łączenie danych</h3>

<p>Dzięki localhostowi Facebook i Yandex zyskały możliwość komunikacji między swoim elementem śledzącym a kontrolowanymi przez siebie aplikacjami. Do tego  zarówno elementy ze stron, jak i aplikacje, mogły swobodnie kontaktować się z serwerami firmy.</p>

<p>W takich warunkach łączenie danych w jeden profil stało się formalnością. Metody przyjęte przez obie firmy minimalnie się od siebie różniły, ale trzon działania był ten sam.</p>

<p>W przypadku Mety:</p>

<ul>
  <li>Po krótkiej sesji siedzenia w apce użytkownik z niej wychodzi; apka przechodzi w tryb działania w tle i obserwuje interesujące ją porty <em>localhosta</em>.</li>
  <li>Użytkownik odwiedza w przeglądarce stronę zawierającą element od Facebooka. Ten go nie poznaje, więc przypisuje mu „pseudonim” – identyfikator tymczasowy.</li>
  <li>Pseudonim, wzbogacony o informacje na temat odwiedzonej strony, etapu zakupów itd., wysyła Mecie (<code class="language-plaintext highlighter-rouge">pseudonim = aktywność-na-stronie</code>).</li>
  <li>Ten sam pseudonim, ale bez dodatkowych danych, śle w opisany już sposób do <em>localhosta</em>.</li>
  <li>Czuwająca tam aplikacja odbiera pseudonim i przypisuje go do tożsamości zapisanej w swoim wnętrzu (<code class="language-plaintext highlighter-rouge">pseudonim = tożsamość</code>). Wysyła to powiązanie Mecie.</li>
  <li>Na serwerach Mety następuje łączenie danych w ostateczną postać, znacznie bardziej użyteczną dla cybergiganta:   <code class="language-plaintext highlighter-rouge">tożsamość = aktywność-na-stronie</code>.</li>
</ul>

<p>Yandex podszedł do sprawy nieco inaczej. Być może dlatego, że nie miał takiej popularności w sieci jak Meta, więc tożsamość odczytana z jego własnych aplikacji nie byłaby tak uniwersalnym, globalnym identyfikatorem jak inne opcje.</p>

<p>Zamiast czerpać <code class="language-plaintext highlighter-rouge">tożsamość</code> z wnętrza własnych aplikacji, sięgali do <strong>identyfikatora reklamowego wbudowanego w smartfony</strong>. Google domyślnie umieszcza to dziadostwo na typowych smartfonach z Androidem. Każda aplikacja może o nie zapytać i dostaje w odpowiedzi ciąg znaków, który powinien odpowiadać konkretnemu urządzeniu.</p>

<p>Następnie wysyłali ID reklamowe swojemu elementowi śledzącemu, który wciąż miał aktywną komunikację przez WebRTC. Element odczytywał je, tworzył komplet <code class="language-plaintext highlighter-rouge">unikalne-ID = aktywność-na-stronie</code> i wysyłał do Yandeksa.</p>

<p>Streszczając: w przypadku Yandeksa komunikacja przez WebRTC była dwustronna, w roli tożsamości używano identyfikatora reklamowego, a wysyłanie danych na serwery Yandeksa należało wyłącznie do elementów śledzących ze stronek internetowych. Ale ogólna koncepcja obchodzenia ograniczeń przez <em>localhosta</em> była taka sama.</p>

<h2 id="konsekwencje">Konsekwencje</h2>

<p>Facebook i Yandex nie mają wymówek. To nie jakaś drobna zmiana czy wyciek informacji, który dałoby się usprawiedliwiać gafą. Działali celowo, obchodząc zabezpieczenia, zostali złapani na gorącym uczynku.</p>

<p>Obie firmy tuż po wykryciu szybko przestały korzystać ze swojego triku. Teraz będą czekały na kary. Sprawa wywołała również techniczne dyskusje nad uszczelnieniem dostępu do <em>localhosta</em>. Możliwe, że dostęp do niego będzie np. wymagał udzielenia zgody przez użytkowników. W każdym razie metoda raczej przestanie być dyskretna.</p>

<p>W związku z całą sytuacją przeciwko Mecie w USA złożono <a href="https://ia800708.us.archive.org/29/items/gov.uscourts.cand.450524/gov.uscourts.cand.450524.1.0.pdf">pozew zbiorowy</a>, którego twarzą jest Devin Rose z Kalifornii (w której obowiązują ściślejsze przepisy chroniące prywatność, bliższe poziomowi unijnemu).</p>

<p>Szczególne możliwości ma jednak Unia Europejska. Jak analizuje autor strony <em>zeropartydata.es</em>, Meta mogłaby <a href="https://www.zeropartydata.es/p/localhost-tracking-explained-it-could">oberwać skumulowanym efektem kilku różnych kar</a> – związanych z przepisami GDPR (w Polsce znanymi jako RODO), <em>Digital Markets Act</em> oraz <em>Digital Services Act</em>.</p>

<p>Przepisy te nie opierają się na stałych kwotach, lecz na procencie od przychodów. Autor wylicza, że <strong>Facebook mógłby oberwać teoretyczną karą do 32 mld euro</strong>.</p>

<p class="post-meta bigspace-after">Od razu zaznaczę, że nie znam przepisów na tyle, żeby wiedzieć czy to realne; ale autor podaje źródła, a jego stwierdzenia na temat przepisów są zbieżne z tym, co sam o nich wyczytałem. Dlatego daję jego słowom kredyt zaufania, choć wątpię w pełen wymiar kary.</p>

<p>Mam nadzieję, że wreszcie się doigrają, bo z ich strony naruszanie prywatności to już regularna recydywa. Zaś w międzyczasie, zamiast czekać na prawodawców, można wziąć sprawy we własne ręce.</p>

<h2 id="co-pomoże-aco-nie">Co pomoże, a co nie</h2>

<p>Metoda z tego wpisu nie tylko pozwala łączyć światy apek i przeglądarek, które od początku powinny być rozłączne, ale również <strong>obchodzi kilka najprostszych (i przez to najpopularniejszych) sposobów na ochronę prywatności</strong>.</p>

<p>Korzystasz z pośrednika, takiego jak VPN? Może cię to nie chronić.<br />
Prośba o zainicjowanie WebRTC po prostu sobie przejdzie przez cały łańcuszek pośredników, a twoje dane trafią do odpowiedniej przegródki <em>localhosta</em>. Stamtąd odbierze je nasłuchująca apka, połączy z tożsamością i wyśle swoim twórcom.</p>

<p>Często usuwasz pliki <em>cookies</em>? Dobry zwyczaj, często pomaga. Ale nie w tym wypadku.<br />
Ciasteczko identyfikujące tkwi wewnątrz apki Facebooka (albo uprzywilejowanych Usług Google’a, jeśli to ID reklamowe używane przez Yandeksa). Żadne czyszczenie przeglądarki nie ma na nie wpływu.</p>

<p>Na czas wrażliwszego wyszukiwania korzystasz z innej przeglądarki? Na przykład używasz Firefoksa zamiast swojej codziennej Opery?<br />
Dobry zwyczaj. Ale tutaj, o ile któraś z przeglądarek A i B nie jest dodatkowo zabezpieczona, dane z nich tak czy siak trafią do wspólnej szafki w <em>localhoście</em>. Stamtąd odbierze je apka i przypisze do konkretnego profilu.</p>

<h3 id="promyk-nadziei">Promyk nadziei</h3>

<p>Sprawa z nadużywaniem <em>localhosta</em> może być kubłem zimnej wody i sugerować, że giganci zawsze przechytrzą starania o szczyptę prywatności. To woda na młyn defetystów piszących lekceważąco, że „prywatność już nie istnieje, czas się poddać”.</p>

<p>Proponuję jednak spojrzeć na to inaczej. Ten wyciek istotnie był unikalny i nieco zniuansowany, ale możliwy jedynie dzięki splotowi kilku czynników. Gdyby choć jeden z nich nie zachodził, to Facebook i Yandex nie miałyby możliwości zebrania danych.</p>

<p>Oto lista rzeczy (nieraz bardzo szybkich i łatwych), dzięki którym cała metoda śledzenia straciłaby rację bytu. Ułożyłem je od najistotniejszych do pobocznych.</p>

<ul>
  <li>
    <p>Korzystanie z <strong>dodatku blokującego śledzenie</strong>, takiego jak uBlock Origin (albo z przeglądarki z wbudowanym blokerem)</p>

    <p>Rozwiązanie kwestii elementów śledzących na logikę wydaje się proste. „Kiedy jestem na stronie, która nie jest Facebookiem, to nie chcę mu niczego wysyłać”. I taką regułę wdrażają dodatki blokujące, z których w szczególności polecam <a href="/2021/10/21/ublock-origin" class="internal">uBlock Origin</a>. Skuteczny, darmowy, o otwartym kodzie źródłowym. Już nieraz o nim pisałem na blogu.</p>

    <p>Bloker w ogóle nie pobierałby elementów śledzących od Facebooka, dzięki czemu platforma nie dostałaby żadnych, nawet najprostszych informacji o użytkownikach (w ogóle nie zaszłyby etapy 3-5 z początkowego <a href="#cookies-schemat" class="internal">schematu</a>).</p>

    <p>Niestety nie każda przeglądarka mobilna daje możliwość instalowania dodatków. Żeby cieszyć się mocami uBO, należy zainstalować mobilnego Firefoksa.<br />
Inną opcją jest mobilna przeglądarka Brave. Nie ma uBO, ale zawiera własnego, wbudowanego blokera reklam – o mniejszych możliwościach, ale działającego z miejsca.</p>

    <p class="post-meta bigspace-after">Przeglądarek stawiających na prywatność jest więcej – choćby DuckDuckGo Browser czy Mullvad Browser – ale nie miałem okazji ich dokładniej przetestować. Polecam to, co sam sprawdziłem.</p>
  </li>
  <li>
    <p><a href="/2025/03/23/gravy-analytics-wyciek#usuwanie-id-reklamowego" class="internal">Wyłączenie ID reklamowego</a></p>

    <p>Ten krok <strong>pomógłby w przypadku Yandeksa, ale nie Facebooka</strong>. Ale ogólnie to rzecz tak prosta i pozbawiona efektów ubocznych, że polecam ją absolutnie wszystkim. Dałaby ochronę przed wieloma innymi nadużyciami, jak choćby afera Gravy Analytics opisana w podlinkowanym wpisie.</p>
  </li>
  <li>
    <p><a href="/internetowa_inwigilacja/2022/05/03/javascript2#ca%C5%82kowite-wy%C5%82%C4%85czenie-javascriptu" class="internal">Wyłączenie kodu JavaScript</a> na stronach internetowych</p>

    <p>Bez niego w ogóle by nie zadziałał etap 5 z pierwotnego <a href="#cookies-schemat" class="internal">schematu</a>. Czyli w przypadku elementów od Mety i Yandeksa: włączenie WebRTC i wysłanie danych.</p>

    <p>To metoda nie dla każdego, bo od JS-a zależy działanie wielu stron internetowych, zwłaszcza większych. Niektóre osoby stykają się z takimi stronami często, inne rzadziej.<br />
Moja sugestia? Zainstalować na mobilnym Firefoksie uBO, który i tak by się przydał. Na próbę wyłączyć JS-a w jego opcjach; w razie czego reaktywować go paroma kliknięciami na kłopotliwych stronach. Ocenić, czy rozwiązanie nam pasuje.</p>
  </li>
  <li>
    <p><a href="/tutorials/webrtc-wylaczenie" class="internal">Wyłączenie WebRTC</a> w przeglądarce</p>

    <p>Na każdej działa to nieco inaczej, więc zachęcam do zerknięcia w link. Uprzedzam, że po zablokowaniu nie będą działały niektóre programydo wideokonferencji, więc warto sobie zapisać sposób na odblokowanie.<br />
W przeglądarce anonimizującej Tor Browser ta funkcja jest domyślnie wyłączona, dzięki czemu domyślnie chroni użytkowników przed powiązaniem tożsamości – nie trzeba uruchamiać dodatkowych funkcji, jak blokada JavaScriptu, mimo że też by pomogły. Tylko pozazdrościć twórcom intuicji do wykrywania zagrożeń :wink:</p>
  </li>
  <li>
    <p>Używanie Facebooka przez stronę w przeglądarce, a nie aplikację</p>

    <p>Samo w sobie nie rozwiąże to problemu śledzenia, bo wrócimy do punktu wyjścia omówionego na początku wpisu (ryzyko natknięcia się na elementy Facebook Pixel na stronkach). Ale przejście do przeglądarki plus uBlock Origin? To już mocarna ochrona.</p>

    <p class="post-meta bigspace-after">Poza tym i tak warto to zrobić, jeśli chcemy w ogóle mieć możliwość np. rozbrajania <a href="/facebook_dane/2025/01/12/facebook-link-shimming" class="internal">linków śledzących</a>. W apce są nie do ruszenia.</p>
  </li>
  <li>
    <p>Wyłączanie aplikacji, kiedy z nich nie korzystamy</p>

    <p>Nieraz widziałem, jak ktoś pyta w sieci o sposób na <em>pełne</em> wyłączenie aplikacji, żeby nie zjadały baterii. Inni odpisywali często, że to bzdet, że Android sam dobrze zarządza pamięcią.<br />
…A teraz się okazuje, że osoby ubijające aplikacje byłyby lepiej chronione. Nie działając w tle, apki nie są w stanie warować przy portach. Jakie to życie przewrotne :wink:<br />
Aby wyłączyć konkretną aplikację, można wejść w <code class="language-plaintext highlighter-rouge">Ustawienia</code>, potem <code class="language-plaintext highlighter-rouge">Aplikacje</code>, wybrać ją z listy i kliknąć opcję <code class="language-plaintext highlighter-rouge">Wymuś zatrzymanie</code>. Pojawi się ostrzeżenie, proponuję zignorować.</p>
  </li>
</ul>

<p>Proponuję, żebyśmy z całej sytuacji wynieśli taką lekcję: ochrona prywatności jest wprawdzie pełna niuansów i stale wypływają nowe zagrożenia, ale <strong>zadbanie o parę prywatnościowych podstaw konsekwentnie chroni tyłek</strong>.</p>

<p>Tu i teraz zmień swój świat. Wyłącz ID reklamowe (zajmnie to mniej niż minutę). Zainstaluj Firefoksa, na nim zainstaluj uBlock Origin (kilka minut plus czas na pobranie). Nie musisz od razu przeskakiwać na ten zestaw, możesz się z nim stopniowo oswajać. Wszystkie instrukcje w linkach wyżej.</p>

<p>Te proste zmiany wystarczą, żeby zrobić symboliczny krok ku niezależności i odejść od świata, w którym jest się strzyżonym na łyso przez różnych chytrusów. I takiego lepszego świata nam życzę! :smile:</p>]]></content><author><name></name></author><category term="Apki" /><category term="Internet" /><category term="Inwigilacja" /><summary type="html"><![CDATA[List do twojej szuflady. Ale dla kogoś innego. A ciebie obgaduje.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/localhost/localhost-tracking-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/localhost/localhost-tracking-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">mObywatel, czyli Polak™ by Google &amp;amp; Apple</title><link href="https://www.ciemnastrona.com.pl/cyfrowy_feudalizm/2025/06/05/mobywatel-problemy.html" rel="alternate" type="text/html" title="mObywatel, czyli Polak™ by Google &amp;amp; Apple" /><published>2025-06-05T06:00:30+00:00</published><updated>2025-06-05T06:00:30+00:00</updated><id>https://www.ciemnastrona.com.pl/cyfrowy_feudalizm/2025/06/05/mobywatel-problemy</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/cyfrowy_feudalizm/2025/06/05/mobywatel-problemy.html"><![CDATA[<p>Były wybory prezydenckie, już po wyborach. W związku z nimi przez pewien czas było głośno o aplikacji <strong>mObywatel</strong>, zawierającej elektroniczne wersje różnych dokumentów; takich jak dowód tożsamości, który trzeba okazać przed zagłosowaniem. Niektórzy mieli zastrzeżenia do tej formy weryfikacji, inni uspokajali nastroje.</p>

<p>A ja? Nie przejmowałem się tym, bo mObywatelowi jakiś czas temu podziękowałem. Z tego prostego względu, że <strong>korzystanie z niego domyślnie wymaga podporządkowania się wybranej korporacji: Google albo Apple</strong>.</p>

<p>Ministerstwo Cyfryzacji, tworząc swojego mObywatela, nie poczyniło niestety nawet drobnych, symbolicznych kroków ku niezależności.</p>

<p>Nie opublikowali na własnej stronie pliku z aplikacją ani wzorca swojego cyfrowego podpisu, mimo że byłoby to dla nich kwestią paru chwil. Wprost wykluczyli dużego producenta telefonów. Co gorsza, na stronie niesłusznie sugerują, że instalacja bez udziału korporacji mogłaby nie być legalna.</p>

<p class="bigspace-before"><img src="/assets/posts/centralizacja/mobywatel/mobywatel-by-google-apple-baner.jpg" alt="Wiadomość mówiąca, że jedynymi legalnymi źródłami apki mObywatel są App Store i&nbsp;Play Store. Obok widać orła bielika ze znakami zapytania nad głową." /></p>

<p class="figcaption">Źródło: <a href="https://emojipedia.org/mozilla/firefox-os-2.5/crown">korona</a> z Emojipedii, <a href="https://commons.wikimedia.org/wiki/File:Haliaeetus-albicilla-001.jpg">orzeł bielik</a> z Wikimedia Commons (zdjęcia autorstwa Małgorzaty Sz., licencja CC-BY-SA 2.5). Przeróbki moje.</p>

<p>Ta sytuacja trwa od lat. Dlatego w ramach protestu stworzyłem ten wpis – nagłaśniający problem niepokojącej zależności między beniaminkiem polskiej cyfryzacji a zagranicznymi gigantami. Zapraszam do lektury!</p>

<p class="post-meta">Przy okazji będzie namiastka wpisu na temat grzeszków Play Store’a, który obiecałem kiedyś mailowo jednemu z czytelników.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#czym-jest-mobywatel">Czym jest mObywatel</a></li>
  <li><a href="#kontrowersyjne-słowa-olegalności">Kontrowersyjne słowa o legalności</a>
    <ul>
      <li><a href="#legalne-alternatywy">Legalne alternatywy</a></li>
      <li><a href="#nielegalni-monopoliści">Nielegalni monopoliści</a></li>
    </ul>
  </li>
  <li><a href="#trudne-sprawy-wokół-instalacji">Trudne sprawy wokół instalacji</a>
    <ul>
      <li><a href="#ciemne-strony-play-storea">Ciemne strony Play Store’a</a></li>
      <li><a href="#własna-instalacja-to-nie-samoróbka">Własna instalacja to nie samoróbka</a></li>
      <li><a href="#bezpieczna-instalacja-zzewnątrz">Bezpieczna instalacja z zewnątrz</a></li>
      <li><a href="#co-mogłoby-poprawić-ministerstwo-cyfryzacji">Co mogłoby poprawić Ministerstwo Cyfryzacji</a></li>
      <li><a href="#ciekawy-przypadek-huaweia">Ciekawy przypadek Huaweia</a></li>
    </ul>
  </li>
  <li><a href="#blokowanie-alternatywnych-systemów">Blokowanie alternatywnych systemów</a></li>
  <li><a href="#podsumowanie">Podsumowanie</a></li>
</ul>

<h2 id="czym-jest-mobywatel">Czym jest mObywatel</h2>

<p>W tym wpisie mówię o <em>aplikacji</em>, czyli o tym, co mogę sobie zainstalować na smartfonie i potem uruchamiać, stukając palcem ikonę godła Polski na ekranie głównym.</p>

<p>Jak piszą na <a href="https://info.mobywatel.gov.pl/pytania-odpowiedzi">oficjalnej stronie mObywatela</a>:</p>

<blockquote class="bigspace-before">
  <p>Aplikacja została upubliczniona 29 października 2017 roku na smartfony z Androidem. Wersja na urządzenia z iOS została wydana 31 stycznia 2018 roku.<br />
14 lipca 2023 roku, po gruntownej przebudowie, pojawiła się najnowsza wersja aplikacji określana jako mObywatel 2.0.</p>
</blockquote>

<p class="figcaption">Android to najpopularniejszy system operacyjny na smartfonach, rozwijany przez firmę Google; iOS to jego odpowiednik na smartfonach firmy Apple.</p>

<p>Oprócz aplikacji jest też strona internetowa, którą można odwiedzić przez zwykłą przeglądarkę. Problem w tym, że możliwości strony i aplikacji nie do końca się pokrywają; jak wyczytamy w zakładce <code class="language-plaintext highlighter-rouge">Czym różni się aplikacja od serwisu mObywatel</code>:</p>

<blockquote class="bigspace">
  <p>W serwisie mObywatel.gov.pl załatwisz wiele spraw urzędowych, takich jak wypełnianie wniosków, sprawdzanie danych czy kontakt z administracją publiczną. <strong>Nie znajdziesz w nim jednak elektronicznych dokumentów</strong>.</p>
</blockquote>

<p>Prowadzi to do prostego wniosku: nie da się tak po prostu zastąpić funkcji aplikacji (i to najbardziej podstawowych) stroną internetową. Jeśli ktoś z jakiegoś powodu nie może korzystać z apki – to nie ma pełnego dostępu do cyfrowej wersji swojego państwa. Wersji, która może z czasem zyskiwać dominację.</p>

<p>A jak tę apkę zdobyć? Oficjalna strona oferuje dwie opcje:</p>

<p class="figure bigspace"><img src="/assets/posts/centralizacja/mobywatel/mobywatel-opcje-pobierania.jpg" alt="Możliwe ścieżki pobrania mObywatela: Google Play albo AppStore" /></p>

<p>Nie ma natomiast informacji o tym, że instalowanie apki tymi kanałami wiąże się niejako z podpisaniem paktu z korpo (o tym za moment).<br />
Ministerstwo Cyfryzacji nie wydaje się podzielać moich obaw. Co więcej, na stronie umieścili wspomniany wyżej tekst, który szczególnie mnie zirytował:</p>

<blockquote>
  <p>W tej chwili nie planujemy udostępniania aplikacji w innych sklepach. <strong>Jedyną legalną i bezpieczną wersję mObywatela pobierzesz tylko w Google Play lub AppStore</strong>.</p>
</blockquote>

<h2 id="kontrowersyjne-słowa-olegalności">Kontrowersyjne słowa o legalności</h2>

<p>Tekst „jedyną legalną i bezpieczną” może wywoływać presję. Sugerować, że mObywatel ze źródeł niekorporacyjnych jest niebezpieczny i nielegalny. Czy faktycznie tak jest?</p>

<h3 id="legalne-alternatywy">Legalne alternatywy</h3>

<p>Co oznacza „legalny”? W słownikach można znaleźć prostą definicję: „zgodny z prawem”. W rozumieniu potocznym: za nieprzestrzeganie będzie kara.</p>

<p>Tak się składa, że mamy w Polsce <a href="https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/aplikacja-mobywatel-21848189">ustawę dotyczącą mObywatela</a>. Czy jest w niej jakiś zakaz korzystania ze źródeł niekorporacyjnych?</p>

<p>Na szczęście nie. W ustawie nie znajdziemy absolutnie żadnej wzmianki o Play Storze czy AppStorze. Jest ona raczej takim fundamentem, na którym opiera się możliwość traktowania cyfrowych dokumentów na równi z klasycznymi, jak dowód osobisty.</p>

<p>Mamy również <a href="https://www.gov.pl/attachment/a3f74ecd-21a7-4579-b3bc-24c2ea5164d2">regulamin mObywatela</a> (plik PDF). W nim już oba źródła aplikacji pojawiają się z nazwy… Ale nie widzę tu jednoznacznego zakazu.</p>

<blockquote>
  <p>W celu prawidłowego i pełnego korzystania z Aplikacji, Użytkownik powinien dysponować urządzeniem mobilnych typu smartfon z systemem:<br />
1) Android 7.0 lub wyższym i z dostępem do sklepu Google Play<br />
lub<br />
2) iOS 15.0 lub wyższym i z dostępem do sklepu App Store.</p>
</blockquote>

<p>Ten fragment wydaje się mieć jedynie cel informacyjny. „Jak się tego nie spełni, to korzystanie może być niepełne”. W bardzo podobnym tonie piszą później o (opcjonalnym) pozwoleniu na dostęp do aparatu.<br />
A czy ktoś przy zdrowych zmysłach nazwałby nieudzielenie smartfonowego pozwolenia czymś nielegalnym?</p>

<p>Wniosek: o ile nie ma jeszcze innych przepisów, o których nie wiem, <strong>nazywanie Play Store’a i AppStore’a jedynymi legalnymi źródłami wydaje się bezpodstawne</strong>.</p>

<p>Co więcej – gdyby jakaś organizacja udostępniała u siebie do pobrania (pełnoprawny, nieszkodliwy) plik z apką mObywatela, to czy słowa sugerujące nielegalność nie byłyby dla niej krzywdzące? Tak tylko głośno myślę :wink:</p>

<details class="framed bigspace">
  <summary><strong>Problem z&nbsp;sugerowaniem legalności (przykład praktyczny)</strong></summary>

  <p class="bigspace-before">W kontekście niedawnych wyborów trafiłem na przykład <strong>możliwego „wykluczenia cyfrowego na tle instalacyjnym”</strong> – jak dziwnie by to nie brzmiało.<br />
Ktoś pracujący w komisji wyborczej <a href="https://x.com/SedziwojzSanoka/status/1923771172723802312">twierdzi na Twitterze</a>, że w razie wątpliwości poprosiłby o pokazanie mObywatela w Play Storze lub AppStorze, bo tylko tam jest dostępny.</p>

  <p>Skutek? Osoba z pełnoprawnym mObywatelem mogłaby zostać niedopuszczona do głosu przez czyjąś prywatną decyzję. I nie jest to osoba teoretyczna – może to być ktoś, kto kupił smartfona Huawei, więc z konieczności instaluje z innego źródła (ale ma <em>dokładnie taką samą apkę jak od Google’a</em>).</p>

  <p>Ba! Taka decyzyjna samowolka mogłaby uderzyć nawet w tych, którzy pobrali mObywatela z zalecanych źródeł, ale po jego zainstalowaniu dezaktywowali lub stracili konto Google (bez niego nie działa Play Store). Mimo że o wymogu takiego konta nikt nigdzie nie pisze.</p>

  <p>Właściwie nie obwiniam samego gościa z komisji; trochę wyszedł ze swoim pomysłem przed szereg, ale mógł nie wiedzieć, że metod instalacji jest wiele. Natomiast stanowcze stwierdzenia z oficjalnej strony mObywatela dają podkładkę pod takie działania.</p>

</details>

<p>Myślę, że twórcom strony mObywatela nie spadłaby korona z głowy, gdyby zmienili krzywdzący fragment „jedyną legalną i bezpieczną wersję” na coś neutralnego, jak „jedyną <em>oficjalną</em> wersję”.</p>

<h3 id="nielegalni-monopoliści">Nielegalni monopoliści</h3>

<p>Jeśli już szukamy nielegalności, to pozwolę sobie przedstawić parę cytatów. Oto <a href="https://www.documentcloud.org/documents/25032745-045110819896/">wyrok sądu</a> z USA oskarżający Google’a o nielegalną monopolizację segmentu wyszukiwarek.</p>

<blockquote>
  <p>Google is a monopolist, and it has acted as one to maintain its monopoly. It has violated Section 2 of the Sherman Act.</p>
</blockquote>

<p>Wokół sprawy było trochę <a href="/google/2024/08/07/google-antymonopol-wyrok" class="internal">smaczków</a>: zarząd korporacji niszczył dowody, włączając na czacie usuwanie wiadomości; wyszło też na jaw, że celowo pogarszali przeglądarkę Chrome w celu wyświetlania reklam i płacili Apple miliardy dolarów za wstrzymanie prac nad ich własną wyszukiwarką.</p>

<p>…A tu kolejny wyrok przeciw Google’owi, nowszy, sprzed paru miesięcy. Oskarżający giganta o nielegalną <a href="https://www.cbc.ca/news/business/google-adtech-ruling-1.7512889">monopolizację giełd reklamowych</a>:</p>

<blockquote class="bigspace-after">
  <p>Google unlawfully monopolized markets for publisher ad servers and the market for ad exchanges, which sit between buyers and sellers</p>
</blockquote>

<p>Również Apple <a href="https://www.fxmag.pl/biznes/apple-dlawi-konkurencje-i-narusza-nakaz-sadu-jest-surowa-odpowiedz">oberwało</a> za drakońskie narzucanie metod płatności i zakazywanie kontaktu z klientami twórcom aplikacji. Walkę z nimi podjęła firma Epic Games, a sąd stanął po jej stronie.</p>

<p>Obaj giganci obrywają ponadto od Unii Europejskiej: za <a href="https://en.wikipedia.org/wiki/Antitrust_cases_against_Google_by_the_European_Union">monopolizację</a>, nadużywanie danych osobowych, blokowanie konkurencji, <a href="https://ithardware.pl/aktualnosci/unia_europejska_moze_ukarac_apple-42291.html">próby obchodzenia zaleceń</a>…</p>

<p>A pomijam nawet zachowania nieetyczne, które jednak nie trafiły na sale sądowe, bo nie znalazł się wystarczająco duży gracz, żeby rzucić rękawicę bysiorom. Mogę co najwyżej podlinkować całą swoją <a href="/serie/google" class="internal">serię na temat przewinień Google’a</a>.</p>

<p>Jak byśmy nazwali w świecie rzeczywistym kogoś, kto wielokrotnie łamie prawo? Bandziorem? Recydywistą? Złym towarzystwem?<br />
A tymczasem własny kraj namawia mnie, żebym z takim towarzystwem się bratał. I sugeruje, że tylko recydywiści zapewnią mi legalność. Świat stoi na głowie.</p>

<p>Dlatego postanowiłem iść własną drogą. Konsekwentnie (ale bez głębszych ingerencji w system) <a href="/2024/02/03/smartfon-degoogle" class="internal">oczyściłem smartfona z rzeczy od Google’a</a>.</p>

<p>To oczyszczenie obejmowało wyłączenie Play Store’a. A zatem konieczność zdobycia mObywatela innym kanałem niż ten „bezpieczny i legalny”. Czas na małą kronikę związanych z tym trudności – które byłyby łatwe do uniknięcia, gdyby Ministerstwo pomogło.</p>

<h2 id="trudne-sprawy-wokół-instalacji">Trudne sprawy wokół instalacji</h2>

<p>W tej części najpierw pokażę, z jakimi wadami wiąże się instalowanie aplikacji oficjalnym kanałem. Następnie pokażę trudności podczas instalacji nieoficjalnej – wynikające częściowo ze złej woli Google’a.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Odtąd skupiam się na systemie Android, bo to jego znam lepiej. Opisane bolączki dotyczą również AppStore’a – niektóre nawet w większym stopniu, bo Apple do niedawna całkiem blokowało inne źródła aplikacji. Teraz antymonopoliści wywalczyli dopuszczanie alternatyw… ale mam obawy, że Ministerstwo nie skorzysta z nowej możliwości.</p>
    
  </div>
</div>

<h3 id="ciemne-strony-play-storea">Ciemne strony Play Store’a</h3>

<p>Wyobraźmy sobie, że pani Basia ma nowy telefon, jeszcze bez żadnych aplikacji poza domyślnymi. Tak zachwalali tego mObywatela, że postanowiła go zainstalować. Wchodzi na stronę apki i klika w ikonę Play Store’a.</p>

<p>W tym momencie uruchamia się aplikacja Play Store z telefonu i… wymaga od pani Basi zalogowania. <strong>Nie da się bowiem korzystać z Play Store’a, a zatem również z mObywatela, bez posiadania konta Google</strong>.</p>

<p>Żeby założyć to konto, trzeba wyrazić zgodę na zbieranie danych. Pani Basia jest pytana o imię i nazwisko – rozważa nawet podanie zmyślonych danych, ale odczuwa presję i podaje prawdziwe. W końcu państwowa strona tu odesłała, granica między korpo a krajem się zaciera. Tak oto pani Basia i wielu innych Polaków trafia w łapy Google’a.</p>

<p>Co gorsza, czasem przy logowaniu pojawia się dodatkowy wymóg i <strong>Google może zażądać numeru telefonu</strong>. Zdarza się to dość losowo i wydaje się zależeć od „reputacji” naszego adresu IP, wskazującego w przybliżeniu miejsce, z jakiego łączymy się z internetem.</p>

<p class="figure bigspace-before"><img src="/assets/posts/centralizacja/mobywatel/google-nr-telefonu-weryfikacja.jpg" alt="Okno informujące o&nbsp;tym, że Google ze względów bezpieczeństwa chce podania numeru telefonu" /></p>

<p class="figcaption">Jak zwykle u Google’a – „dla twojego bezpieczeństwa” :roll_eyes:</p>

<p>Swoją drogą, skoro już o bezpieczeństwie mowa… Kiedy już założy się konto i włączy Play Store’a, domyślnie będzie w nim włączonych <a href="https://www.youtube.com/watch?v=fwpsn_eiES0">parę wrednych funkcji</a> (uwaga: filmik z Youtube’a), zebranych pod nazwą <strong><em>Play Protect</em></strong>.</p>

<ul>
  <li>
    <p>Automatyczne blokowanie aplikacji uznanych za niebezpieczne.</p>

    <p>A że firma polega w tej kwestii na nieprzeniknionych algorytmach, to zdarzały im się spektakularne wpadki. Jak <a href="https://futurebeat.pl/newsroom/dziwny-ruch-google-aplikacje-samsunga-wydaja-mu-sie-szkodliwe-wie/zc27199">zablokowanie Portfela Samsunga</a>, jego oficjalnej apki od płatności.</p>
  </li>
  <li>
    <p>Wysyłanie nieznanych aplikacji do Google’a, żeby mógł je sobie przeanalizować.</p>

    <p>Powodzenia, jeśli ktoś na przykład testuje eksperymentalną aplikację swojej firmy, która nie powinna być nigdzie publikowana.</p>
  </li>
</ul>

<p>Funkcje można wyłączyć w opcjach Play Store’a – ale mało kto w ogóle wie o ich istnieniu.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Po odwiedzeniu Play Store’a w dziale z <a href="https://play.google.com/store/apps/details?id=pl.nask.mobywatel&amp;hl=pl&amp;pli=1">opiniami</a> można zauważyć, że konto Ministerstwa Cyfryzacji często odpisuje na komentarze ingliszem: „Prosimy o kontakt z Service Desk”.<br />
A gdzie „Polacy nie gęsi…”? :wink:</p>
    
  </div>
</div>

<p>Jeśli ktoś już wykaże się miksem szczęścia i umiejętności – założy jednorazowe konto, wyłączy złe opcje – nadal może wszystko stracić. Zdarzało się nieraz, że Google, z taką samą nieprzewidywalnością jak przy Portfelu Samsunga, <a href="https://hn.algolia.com/?dateRange=all&amp;page=0&amp;prefix=true&amp;query=%22google%22%20%22deleted%22%20%22account%22&amp;sort=byPopularity&amp;type=all">usuwał konta realnych osób</a>.</p>

<p>Strata konta oznacza brak aktualizacji przez Play Store’a, zaś mObywatel <a href="https://android.com.pl/tech/897324-mobywatel-ceryfikat-aktualizacja/">czasem wymaga aktualizacji</a>. Oznacza to, że w przypadku otrzymania losowego kopniaka i utraty dotychczasowego dorobku grzeczny <em>Polak™ by Google</em> powinien założyć nowe konto, podając odpowiednie dane i może numer telefonu.<br />
…A podanego numeru telefonu <a href="https://www.youtube.com/watch?v=50MzBr1h2gU">może mu nie akceptować</a>, bo już wcześniej został użyty do założenia konta.</p>

<p>Wobec wszystkich wymienionych utrudnień można całkowicie zrezygnować z mObywatela albo całkowicie zrezygnować z pośrednictwa Google’a. Kiedyś wybrałem tę drugą opcję.</p>

<h3 id="własna-instalacja-to-nie-samoróbka">Własna instalacja to nie samoróbka</h3>

<p>Dla osób przyzwyczajonych do klikania w Play Store’a samodzielna instalacja może wydawać się czymś złożonym. Robienie tego na własną rękę może się kojarzyć z chaotyczną samoróbką, robioną we współpracy ze szwagrem, przy piwku.</p>

<p>„Dlaczego nie zdasz się na Play Store’a? To wykwalifikowani specjaliści! A ta twoja prowizorka to jeszcze smartfona spali”.</p>

<p>To szkodliwy mit, który warto obalić. Cykl życia aplikacji na Androida – jak wielu innych programów – można podzielić na kilka głównych etapów (literą T oznaczyłem etapy odpowiadające twórcom, a literą U – użytkownikom):</p>

<ol>
  <li>(T) stworzenie pliku z aplikacją,</li>
  <li>(T) umieszczenie pliku w internecie (tu zwykle w bazie Play Store),</li>
  <li><span class="red">(U)</span> pobranie pliku z aplikacją z internetu,</li>
  <li><span class="red">(U)</span> wyodrębnienie rzeczy do zainstalowania (niektóre są zbędne),</li>
  <li><span class="red">(U)</span> zainstalowanie wybranych rzeczy na swoim systemie.</li>
</ol>

<p>PlayStore za kulisami wykonuje kroki 3-5, przez co zlewają się w jeden – ale tak naprawdę <strong>na ostatnim etapie PlayStore oddaje stery systemowi</strong>. To system wykonuje ten najtrudniejszy etap. I wykonałby go również w przypadku samodzielnej instalacji.</p>

<p>Nie ma tu zatem żadnej samoróbki – przy instalacji na własną rękę za montaż odpowiadają dokładnie te same fachowe ręce co przy wariancie googlowym.</p>

<p>Trafniejsza analogia: obejście Play Store’a to zrezygnowanie z usługi transportu materiałów. Usługi, którą wykonywałby wścibski typ, notujący sobie rzeczy na nasz temat, a potem roszczący sobie prawo do niezapowiedzianych inspekcji i wyburzeń.<br />
Zamiast tego załatwiamy te materiały na własną rękę, mając spokój od wścibstwa i ten sam efekt. Tyle wygrać!</p>

<p>I tu pojawia się pytanie – jeśli nie od Play Store’a, to skąd? O ile bowiem pobranie apki jest łatwe, o tyle <em>bezpieczne</em> pobranie wymaga pewnej weryfikacji. Szkoda by było się nadziać na wirusa.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Kiedyś perfekcyjnym wyjściem był Aurora Store – pośrednik, który pobierał za nas apkę z oficjalnego Play Store’a. Google’owi się to chyba nie podobało, bo zaczął <a href="https://gitlab.com/AuroraOSS/AuroraStore/-/issues/912">banować im konta</a>. Twórcy Aurory się nie zrazili i działają nadal, ale czasy pokojowego współistnienia raczej minęły.</p>
    
  </div>
</div>

<h3 id="bezpieczna-instalacja-zzewnątrz">Bezpieczna instalacja z zewnątrz</h3>

<p>Nawiązując do etapów opisanych wyżej – trzeba wykonać krok 3, czyli pobrać plik z apką.<br />
Osobiście wybrałem jako swoje źródło stronę <em>apkmirror.com</em>, która <a href="https://www.reddit.com/r/AndroidQuestions/search/?q=apkmirror&amp;type=posts&amp;sort=new">ma dobrą reputację</a>. Zdobyłem stamtąd mObywatela w formacie APKM.</p>

<p class="post-meta bigspace-after">Co do wad: goszczą u siebie wielu reklamodawców, więc warto mieć blokera i pilnować, żeby kliknąć odpowiedni guzik od pobierania. Do tego kiedyś stosowali własny zamknięty format i zachęcali do swojego instalatora; potem to na szczęście zmienili.</p>

<p>Dla niektórych ryzyk-fizyk, reputacja strony wystarczy. Ale dla mnie gra toczyła się o dość wysoką stawkę, więc poszedłem z weryfikacją o krok dalej: <strong>sprawdziłem cyfrowy podpis</strong>, jakim oznaczony był plik z apką.</p>

<details class="framed bigspace">
  <summary><strong>Wyjaśnienie (minimalnie bardziej techniczne)</strong></summary>

  <p>W świecie cyfrowym da się porównywać wszystko z dokładnością co do „atomów” – pojedynczych zer i jedynek. Gdybym postawił obok siebie dwa pliki-apki, to mógłbym łatwo ustalić, czy są tym samym.<br />
…W praktyce jednak porównywanie setek milionów zer i jedynek byłoby żmudne, nawet dla komputera. Dlatego zamiast pełnowymiarowych plików porównuje się ich <a href="/2021/02/28/hash-podstawy" class="internal">skróty (hasze)</a>.</p>

  <p>Można sobie wyobrazić, że funkcja haszująca to taka maszynka, która ściska dowolnie duży plik do postaci malutkiego ciągu zer i jedynek – hasza. Ta sama funkcja użyta na tym samym pliku daje zawsze ten sam hasz.</p>

  <p>Istnieje wiele rodzajów funkcji haszujących. Niektóre z nich – MD5 i SHA-1 – zostały niestety rozpracowane i nie są już wiarygodnym sposobem porównywania, jeśli uwzględnimy ryzyko działania hakerów. Można się nadziać na podróbę szlifowaną przez hakera do momentu, aż uzyskała taki sam hasz jak oficjalna apka.<br />
Natomiast funkcja <strong>SHA-256</strong> pozostaje póki co niezłamana. Kiedy dwie rzeczy mają ten sam hasz SHA-256 – to możemy zakładać, że są dokładnie tym samym.</p>

  <p>O krok dalej od hasza idzie <strong>cyfrowy podpis</strong>, bo ujawnia dodatkowo, że daną rzecz (tu: apkę) oznaczyła konkretna organizacja.</p>

  <p>Gdybym patrzył tylko na hasze, to ktoś teoretycznie mógłby umieścić tę samą złą apkę w dwóch różnych miejscach, na przykład w serwisach <em>APK Mirror</em> i <em>APK Pure</em>. Jej pliki miałyby te same hasze, byłyby tym samym… Ale apka byłaby zła.<br />
Gdybym natomiast porównał hasze SHA-256 <em>podpisów cyfrowych</em> (a właściwie <em>certyfikatów</em>), to miałbym pewność, że za różne pliki ręczy ten sam podmiot. Tu: Ministerstwo Cyfryzacji, któremu ufam.</p>

  <p>Certyfikaty są niestety zaszyte w plikach i potrzeba sposobu, żeby się do nich dorwać. W praktyce, zgodnie z <a href="https://android.stackexchange.com/a/218161">poradami</a>:</p>

  <ul>
    <li>pobrałem na swój komputer program <code class="language-plaintext highlighter-rouge">apksigner</code> (oficjalny, od Google’a, do pracy z cyfrowymi podpisami),</li>
    <li>
      <p>kliknąłem plik APKM z APK Mirrora prawym przyciskiem myszy i wybrałem <code class="language-plaintext highlighter-rouge">Rozpakuj tutaj</code>.</p>

      <p>To dlatego, że to tak naprawdę archiwum, jak pliki ZIP. Po rozpakowaniu ukazały się różne pliki APK – główny i poboczne  – które same w sobie też są archiwami.</p>
    </li>
  </ul>

  <div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Choć pliki APK są ogólnie archiwami, w ich nowszej wersji Google <a href="https://stackoverflow.com/a/79095634">upycha certyfikaty</a>, przez co stają się niestandardowe.<br />
Być może to dlatego na Linuksie dawne pliki APK można rozpakować w niektórych programach bez zmiany końcówki pliku, zaś w przypadku nowszych muszę ją najpierw zmienić z <code class="language-plaintext highlighter-rouge">.apk</code> na <code class="language-plaintext highlighter-rouge">.zip</code>.</p>
    
  </div>
</div>

  <ul>
    <li>użyłem polecenia <code class="language-plaintext highlighter-rouge">apksigner verify --verbose --print-certs PLIK.apk</code> zarówno na głównym pliku z apką (w moim przypadku <code class="language-plaintext highlighter-rouge">base.apk</code>), jak i na pobocznych.</li>
  </ul>

  <p>W ten sposób poznałem hasz SHA-256 certyfikatu. Teraz powinienem go z czymś porównać.</p>

  <p>…I tu trafiłem na przeszkodę, bo Ministerstwo Cyfryzacji (według mojej wiedzy) niestety nie udostępnia publicznie ani haszy plików, ani wzorca swojego certyfikatu (mimo że jego udostępnienie nie ułatwiłoby hakerom roboty).</p>

  <p>Chcąc mieć pewność, musiałbym pobrać choć jedną wersję mObywatela z oficjalnego, namaszczonego Play Store’a i odczytać, jaki certyfikat jest do niego przypięty. Jeśli ten sam co do pliku z <em>APK Mirrora</em>, to byłbym spokojny.<br />
Ale, nie chcąc nawet kijem ruszać Play Store’a, mogłem zastąpić pewne źródło kilkoma niewiele mniej pewnymi:</p>

  <ul>
    <li>
      <p>pobrać tę samą wersję apki z innego źródła (na przykład z APK Pure, również mającego względnie dobrą reputację) i porównać certyfikaty.</p>

      <p>Pobiera się jako plik XAPK, bo ta strona ma inny format. Również rozpakowuję go jak archiwum, sprawdzam główny plik APK <code class="language-plaintext highlighter-rouge">apksigner</code>em. Ten sam hasz certyfikatu, czyli podpisali ci sami twórcy.</p>
    </li>
    <li>
      <p>znaleźć starszą wersję apki z <em>APK Mirrora</em> na zaufanej stronie archiwizującej, jak <a href="https://web.archive.org/web/20240601000000*/https://www.apkmirror.com/apk/ministerstwo-cyfryzacji/mobywatel-publiczna-aplikacja-mobilna/"><em>archive.org</em></a>.</p>

      <p>Wybrałem najstarszą dostępną wersję, wszedłem w jej opis i zobaczyłem (nawet bez pobierania, w zakładce <code class="language-plaintext highlighter-rouge">Verified safe to install</code>), że certyfikat jest ten sam, co parę lat później przy nowej wersji. Raczej nie podróba, ktoś by przez te lata wyłapał.</p>
    </li>
  </ul>

  <p>Widząc zgodność certyfikatu między różnymi źródłami, zaufałem mu. Dla potomności – oto hasz (oczywiście niepodrabialny SHA-256) certyfikatu, jaki pokazał mi <code class="language-plaintext highlighter-rouge">apksigner</code>. Taki sam dla dwóch różnych źródeł z tego roku oraz zarchiwizowanej wersji sprzed dwóch lat.</p>

  <div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>cb4f1ea4f0be4a91ea803497dda69f31845c9a98f43903c56017cf4ab877d89f
</code></pre></div>  </div>

</details>

<p>Kolejna sprawa to krok 4, przedostatni, czyli wyodrębnienie plików. Pobranego pliku APKM z mObywatelem nie da się niestety tak po prostu zainstalować kliknięciem. Potrzeba jakiegoś instalatora.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Dawniej czasy były prostsze, a każda aplikacja w istocie była pojedynczym plikiem APK, który instalowało się kliknięciem.<br />
…Ale potem Google zmienił swój podstawowy format przyjmowany przez Play Store’a na „zestawy APK-owe” (ang. <em>APK bundles</em>). Jednocześnie nie dodali do systemu opcji ich łatwego instalowania, choć mogli.<br />
Wygląda to jak kolejna kłoda pod nogi osób chcących odejść od Play Store’a – on pozwala jednym kliknięciem, a w innym wypadku się namęczysz. Ale mało kto dostrzeże winnych tego stanu rzeczy.</p>
    
  </div>
</div>

<p>Osobiście postawiłem na instalatory o otwartym kodzie źródłowym. W tym celu:</p>

<ul>
  <li>zainstalowałem F-Droida (źródło otwartych apek),</li>
  <li>przez F-Droida zainstalowałem sobie aplikację SAI (<em>Split APKs Installer</em>),</li>
  <li>przez nią zainstalowałem wspomniany wyżej plik APKM.</li>
</ul>

<p class="figure bigspace"><img src="/assets/posts/centralizacja/mobywatel/sai-mobywatel-instalacja.jpg" alt="Zrzut ekranu pokazujący zainstalowanego mObywatela wewnątrz apki Split APKs Installer." width="500px" /></p>

<p>…I już, miałem działającego mObywatela, mimo wyłączonych Usług Google Play i innych bzdetów od Google’a. Aż się zdziwiłem, że działało. Ale może to dlatego, że mój telefon był mimo wszystko standardowym Androidem. Osoby z całkiem niezależnymi systemami smartfonowymi dopiero zaczynałyby przygodę.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Przyczyny odejścia
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Skoro mObywatel działał, to czemu przestałem go używać? Ano dlatego, że musiałbym na własną rękę co pewien czas aktualizować aplikację – każdorazowo pobierać nową wersję z alternatywnego źródła, dla pewności sprawdzając certyfikaty. Elektronicznych dokumentów używałem na tyle rzadko, że nie chciało mi się robić nawet takiej rutynowej aktualizacji i odpuściłem.</p>
    
  </div>
</div>

<h3 id="co-mogłoby-poprawić-ministerstwo-cyfryzacji">Co mogłoby poprawić Ministerstwo Cyfryzacji</h3>

<p>Przede wszystkim: <strong>mogliby opublikować apkę na swojej stronie</strong>. W ten sposób osoby z tego czy innego względu niezwiązane z Google’em mogłyby ją łatwo zdobyć.</p>

<p>Nie wydaje się to jakimśtam odejściem od misji i uleganiem zrzędliwym blogerom :wink:<br />
Ekipa tworząca mObywatela wprost pisze na stronie, że planują kiedyś <a href="https://info.mobywatel.gov.pl/rozwoj-aplikacji">upublicznić kod źródłowy apki</a>, a to dużo większe przedsięwzięcie niż zwykłe umieszczenie na widoku gotowego produktu.</p>

<p>Gdyby z jakiegoś powodu nie chcieli opublikować pliku (obawy, że ludzie się przyzwyczają do pobierania z sieci albo coś), to mogliby chociaż udostępniać skróty plików zawartych w apce oraz wzorzec certyfikatu odpowiadający ich cyfrowym podpisom.</p>

<p>W ten sposób ludzie pobierający pliki z zewnątrz mogliby przynajmniej pobieżnie weryfikować, czy zgadzają się one z oryginałem. Ministerstwo nie musiałoby reklamować tej funkcji – wystarczyłaby jakaś niepozorna zakładka, np. <code class="language-plaintext highlighter-rouge">Historia wersji</code>, w której chętni znaleźliby potrzebne rzeczy.</p>

<p>Gdyby ktoś szukał przykładu, jak udostępnić apkę lub certyfikat na własnej stronie, to może spojrzeć na <a href="https://signal.org/android/apk/">szyfrowany komunikator Signal</a>:</p>

<p class="figure bigspace-before"><img src="/assets/posts/centralizacja/mobywatel/signal-udostepnianie-apki.jpg" alt="Zrzut ekranu ze strony Signala pokazujący link do pliku APK oraz hasz SHA-256 certyfikatu." width="500px" /></p>

<h3 id="ciekawy-przypadek-huaweia">Ciekawy przypadek Huaweia</h3>

<p>Patrząc po moim przykładzie, można uznać ludzi bez Play Store’a za jakiś promil społeczeństwa. W rzeczywistości to grono jest większe niż się zdaje, do tego wrzucone w obecną sytuację przez polityczne turbulencje. To osoby używające <strong>smartfonów firmy Huawei, która oberwała sankcjami</strong>.</p>

<p>Mamy tu kaskadę zdarzeń – najpierw Stany Zjednoczone nałożyły na Huaweia sankcje (co ciekawe, nie uderzyły w inne chińskie firmy, jak Xiaomi). Wskutek sankcji Google przestał udostępniać chińskiemu koncernowi swoje aplikacje, w tym Play Store’a. W efekcie polscy obywatele, kupując legalnie sprzedawany i działający telefon, nie mają dostępu do cyfrowego oblicza swojego państwa.</p>

<p>Huawei jakoś przetrwał, tworząc własną niezależną bazę apek, App Gallery. Ale twórcy mObywatela celowo go tam nie umieścili, <strong>nie podając powodów</strong>. A przecież pliki APK już mają stworzone i to tylko kwestia załadowania ich nie do dwóch, a do trzech baz.</p>

<p>Jakieś obawy przed chińskimi ingerencjami?<br />
Ale taki na przykład bank PKO BP jakoś nie ma z tym problemów i trzymają swoją aplikację <a href="https://www.pkobp.pl/klient-indywidualny/aplikacja-iko-ipko/centrum-wsparcia-bankowosci-elektronicznej/aplikacja-iko">w App Gallery</a> (zakładka „Gdzie można pobrać aplikację IKO?”).</p>

<p>Nie udostępniają, bo apka i tak by nie działała bez Usług Google’a?<br />
Możliwe, choć u mnie, również z wyłączonymi usługami, jakoś działała; poza tym według paru <a href="https://huaweiforum.pl/aplikacja-mobywatel-2-0-apk-na-huawei-skad-pobrac-1477">dyskusji na forach</a> jedyną przeszkodą jest pobranie z innego źródła, a potem działa normalnie.</p>

<p>Dla jasności: nie darzę Huaweia sentymentem, uważam ich za kolejne drapieżne korpo. Niedawno ujawniono chociażby, że <a href="https://www.euractiv.pl/section/polityka-wewnetrzna-ue/news/afera-korupcyjna-w-pe-huawei-przekupywalo-europoslow/">ich lobbyści przekupywali europarlamentarzystów</a>. Sposób, w jaki zostali potraktowani, pokazuje natomiast nieoczekiwany wpływ przepychanek amerykańsko-chińskich na Polaków.</p>

<p>„Nie protestowałem, gdy przyszli po Huaweia”… Ale kiedyś mogą wykluczyć kolejne chińskie smartfony, jak Xiaomi, Realme, Vivo, Oppo, OnePlus, Motorola (własność Lenovo)… I co wtedy, (m-)obywatelami Polski pozostaną tylko ludzie mający Samsunga, Pixela lub jabłkofona?</p>

<p>Twórcy mObywatela nie muszą w sumie specjalnie się fatygować do App Gallery; umieszczenie apki na własnej stronie byłoby jeszcze lepsze, bo rozwiązałoby problemy wszystkich, którzy z tego czy innego powodu nie mają lub kiedyś stracą Play Store’a.</p>

<p>…Ale wciąż pozostanie grono najbardziej wykluczone. Ludzie, którzy postanowili zamienić standardowego Androida na coś innego. <strong>Takie niestandardowe systemy nawet po pomyślnym zainstalowaniu mObywatela są przez niego odrzucane</strong>.</p>

<h2 id="blokowanie-alternatywnych-systemów">Blokowanie alternatywnych systemów</h2>

<blockquote>
  <p>Czy mogę korzystać z aplikacji, kiedy na moim urządzeniu mam włączone <span class="red">uprawnienia root?</span><br />
Nie, wówczas nie ma możliwości korzystania z aplikacji.</p>
</blockquote>

<p>Takie coś piszą na oficjalnej stronie twórcy mObywatela. Nie musicie znać pojęcia „uprawnienia <em>root</em>” – wystarczy wiedzieć, że to rodzaj modyfikacji systemu dający na nim więcej możliwości, na przykład w sferze prywatności. Innym rodzajem modyfikacji jest np. wymiana Androida na inny system.</p>

<details class="framed bigspace">
  <summary><strong>Dokładniejsze wyjaśnienia (luźna analogia)</strong></summary>

  <p>Wyobraźmy sobie, że system Android jest jak roślina. Ma swoją część nadziemną, do której mamy dostęp – łodygę lub pień, owoce, kwiaty i tak dalej. Ale jest też część podziemna, niewidoczna i niedostępna – korzenie.</p>

  <p class="post-meta bigspace-after">Słowo <em>root</em> może oznaczać po angielsku właśnie „korzeń”. Wprawdzie geneza słowa jest całkiem inna, ale skoro już mają identyczne brzmienie, to można się pobawić.</p>

  <p><em>Rootowanie</em> oznacza dobranie się do tej podziemnej części i odkrycie nowych możliwości interakcji z naszym systemem-rośliną:</p>

  <ul>
    <li>możemy wykopać skarby spod ziemi (<em>dostęp do plików wewnętrznych</em>);</li>
    <li>możemy całkowicie usunąć korzenie, które nam się nie podobają (<em>apki systemowe</em>);</li>
    <li>możemy oglądać pod mikroskopem dokładny przepływ cieczy w korzeniach (<em>przechwytywać i analizować ruch sieciowy</em>).</li>
  </ul>

  <p>Ogranicza nas tylko wyobraźnia. Mając dostęp do fundamentów i znając zasadę ich działania, możemy nawet podmienić „domyślne” korzenie własnymi. Może sztucznymi, może działającymi wydajniej niż podstawowe. Póki system-pień dostaje od spodu dokładnie taką samą wodę i składniki mineralne (w świecie cyfrowym: zera i jedynki), to działa dokładnie tak samo.</p>

  <p>Żeby dostać się do korzeni, trzeba zrobić podkop. Wyobraźmy sobie, że ziemia wokół naszej rośliny to tzw. <strong><em>bootloader</em></strong>. Jeśli jest miękka i można kopać, to <em>bootloader</em> jest otwarty. Jeśli wokół rośliny mamy wylany beton, który najpierw by trzeba usunąć – to <em>bootloader</em> jest zamknięty.</p>

  <p>Taką kompletną „podmianą korzeni i łodygi” jest zainstalowanie alternatywnego systemu, zwanego <strong><em>custom ROM</em></strong>. Przykłady alternatyw to na przykład Lineage OS albo Calyx OS. Często bardziej dbają o prywatność niż domyślny (tzw. <em>stockowy</em>) Android; pozwalają też wydłużyć żywotność urządzenia.</p>

  <p>Nie są to rzeczy tylko dla majsterkowiczów – można na przykład kupić telefon-gotowca, na którym alternatywny system już jest zainstalowany. I wszystko byłoby super, gdyby niektórzy twórcy apek nie wywierali presji na to, żeby mieć domyślne korzenie.</p>

</details>

<p>Wszystkie wspomniane modyfikacje łączy to, że <strong>mObywatel pyta system o wprowadzone zmiany, a jeśli o jakichś się dowie, to celowo odmówi działania</strong>.</p>

<p>Istnieją sposoby, żeby ukrywać ślady po zmianach i symulować pierwotny stan. Magisk, Play Integrity Fix, Zygisk… Czasem różni smartfonowi majsterkowicze <a href="https://miuipolska.pl/forum/topic/59273-mobywatel-i-root/page/3/">stają na głowie</a>, żeby ukryć swoje modyfikacje i korzystać z aplikacji.</p>

<p class="post-meta bigspace-after">Na wypadek, gdyby to miało kogoś odstraszyć od <em>rootowania</em> – to dość szczególny przypadek, bo piszący chcą uruchomić u siebie kilka różnych aplikacji, być może o sprzecznych zakresach tolerancji. Samo ukrywanie zmian jest natomiast częstym motywem.</p>

<p>Majsterkowicze nieraz podchodzą do tego jak do wyzwania i czasem coś ugrają. Ale mam wrażenie, że to walka z wiatrakami. Oni się starają, może nawet sam mObywatel przymyka oko… Ale potem Google <a href="https://www.androidauthority.com/google-play-integrity-hardware-attestation-3561592/">wprowadza w Androidzie ostrzejsze mechanizmy weryfikacji</a> (nówka sprzed kilku dni) i coś, co działało, nagle działać przestaje.</p>

<p>Pewniejszym rozwiązaniem, zamiast ciągłego prześlizgiwania się pod przeszkodami, wydaje mi się głośne protestowanie. Nie powinno tak być, że ktoś jest wykluczany ze społeczeństwa przez niestandardowy system!<br />
Rozumiem jeszcze wykrywanie zmian i ostrzeganie ludzi, ale powinna być możliwość potwierdzenia, że owszem, chcę użyć obywatelskiej aplikacji na nietypowym systemie.</p>

<p>„Ale po co się wychylać dla jakiegoś promila ludzi?”, mógłby ktoś zapytać.</p>

<p>Ano po to, żeby wyrwać się z zaklętego kręgu. Być może więcej osób spróbowałoby alternatyw, gdyby nie słyszeli przed próbą ich instalacji: „tylko pamiętaj, że ci aplikacje bankowe i mObywatel nie zadziałają”.</p>

<p>Banki to trudny przypadek, bo raczej za bardzo chcą mieć dupochron i możliwość przesunięcia odpowiedzialności na Google’a w razie hakerskiego ataku.<br />
Ale państwo, zwłaszcza w kwestii apki dla ogółu społeczeństwa, powinno zachować elastyczność. Wychodzić naprzeciw obywatelom, a nie monopolistom.</p>

<p>Po wykryciu roota lub innych zmian twórcy mObywatela mogliby informować zamiast odrzucać. Oprócz tradycyjnej prośby o zalogowanie mogliby wyświetlić przykładowo, w zależności od awersji do ryzyka:</p>

<ul>
  <li>ostrzeżenie, które wystarczy przeklikać;</li>
  <li>prośbę o kliknięcie przycisku „Akceptuję ryzyko” przed załadowaniem apki;</li>
  <li>
    <p>informację, że potrzebna jest dodatkowa weryfikacja, czy osoba chcąca włączyć apkę to faktycznie jej posiadacz.</p>

    <p>Pomysł: na ekranie mógłby pojawić się kod odpowiadający apce oraz pole na wpisanie kodu zwrotnego.<br />
Ten pierwszy kod należałoby pokazać w urzędzie razem ze swoją twarzą i fizycznym dokumentem. Gdyby wszystko było OK, to dostałoby się jednorazowy kod aktywacyjny. Po jego wpisaniu zyskałoby się apkę na zmodyfikowanym systemie. Oczywiście najfajniej, gdyby dało się to zrobić bez ujawniania w urzędzie, co chcemy zrobić – prywatność górą.</p>

    <p>Można też podejrzeć rozwiązanie z Danii – <a href="https://www.mitid.dk/en-gb/get-started-with-mitid/how-to-use-mitid/mitid-app/">MitID</a>. To sposób na uwierzytelnienie, ale oprócz apki dostępnych jest kilka innych metod, w tym mały fizyczny generator kodów, wręczany na własność przez państwo.<br />
Telefon wykrywa zmiany? To prosi o wpisanie kodu z generatora, z założenia „przypiętego” do konkretnej osoby. Generuje ona kod, wpisuje, odtąd ma mObywatela na swoim nietypowym systemie. Da się? Da się.</p>
  </li>
</ul>

<h2 id="podsumowanie">Podsumowanie</h2>

<p>Aplikacja mObywatel jest oczkiem w głowie niektórych polityków. Chwalą się 9 milionami użytkowników, a portale piszą górnolotnie o cyfrowej transformacji.</p>

<p>Ale w obecnej postaci ta cyfrowa strona kraju jest ściśle zależna od korpo. Korzystając z apki na Androidzie, czuję się jak produkt <em>Polak™ firmy Google</em> – ściśle zrośnięty z ich ekosystemem, karmiony narracją o ograniczeniach dla mojego bezpieczeństwa, wolno drepczący w stronę <a href="https://killedbygoogle.com/">cmentarzyska</a> – jak setki innych ich projektów.</p>

<p>Ta zależność od korposów jest też czystym ryzykiem. Co by było, gdyby kiedyś automat Google’a przez losowy błąd zablokował naraz wszystkie mObywatele, jak kiedyś Portfel Samsunga? Co by było, gdyby nowe sankcje USA ubiły Play Store’a na innych smartfonach chińskiej produkcji?<br />
Dostępność apki poza bazą Google’a poprawiłaby odporność na takie sytuacje.</p>

<p>Niektórzy mogą się łudzić, że apka państwowa, z godłem Polski, byłaby specjalnie traktowana… Obawiam się jednak, że z punktu widzenia korpo ten orzeł jest wart mniej niż zielona sowa z ikony Duolingo. W końcu te 9 milionów użytkowników, którymi tak się chwali rząd, blednie wobec <a href="https://play.google.com/store/apps/details?id=com.duolingo&amp;hl=en-US">ponad 500 mln</a> posiadaczy Duo.</p>

<p>Teraz mogą być ostatnie lata na zadbanie o fundamenty i dostępność aplikacji dla wszystkich. Przypomnę rzeczy, które bardzo bym docenił ze strony twórców mObywatela (szczegóły wyżej, we wpisie):</p>

<ul>
  <li>usunięcie słów o „jedynym legalnym źródle” – niesłusznie demonizują alternatywy;</li>
  <li>umieszczenie na swojej stronie tych samych wersji aplikacji, które trafiają do Play Store’a, żeby dało się je pobrać na własną rękę…</li>
  <li>…albo przynajmniej umieszczenie na stronie haszy plików oraz informacji o stosowanym certyfikacie – żeby dało się samodzielnie zweryfikować bezpieczeństwo apek ze źródeł zewnętrznych;</li>
  <li>
    <p>dopuszczanie urządzeń z rootem i alternatywnych systemów.</p>

    <p>Forma dowolna; jak dla mnie może to być proste kliknięcie „Akceptuję ryzyko”, może być wymóg podania dodatkowego kodu – albo z urządzenia, na wzór duński, albo z urzędniczego okienka. Byle nie wykluczać alternatyw.</p>
  </li>
</ul>

<p>Zachęcam, żeby przedstawiać te postulaty twórcom mObywatela i zachęcać do ich wprowadzenia. Z ich punktu widzenia to na pewno łatwiejsze niż pełna publikacja kodu źródłowego, ale pokazałoby dobrą wolę i aktywne działanie. A ludzie nie musieliby się czuć wykluczeni i zdani na niepewne stronki.<br />
Obustronna korzyść, coraz rzadsza na tym świecie!</p>

<p>Mam nadzieję, że coś się w kwestii mObywatela zmieni, a cyfryzacja stanie się faktycznie ogólnodostępna. A tymczasem – do kolejnego wpisu! :smile:</p>]]></content><author><name></name></author><category term="cyfrowy_feudalizm" /><category term="Apki" /><category term="Centralizacja" /><category term="Przemyślenia" /><summary type="html"><![CDATA[Tylko pod G lub jabłkiem, tylko pod tym znakiem... możesz być Polakiem.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/centralizacja/mobywatel/mobywatel-by-google-apple-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/centralizacja/mobywatel/mobywatel-by-google-apple-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">2025 – rok dobry dla Linuksa?</title><link href="https://www.ciemnastrona.com.pl/2025/04/22/koniec-windows-10-rok-linuksa.html" rel="alternate" type="text/html" title="2025 – rok dobry dla Linuksa?" /><published>2025-04-22T07:00:34+00:00</published><updated>2025-04-22T07:00:34+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/04/22/koniec-windows-10-rok-linuksa</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/04/22/koniec-windows-10-rok-linuksa.html"><![CDATA[<p>„To będzie rok Linuksa”.</p>

<p>Te słowa stały się swoistym memem. Niszowym co prawda na tle piesełów albo pewnego żółtawego oblicza z Polski… Ale też nie całkiem hermetycznym – <strong>Linux w ostatnich latach zyskał na popularności</strong>.</p>

<p class="bigspace-before"><img src="/assets/posts/open_source/2025-rok-linuksa/linux-windows-breaker.jpg" alt="Wygenerowany obraz pokazujący uśmięchniętego pingwina, który rozbija kopnięciem szklaną szybę podświetloną różowym neonem" /></p>

<p class="figcaption">Źródło: Bing Create, generator od Microsoftu – bo bawi mnie używanie przeciw komuś jego własnych narzędzi :smiling_imp:</p>

<p>Mogły o nim usłyszeć nawet osoby traktujące swój komputer i jego system jak nierozłączne. Zwykli ludzie, którzy włączają MacBooka i widzą system MacOS. Włączają laptopa-gotowca ze sklepu i ładuje im się Windows.</p>

<p>…Ale jest szansa, że tym samym osobom załaduje się też jakieś popularne forum internetowe. A tam, nawet na głównej osi czasu, w wątkach nie tylko komputerowych, <a href="https://www.reddit.com/r/Polska/comments/1742jx3/a_czy_ty_znasz_linuxa/">pada czasem wzmianka o Linuksie</a> – alternatywnym, otwartym systemie, którego maskotką jest pingwin Tux.</p>

<p class="post-meta bigspace-after">Ściśle rzecz biorąc: to nie tyle system, co wspólny „silnik” wielu systemów. Ale w tym wpisie traktuję je zbiorczo.</p>

<p>W takich dyskusjach ktoś często ironizuje, że aktualny rok będzie rokiem Linuksa.<br />
Przesłanie: fani Linuksa są wobec rzeczywistości trochę jak Syzyf wobec głazu albo Achilles wobec żółwia. Każdorazowo liczą, że ich kochany system zyska powszechne uznanie… Po czym nic się nie dzieje i wszystko zostaje po staremu.</p>

<p>Ale <em>ten</em> rok (2025), choć pewnie nie postawi spraw na głowie, może przynieść różnym odmianom Linuksa realny wzrost popularności. A to dlatego, że <strong>zachodzi unikalny splot czynników, dobry dla otwartych alternatyw</strong>.</p>

<p>Kończy się wsparcie dla Windowsa 10, a jego następca, Windows 11, nieco sobie nagrabił brakiem zgodności z wieloma komputerami. Nie mówiąc o innych jego niedoskonałościach.<br />
W tle mamy też rosnący izolacjonizm USA, skłaniający Europę do mocno spóźnionych myśli o niezależności, również cyfrowej.</p>

<p>W tym wpisie przybliżę te czynniki, robiąc przy tym małą reklamę szeroko rozumianemu Linuksowi. Jeśli zainspiruję osoby lubiące pingwina do jego dalszego promowania – super! Jeśli uda się wciągnąć w ten świat jakieś nowe osoby – jeszcze lepiej! :smile:</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#linux-kontra-windows--analogie">Linux kontra Windows – analogie</a></li>
  <li><a href="#ciemne-chmury-nad-windowsem">Ciemne chmury nad Windowsem</a>
    <ul>
      <li><a href="#koniec-wsparcia-dla-windowsa-10">Koniec wsparcia dla Windowsa 10</a></li>
      <li><a href="#windows-11i-wymóg-modułu-tpm">Windows 11 i wymóg modułu TPM</a></li>
      <li><a href="#liczne-słabości-windowsa-11">Liczne słabości Windowsa 11</a></li>
      <li><a href="#inne-czynniki">Inne czynniki</a></li>
    </ul>
  </li>
  <li><a href="#podsumowanie">Podsumowanie</a></li>
</ul>

<h2 id="linux-kontra-windows--analogie">Linux kontra Windows – analogie</h2>

<p>Bohaterami tego wpisu są dwa systemy operacyjne – Linux i Windows.</p>

<p>O Windowsie, rozwijanym przez firmę Microsoft, słyszał chyba każdy, nawet pokolenie smartfonowe. W końcu to najpopularniejszy system operacyjny na świecie. Stosowany w szkołach, mniejszych i większych firmach, do użytku domowego…</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Jeśli przyjąć za początek tego systemu jego pierwsze wydanie wymienione na Wikipedii, to w tym roku (20 listopada) <a href="https://pl.wikipedia.org/wiki/Microsoft_Windows">będzie obchodził swoje 40-lecie</a>.</p>
    
  </div>
</div>

<p>Linux jest dużo mniej znany, choć nieco zyskał na popularności. To darmowa i otwarta alternatywa dla Windowsa. Działa jak każdy system: pojawia się tuż po włączeniu urządzenia i śmiga w tle, gdy z tego urządzenia korzystam.</p>

<p>Żeby nie zaschło nam w gardle od suchych faktów, pozwolę sobie na chwilę luźnej gawędy. O tym, <strong>czym oba systemy są <em>dla mnie</em>, całkiem subiektywnie</strong>. Mam porównanie, bo używałem obu.</p>

<p>Jeśli chodzi o Linuksa: uważam się za jego sympatyka, ale nie fanatyka. Dużo silniejszymi uczuciami darzę szerszy ruch <em>open source</em>, którego jest częścią. Samego Linuksa postrzegam po prostu jak system operacyjny. Coś, przez co przechodzę w drodze do różnych programów, z czasem jak na autopilocie.</p>

<p>Ale nawet patrząc z tego punktu widzenia – „zwykłe przejście w drodze dokądśtam” – jestem w stanie wyraźnie postawić Linuksa nad Windowsem. Bo twór Microsoftu robi mi rzeczy, o które nie prosiłem. Zmienia przestrzeń dookoła; zwykle nie dla mnie, tylko po to, żeby jakiś manager z Microsoftu się wykazał.</p>

<p>Trzymając się porównania do przejścia – <strong>obecny Windows jest jak główna ulica metropolii</strong>. Pokryta plakatami i ekranami, których treść stale się zmienia. Diety pudełkowe, seriale w abonamencie. „Subskrybuj! Kupuj!” (patrz: <a href="https://www.rmfmaxx.pl/news/Microsoft-zaczal-wyswietlac-reklamy-w-Windowsie-Jak-je-wylaczyc,77744.html">reklamy dodane do menu głównego</a>).<br />
Wyburzono sprawny przystanek i postawiono zamiast niego minimalistyczną wiatę, która wygląda nowocześnie, ale nie osłania przed słońcem ani deszczem (patrz: <a href="https://www.benchmark.pl/testy_i_recenzje/jak-zmienic-menu-kontekstowe-windows-11-na-stare-z-windows-10.html">redukcja opcji w menu podręcznym</a>). Bo musi się dziać, musi być dynamizm, coraz więcej szkła i chromu.</p>

<p>Przez nieprzemyślane zmiany ulica się korkuje i <a href="https://www.reddit.com/search/?q=%22windows+explorer%22+%22slow%22">działa wolniej</a>. Przez betonowanie wszystkiego brakuje cienia i robi się piekarnik (patrz: <a href="https://ithardware.pl/aktualnosci/outlook_procesor_microsoft_blad-40839.html">program od maili przeciążający procesor</a>). Ale włodarzy nie obchodzą podstawy, tylko nowinki.<br />
Chcą montować inteligentne kamery monitoringu wizyjnego, bo AI jest teraz na czasie, po czym okazuje się, że słabo pilnują nagrań (na Windowsie: <a href="https://doublepulsar.com/recall-stealing-everything-youve-ever-typed-or-viewed-on-your-own-windows-pc-is-now-possible-da3e12e9465e">afera wokół funkcji Recall</a>). Plakat z geometrycznymi, kolorowymi ludzikami reklamuje nowinkę bezpłciowym sloganem: „mamy na oku twoje bezpieczeństwo”.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Heheszki
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Inną cechą łączącą Windowsa z metropolią jest niefrasobliwe podejście do polszczyzny. Po co tłumaczyć plakaty i billboardy, gdy w jednym języku wychodzi taniej, a do tego inglisz jest <em>fancy</em>?<br />
Na stronie Microsoftu podstawowe treści są po angielsku, nieruszone nawet automatem. Są nim natomiast tłumaczone – niepoprawnie – nagłówki powtarzające się między stronami. Takie jak pole <code class="language-plaintext highlighter-rouge">Tip</code> („Porada”), <a href="https://web.archive.org/web/20250416200807/https://learn.microsoft.com/pl-pl/microsoft-365-apps/updates/change-update-channels">tłumaczone jako… „Napiwek”</a>.</p>
    
      <div>
      <p class="bigspace-before figure"><img src="/assets/posts/open_source/2025-rok-linuksa/windows-tip-napiwek.jpg" alt="Zrzut ekranu pokazujący angielski tekst pod nagłówkiem Napiwek" /></p>
    </div>
    
  </div>
</div>

<p><strong>Linux jest z kolei jak droga przytulnymi, bocznymi uliczkami</strong> albo przez park.<br />
Zapewnia odrobinę eskapizmu i wytchnienia od gonitwy. Nikt nie próbuje niczego mi wcisnąć, szum miasta jest tutaj przytłumiony.</p>

<p>Nadal mogę dojść w wiele tych samych miejsc, co głównymi ulicami. Do tego nie jest to zacofana okolica – modernizacja zachodzi po prostu pod spodem, w sposób nieinwazyjny dla zwykłego człowieka. Ale infrastruktura jest nowoczesna i fajnie śmiga.<br />
Za to korporacyjny, kosmopolityczny harmider tu nie wpełznie. Po pierwsze: nie wycisnąłby stąd kasy. Po drugie: nie byłby tu mile widziany.</p>

<h2 id="ciemne-chmury-nad-windowsem">Ciemne chmury nad Windowsem</h2>

<p>Wyżej były ogólniki, więc teraz czas na parę konkretnych zarzutów wobec Windowsa. Co sprawiło, że jest teraz na słabszej pozycji niż wcześniej, a jego drobniejsza konkurencja ma okazję się wybić?</p>

<h3 id="koniec-wsparcia-dla-windowsa-10">Koniec wsparcia dla Windowsa 10</h3>

<p>Kiedyś, w 2015 roku, Microsoft zapowiadał, że <a href="https://www.tabletowo.pl/microsft-ostatni-windows-10-tak-mialo-byc/">Windows 10 będzie ostatnią numerowaną wersją ich systemu</a>. W domyśle: osiągnęli szczyt, więc od teraz czas na niekończące się aktualizacje i dopracowywanie systemu, żeby dążył ku perfekcji.</p>

<p>…Ale potem im się odwidziało. Dlaczego?<br />
Autor podlinkowanego artykułu spekuluje, że w ten sposób Microsoft mógłby łatwiej rozdzielić użytkowników według tego, czy działa u nich pewien układ elektroniczny (o którym za moment).<br />
Oczywiście możliwe również, że ktoś w garniaku spojrzał na giełdową kreskę i po prostu uznał, że nowa wersja bardziej ją pociągnie w górę. Kto wie.</p>

<p>W każdym razie: w 2021 roku wydano Windowsa 11.</p>

<p>A że nie chcą równoległe utrzymywać dwóch systemów, to od paru lat konsekwentnie wygaszają dziesiątkę. <a href="https://www.microsoft.com/pl-pl/windows/end-of-support">Oficjalna strona Microsoftu głosi takie coś</a> (wyróżnienia moje):</p>

<blockquote class="bigspace">
  <p><strong>Po 14 października 2025 r.</strong> firma Microsoft nie będzie już zapewniać bezpłatnych aktualizacji oprogramowania za pośrednictwem usługi Windows Update, pomocy technicznej ani poprawek zabezpieczeń dla systemu Windows 10. Twój komputer będzie nadal działać, ale <strong>zalecamy przejście na system Windows 11</strong>.</p>
</blockquote>

<p>W praktyce: na początku wygaszenie wsparcia może być niezauważalne. Ale z każdym kolejnym miesiącem będzie przybywało nowinek technicznych, których twórcy będą celowali już tylko w Windowsa 11. Będzie też przybywało złośliwych programów mogących łatwo przebić zabezpieczenia systemu.</p>

<p>Wydaje się, że w takiej sytuacji zachęty do przejścia na Windowsa 11 są spore. Kiedyś Microsoft nawet oferował aktualizację za darmo.</p>

<p>A jednak cały czas większość komputerów trzyma się dziesiątki.<br />
Co z tymi ludźmi, zacofani jacyś? Nie. Po prostu <strong>Microsoft stawia sztuczne wymagania, przez które wiele sprawnych komputerów nie uruchomi Windowsa 11</strong>.</p>

<h3 id="windows-11i-wymóg-modułu-tpm">Windows 11 i wymóg modułu TPM</h3>

<p>Windows 11 zadziała jedynie na tych komputerach, które zawierają w sobie mały, niedostępny dla użytkowników moduł kryptograficzny – <em>Trusted Platform Module</em>.</p>

<p>Wymóg wydaje się kompletnie arbitralny (po ludzku: wzięty z czapy). Ktoś może mieć całkiem sprawne urządzenie, które sprostałoby niemal wszystkim wymogom jedenastki. Ale jeśli nie ma pod obudową jednego, małego podzespołu… To nic nie ruszy. System odmówi działania.</p>

<p class="figure bigspace-before"><img src="/assets/posts/open_source/2025-rok-linuksa/windows-tpm-blokada.jpg" alt="Komunikat mówiący, że na systemie nie można uruchomić Windowsa 11" /></p>

<p class="figcaption">Źródło: <a href="https://www.youtube.com/watch?v=zUS-QyfCHo4">filmik od serwisu <em>Komputer Świat</em></a>.<br />
W praktyce istniały/istnieją pewne metody obejścia wymogu. Ale dla znacznej większości użytkowników to zbyt wiele zachodu, więc je pominę.</p>

<p>Co gorsza, rozwiązania takie jak TPM, choć formalnie wprowadzane w celu poprawienia cyberbezpieczeństwa, w świecie rzeczywistym bywają stosowane w gorszych celach.</p>

<details class="framed bigspace">
  <summary><strong>Moduł TPM może być narzędziem kontroli</strong></summary>

  <p class="post-meta bigspace-after">Sprawę opisałem dokładniej we wpisie na temat <a href="/cyfrowy_feudalizm/2024/10/22/trusted-computing-kajdany" class="internal">nurtu <em>trusted computing</em></a>, tutaj jedynie streszczenie.</p>

  <p>Wobec rzeczy takich jak TPM (jak odrębne chipy, ale również zamknięte podsystemy kart graficznych, „komputery w komputerze” itd.) stosuję nieformalne pojęcie zbiorcze – <strong>enklawy</strong>. Obszary silnie niezależne od reszty systemu.</p>

  <p>Niezależność od systemu daje też niezależność od użytkowników. Ma to <em>jakieśtam</em> uzasadnienie z punktu widzenia cyberbezpieczeństwa – nawet gdyby do systemu dorwał się haker, to największe sekrety, ukryte wewnątrz enklawy, pozostaną poza jego zasięgiem.</p>

  <p>Do tego część enklaw może działać trochę jak niezależni audytorzy. Poddawać inspekcji głębsze warstwy urządzenia i oceniać, czy nie ukryły się tam wirusy.</p>

  <p>Problem: mogąc wydawać wyroki, enklawa zyskuje władzę. A władza deprawuje.<br />
Megafirmy komputerowe, jak Google i Microsoft, zrobiły sobie z enklaw takich własnych, wiernych notariuszy. Wykorzystują je do <strong>poświadczania, że użytkownicy mają na systemie ograniczone możliwości</strong>. A potem oferują takie gwarancje innym gigantom:</p>

  <ul>
    <li>
      <p>Wielkie wytwórnie chciałyby, żeby nikt nie mógł kopiować ich filmów.</p>

      <p>Enklawy pozwalają postawić taką barierę – dane są do nich przekazywane w postaci zaszyfrowanej i tam obrabiane. Konwersja na obraz następuje dopiero pod sam koniec, na monitorze, przez co użytkownik nijak ich nie przechwyci.</p>
    </li>
    <li>
      <p>Twórcy aplikacji chcą mieć pewność, że dostają prawdziwe informacje na temat cech użytkownika, takich jak jego lokalizacja.</p>

      <p>W świecie smartfonów mogą wykorzystać funkcję Play Integrity od Google’a. Pozwala ona pytać enklawy: „czy to czysty, fabryczny system?”. Odpowiedź „tak/nie” z założenia zawsze będzie prawdziwa, oznaczona niepodrabialnym cyfrowym podpisem.</p>

      <p>Dodajmy do tego gwarancję od Google’a, że taki czysty system blokuje możliwość edytowania lokalizacji – w ten sposób aplikacja ma pewność, że dostaje na talerzu prawdziwe, niemodyfikowane dane.</p>

      <p class="post-meta">Dość nieoczekiwanym przykładem apki wykorzystującej Play Integrity (choć nie wiem, czy akurat do zbierania lokalizacji) może być <a href="/google/2021/10/30/google-skandale-wprowadzenie#android-system-operacyjny" class="internal">ta od sieci McDonald’s</a>. Typowe: jeden amerykański gigant dogadany z innym, ręka rękę myje.</p>
    </li>
  </ul>

  <p>A coś ze świata Windowsa? Już kilka lat temu, krótko po wypuszczeniu W11, firma Riot Games <a href="https://arstechnica.com/gaming/2021/09/riot-games-anti-cheat-software-will-require-tpm-secure-boot-on-windows-11/">zapowiedziała</a>, że ich gra wykorzysta TPM-a i wszelkie oferowane przez niego uszczelnienia. Widać korporacyjny popyt na takie cyfrowe bariery.</p>

  <p>Podsumowując: TPM-a da się wykorzystać do celów nijak mających się do bezpieczeństwa. Może on sprawiać, że użytkownicy nie mają pełnej kontroli nad sprzętem, a nad ich głowami mogą zachodzić różne zmowy. Na razie to zmowy korporacyjne, ale rządy też mogłyby kiedyś sięgnąć po kontrolę gwarantowaną przez układy w stylu TPM-ów.</p>

</details>

<p>Ale nawet użytkownicy, których mniej interesuje autonomia, mogą się wkurzać samym niedziałaniem sprzętu.<br />
Etyka konsumpcjonizmu nakazuje wprawdzie, żeby w tej sytuacji wywalić sprzęt na śmietnik i niezwłocznie kupić nowy (Microsoft <a href="https://ithardware.pl/aktualnosci/microsoft_windows_10-40015.html">w oficjalnych mailach zachęca: „oddajcie do recyklingu”</a>)… Ale ludzie nie są zachwyceni.</p>

<p>Niektórzy mają nadzieję, że MS ustąpi, widząc niezadowolenie. Ale nie liczyłbym na to – parę miesięcy temu <a href="https://www.neowin.net/news/microsoft-quietly-removes-official-windows-11-cputpm-bypass-for-unsupported-pcs/">całkiem usunęli opis metody obejścia</a> ze swojej oficjalnej strony, jasno pokazując swoje nastawienie.</p>

<p>To ogromna szansa dla alternatyw, które żadnego wsparcia nie planują ucinać i pozwolą dalej korzystać z urządzeń. A że jedna z nich (MacOS) jest mniej przystępna cenowo, to rośnie szansa, że więcej osób przynajmniej spróbuje Linuksa.</p>

<h3 id="liczne-słabości-windowsa-11">Liczne słabości Windowsa 11</h3>

<p>Choć mało kto to pamięta, na samym początku swojego istnienia Windows 11 miał z założenia <a href="https://www.neowin.net/news/microsoft-windows-11-is-designed-to-get-the-best-out-of-hardware-heres-how/">być szybszy od dziesiątki</a> i poprawić jej niedociągnięcia. Niektórzy chwalili Microsoft za chęć zwrotu ku fundamentom, naprawienia dotychczasowych bolączek, świeży start.</p>

<p>Od tamtego czasu nastąpiła jednak równia pochyła. Być może w pogoni za rosnącą giełdową kreską zredukowano zatrudnienie lub przeniesiono część procesów myślowych do tańszych miejsc?</p>

<p>Nie wiem. W każdym razie nowy Windows jest pełen zadziorów, na które nabijają się użytkownicy.</p>

<p>Jedna z krzywych akcji pojawia się już po pierwszej próbie włączenia systemu. <strong>Microsoft wymaga przy pierwszym logowaniu połączenia z internetem i naciska na założenie u nich konta</strong>.</p>

<p>Wkurzało to ludzi już na Windowsie 10 – w końcu nie każdy ma internet pod ręką, sytuacje są różne. Dało się jednak obejść głupawy wymóg, otwierając konsolę pewną kombinacją klawiszy i wpisując magiczne zaklęcie:</p>

<div class="language-plaintext highlighter-rouge"><div class="highlight"><pre class="highlight"><code>oobe\BypassNRO
</code></pre></div></div>

<p>Microsoft jednak chyba nie polubił faktu, że niektórzy pomijali zakładanie konta i <a href="https://spidersweb.pl/2025/03/windows-11-bypassnro.html">celowo usunął wygodne polecenie</a>. Od teraz sposób na pierwsze logowanie bez internetu stał się znacznie bardziej zagmatwany:</p>

<p class="figure bigspace-before"><img src="/assets/posts/open_source/2025-rok-linuksa/bypass-nro-nie-dziala-spidersweb.jpg" alt="Opis zawiłego sposobu na edytowanie rejestru i&nbsp;zyskanie możliwości uruchomienia Windowsa bez internetu. Pod koniec uwaga, że w&nbsp;każdej chwili Microsoft może sprawić, że sposób przestanie działać." /></p>

<p class="figcaption">Źródło: artykuł podlinkowany wyżej.<br />
…A niektórzy twierdzą, że to Linux jest skomplikowany i dla komputerowców :roll_eyes:</p>

<p>W każdym razie – czy to zakładając konto, czy robiąc fikołki i obchodząc naciski – w końcu uruchomimy Windowsa.<br />
Czy warto było? Czekają na nas: domyślnie włączona telemetria (gromadzenie danych i wysyłanie ich do Microsoftu), reklamy innych usług firmy, powiadomienia informujące o nowych bzdurkach do wypróbowania.</p>

<p>I reklamy. Wyżej, w części bardziej gawędziarskiej, wspomniałem o tych wpychanych do menu startowego. Nie wspomniałem natomiast o tym, że ponoć są wyświetlane nawet w tej korporacyjnej wersji systemu, Windows Professional:</p>

<p class="figure bigspace-before"><img src="/assets/posts/open_source/2025-rok-linuksa/windows-11-pro-reklamy.jpg" alt="Krytyczny tweet pokazujący, że komuś na systemie Windows Professional wyświetliła się reklama gry" /></p>

<p class="figcaption">Źródło: Twitter/X (<a href="https://xcancel.com/MalwareJake/status/1907807303509631440#m">przez <em>xcancel.com</em></a>).<br />
…Ale dla niektórych wciąż to Windows jest <em>appropriate</em> i <em>professional</em>, a Linux to amatorka :roll_eyes:</p>

<p>Jedźmy dalej. Każda osoba używająca Windowsa zapewne dość szybko skorzysta z Eksploratora (przeglądarki plików). Choć to sam filar systemu, potrafi <a href="https://www.reddit.com/r/Windows11/comments/1botfkq/loving_windows_11_but_this_sluggish_file_explorer/">działać nieznośnie wolno</a>.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Heheszki
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">I tutaj hit – żeby temu zapobiec, należy (lub należało) nacisnąć dwukrotnie kombinację klawiszy <code class="language-plaintext highlighter-rouge">Ctrl+F11</code>, żeby powiększyć i znów zmniejszyć okno.<br />
W ten sposób, przez jakiś błąd programu, przestanie działać górny pasek… I wszystko nagle stanie się dużo szybsze, bo to w górnym pasku tkwiła rzecz spowalniająca całego Eksploratora.<br />
Nie wierzyłem, jak czytałem. Ale to prawda.</p>
    
  </div>
</div>

<p>Coś więcej? Według dużo nowszej dyskusji z forum, powolność Eksploratora się utrzymała. Do tego znany jest przypadek, gdy przez ustawienia językowe <a href="https://www.reddit.com/r/Windows11/comments/1ifdu6j/comment/mal8p97/">niektórym przestał działać skrót <code class="language-plaintext highlighter-rouge">Ctrl+A</code></a>. Podstawa podstaw, sposób na zaznaczenie wszystkich rzeczy w aktywnym folderze.</p>

<p>Ktoś chce więcej przykładów niedoróbek? Można sobie <a href="https://xcancel.com/search?f=tweets&amp;q=%22windows+11%22+%22slow%22">wyszukać w mediach społecznościowych</a> kombinację słów <code class="language-plaintext highlighter-rouge">"windows 11" slow</code>. Wyskoczą niezliczone relacje od niezadowolonych osób.</p>

<p>Ogólnie: Windows 11 to pod wieloma względami piękna katastrofa. Dzięki jego licznym lapsusom nawet niemałe grono osób ze wspieranym sprzętem rozważa odejście ku alternatywom. Do tych, którzy jeszcze siedzą na dziesiątce, kierują ostrzeżenia. „Nie idźcie tu, to pułapka!”.</p>

<p>Ponownie: ogromna szansa dla Linuksa.</p>

<h3 id="inne-czynniki">Inne czynniki</h3>

<p>Pomijając słabości samego Windowsa, na świecie zaszło też parę innych zmian działających na korzyść Linuksa.</p>

<p>Po pierwsze: <strong>zastępowanie wielu programów platformami internetowymi</strong>.</p>

<p>Kiedyś komputer był właściwie pełnoprawnym biurem zamkniętym w jednym urządzeniu, a wszystkie programy trzymało się u siebie.<br />
Od tamtego czasu rzeczywistość mocno się zmieniła i teraz nawet giganci, tacy jak Adobe czy sam Microsoft, lubią przenosić swoje programy do <em>chmury</em>, czyli w praktyce internetu.</p>

<p class="post-meta bigspace-after">Istnieją nawet okrojone urządzenia takie jak Chromebooki, które są bliższe minimalistycznym portalom do internetu niż klasycznym laptopom.</p>

<p>Oczywiście firmy nie robią tego z dobroci serca, tylko z chęci kontroli – w taki sposób mogą łatwiej narzucać ludziom model subskrypcyjny. Samo przenoszenie świata do chmury od dawna jest <a href="/cyfrowy_feudalizm/2021/04/07/cyfrowy-feudalizm-fakty#przenoszenie-wszystkiego-do-chmury" class="internal">krytykowane na moim blogu</a>.</p>

<p>…Ale odchodzenie od klasycznych programów można też wykorzystać na swoją korzyść. Przerzucanie biura do internetu może bowiem rozwiązać odwieczny problem – „na Linuksie nie działa mi program potrzebny do pracy”.</p>

<p>W czasach, gdy to przeglądarka staje się nowym systemem operacyjnym, nieco traci znaczenie fakt, że na Linuksie nie działa jakiś program. Dopóki działa przeglądarka, a w przeglądarce internetowa wersja – nasz otwarty system może pozostać narzędziem pracy.</p>

<p>Po drugie: <strong>myśli Europy o suwerenności</strong>.</p>

<p>Rosnący izolacjonizm Stanów Zjednoczonych wisiał w powietrzu już od lat (proponuję poszukać analiz pod hasłem „koniec globalizacji” – w znaczeniu politycznym, nie spiskowym).<br />
Ale od czasu zmiany rządzących sprawy dramatycznie przyspieszyły. Zaczęto kwestionować stabilność dawnego sojusznika, a na terenie Europy coraz częściej mówi się o potrzebie niezależności od nich. Rychło w czas :roll_eyes:</p>

<p>Tę sytuację również można wykorzystać na korzyść otwartych rozwiązań, w tym Linuksa. Będą coraz częstsze debaty o suwerenności, w tym cyfrowej. Czytając o zamiennikach, ludzie trafią na strony takie jak <a href="https://european-alternatives.eu/"><em>european-alternatives.eu</em></a>. Dyskusje w mediach na pewno otrą się o kwestie systemów.</p>

<p>Być może Unia sypnie nawet funduszami na promowanie alternatyw – w końcu <a href="https://www.webinside.pl/unia-europejska-stawia-na-linuxa-rewolucyjny-projekt-eu-os-oparty-na-fedorze/">ogłosiła nawet prace nad własnym wariantem Linuksa</a>. A fundusze mogą ściągnąć nowych zainteresowanych, znających parę trików na skuteczne promowanie systemu.</p>

<h2 id="podsumowanie">Podsumowanie</h2>

<p>W ciągu najbliższych kilku lat – a zwłaszcza w tym roku, a zwłaszcza w okolicach jesieni i końca wsparcia dla W10 – Linux stanie przed unikalną szansą na zjednanie szerszego grona osób.</p>

<p>Jakość Windowsa się pogarsza, jego nowa wersja nie wspiera wielu komputerów, klasyczne programy biurowe nieco straciły na istotności na rzecz internetu, a rzeczy z USA mogą chwilowo być w niełasce.<br />
Te wszystkie czynniki zachodzą jednocześnie, sprawiając że więcej osób może wyszukać zwrotu, który kiedyś interesował nielicznych: <code class="language-plaintext highlighter-rouge">zamiennik dla Windowsa</code>.</p>

<p>Społeczność wspierająca otwarte rozwiązania może się postarać, żeby w odpowiedzi wyświetliło się: „Linux”.<br />
A pod podsuniętymi linkami: przystępne opisy działania, instrukcje i poradniki, również w formie filmików. Obalanie mitów, jak ten mówiący, że Linux wymaga korzystania z konsoli. Fora, na których ludzie pomagają, a odpowiedzi cwaniaczkowate i bufoniaste są blokowane.</p>

<p>Jest jeszcze trochę czasu, żeby to wszystko dopracować i nadgryźć nieco monopol, który przez długi czas wydawał się nie do ruszenia. Ze swojej strony <strong>na pewno stworzę parę przewodników po Linuksie i zachęcam innych do tego samego</strong>. Każda szczypta zachęt pomaga usypać pingwinowi ścieżkę do ludzkich komputerów :smile:</p>]]></content><author><name></name></author><category term="Linux" /><category term="Open Source" /><category term="Podstawy" /><category term="Przemyślenia" /><summary type="html"><![CDATA[Gdy wielkie okno pęka, nawet pingwin może je rozbić.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/open_source/2025-rok-linuksa/linux-windows-breaker.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/open_source/2025-rok-linuksa/linux-windows-breaker.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Gravy Analytics i megawyciek danych o lokalizacji</title><link href="https://www.ciemnastrona.com.pl/2025/03/23/gravy-analytics-wyciek.html" rel="alternate" type="text/html" title="Gravy Analytics i megawyciek danych o lokalizacji" /><published>2025-03-23T20:00:00+00:00</published><updated>2025-03-23T20:00:00+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/03/23/gravy-analytics-wyciek</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/03/23/gravy-analytics-wyciek.html"><![CDATA[<p>W połowie stycznia ziścił się prawdziwy koszmar dla cyfrowej prywatności. Spółce Gravy Analytics wyciekły <strong>tysiące gigabajtów danych o lokalizacji smartfonów</strong>. Na pewnym forum hakerskim udostępniono ich malutką próbkę, ale nawet ona dawała wgląd w niejedno ludzkie życie.</p>

<p>Miliony punktów na mapie, łatwo przypisywalnych do poszczególnych użytkowników. Dałoby się zobaczyć jak na dłoni, że kropka odpowiadająca użytkownikowi X123 pojawia się w konkretnym domku na przedmieściach, w śródmiejskim biurowcu, w knajpkach wokół tego biurowca. A kiedyś może w klubie dla swingersów.</p>

<p>Źródłem danych chomikowanych przez Gravy Analytics były giełdy reklamowe. Które z kolei otrzymywały informacje od elementów reklamowych z niektórych aplikacji. Czasem dość wrażliwych: cyfrowe modlitewniki, Tinder, Grindr…</p>

<p>Z jakiegoś powodu sprawa, mimo swojej wagi, umknęła uwadze wielu osób. Była wprawdzie opisana na całkiem popularnych portalach, ale po ich relacjach w życiu bym nie pomyślał, że to coś większego.</p>

<p>Nawet media bardziej techniczne, choć wierniej nakreśliły zakres afery, pominęły jedno z głównych źródeł problemu – <strong>identyfikator reklamowy smartfonów</strong>. Rzecz wredną, a banalnie łatwą do wyłączenia. Podobnie jak dostęp do GPS-a. Gdyby więcej osób poświęciło kilka minut na te dwie rzeczy, to afera by ich nie dotknęła.</p>

<p>Jak to zrobić? I na czym polegała cała ta afera? Już piszę.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/gravy-analytics/gravy-analytics-wyciek-baner.jpg" alt="Fragment mapy, na którym cała Europa jest pokryta czerwonymi punktami odpowiadającymi lokalizacji użytkowników" /></p>

<p class="figcaption">Źródło: Twitter/X, nitka opisująca aferę. Jeszcze do niej wrócę.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#na-początek--jak-ochronić-prywatność">Na początek – jak ochronić prywatność</a>
    <ul>
      <li><a href="#usuwanie-id-reklamowego">Usuwanie ID reklamowego</a></li>
      <li><a href="#wyłączanie-dostępu-do-lokalizacji">Wyłączanie dostępu do lokalizacji</a></li>
    </ul>
  </li>
  <li><a href="#omówienie-wrażliwych-danych">Omówienie wrażliwych danych</a>
    <ul>
      <li><a href="#mapowanie-ludzkiego-życia">Mapowanie ludzkiego życia</a></li>
      <li><a href="#czarny-scenariusz">Czarny scenariusz</a></li>
    </ul>
  </li>
  <li><a href="#afera-krok-po-kroku">Afera krok po kroku</a>
    <ul>
      <li><a href="#gravy-analytics-igiełdy-reklamowe">Gravy Analytics i giełdy reklamowe</a></li>
      <li><a href="#ciepłe-relacje-zagencjami">Ciepłe relacje z agencjami</a></li>
      <li><a href="#ochłodzenie-relacji-iwyciek">Ochłodzenie relacji i wyciek</a></li>
    </ul>
  </li>
  <li><a href="#dotknięte-aplikacje">Dotknięte aplikacje</a></li>
  <li><a href="#relacje-wpolskich-mediach">Relacje w polskich mediach</a>
    <ul>
      <li><a href="#media-mniej-techniczne">Media mniej techniczne</a></li>
      <li><a href="#stronki-bardziej-techniczne">Stronki bardziej techniczne</a></li>
      <li><a href="#podsumowanie-wątku">Podsumowanie wątku</a></li>
    </ul>
  </li>
  <li><a href="#jak-się-chronić--uzupełnienie">Jak się chronić – uzupełnienie</a></li>
</ul>

<h2 id="na-początek--jak-ochronić-prywatność">Na początek – jak ochronić prywatność</h2>

<p>Zwykle w swoich wpisach najpierw prezentuję problem, potem rozwiązanie. Tutaj zrobię na odwrót, bo rozwiązanie jest tak szybkie i intuicyjne, że szkoda zwlekać. I daje sporo – wbrew paru internetowym gugułom jojczącym, że „prywatność już nie istnieje”.</p>

<p class="post-meta bigspace-after">A gdyby ktoś wolał najpierw jednak poczytać o aferze, to można przeskoczyć do jej opisu. Wedle uznania.</p>

<h3 id="usuwanie-id-reklamowego">Usuwanie ID reklamowego</h3>

<p>Krótko: we współczesnych smartfonach (i na systemie Android, i iOS) gnieździ się identyfikator reklamowy. Każda apka zawierająca reklamy może do niego sięgnąć.</p>

<p>Identyfikator umożliwia branży reklamowej <strong>łączenie naszych danych z różnych aplikacji</strong>. Odczytując go i oznaczając nim dane, widzą na przykład, że ktoś używał o 8:03 aplikacji A, o 8:10 aplikacji B, po tygodniu znów A… Czasem dostają też informacje o tym, co dana osoba robiła.</p>

<p>Identyfikator nie zawiera danych wrażliwych, jak imię i nazwisko. Ale to małe pocieszenie, bo z dużej ilości danych anonimowych można niepokojąco łatwo wyciągnąć osobowe.<br />
Z punktu widzenia prywatności – coś strasznego. Na szczęście można łatwo wyłączyć dostęp do identyfikatora. Do czego gorąco zachęcam.</p>

<p>Instrukcje opieram na własnych doświadczeniach i paru przewodnikach; polecam w szczególności <a href="https://www.eff.org/deeplinks/2022/05/how-disable-ad-id-tracking-ios-and-android-and-why-you-should-do-it-now">ten od <em>Electronic Frontier Foundation</em></a> (po angielsku).</p>

<details class="framed bigspace">
  <summary><strong>Usuwanie ID reklamowego na smartfonach z&nbsp;Androidem</strong></summary>

  <p>Wchodzimy w <code class="language-plaintext highlighter-rouge">Ustawienia</code>. Te dotyczące ID reklamowego powinny być w którymś z podanych miejsc:</p>

  <ul>
    <li><code class="language-plaintext highlighter-rouge">Google &gt; Wszystkie usługi &gt; Reklamy</code> (jeśli mamy działające Usługi Google),</li>
    <li>
      <p><code class="language-plaintext highlighter-rouge">Bezpieczeństwo i prywatność &gt; Ustawienia prywatności &gt; Reklamy</code>.</p>

      <p class="post-meta bigspace-after">Lub ewentualnie <code class="language-plaintext highlighter-rouge">Bezpieczeństwo i prywatność &gt; Więcej ustawień prywatności &gt; Reklamy</code>; dokładna nazwa opcji może się różnić między smartfonami różnych producentów, ale zawsze powinna być gdzieś w zakładce prywatnościowej.</p>
    </li>
  </ul>

  <p>Następnie klikamy opcję <code class="language-plaintext highlighter-rouge">Usuń identyfikator wyświetlania reklam</code> (lub coś w tym stylu) i olewamy wiadomości próbujące nas zniechęcić.</p>

  <p class="figure"><img src="/assets/posts/google/smartfon-degoogle/ad-id-usuwanie.jpg" alt="Zrzut ekranu pokazujący opcję usuwania identyfikatora reklamowego" width="400px" /></p>

  <p class="post-meta bigspace-after">Gdyby w opcjach była jedynie możliwość przywrócenia identyfikatora, to znaczy, że już kiedyś go wyłączyliśmy. Super, w takim wypadku nic nie ruszamy!</p>
</details>

<details class="framed bigspace">
  <summary><strong>Usuwanie ID reklamowego na iPhone'ach</strong></summary>

  <p>Na iPhone’ach identyfikator jest znany pod akronimem IDFA. Nie mając jabłkofona, muszę wierzyć cudzym poradnikom. Zetknąłem się z kilkoma różnymi instrukcjami, być może zależnymi od wersji systemu. Na wszelki wypadek przytoczę wszystkie.</p>

  <ol>
    <li>
      <p>Wchodzimy w <code class="language-plaintext highlighter-rouge">Ustawienia &gt; Prywatność &gt; Śledzenie</code> i odhaczamy <code class="language-plaintext highlighter-rouge">Pozwalaj aplikacjom żądać możliwości śledzenia</code>. Jeśli kiedyś udzieliliśmy zgód niektórym z nich, to w tym momencie wyświetli się opcja pozwalająca je wycofać. Proponuję skorzystać.</p>

      <p class="post-meta bigspace-after">Opieram się na <a href="https://spidersweb.pl/2021/04/ios-14-5-idfa-prywatnosc-jak-wylaczyc-sledzenie.html">tym przewodniku</a> z 2021 roku, ale nowsze angielskie wersje się z nim zgadzają.</p>
    </li>
    <li>
      <p>Wchodzimy w <code class="language-plaintext highlighter-rouge">Ustawienia &gt; Prywatność &gt; Reklamy</code> i zaznaczamy opcję <code class="language-plaintext highlighter-rouge">Ogranicz reklamy śledzące</code> (ang. <em>Limit Ad Tracking</em>). Dla pewności można też kliknąć opcję <code class="language-plaintext highlighter-rouge">Resetuj identyfikator reklamowy</code>. Gdyby nie dało się go usunąć, to pozostaje resetowanie co pewien czas.</p>
    </li>
  </ol>

  <p class="post-meta bigspace-after">Być może sposób numer 2 dotyczy jedynie starszych wersji systemu; nie ma co się obawiać, gdyby takiej opcji nie było (a gdybyśmy już wyłączyli śledzenie sposobem numer 1).</p>

  <p>Według <a href="https://www.eff.org/deeplinks/2022/05/how-disable-ad-id-tracking-ios-and-android-and-why-you-should-do-it-now">przewodnika od EFF</a>, Apple ma również odrębny identyfikator reklamowy, odczytywany tylko przez nich. Nie było go w wycieku Gravy, ale dla pewności i tak bym to wyłączył. W tym celu trzeba wejść w <code class="language-plaintext highlighter-rouge">Ustawienia &gt; Prywatność &gt; Reklamy Apple</code> i odhaczyć opcję <code class="language-plaintext highlighter-rouge">Spersonalizowane reklamy</code>.</p>
</details>

<p>Gdy identyfikator zniknie, to reklamodawcy stracą możliwość łatwego i szybkiego śledzenia użytkowników. Jeden z filarów naszej afery <em>Gravy Gate</em> upadnie :smile:</p>

<h3 id="wyłączanie-dostępu-do-lokalizacji">Wyłączanie dostępu do lokalizacji</h3>

<p>W opisywanej aferze istotną rolę odegrał też dostęp do danych lokalizacyjnych. Dlatego warto poświęcić kilka stuknięć w ekran na okiełznanie GPS-a.</p>

<details class="framed bigspace">
  <summary><strong>Odbieranie dostępu do GPS-a na smartfonach z&nbsp;Androidem</strong></summary>

  <p>Klikamy w <code class="language-plaintext highlighter-rouge">Ustawienia</code>, potem <code class="language-plaintext highlighter-rouge">Prywatność</code>, potem <code class="language-plaintext highlighter-rouge">Menedżer uprawnień</code>. Tam wchodzimy w zakładkę <code class="language-plaintext highlighter-rouge">Lokalizacja</code>.</p>

  <p>W tej zakładce znajduje się lista aplikacji w podziale na cztery poziomy dostępu do GPS-a: ciągły dostęp, dostęp tylko podczas korzystania, „zawsze pytaj” i brak dostępu. Każdej z aplikacji, po kliknięciu w jej ikonę, można zmienić ustawiony poziom.</p>

  <p class="post-meta bigspace-after">Jak to na Androidzie: dokładne nazwy opcji i poziomów uprawnień mogą się różnić między wersjami systemu i telefonami różnych producentów. Ale ogólne założenia powinny być podobne.</p>

  <p>Proponuję trzymać się dwóch trybów: albo całkiem odebrać dostęp, albo wybrać opcję <code class="language-plaintext highlighter-rouge">Tylko podczas korzystania</code>. O dostępie ciągłym można pomyśleć dopiero w rzadkich przypadkach, gdyby apka odmawiała działania.</p>
</details>

<details class="framed bigspace">
  <summary><strong>Odbieranie dostępu do GPS-a na iPhone'ach</strong></summary>

  <p>Wchodzimy w <code class="language-plaintext highlighter-rouge">Ustawienia &gt; Prywatność i ochrona &gt; Usługi lokalizacji</code>.</p>

  <p>Tam można ustawić każdej z aplikacji poziom dostępu; proponuję<code class="language-plaintext highlighter-rouge">Nigdy</code> dla większości oraz <code class="language-plaintext highlighter-rouge">Gdy używam aplikacji</code> dla wybranych.</p>

  <p class="post-meta bigspace-after">Źródło: <a href="https://support.apple.com/pl-pl/102647">przewodnik od Apple</a>.</p>

</details>

<p>Odbieranie dostępu do ID reklamowego i GPS-a powinno zająć nie więcej niż kilka minut. Idealnie – można zrobić sobie herbatę/kawusię i wywalczyć prywatność w trakcie czekania, aż nieco ostygnie :coffee: Tyle wystarczy, żeby trafić do grona osób, których afera wokół Gravy by zupełnie nie dotknęła.</p>

<p>…A właśnie, afera. Możecie wziąć w dłonie kawę/herbatę z poprzedniego akapitu i rozsiąść się wygodnie. Będzie straszno.</p>

<h2 id="omówienie-wrażliwych-danych">Omówienie wrażliwych danych</h2>

<p>Na chwilę jeszcze wstrzymam się z informacją o tym, czym było Gravy, skąd miało dane i jakim cudem wypłynęły na widok publiczny. Zacznę od tego, czy wyciek tych danych powinien budzić niepokój.<br />
O tak, powinien. Dane zawierały między innymi:</p>

<ul>
  <li>nazwy aplikacji, z których je pozyskano;</li>
  <li>unikalne identyfikatory reklamowe;</li>
  <li>dokładną lokalizację użytkowników;</li>
  <li>
    <p>znaczniki czasu.</p>

    <p>…czyli dokładne daty i godziny; znaczniki podobno nie pojawiały się przy wszystkich danych, tylko przy mniej więcej połowie.</p>
  </li>
</ul>

<p>Identyfikator reklamowy umożliwia przypisywanie różnych danych do tego samego użytkownika. Łącząc go z nazwami, dałoby się na przykład ustalić, że ta sama osoba ma na telefonie jednocześnie modlitewnik i apkę Grindr („homoseksualnego Tindera”). Ups.</p>

<p>Ale samo to jeszcze mieści się w sferze ciekawostek. Gorzej, gdy dołoży się do tego dane lokalizacyjne, które jednoznacznie ukazują, że użytkownik tych dwóch apek często przebywa na terenie kościelnej plebanii. Albo Białego Domu:</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/gravy-analytics/gravy-geofencing.jpg" alt="Zrzut ekranu, na którym Baptiste pokazuje trochę punktów na mapie połączonych liniami i&nbsp;pisze, że może mapować wędrówki postaci z&nbsp;wydzielonego obszaru." /></p>

<p>Źródłem powyższego obrazka jest wątek, który opublikował na Twitterze niejaki <a href="https://xcancel.com/fs0c131y/status/1876975966334964076#m">Baptiste Robert</a>. Można tam znaleźć nieco więcej przykładów możliwych nadużyć.</p>

<p class="post-meta bigspace-after">Gdyby linki nie działały, to można zmienić <em>xcancel.com</em> na <em>x.com</em>.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Wydaje mi się, że w przypadku tego człowieka, może nieco wbrew intuicji, Baptiste jest imieniem, a Robert nazwiskiem.<br />
Dowody? Zarówno on sam, jak i francuskie tytuły artykułów z jego udziałem stosują właśnie ten szyk; w <a href="https://predictalab.fr/#about">zakładce</a> na stronie jego firmy jest „Baptiste Robert i Thierry R.” (gdzie Thierry to ewidentnie imię); również według Wikipedii Baptiste <a href="https://en.wikipedia.org/wiki/Baptiste_(name)">bywa imieniem</a>.<br />
Nie mam stuprocentowej pewności, więc ze swojej strony będę po prostu pisał „Baptiste’a”.</p>
    
  </div>
</div>

<h3 id="mapowanie-ludzkiego-życia">Mapowanie ludzkiego życia</h3>

<p>Z danych lokalizacyjnych, opatrzonych do tego znacznikami czasu, da się ułożyć całe ludzkie historie. <strong>Od współrzędnych GPS-a łatwo przejść do adresów</strong>. Baptiste pokazał na przykład, że jedna osoba przebywała na terenie kompleksu startowego rakiet kosmicznych, a punkty pozwalały prześledzić jej przejazdy między domem a pracą:</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/gravy-analytics/gravy-tracking-space.jpg" alt="Zrzut ekranu pokazujący kilka zdjęć satelitarnych i&nbsp;opisy wskazujące, jak wyglądał dzień osoby, której odpowiadają punkty. Okazuje się, że przebywała na obszarze platformy startowej rakiet kosmicznych." /></p>

<p>Inny przykład? Gdy punkty na mapie pojawiały się w domach, to dało się łatwo odczytać ich adresy. Dzięki książkom telefonicznym lub innym źrodłom <strong>przejść od adresów do osób</strong>. Zaś przykładowo z <em>social mediów</em> odczytać dane osobowe, powiązania rodzinne i życiowe historie:</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/gravy-analytics/gravy-tracking.jpg" alt="Zrzut ekranu pokazujący kilka zdjęć satelitarnych i&nbsp;opisy wskazujące, jak wyglądał dzień osoby, której odpowiadają punkty" /></p>

<p>Przykłady Baptiste’a są ze Stanów, ale dane pochodziły z całego świata – wystarczy spojrzeć na początek wpisu i znaczniki pokrywające Europę.</p>

<p>Najstraszniejsze? Udostępniony komplet danych to tylko próbka (1,4 GB). Nieco ponad 30 milionów punktów na mapie. <strong>Cały zbiór wykradziony przez hakerów jest ponad 7100 razy większy</strong>.</p>

<h3 id="czarny-scenariusz">Czarny scenariusz</h3>

<p>Wyżej mamy przykłady niepokojącego wglądu w ludzkie życie i relacje. Ale, żeby jeszcze wyraźniej pokazać zagrożenie: oto teoretyczny scenariusz ataku na osoby zamożne.</p>

<p>Polując na naprawdę grube ryby, cyberstalkerzy mogliby zacząć od mapy i wyłapać punkty bywające w miejscach luksusowych. Takich jak podmiejskie dzielnice willowe, ekskluzywne restauracje, pola golfowe…</p>

<p>Jeden taki punkt, wraz z drugim, regularnie przebywa w pewnej willi od godzin popołudniowych do porannych? Super, zapewne zamożna para, może małżeństwo. Można odczytać, jakie identyfikatory im odpowiadają. Dla każdego z nich wyświetlić wszystkie dane, jakie zebrało o tej osobie Gravy.</p>

<p>I oto widać, że źródłem niektórych z nich była apka randkowa Tinder. Ups.<br />
Stalker przełącza się teraz na dane lokalizacyjne odpowiadające tej osobie. Widzi, że czasem pojawia się w środku dnia, na krótko, w jakimś hotelu. Albo w godzinach nocnych w cudzym domu. Jeszcze większe ups, ktoś tu będzie szantażowany :smiling_imp:</p>

<p>Pomijam już nawet fakt, że z danych dałoby się odczytać czyjś rytm dnia, zwyczaje i inne informacje pomocne przy planowaniu przykładowego napadu.<br />
Możliwości jest multum i wszystkie są groźne.</p>

<h2 id="afera-krok-po-kroku">Afera krok po kroku</h2>

<p>Na tym etapie przyda się nieco więcej informacji o kulisach całej afery. W szczególności: czym była firma Gravy Analytics i w jaki sposób pozyskiwała dane.</p>

<p>Spoiler: to nie jest historia pojedynczej firmy, która nie upilnowała danych. Mamy tutaj <strong>zdemaskowanie całego ekosystemu reklam śledzących</strong>.<br />
Dowód, że pod uspokajającymi sloganami „używamy tylko anonimowych, zagregowanych danych” kryje się zachłanne zbieractwo. Szkodliwe dla ludzi, za to cenione po cichu przez wielkie firmy i organizacje rządowe.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Źródła
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Opis obecnych zdarzeń (po angielsku) można znaleźć na stronach portali <a href="https://www.404media.co/hackers-claim-massive-breach-of-location-data-giant-threaten-to-leak-data/"><em>404 Media</em></a> oraz <a href="https://www.wired.com/story/gravy-location-data-app-leak-rtb/"><em>Wired</em></a>.</p>
    
  </div>
</div>

<h3 id="gravy-analytics-igiełdy-reklamowe">Gravy Analytics i giełdy reklamowe</h3>

<p>W języku angielskim istnieje taki idiom: <em>ride a gravy train</em>. W wolnym tłumaczeniu: „wskoczyć na wagon z żarciem”. Oznacza to dobre ustawienie się w życiu, zarabianie niewielkim wysiłkiem. Tak, jakby miało się własną maszynkę do zarabiania kasy.</p>

<p>I Gravy Analytics, zgodnie z nazwą, było taką maszynką. Formalnie – <strong>brokerem (lub agregatorem) danych</strong>. Czyli w praktyce: podpięli się pod niekończący się strumień danych lokalizacyjnych. Zbierali je w spójne pakiety, które następnie sprzedawali chętnym.</p>

<p>No ale chwila, skąd mieli te dane? W tym miejscu przyda się przyspieszona wycieczka po współczesnym ekosystemie reklamowym:</p>

<ul>
  <li>jakaś firma postanawia stworzyć aplikację na smartfony;</li>
  <li>myśląc o jej zmonetyzowaniu, trafia na ofertę firmy reklamowej;</li>
  <li>wymóg czerpania zysków z reklam: muszą dodać do swojej aplikacji kod zewnętrzny (tzw. SDK) autorstwa firmy reklamowej;</li>
  <li>dodany kod odczytuje różne informacje na temat użytkowników i wysyła je na <strong>giełdę reklamową</strong>;</li>
  <li>tam, na podstawie wysłanych informacji (oraz tych wcześniej zebranych, umieszczonych pod tym samym ID reklamowym), użytkownik trafia do określonej „szufladki” konsumenckiej;</li>
  <li>algorytm giełdy wybiera którąś z dostępnych reklam przeznaczonych dla tej szufladki;</li>
  <li>reklama zostaje wysłana na telefon i wyświetlona wewnątrz aplikacji.</li>
</ul>

<p>Z założenia giełda reklamowa miała być jak taki mikser, w którym ciągle coś się dzieje. Jak wielkie, automatyczne centrum recyklingu, w którym automaty segregują wsad, ale nie poświęcają uwagi pojedynczym przedmiotom.<br />
Reklamodawcy mieli widzieć tylko, że ktoś wziął ich reklamę (i potrąciło im z konta). Autorzy aplikacji mieli widzieć, że zarobili jakiś procent.</p>

<p>…A jednak, w ten czy inny sposób (niestety nie poznałem jeszcze dokładnego mechanizmu), <strong>dane nie zostają na giełdzie, tylko trafiają do brokerów</strong>. Takich jak Gravy. Brokerzy opakowują dane i sprzedają je dalej.</p>

<p>To może wyjaśniać, dlaczego prawie wszystkie firmy zapytane o aferę zgodnie stwierdziły, że nie łączą ich relacje biznesowe z Gravy. Raczej nie kłamią… ale ich słowa są bez znaczenia.</p>

<p>Wina twórców aplikacji polega na tym, że przystali na warunki współpracy polegające na oddawaniu losu użytkowników w ręce cudzego kodu. Gromadzącego dane i wysyłającego je na giełdy.<br />
Dostali zapewne jakąś obiecankę, że dane będę zanonimizowane, dobrze traktowane i użyte tylko do przydzielenia reklam. I nie drążyli tematu, gdy leciały w świat.</p>

<p>A kto kupował dane opracowane przez Gravy? Jak podaje Baptiste, częścią wycieku była tabela z bazy danych nazwana <code class="language-plaintext highlighter-rouge">customers</code>. A w niej: nazwy takich firm jak Google, Uber, eBay, Grindr, Babel Street, LiveRamp, Spotify.</p>

<p class="post-meta bigspace-after">Wprawne oko zauważy, że Grindr pojawił się zarówno w przypadku „dawców”, jak i nabywców danych. Nie widzę sprzeczności – mogli kupować dane od brokerów, żeby poznać fakty, których nie poznaliby przez apkę (bo np. ludzie nie korzystają z Grindra w pracy). A jednocześnie słać inne dane w ramach typowych partnerstw reklamowych.</p>

<p>A sektor prywatny nie był jedyną grupą docelową. Po dane z Gravy sięgały też ręce rządowe.</p>

<h3 id="ciepłe-relacje-zagencjami">Ciepłe relacje z agencjami</h3>

<p>Gravy, choć niewielkie, nie było jakąś jednoosobową działalnością. Ba, mieli nawet własną spółkę zależną o nazwie Venntel i podobnym profilu działalności. Chcąc poznać kontrowersje wokół nich, warto szukać pod obiema nazwami.</p>

<p>Już kilka lat temu w mediach społecznościowych <a href="https://www.reddit.com/r/AskNetsec/comments/w298mv/how_can_i_block_venntel_gravy_analytics/">pojawiały się pytania</a> o to, jak odbierać dostęp do lokalizacji Venntelowi i Gravy.<br />
Autor powołuje się na groźny cytat. Nie podał źródła, ale skopiowałem fragment <code class="language-plaintext highlighter-rouge">"came from its contract with Venntel"</code> (koniecznie w cudzysłowach, żeby szukało całej frazy) i wyszukałem go w DuckDuckGo. Wyskoczyło parę pasujących artykułów, jak <a href="https://www.politico.com/news/2022/07/18/dhs-location-data-aclu-00046208">ten z Politico</a>.</p>

<p>Artykuł wspomina o tym, że dane lokalizacyjne od obu brokerów były kupowane przez agencje rządowe. W ten sposób <strong>agencje obchodziły zakaz śledzenia własnych obywateli</strong>. Po prostu zostawiały to sektorowi prywatnemu i kupowały opracowane przez nich dane.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Jedną z firm wymienionych w tym kilkuletnim artykule, na równi z Venntelem, jest niejaka Babel Street. Jej nazwa znajdowała się w tabeli dotyczącej nabywców danych z obecnego wycieku. Może to potwierdzać, że brokerzy handlują też między sobą.</p>
    
  </div>
</div>

<p>W swoim artykule Politico podlinkowało też treść <a href="https://www.politico.com/f/?id=00000182-10fd-d06c-afbb-95fdce930000">ujawnionej prezentacji wewnętrznej</a>, w której agencja rządowa analizuje przed zakupem produkt Venntela/Gravy.</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/gravy-analytics/ad-id-rachunek.jpg" alt="Rachunek, na którym widnieje pozycja, w&nbsp;tłumaczeniu na polski: dane od ad-techu związane z&nbsp;ID reklamowym" /></p>

<p>Warto zwrócić uwagę na wyróżnioną część tekstu. Słowo <code class="language-plaintext highlighter-rouge">ad-tech</code> odnosi się do branży reklamowej. Skoro zbiorczo nazywają wszystkie dane <code>Ad-tech <span class="red">ID</span> data</code>, to może to sugerować, że identyfikator reklamowy pełni w nich centralną rolę.</p>

<h3 id="ochłodzenie-relacji-iwyciek">Ochłodzenie relacji i wyciek</h3>

<p>W 2023 roku Gravy połączyło się z norweską spółką Unacast. <a href="https://www.unacast.com/post/unacast-and-gravy-analytics-merge">Na stronie firmy</a> opublikowali oświadczenie – zadziwiająco prozaiczny korpobełkot jak na działalność niemalże szpiegowską.</p>

<blockquote class="bigspace-after">
  <p>The time has come for a renaissance in the location data and intelligence industry - we are excited to welcome you on this journey</p>
</blockquote>

<p>Coś się również popsuło w relacjach z amerykańskimi agencjami, a przynajmniej częścią z nich.</p>

<p>Pod koniec zeszłego (2024) roku Gravy Analytics oraz inna firma, Mobilewalla, <a href="https://www.ftc.gov/news-events/news/press-releases/2024/12/ftc-takes-action-against-gravy-analytics-venntel-unlawfully-selling-location-data-tracking-consumers">zostały wzięte na cel</a> przez amerykańską FTC (<em>Federal Trade Commission</em>; taki odpowiednik polskiego UOKiK-u). Na początku tego roku przedstawili ostateczne żądania, <a href="https://natlawreview.com/article/ftc-finalizes-orders-against-data-brokers-over-sensitive-location-data">nakazując firmie</a> zaprzestać gromadzenia danych z wrażliwych lokalizacji, usunąć te dotychczas zebrane i działać tylko za zgodą użytkowników.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Wątek poboczny
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Zastanawiam się: skoro o działalności Venntela/Gravy było wiadomo wcześniej, ale dopiero po fuzji z Unacastem sprawy ruszyły, to czy działał tu jakiś polityczny parasol ochronny? Niestety mogę tylko spekulować.<br />
Historia zna przypadki, gdy sądy w USA aktywowały się dopiero po zmianie właściciela. Przykładem pozwy, które <a href="/2022/12/24/monsanto-posilac-roundup" class="internal">nie tykały firmy Monsanto</a>, a zaczęły się zlatywać po jej przejęciu przez niemieckiego Bayera.</p>
    
  </div>
</div>

<p>A to dopiero początek ich pecha.<br />
Gravy, jak to wiele firm, uległo obietnicom składanym przez <a href="/cyfrowy_feudalizm/2021/04/07/cyfrowy-feudalizm-fakty#przenoszenie-wszystkiego-do-chmury" class="internal"><em>rozwiązania chmurowe</em></a>. Przechowywali swoje dane na cudzych serwerach, w tym wypadku korzystając z Amazon Web Services. I, jak to często bywa, nie zabezpieczyli tych danych w wystarczającym stopniu. I nastąpił wyciek.</p>

<p>Hakerzy opublikowali próbkę danych na rosyjskojęzycznym forum XSS, żądając okupu w zamian za nieudostępnienie pozostałych. I być może ktoś uległ, bo post został usunięty, groźba megawycieku chwilowo odsunięta w czasie.<br />
Ale skutki afery zostaną z Gravy już do (może rychłego) końca.</p>

<h2 id="dotknięte-aplikacje">Dotknięte aplikacje</h2>

<p>Na stronie  Wired można znaleźć link do <a href="https://docs.google.com/spreadsheets/d/1Ukgd0gIWd9gpV6bOx2pcSHsVO6yIUqbjnlM4ewjO6Cs/edit?usp=sharing">obszernej listy</a> aplikacji z Androida i iOS, których nazwy znalazły się rzekomo w udostępnionej próbce danych.</p>

<p>Wśród aplikacji były: Tinder, Grindr, MyFitnessPal, Candy Crush, wiele gier mobilnych. Z polskich aplikacji (wyszukałem ciąg <code class="language-plaintext highlighter-rouge">.pl</code>) mamy na liście Onet Pocztę oraz WP Pocztę.</p>

<p class="post-meta bigspace-after"><strong>Dupochron:</strong> nie mogę na sto procent wykluczyć przykładowego dopisania losowych nazw aplikacji przez hakerów. Mogliby w ten sposób sztucznie podbić wartość danych. Tak było niedawno z rzekomymi danymi z pewnej polskiej sieciówki.<br />
Faktem jest natomiast, że znany portal technologiczny <em>Wired</em> udostępnił listę aplikacji znalezionych w wycieku, a na liście były konkretne nazwy.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Na liście, oprócz zwykłych czytelnych nazw, można tez zobaczyć formy zapisane z kropkami. Zwykle, choć nie zawsze, podobne do tej głównej nazwy.<br />
W oficjalnej terminologii Androida to nazwy pakietów (ang. <em>package names</em>), takie unikalne nazwy wewnętrzne, którym odpowiada jedna lub więcej nazw czytelnych (czasem różniących się w zależności od języka).<br />
Przykładowo: nazwa wewnętrzna Tindera to <code class="language-plaintext highlighter-rouge">com.tinder</code>, ale już Signal (na szczęście nieobecny na tej liście) ma <code class="language-plaintext highlighter-rouge">org.thoughtcrime.securesms</code>. Nazwę można sprawdzić, odwiedzając <a href="https://play.google.com/store/apps/details?id=org.thoughtcrime.securesms&amp;hl=en-US">stronkę aplikacji</a> w bazie PlayStore i patrząc na link w górnym pasku.</p>
    
  </div>
</div>

<p>Mogę sobie przykładowo wyszukać na liście słowo <code class="language-plaintext highlighter-rouge">tinder</code> – wyskakuje nazwa wewnętrzna <code class="language-plaintext highlighter-rouge">com.tinder</code>. Wchodząc na PlayStore’a i patrząc w link, mogę zyskać pewność, że istotnie, to oficjalna strona apki Tinder. Nie żadnej podróbki.</p>

<p>Tu z kolei pojawia się ciekawa możliwość. Każda aplikacja ma obowiązek informować, do jakich danych sięga i jakie udostępnia obcym podmiotom. W przypadku danych lokalizacyjnych jest podział na dokładne (zapewne GPS) i przybliżone (zapewne adres IP, dokładny w uproszczeniu co do miasta).</p>

<p>Nieprzypadkowo wybrałem Tindera. Pomijając fakt, że jest znaną aplikacją, ma ciekawą sytuację w swojej polityce prywatności.<br />
Dostęp do dokładnej lokalizacji jest wymieniony w zakładce mniej groźnej, opisującej zastosowania wewnętrzne apki. Natomiast w zakładce z danymi udostępnianymi obcym podmiotom jest wyłącznie lokalizacja przybliżona.</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/gravy-analytics/tinder-dane-lokalizacyjne.jpg" alt="Kolaż ze zrzutów ekranu pokazujący politykę prywatności Tindera. W&nbsp;zakładce na temat dzielenia się danymi widnieje jedynie informacja o&nbsp;danych przybliżonych." /></p>

<p>Może to oznaczać dwie rzeczy:</p>

<ul>
  <li>Tinder udostępnia giełdom wyłącznie lokalizację przybliżoną (zapewne odczytaną z adresu IP, czyli w przypadku sieci mobilnej dokładną mniej więcej do miasta);</li>
  <li>Tinder, wbrew publicznej polityce prywatności, udostępnia innym dokładną lokalizację użytkowników.</li>
</ul>

<p>Która wersja jest prawdziwa? Nie rozstrzygnę, nie mając pod ręką próbki danych z Gravy.</p>

<p>Jest tu natomiast ciekawe wyzwanie dla chętnych mających wgląd w dane: sprawdzić jakąś osobę, przy której źródłem danych jest Tinder. Gdyby odpowiadające jej punkty były ułożone precyzyjniej, niż to możliwe przy adresie IP (czyli na przykład wzdłuż ulicy, którą ktoś jechał), to by oznaczało, że apka udostępnia dokładną lokalizację.</p>

<p>Takie przypadki można porównać z deklaracjami z PlayStore’a i złapać winowajców. Wystarczy jakaś osoba z kopią danych z Gravy chętna na polowanko :smiling_imp:</p>

<h2 id="relacje-wpolskich-mediach">Relacje w polskich mediach</h2>

<p>Mięso wpisu już za nami, więc teraz można się skupić na wątkach pobocznych. Takich jak sposób pokazania sprawy w mediach.</p>

<p>Jak wspomniałem, na początku całkiem mi umknęła. I to nie tak, że nigdzie o niej nie pisano – pisano jak najbardziej. Ale <strong>pisano w taki sposób, że wydawała się nieznacząca i lokalna</strong>.</p>

<p>Czas na małą prasówkę. Wyszukałem w DuckDuckGo (bo w Google by mnie zawaliły reklamy) kombinację <code class="language-plaintext highlighter-rouge">"gravy analytics" site:pl</code> i poczytałem różne artykuły.</p>

<h3 id="media-mniej-techniczne">Media mniej techniczne</h3>

<p>Wiele mainstreamowych portali zaczerpnęło informacje z <a href="https://www.pap.pl/aktualnosci/mieli-ukrasc-dane-prawie-150-tys-osob-rosyjscy-hakerzy-w-akcji">krótkiej notki Polskiej Agencji Prasowej</a>, opublikowanej 10 stycznia o 8:58. Skąd to wiem? Czasem oznaczały PAP wprost, czasem zbieżność treści była ogromna. Poza tym tak często działają media od newsów.</p>

<p>Problem z notką jest taki, że skupia się ona tylko na wątku norweskim (bo norweski Unacast, który wchłonął Gravy, zgłosił wyciek w swoim kraju). I ogólnie jest dość lakoniczna. Pojawia się w niej:</p>

<ul>
  <li>wzmianka, że dane zostały wrzucone na rosyjskim portalu;</li>
  <li>cytat Tobiasa J. z norweskiego urzędu ds. ochrony danych, mówiący o ogromnej skali kradzieży (ale bardzo ogólnie, żadnych liczb);</li>
  <li>nazwa Gravy Analytics i informacja o tym, że pozyskiwali dane;</li>
  <li>informacja, że pod koniec 2024 roku firma zawarła ugodę z Federalną Komisją Handlu z USA, bo już wcześniej miała problemy za zbieranie wrażliwych danych.</li>
</ul>

<p>I to wszystko. Dosłownie kilkanaście linijek, zero linków, brak wyraźnego podkreślenia globalnego charakteru sprawy.</p>

<p>Znane portale zaczęły na potęgę kopiować właśnie tę notkę. Zaś użytkownicy mogli odnieść wrażenie, że to jakiś jeden wyciek z wielu, norweska ciekawostka, rosyjska uszczypliwość. Brak nazw aplikacji, które udostępniały dane. Brak opisów zagrożenia.</p>

<p class="post-meta bigspace-after">Nie mówiąc już o zupełnym braku porad prywatnościowych; ale na to już straciłem nadzieję w przypadku <em>mass mediów</em>.</p>

<p>Przykłady portali kopiujących notkę:</p>

<ul>
  <li><a href="https://www.money.pl/gospodarka/incydent-moze-miec-powazne-konsekwencje-dane-norwegow-w-rekach-rosjan-7112737113049856a.html">Money.pl</a>,</li>
  <li><a href="https://podroze.onet.pl/aktualnosci/rosyjscy-hakerzy-ukradli-dane-z-telefonow-norwegow-ogromna-skala/sqjhqqj">Onet Podróże</a></li>
  <li><a href="https://wydarzenia.interia.pl/zagranica/news-wielki-atak-rosyjskich-hakerow-w-europejskim-kraju-skala-ogr,nId,7888843">Interia</a></li>
  <li><a href="https://wiadomosci.wp.pl/wykradli-dane-tysiecy-norwegow-potencjalnie-ogromne-zagrozenie-7112623811103456a">Wp.pl</a></li>
  <li>
    <p><a href="https://warszawawpigulce.pl/bezprecedensowy-atak-hakerski-ogromny-wyciek-danych-moze-zagrozic-tysiacom-ludzi-11-01-2025/">Warszawa w Pigułce</a></p>

    <p>Tutaj przynajmniej parafrazowanie było nieco bardziej obfite i wyszło 19 linijek, do tego drobniejszym tekstem niż na stronie PAP :+1:.<br />
Co ciekawe, tydzień później (17.01) wypuścili <a href="https://warszawawpigulce.pl/potezny-atak-hakerski-w-europie-wrazliwe-informacje-z-telefonow-w-niepowolanych-rekach-17-01-2025/">kolejny artykuł</a>. Bardzo podobny do pierwszego, ale ciut dłuższy i dodający wzmiankę, że warto pilnować ustawień dostępu do lokalizacji. Trochę ogólne, ale na tle innych popularnych portali i tak na plus.</p>
  </li>
  <li>
    <p><a href="https://tvn24.pl/biznes/ze-swiata/norwegia-rosyjscy-hakerzy-mieli-ukrasc-dane-prawie-150-tys-norwegow-st8253569">TVN 24</a>.</p>

    <p>Wracamy do powielania notki z PAP. TVN ją wprost oznacza jako źródło, ale, co ciekawe, jako godzinę publikacji mają 6:43 (podobnie parę innych portali). Dwie godziny wcześniej, niż została opublikowana na samej stronie PAP. Jakiś priorytetowy dostęp?</p>
  </li>
  <li>
    <p><a href="https://www.rmf24.pl/fakty/swiat/news-dane-wielu-norwegow-wpadly-w-rosyjskie-rece,nId,7888850">RMF24</a> – typowa notka PAP. Pod nagłówkiem była literówka „Opracownie”, już jej nie ma.</p>

    <p class="post-meta bigspace-after">Ale w paru innych artykułach <a href="https://duckduckgo.com/?t=ffab&amp;q=%22opracownie%22+site%3Armf24.pl&amp;ia=web">nadal się pojawia</a> – tu <a href="https://web.archive.org/web/20250210004436/https://www.rmf24.pl/regiony/newsamp-12-mln-zlotych-w-grze-cztery-osoby-zatrzymane-poszukiwania-2,nId,7906404">przykład</a>.</p>
  </li>
  <li><a href="https://wiadomosci.radiozet.pl/news/europejski-kraj-zaatakowany-przez-rosyjskich-hakerow-skala-moze-byc-ogromna">Radio ZET</a> – tutaj w miejscu na źródło wpisano „Radio ZET/NRK”, ale treść niemal całkiem się pokrywa z notką PAP.</li>
</ul>

<p>Spośród mniej technicznych mediów na plus wybił się <a href="https://pressglobal.pl/Nauka-I-Technologie/czy-handel-danymi-jest-poza-kontrola">artykuł od <em>pressglobal.pl</em></a>, będący tłumaczeniem <a href="https://www.tagesschau.de/investigativ/br-recherche/standortdaten-apps-datenhandel-100.html">artykułu</a> z niemieckiego <em>Tagesschau</em>.</p>

<p class="post-meta bigspace-after">Artykuł został wprawdzie opublikowany w dziale o technologii, ale sam portal należy raczej do tych ogólnych.</p>

<p>Daje on trochę konkretów, przykłady aplikacji niemieckich (Focus, WetterOnline). Dający do myślenia przykład kobiety, której dane zdrowotne ustalono na podstawie lokalizacji – pewnej kliniki.<br />
Ponadto artykuł jako jeden z niewielu (również spośród technicznych!) wskazuje na rolę identyfikatora reklamowego. Jest rozmowa z urzędem ochrony danych, jest ogólna sugestia dotycząca patologii branży reklamowej. Oraz informacja, że <strong>z danych mogą korzystać też niemieckie służby wywiadowcze</strong>.</p>

<h3 id="stronki-bardziej-techniczne">Stronki bardziej techniczne</h3>

<p>Być może lepszym źródłem – celniej wskazującym zagrożenie i środki zaradcze – będą portale ściślej związane ze sprawami informatycznymi?<br />
Istotnie, zrobiły w temacie lepszą robotę, jeśli chodzi o pokazanie światowej skali wycieku. Ale ich porady były na tyle ogólne, że raczej mało kto z nich skorzystał.</p>

<p><a href="https://android.com.pl/tech/870765-atak-rosyjskich-hakerow-norwegia/">Android.com.pl</a> po prostu podał dalej notkę PAP. W ramach miłej niespodzianki: dwa linki do innych spraw z wyciekami w tle.</p>

<p><a href="https://imagazine.pl/2025/01/15/wyciek-danych-gravy-analytics-naraza-miliony-uzytkownikow-iphoneow/">iMagazine</a> – zwięźle, ale treściwie. Jest o dużej skali problemu, o możliwości deanonimizacji, przykłady trzech aplikacji. Porada dotycząca usunięcia ID reklamowego teoretycznie jest, ale w formie tak ogólnej, że trudno w tym dostrzec konkretną funkcję do odhaczenia:</p>

<blockquote>
  <p>Użytkownicy, którzy wyłączyli śledzenie aplikacji na iPhone’ach, nie byli dotknięci wyciekiem.</p>
</blockquote>

<p><a href="https://cdaction.pl/newsy/dane-o-dokladnej-lokalizacji-milionow-osob-trafily-do-sieci-winny-atak-na-serwery-brokera-gravy">CD Action</a> – plus za powołanie się na wątek Baptiste’a i podkreślenie grozy sytuacji (wzmianka o tym, że w danych była lokalizacja osób z baz wojskowych).<br />
Ale środków zaradczych zero. Do tego z artykułu można wyciągnąć wniosek, że to była wyłącznie norweska sprawa (cytat z oświadczenia złożonego do ich urzędu).</p>

<p><a href="https://antyweb.pl/gravy-analytics-wyciek-lokalizacja">Antyweb</a> – skala sprawy oddana dość wiernie, wymieniają nazwy aplikacji. Jest porada dotycząca ogólnego wyłączenia śledzenia (ale tylko na iPhone’ach).</p>

<p><a href="https://onetech.pl/dane-lokalizacyjne-milionow-uzytkownikow-iphone-i-android-wykradzione-przez-hakerow/">OneTech</a> – dość szybko pojawiają się porady, i to sensowne: najlepiej nie udzielać dostępu do lokalizacji, a jeśli już trzeba, to najwyżej przybliżony. Ale z ostatnią poradą się nieco zagalopowali:</p>

<blockquote>
  <p>Warto też zainstalować dobry program antywirusowy. Może nie uchroni przed wszystkim, ale przynajmniej ostrzeże przed niektórymi zagrożeniami.</p>
</blockquote>

<p>Rada brzmi z pozoru sensownie, ale w przypadku tej afery nic by nie dała, bo działanie dodatków reklamowych było teoretycznie niezłośliwe. Raczej trudno sobie wyobrazić, że antywirus oflaguje mainstreamowego Tindera czy MyFitnessApp, nieprawdaż?</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Nawet gdyby jakiś antywirus na smartfona był na tyle miły, że oznaczałby zbieranie danych jako złośliwe zachowanie, miałby bardzo ograniczone możliwości.<br />
<strong>Na smartfonach antywirusy nie mają szczególnych przywilejów</strong> i często opierają się na prostym rozpoznawaniu niedobrych aplikacji po nazwach. W najlepszym wypadku: mogłyby analizować ruch sieciowy, pozwalając się ustawić jako VPN-y (tylko po to, żeby mieć większy wgląd).<br />
Ale co by to dało, skoro ruch jest szyfrowany, więc antywirus widziałby jedynie nazwy stron docelowych? A te nazwy (np. <code class="language-plaintext highlighter-rouge">static.losowa-apka.com</code>) mogą brzmieć jak coś potrzebnego do działania?<br />
Pomijam już fakt, że czasem to same antywirusy okazują się zbieraczami danych, a pod latarnią bywa najciemniej. Na liście aplikacji z wycieku widnieje choćby Avast (<code class="language-plaintext highlighter-rouge">com.avast.android.mobilesecurity</code>).</p>
    
  </div>
</div>

<p><a href="https://ithardware.pl/aktualnosci/najwiekszy_wyciek_rosja_lokalizacja_miliony-37985.html">IT Hardware</a> podaje więcej faktów (jak nazwa forum, na którym udostępniono dane – XSS), ale nie ma żadnych porad prywatnościowych ani środków zaradczych.<br />
Artykuł podlinkowali też <a href="https://wykop.pl/link/7626365/to-moze-byc-najwiekszy-wyciek-w-historii-rosjanie-wykradli-lokalizacje-milionow">na Wykopie</a>, ale zebrał mało polubień. Do tego nazwę Gravy Analytics z zajawki przycięło w niefortunnym miejscu, prowokując śmieszkowy komentarz, który zgarnął więcej łap w górę niż artykuł. I na tym wieści o wielkim wycieku się skończyły :roll_eyes:</p>

<p><a href="https://www.dobreprogramy.pl/reklamy-sczytuja-lokalizacje-na-liscie-tinder-i-nie-tylko,7113144273419008a">Dobre Programy</a> – niby też podchodzą pod Onet, ale dali dużo kompletniejszy artykuł niż ten ze strony newsowej. Jest cytowanie artykułu z Wired, nazwy aplikacji, wzmianka o umywaniu rąk przez firmy oznaczone w wycieku.<br />
Za to w poradach jest o zastrzeganiu numeru PESEL (fajne, ale w tym przypadku bez zastosowania, apki go nie wymagały). Plus porady sensowne, ale ogólnikowe:</p>

<blockquote>
  <p>warto co do zasady udostępniać w internecie możliwie mało informacji o sobie, zaś listę uprawnień w aplikacjach ograniczać do minimum</p>
</blockquote>

<p><a href="https://numag.pl/gigantyczny-wyciek-danych-z-gravy-analytics/">Numag.pl</a> bardzo na plus – podkreślenie skali, wymienione przykłady aplikacji, informacja o tym, że źródłem są giełdy reklamowe. Porady szczegółowe wprawdzie tylko odnośnie iPhone’a, ale wspominają zarówno o wyłączeniu ID, jak i dostępu do lokalizacji.</p>

<h3 id="podsumowanie-wątku">Podsumowanie wątku</h3>

<p>Polskie media popularne w moim odczuciu całkiem spaliły temat, przedstawiając go tak, jakby był jakąś lokalną norweską sprawą. Być może to jeden z czynników, przez które cała sprawa przeszła bez echa.</p>

<p>Portale techniczne zrobiły lepszą robotę, ale głównie pod względem opisywania problemu, jego źródeł i skali. Nie wykorzystały natomiast okazji do pokazania, krok po kroku, prostych rozwiązań.</p>

<p><strong>Prawie nikt nie wspomniał o identyfikatorach reklamowych</strong>. Mimo że ich ucięcie to bardzo proste i intuicyjne rozwiązanie przynajmniej części problemów.</p>

<p>Swoją drogą ogólna cisza medialna wydaje się zjawiskiem nie tylko polskim – na YouTubie, jeśli uszereguje się filmy znalezione pod hasłem <code class="language-plaintext highlighter-rouge">gravy analytics</code> <a href="https://www.youtube.com/results?search_query=gravy+analytics&amp;sp=CAM%253D">według wyświetleń</a>, najczęściej oglądany ma nieco poniżej 100 tys. wyświetleń. Kolejny po nim nieco ponad 2000, resztę już mało kto oglądał.</p>

<p>W porównaniu z taką na przykład <a href="/cyfrowy_feudalizm/2024/03/31/xz-backdoor" class="internal">aferą XZ</a>, która dotyczyła <em>niezrealizowanego</em> ataku, te zasięgi są śmiesznie małe. Sprawa mogłaby zostać nazwana <em>Cambridge Analytica 2.0</em> i wywołać masowy bojkot ekosystemu reklam śledzących. Zamiast tego zgasła jak iskra.</p>

<p>Zmowa milczenia? Celowy <em>blackout</em> informacyjny? Wątpię.</p>

<p>Powiedziałbym raczej, że brak popularności wynika ze smutnego faktu, że <strong>ludziom, nawet z branży, spowszedniały informacje o wyciekach danych</strong>. I kiedy słyszy się „Wielki wyciek z firmy X”, zwłaszcza gdy jej nazwa jest nieznana, to łatwo przeoczyć olbrzyma.<br />
A takie znieczulenie jest, moim zdaniem, jeszcze gorsze niż teoretyczna cenzura.</p>

<h2 id="jak-się-chronić-uzupełnienie">Jak się chronić – uzupełnienie</h2>

<p>Na początku wpisu napisałem, jak wyłączać identyfikator reklamowy i uprawnienia aplikacji do GPS-a. Te proste działania zaradzą większości problemów, jakie przyniosło Gravy. Jeśli tego jeszcze nie zrobiliście, to zachęcam, żeby wykonać <a href="#na-początek--jak-ochronić-prywatność" class="internal">opisane tam kroki</a>.</p>

<p>Ale firm analitycznych i brokerów danych jest więcej; dlatego osoby chętne mogą pójść o krok dalej.</p>

<p class="post-meta bigspace-after">Poniższe porady stworzyłem z myślą o Androidzie, ale część może się odnosić też do jabłkofonów.</p>

<p>Przede wszystkim warto pamiętać o tym, żeby <strong>wyłączać Bluetooth i wyszukiwanie hotspotów, gdy nie korzystamy z tych funkcji</strong>. Można tak sobie ustawić pstryczki na „ściągalnym z góry” menu na ekranie głównym, żeby mieć do nich szybki dostęp, a potem wyrobić sobie nawyk ich wyłączania.</p>

<p>Dlaczego? Ano dlatego, że hotspoty wokół nas oraz tak zwane <em>beacony Bluetooth</em> również pomagają <a href="/apki/2023/07/15/sledzenie-lokalizacji" class="internal">ustalać, w jakiej jesteśmy lokalizacji</a>. Nawet gdy wyłączy się GPS-a.</p>

<p>W przypadku telefonów z Androidem silnie zrośniętych z Google’em warto pamiętać o paru innych rzeczach:</p>

<ul>
  <li>poza podstawową funkcją Wi-Fi trzeba wyłączyć też osobny pstryczek odpowiadający za używanie hotspotów do lokalizacji;</li>
  <li>usługom Google Play trzeba odbierać dostęp do GPS-a przez osobne menu;</li>
  <li>nie da się domyślnymi narzędziami odbierać dostępu do internetu konkretnym aplikacjom, ale można to zrobić przez apkę-firewalla jak RethinkDNS.</li>
</ul>

<p>Wszystkie te rzeczy opisałem w <a href="/2024/02/03/smartfon-degoogle" class="internal">przewodniku po odgooglowywaniu telefonu</a>. Gorąco zachęcam do przeczytania!</p>

<p>I na koniec jeszcze raz, bo nigdy za wiele: trzonem afery, oprócz GPS-a, był identyfikator reklamowy. Rzecz łatwa i szybka do wyłączenia. Jak wiele innych zagadnień – <strong>prywatność to spektrum, a pierwsze kroki są osiągalne dla każdego</strong>. Mówienie, że nie da się jej chronić, to bzdura.</p>]]></content><author><name></name></author><category term="Afera" /><category term="Apki" /><category term="Inwigilacja" /><category term="Media" /><category term="Reklamy" /><summary type="html"><![CDATA[Niedostrzeżony następca Cambridge Analytica?]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/gravy-analytics/gravy-analytics-wyciek-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/gravy-analytics/gravy-analytics-wyciek-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Corponomicon 1 – pozew za naruszanie dobrego imienia</title><link href="https://www.ciemnastrona.com.pl/corponomicon/2025/03/17/slapp-efekt-mrozacy.html" rel="alternate" type="text/html" title="Corponomicon 1 – pozew za naruszanie dobrego imienia" /><published>2025-03-17T11:00:00+00:00</published><updated>2025-03-17T11:00:00+00:00</updated><id>https://www.ciemnastrona.com.pl/corponomicon/2025/03/17/slapp-efekt-mrozacy</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/corponomicon/2025/03/17/slapp-efekt-mrozacy.html"><![CDATA[<p>Witam w pierwszym wpisie z nowej serii <em>Corponomicon</em> (nazwa inspirowana uniwersum Lovecrafta)! Będzie tutaj o różnych sztuczkach i kruczkach stosowanych przez duże korporacje oraz zbudowany wokół nich ekosystem mniejszych podmiotów.</p>

<p>Na pierwszy ogień wezmę metody uciszania krytyków. Wykorzystując możliwości systemu prawnego, korporacje – choć częściej raczej ich mniejsi podwykonawcy – mogą nękać niewygodne osoby pozwami, zarzucając im rzekome naruszanie prawa.</p>

<p class="post-meta bigspace-after">Takie pozwy mogą się opierać na różnorodnych podstawach. W tym wpisie skupię się na tych dotyczących dóbr osobistych, o innych będzie pobieżnie.</p>

<p>Wiele osób nawet nie idzie do sądu, tylko ustępuje po pierwszej groźbie lub wezwaniu przedsądowym. Inni, widząc taki rezultat, po cichu się wycofują i powstrzymują od publicznej krytyki. Powstaje <strong>efekt mrożący</strong>, kiedy to część ludzi najzwyczajniej w świecie boi się wyrażać swoje zdanie.</p>

<p>A czy to uzasadniony strach? Pokażę tu parę przykładów, gdy groźnie wyglądające pisma przedsądowe, podpisane przez prawników, bywały jedynie straszakami. Pewne rzeczy – jak trzymanie się faktów, odpowiedni dobór słów, a także dbanie o anonimowość – mogą przechylić szalę na korzyść zwykłych ludzi.</p>

<p>Na koniec będzie o tym, że stoimy na rozdrożu, a nadchodzące zmiany w przepisach mogą albo poprawić, albo pogorszyć obecną sytuację.</p>

<p class="bigspace-before"><img src="/assets/posts/corponomicon/slapp/slapp-baner.jpg" alt="Dwa obrazki z&nbsp;filmu „Alicja w&nbsp;Krainie Czarów”. Po lewej stronie widać króla-krasnoludka z&nbsp;oskarżycielską miną, opierającego się o&nbsp;młotek sędziowski. Po prawej, ze znudzoną miną i&nbsp;dłonią na twarzy, stoi Alicja." loading="lazy" /></p>

<p class="figcaption">Źródło: kadr z <a href="https://www.youtube.com/watch?v=qOUCL-JgTUE">„Alicji w Krainie Czarów”</a> (YouTube) z 1951 r.<br />
Ikonka serii <em>Corponomicon</em> – <a href="https://www.flaticon.com/free-icon/skull_2099808">czaszka</a> i <a href="https://www.flaticon.com/free-icon/necktie_8786085">krawat</a> z serwisu Flaticon.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Dupochron w stylu amerykańskim: nie jestem prawnikiem i nie udzielam porad prawnych. Proszę nie podejmować żadnych działań na podstawie treści z tego wpisu. Z założenia ma być jedynie miksem anegdot i subiektywnych przemyśleń; punktem wyjścia do znalezienia pewniejszych informacji w innych źródłach.</p>
    
  </div>
</div>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#różne-oblicza-pozwów">Różne oblicza pozwów</a>
    <ul>
      <li><a href="#pozwy-za-naruszanie-dobrego-imienia">Pozwy za „naruszanie dobrego imienia”</a></li>
    </ul>
  </li>
  <li><a href="#wątki-wokół-pozwów-dobroimiennych">Wątki wokół „pozwów dobroimiennych”</a>
    <ul>
      <li><a href="#etap-napinki">Etap napinki</a></li>
      <li><a href="#ścieżka-karna-icywilna">Ścieżka karna i cywilna</a></li>
      <li><a href="#okoliczności-obciążające-iłagodzące">Okoliczności obciążające i łagodzące</a></li>
      <li><a href="#kwestia-danych-osobowych">Kwestia danych osobowych</a></li>
      <li><a href="#warstwy-abstrakcji">Warstwy abstrakcji</a></li>
      <li><a href="#gwarancja-efektu-streisand">Gwarancja efektu Streisand</a></li>
      <li><a href="#kwestie-finansowe">Kwestie finansowe</a></li>
    </ul>
  </li>
  <li><a href="#możliwe-kierunki-zmian">Możliwe kierunki zmian</a>
    <ul>
      <li><a href="#zacieśnianie-kontroli">Zacieśnianie kontroli</a></li>
      <li><a href="#walka-ze-slapp-ami-watchdog-polska">Walka ze SLAPP-ami (Watchdog Polska)</a></li>
    </ul>
  </li>
  <li><a href="#podsumowanie">Podsumowanie</a></li>
</ul>

<h2 id="różne-oblicza-pozwów">Różne oblicza pozwów</h2>

<p>Pozwy mające na celu kneblowanie krytyków określa się angielskim akronimem <em>SLAPP</em> (<em>Strategic Lawsuit Against Public Participation</em> – pozwy strategiczne przeciw uczestnictwu w życiu publicznym).<br />
Pojęcie odnosi się do przypadków, gdy jakaś firma lub osoba twierdzi, że ktoś działa na jej szkodę, więc rozpoczyna walkę sądową. Niekoniecznie chce ją wygrać; chodzi głównie o przecioranie przeciwników i zniechęcenie innych potencjalnych krytyków.</p>

<p>Głośnym przypadkiem pozwu przeciw krytykom jest ten związany z firmą <strong>Newag</strong>.</p>

<p>Spece od inżynierii wstecznej, Dragon Sector, analizowali działanie elektroniki w niedziałających pociągach tej firmy. Znaleźli przykłady złośliwych funkcji.<br />
Jedna z nich sprawiała, że pociągi zatrzymywały się po określonej dacie. Inna doprowadzała do tego, że pociągi nie chciały się uruchomić, jeśli program wykrył (poprzez dane z GPS-a) dłuższy pobyt w warsztatach konkurencji.</p>

<p>Newag w odpowiedzi na ujawnienie sprawy pozwał wiele osób – speców od analizy kodu, ich zleceniodawców, znaczącą postać z komisji badającej aferę…</p>

<p>W przypadku ekipy z Dragon Sectora wystosowali <a href="https://youtu.be/8OB2NqcSDXQ?feature=shared&amp;t=1854">dwa pozwy</a> (uwaga: YouTube), oparte łącznie na trzech zarzutach: nieuczciwej konkurencji, naruszania dóbr osobistych i <strong>naruszania praw autorskich</strong>.</p>

<p>Żadna z podstaw nie wydaje się zbyt solidna, ale to o ostatnim punkcie było szczególnie głośno. Newag twierdził mianowicie, że krótkie fragmenty kodu, jakich ekipa użyła do zilustrowania swoich wystąpień, naruszają prawa autorskie do ich oprogramowania (mimo że nie była to dokładna kopia ich kodu, a bardziej coś w rodzaju „kodowatego” opisu jego działania).</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Newag zarzucał również, że badacze, przez publiczne dzielenie się wnioskami, publikują nielegalne instrukcje hakowania pociągów. W hołdzie temu ostatniemu zarzutowi cała konferencja Chaos Computers Club, na której wystąpili ludzie z Dragon Sectora, zyskała oficjalną nazwę <code class="language-plaintext highlighter-rouge">Illegal Instructions</code>.</p>
    
  </div>
</div>

<p>Zagranicznym przykładem użycia prawa autorskiego w roli knebla może być sprawa <a href="/2025/02/10/prywatnosc-maszyny-wirtualne#przyk%C5%82ad-z%C5%BCycia-proctorio" class="internal">Proctorio</a> – firmy tworzącej programy do pilnowania ludzi podczas zdalnych egzaminów. Programy, które ze względu na swoje niedoskonałości potrafiły oznaczać niewinne osoby jako oszukujące na testach.</p>

<p>Te wady punktował pewien Kanadyjczyk, Ian Linkletter. Firma nawet nie próbowała z nim walczyć na gruncie merytorycznym; zamiast tego pozwała go za to, że w swojej krytyce umieścił linki do paru ich filmów, ustawionych jako niepubliczne.<br />
Stanowisko firmy: w ten sposób udostępnił ich prywatne treści i naruszył prawa autorskie. Tak rozpoczął się spór, który w cywilizowanym świecie, moim zdaniem, nie powinien mieć racji bytu.</p>

<p>Jeśli chodzi o <strong>znak towarowy</strong>, czyli m.in. elementy graficzne, takie jak logo firmy – na jego naruszenie powołały się polskie firmy od <a href="/cyfrowy_feudalizm/2024/11/01/eduvulcan-oplaty" class="internal">dzienniczków elektronicznych</a>, wywierając presję na autorów otwartych i darmowych alternatyw. <a href="https://szkolny.eu/finale">Sugerowali zapewne</a>, że loga niezależnych projektów mogą wprowadzać w błąd przez podobieństwo do ich firmowego.</p>

<p>Sprawy wokół praw autorskich to studnia bez dna i zasługują na osobny wpis. Dlatego odłożę je na bok, a zamiast tego skupię się na innej kategorii, która dotyka nawet szarych obywateli. Pozwach zarzucających godzenie w dobre imię firmy lub jednostki (w Polsce: zniesławienie albo naruszenie dóbr osobistych).</p>

<h3 id="pozwy-za-naruszanie-dobrego-imienia">Pozwy za „naruszanie dobrego imienia”</h3>

<p>Firmy mają osobowość prawną, więc również mogą pozywać.</p>

<p>Przykładem Nestlé – krótko po ujawnieniu <a href="/2024/10/01/nestle-mleko-dla-niemowlat-afryka" class="internal">afery z mlekiem dla niemowląt</a> pozwali autorów raportu zatytułowanego, w tłumaczeniu na polski: „Nestlé zabija niemowlęta”. Właśnie za ten tytuł, który miał rzekomo naruszać dobre imię spółki, głosząc nieprawdę.</p>

<p>„Nieprawdę?”, ktoś może pomyśleć. Były przecież mocne dowody na to, że wskutek działań koncernu afrykańskie mamy stawały się zależne od mleka w proszku, produktu ponad ich możliwości finansowe. Przecież wzrosła liczba zgonów wśród niemowląt. A jednak sąd przyznał rację Nestlé, choć zasądził dość symboliczną karę (kilkaset dolarów).</p>

<p>Pokazuje to, że już kilkadziesiąt lat temu obowiązywała reguła warta zapamiętania: <strong>słowa są traktowane bardzo dosłownie, a ostre przenośnie to fałszywi przyjaciele</strong>.</p>

<p>Obecnie jednak, według moich subiektywnych obserwacji, pozwy megakorporacji przeciw zwykłym ludziom i małym organizacjom nie są aż tak częstym zjawiskiem.<br />
Być może giganci sobie przeliczyli, że takie pozwy kończą się <a href="https://pl.wikipedia.org/wiki/Efekt_Streisand">efektem Streisand</a>, prowadząc do bojkotu i strat dalece większych niż to, co wycisną z zastraszonego krytyka?</p>

<p>Brak pozwów od spółki-matki nie oznacza jednak zupełnego ich braku. Wokół korporacji często tworzy się osad z mniejszych podwykonawców i osób medialnych. Tacy gracze mogą być skłonni do uciszania krytyki, bo posłuch wśród ludzi to dla nich być albo nie być.</p>

<p>Przykładem ze Stanów może być sprawa Kevina Folty, pracującego na Uniwersytecie Florydzkim. Notorycznie powielał przekaz koncernu chemicznego Monsanto, udzielał się na platformie założonej przez ich agencję PR-ową, pojechał na Hawaje przekonywać protestujących mieszkańców, że to firma ma rację. Mówiąc potocznie: lobbował na jej rzecz.</p>

<p>Wykorzystując prawo dostępu do informacji publicznej, pewna organizacja ujawniła tę <a href="https://s3.documentcloud.org/documents/2303691/kevin-folta-uoffloridadocs.pdf">współpracę</a>, a sprawę opisano w <em>New York Timesie</em>.<br />
W tym miejscu wkroczył SLAPP. Folta <a href="https://globalfreedomofexpression.columbia.edu/cases/folta-v-new-york-times/">pozwał gazetę</a> o amerykański odpowiednik naruszania dóbr osobistych, a przed swoimi odbiorcami wykorzystał to do podbicia wiarygodności. „Poszedł do sądu walczyć o dobre imię, a to przecież poważna deklaracja! Musi mieć rację w tym sporze!”.</p>

<p>Otóż nie – <strong>każdy może pozwać każdego, a fakt pozwania nic nie mówi o słuszności</strong>. To po prostu zaproszenie do rozstrzygnięcia sporu przez sąd. Tak też było w tym przypadku, Folta przegrał.</p>

<p class="post-meta bigspace-after">Ale ogólnie nie ma co się sugerować zagranicą, bo USA ma dość liberalne przepisy w kwestii wolności słowa. Polska jest pod tym względem bardziej restrykcyjna (choć chyba i tak lepsza od Wielkiej Brytanii).</p>

<p>Żeby znaleźć przykłady pozwów na polskim gruncie, wyszukałem w <em>social mediach</em> kombinację słów <code class="language-plaintext highlighter-rouge">"narusza" "dobra osobiste"</code> oraz ich odmian. Trafiłem na parę przypadków, gdy ktoś zapowiada kroki prawne i żąda usunięcia wpisów.</p>

<p class="figure bigspace-before"><img src="/assets/posts/corponomicon/slapp/grozba-lobbing.jpg" alt="Wiadomość, której autor pisze, żeby go nie nazywać lobbystą" loading="lazy" /></p>

<p class="figcaption">Gdyby zagłębić się w bańkę informacyjną, z której wyciągnąłem screeny do tego wpisu, to znalazłoby się tam trochę niemiłych rzeczy, jak wulgaryzmy czy groźby karalne. Nie popieram ich i <strong>nie odnoszę się do szerszej wojenki internetowej</strong>. Interesują mnie tylko wpisy dotyczące dóbr osobistych, bez kontekstu.</p>

<h2 id="wątki-wokół-pozwów-dobroimiennych">Wątki wokół „pozwów dobroimiennych”</h2>

<p>Na chwilę zanurkujmy w świat „Alicji w Krainie Czarów”, w którym w ostatnich rozdziałach odbywała się absurdalna rozprawa sądowa. W ramach literackich wprawek możemy przyjąć, że tamtejszy system prawny oraz internet działają podobnie jak w Polsce – ale podkreślam, że piszę o fikcyjnej krainie.</p>

<blockquote class="bigspace-before">
  <p>Alicja była w sądzie po raz pierwszy w życiu. Widziała już jednak salę sądową na obrazku, co pozwalało jej orientować się w otoczeniu. <em>To jest pan sędzia</em> – powiedziała do siebie – <em>poznaję go po wielkiej peruce</em>. Sędzią był zresztą sam Król. Nosił on na peruce koronę, w czym nie było mu z pewnością ani zbyt wygodnie, ani do twarzy</p>
</blockquote>

<p class="figcaption">Źródło cytatów: „Alicja w Krainie Czarów”, przekład Antoniego Marianowicza.</p>

<p>Osoby prawne (ludzie i firmy) mają możliwość pozywania innych za to, że pod wpływem ich słów niektórzy przestali (lub mogliby przestać) im ufać, czyniąc ich życie gorszym.<br />
Taką możliwość mają wszyscy – czy to Król i Królowa z Krainy Czarów, czy nawet oszuści, których oszustwo zostało ujawnione (w końcu gdyby nie zostało, to by zarobili). Dopiero sąd ubija zarzuty z czapy.</p>

<p>Nie ma niestety prostej tarczy ochronnej, która by blokowała samą możliwość pozwania małych przez dużych; jest co najwyżej duża szansa na wygranie sprawy w sądzie.</p>

<p>Kiedy jedna osoba coś napisze, a drugiej się to nie spodoba, to w praktyce może nastąpić kilka etapów eskalacji:</p>

<ol>
  <li>straszenie w komentarzach,</li>
  <li>wezwanie przedsądowe od prawnika,</li>
  <li>pozew i rozprawa w sądzie pierwszej instancji,</li>
  <li>wniesienie apelacji przez przegraną stronę i rozprawa w sądzie drugiej instancji.</li>
</ol>

<p>W rzadszych przypadkach może też dojść do rozprawy przed Sądem Najwyższym, a nawet wyjścia poza granice Polski i zwrócenia się do Trybunału Praw Człowieka. Ale pozwolę sobie nie iść dalej niż do apelacji.</p>

<h3 id="etap-napinki">Etap napinki</h3>

<p>Kluczowy fakt: <strong>pierwszy i drugi szczebel „drabinki eskalacyjnej” to sprawy międzyludzkie</strong>. Nie angażują wymiaru sprawiedliwości.</p>

<p>Można w to zwątpić, zwłaszcza jeśli dojdzie do drugiego etapu i otrzyma się pismo przedsądowe, opatrzone pieczątką Ważnej Kancelarii™, podpisem doświadczonego prawnika i listą paragrafów. Robi to wrażenie, jakby człowiek już został osądzony.</p>

<p>Ale tak naprawdę to straszak. Ktoś za niego zapłacił, a kancelaria wzięła szablon, nieco go dopasowała do sytuacji i wysłała krytykującej osobie. Póki co jedyna walka toczy się w jej głowie. Trzymać się swego czy odpuścić?</p>

<p class="bigspace-before"><img src="/assets/posts/corponomicon/slapp/slapp-poczatek.jpg" alt="Kolaż złożony z&nbsp;trzech obrazków. Na górnym widać mężczyznę z&nbsp;pewną siebie miną, na dolnym skupiony wzrok kobiety. Obrazek pośrodku pokazuje kobietę na motorze oraz samochód pędzące w&nbsp;swoją stronę." width="600px" loading="lazy" /></p>

<p class="figcaption">Źródło: <a href="https://www.youtube.com/watch?v=trF4sGKwfEQ">teledysk</a> do piosenki <em>DooM Dance</em> zespołu Gunship. Przeróbki moje.</p>

<p>Straszące komentarze i pisma to taka wymuskana nakładka na świat zwierząt: napinanie się, najeżanie i warczenie. W nadziei na to, że konkurent uzna walkę za ryzykowną i ustąpi, mimo że mógł wygrać.</p>

<p>Presja psychiczna może być spora. W głowie może kiełkować: „zrobiłem coś złego i teraz Machina mnie zmieli”. Warto pamiętać: papier wszystko przyjmie, a sąd może być innego zdania niż twórca pisma. Tyle że wiele osób woli tego nie sprawdzać i odpuszcza.</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/grozba-za-propagandyste.jpg" alt="Tweet, którego autor cytuje przeprosiny innej osoby za nazwanie go płatnym propagandystą. Pisze, że powinno to być przestrogą dla innych." loading="lazy" /></p>

<h3 id="ścieżka-karna-icywilna">Ścieżka karna i cywilna</h3>

<p>Niezależnie od tego, czy straszący blefuje czy nie, warto liznąć choć trochę prawa. Może się przydać nawet na początkowych etapach eskalacji, żeby groźniej się napiąć i najeżyć.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Porada
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Jeśli chcecie nabrać większej intuicji odnośnie tego, jakie rzeczy były karane i jak przebiegały procesy, to można wyszukać w ogólnej wyszukiwarce <code class="language-plaintext highlighter-rouge">dóbr osobistych site:prawo.pl</code> – ta strona gromadzi rozstrzygnięcia różnych spraw w dość zwięzłej i przystępnej formie.</p>
    
  </div>
</div>

<p>W osobie straszącej/pozywającej mieszkają dwa wilki: <strong>droga karna (zniesławienie) i cywilna (naruszenie dóbr osobistych)</strong>.</p>

<p class="post-meta bigspace-after">Do „procesów o napisane słowa” można też zaliczyć znieważenie, ale ono akurat ma śladowe znaczenie na tle dwóch powyższych, więc je tu pominę.</p>

<p>Mógłbym tu oczywiście zacytować paragrafy, ale nie widzę sensu – są bardzo ogólnikowe. To tylko ramy, zaś w praktyce liczy się to, jak są interpretowane w sądach. Zostawię jedynie linki – tutaj o <a href="https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/kodeks-karny-16798683/art-212">zniesławieniu</a>, a tutaj o <a href="https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/kodeks-cywilny-16785996/art-24">naruszeniu dóbr osobistych</a>.</p>

<p>Z punktu widzenia osoby/firmy, która chce kogoś uciszyć, każda z dwóch ścieżek ma swoje zalety i wady:</p>

<ul>
  <li>
    <p>Naruszenie dóbr osobistych</p>

    <ul>
      <li>zaleta: niższy próg wejścia (łatwo złożyć, sąd raczej przyjmie, co najwyżej potem się przegra);</li>
      <li>można wnioskować o publikację przeprosin o określonej treści;</li>
      <li>zasadnicza wada: składając pozew, trzeba podać dane osobowe osoby pozywanej, a zatem trzeba je znać.</li>
    </ul>
  </li>
  <li>
    <p>Zniesławienie</p>

    <ul>
      <li>niższe koszty (<a href="https://siecobywatelska.pl/czy-art-212-kodeksu-karnego-powinien-zostac-wykreslony/">źródło</a>),</li>
      <li>można złożyć, nie znając danych pozywanej osoby (ustala je wtedy policja/prokuratura);</li>
      <li>istnieje jednak możliwość, że nie przyjmą zgłoszenia;</li>
      <li>wśród możliwych kar, oprócz grzywny i prac społecznych: do roku pozbawienia wolności.<br />
W praktyce <a href="https://siecobywatelska.pl/slapp-y-w-polsce/">prawie nigdy</a> do tego nie dochodzi (ok. 5 takich kar na rok, z czego większość w zawieszeniu). Ale sama możliwość może wywierać ogromną presję.</li>
    </ul>
  </li>
</ul>

<p>Nic też nie stoi na przeszkodzie, żeby skorzystać z obu ścieżek – karnej w celu poznania czyichś danych, a następnie cywilnej, żeby niewygodne treści spadły z rowerka.</p>

<h3 id="okoliczności-obciążające-iłagodzące">Okoliczności obciążające i łagodzące</h3>

<p>Najważniejszym, nie do końca intuicyjnym faktem może być to, że <strong>ciężar dowodu spoczywa na osobie pomawiającej</strong>. Czyli przykładowo to Alicja, nazywając Kapelusznika szaleńcem, musi być w stanie dowieść jego szaleństwa. On niczego udowadniać nie musi.</p>

<p>Inny nieintuicyjny fakt: komentarz opublikowany w internecie jest traktowany jak <strong>publikacja w środkach masowego przekazu</strong>. Sprawia to, że gra automatycznie toczy się o wyższą stawkę niż w przypadku, gdy Alicja beszta królewskie marionetki w mailu wysłanym do konkretnej osoby (w tym drugim przypadku mamy <em>zarzut niepubliczny</em>).</p>

<p>Pewną okolicznością łagodzącą jest <strong>pisanie rzeczy zgodnych z faktami</strong>. Przy czym chodzi o fakty w jak najściślejszym znaczeniu, a nie (nawet dość oczywiste) domysły.</p>

<p>Na stronie <em>prawo.pl</em> mają <a href="https://www.prawo.pl/prawo/krytyka-w-internecie-musi-byc-rzetelna,514690.html">przykład</a> autora, który wie, że pewna tłumaczka chciała wyższego wynagrodzenia, i że potem wydawnictwo ogłosiło nowe tłumaczenie. Ale jego sugestia – „ogłosiło nowe, <em>żeby</em> jej nie podwyższyć wynagrodzenia” – jest już ponoć o jeden domysł za daleko.</p>

<p>Dwie powyższe rzeczy – zarzut niepubliczny plus zgodność z faktami – otwierają fajną furtkę w przypadku drogi karnej (spraw o zniesławienie). Jeśli wyśle się wiadomość jednocześnie prawdziwą i niepubliczną, to sprawa powinna <a href="http://www.uwm.edu.pl/mkks/wp-content/uploads/13-dziembowski.pdf">z automatu upaść</a>. Ktoś ze szczególną awersją do pozwów mógłby zatem preferować maile do strategicznych osób.</p>

<blockquote class="bigspace-after">
  <p>Stosownie do art. 213 § 1 k.k. nie ma przestępstwa z art. 212 § 1, jeżeli zarzut uczyniony niepublicznie jest prawdziwy.</p>
</blockquote>

<p>Drugą okolicznością łagodzącą jest <strong>obrona społecznie uzasadnionego interesu</strong>. Problem w tym, że granice są płynne.</p>

<p>Intuicyjnie mogłoby się wydawać, że oskarżanie kogoś o działanie na rzecz korpo to – w przeciwieństwie do przykładowego wywlekania upodobań łóżkowych – jak najbardziej dbanie o interes publiczny. „Ludzie powinni wiedzieć, że pewna osoba medialna nakierowuje społeczeństwo na produkty konkretnych branż, niekoniecznie najlepsze dla kraju”.</p>

<p>Ale zawsze pozostaje wątpliwość, tak jak w przykładzie wyżej. Czy nie byłby to o jeden przeskok, o jeden domysł za daleko? Dlatego, poza prawnymi włączeniami i wyłączeniami, warto poznać parę innych kwestii wokół pozwów.</p>

<h3 id="kwestia-danych-osobowych">Kwestia danych osobowych</h3>

<p>Załóżmy, że w Krainie Czarów mają internet. I że ktoś o nicku Walet Kier opublikował tam, na pewnej platformie, komentarz niepochlebny wobec mieszkańca Krainy skłonnego do urazy. A że był dość bezpośredni i jest za co złapać, to adwersarz próbuje go strącić z rowerka. Najchętniej drogą cywilną.</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/grozba-za-chorego.jpg" alt="Kilka publicznych postów, w&nbsp;których najpierw pan J&nbsp;pisze, że w&nbsp;sieci nie ma anonimowości i&nbsp;że dorwała kogoś, kto ją wyzywał. Druga osoba odpisuje, że chyba jest chory psychicznie. J&nbsp;odpisuje, że radzi uważać ze słowami, a&nbsp;udowodnienie mu choroby psychicznej może być trudne." loading="lazy" /></p>

<p>Jeśli urażony obywatel Krainy Czarów zna dane komentującego (bo ten np. sam je poda, pewny swojej racji), to ma łatwo. Kieruje wezwanie przedsądowe lub pozew w stronę konkretnej osoby.</p>

<p>Nie zna danych? To kiszka. Może niby zwrócić się do platformy z prośbą o ich udostępnienie, ale raczej zostanie olany. Być może właściciel jakiegoś mniejszego forum by uległ namowom, ale najprościej zakładać, że osoba prywatna nie dostanie danych.</p>

<p>Najczęściej w takim przypadku pozostaje droga karna. Urażony człowiek zgłasza całą sytuację jako zniesławienie. Jeśli jego zgłoszenie zostanie przyjęte, to kolejne zapytanie o dane osobowe wyślą do platformy oficjalne służby Krainy Czarów. A to zmienia postać rzeczy.</p>

<p>Jeśli to portal krajowy, w jurysdykcji (domenie prawnej) Krainy Czarów, to lepiej ostrożnie założyć, że jego właściciel udostępni dane wskazanego komentatora.</p>

<ul>
  <li>
    <p>Numer telefonu (jeśli portal wymagał jego podania przy rejestracji).</p>

    <p>Po jego uzyskaniu można zapytać operatora telekomunikacyjnego, jakiej osobie odpowiada; to łatwe ze względu na obowiązek rejestracji kart SIM.</p>
  </li>
  <li>
    <p>Adres mailowy (jeśli był potrzebny do założenia konta).</p>

    <p>Jeśli ktoś używał w mailu imienia i nazwiska, to służby złapią mocny trop; poza tym, jeśli firma przydzielająca konta mailowe będzie skora do współpracy, to jak wyżej: może udostępnić dane, na jakie założono maila.</p>
  </li>
  <li>
    <p><a href="/internetowa_inwigilacja/2021/06/11/adres-ip" class="internal">Adres IP</a>, jaki miała osoba dodająca komentarz.</p>
  </li>
</ul>

<p>Załóżmy, że ktoś nie podawał nigdzie ważnych danych i służby Krainy Czarów zostały z adresem IP. Mogą się teraz zwrócić do firmy telekomunikacyjnej, która przechowuje logi i mogłaby wskazać, jakiemu urządzeniu odpowiadało to IP w interesującym je okresie.</p>

<p>Istnieje też możliwość, że pozywający sam ma wtyki w firmie telekomunikacyjnej i dostanie na życzenie logi i <a href="/internetowa_inwigilacja/2024/03/28/analiza-ruchu" class="internal">metadane</a> pasujące czasowo do komentarzy konkretnej osoby, bez angażowania państwa. Nie byłoby to zbyt legalne, ale nie takie dziwy się działy w Krainie Czarów.</p>

<p><span class="red">Ale nawet jeśli</span> uzyska się adres IP, może on nie być równoznaczny z konkretną osobą.<br />
Owszem, może odpowiadać routerowi otrzymanemu od operatora i stojącemu w czyimś domu. Ale jest przecież możliwość, że ten router był zabezpieczony słabym hasłem (albo żadnym). Że połączył się z nim ktoś niepowołany i że to on pisał negatywne komentarze.</p>

<p class="post-meta bigspace-after">Zwłaszcza gdyby historia routera wskazywała, że w godzinach napisania komentarzy łączyło się z nim inne urządzenie niż to główne, należące do jego właściciela.</p>

<p>Może się też okazać, że ustalony adres IP prowadzi do hotspota <em>publicznego</em>, na przykład <code class="language-plaintext highlighter-rouge">KroliczaNora Open</code>. Co w takim wypadku – zwracanie się do właścicieli okolicznych kamer o nagrania, na podstawie których ustali się wygląd osoby używającej hotspota w czasie, gdy dodano komentarz? A potem szukanie tej osoby?</p>

<blockquote class="bigspace">
  <p>— Nie ma adresu — odparł Królik. — W ogóle na kopercie nic nie jest napisane. — To mówiąc Królik rozłożył list na stole i dodał: — To wcale nie jest list, tylko jakieś wiersze.<br />
— Czy pisane są charakterystycznym pismem oskarżonego? — zapytał inny przysięgły.<br />
— Nie — odpowiedział Królik.</p>
</blockquote>

<p>Może się również okazać, że adres prowadzi do <em>pośrednika</em>, takiego jak VPN. Służby mogą wystąpić z żądaniem ujawnienia, jaki to adres <code class="language-plaintext highlighter-rouge">a.b.c</code> ukrywał się za jego (pośrednika) adresem <code class="language-plaintext highlighter-rouge">x.y.z</code> w danym czasie.<br />
…Tyle że właściciel pośrednika, zwłaszcza zagranicznego, niekoniecznie będzie chętny do współpracy. A gdyby był, to dopiero teraz przechodzimy do fragmentu „<em class="red">Ale nawet jeśli…</em>” parę akapitów wyżej.</p>

<p>Gdyby zamiast adresu dostawcy VPN-a wyskoczył adres odpowiadający jednemu z komputerów z sieci Tor, to przechlapane. Pośredników jest cały łańcuch i szansa na poznanie zza nich prawdziwego adresu IP jest minimalna.<br />
Pozostałoby co najwyżej <em>korelowanie po czasie</em> – podpytanie operatorów telekomunikacyjnych, jaki krajowy adres IP „wchodził” do sieci Tor tuż przed tym, jak „wyszedł” z niej niemiły komentarz.<br />
Jeśli uda się ten adres ustalić – to wracamy do fragmentu „<em class="red">Ale nawet jeśli…</em>”.</p>

<p>Ogólnie: im więcej przeszkód, pośredników i publicznych hotspotów po drodze, tym większa szansa, że królewskim służbom odechce się szukania źródła.</p>

<h3 id="warstwy-abstrakcji">Warstwy abstrakcji</h3>

<p>Proponuję przyjąć intuicyjną regułkę na podstawie wcześniejszych doświadczeń – <strong>sąd jest niesamowicie dosłowny</strong>.</p>

<p>Nawet jeśli nie całkiem odpowiada ona rzeczywistości i jest jakieś pole manewru, prostszym rozwiązaniem wydaje się podchodzenie do niego jak do algorytmów Facebooka. Banujących z automatu za zapytanie na grupie dla rowerzystów o pewną część roweru.</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/grozba-lobbing-2.jpg" alt="Krótka wymiana zdań, podczas której autor pisze, że nazywanie go lobbystą godzi w&nbsp;jego dobre imię." loading="lazy" /></p>

<p>O dosłowności i defensywnym pisaniu wspomina oficjalnie <a href="https://www.the-case.eu/resources/how-to-prevent-slapps-or-get-help-if-its-too-late/#how-to-arm-yourself-against-a-defamation-SLAPP">poradnik od CASE, koalicji przeciw SLAPP-om</a> (po angielsku). Nie mówią ściśle o Polsce, tylko o Unii Europejskiej, ale systemy prawne mają wiele podobieństw.</p>

<p>Załóżmy, że Alicja publicznie zarzuca coś Królowi. Gdybym miał subiektywnie ułożyć różne sytuacje, zaczynając od tych najbardziej dla niej kłopotliwych, to ułożyłbym taką listę:</p>

<ul>
  <li>napisanie wprost (zdanie oznajmujące, w drugiej lub trzeciej osobie) zarzutu prawdziwego, ale tylko w potocznym rozumieniu słowa;</li>
  <li>
    <p>napisanie tej samej rzeczy z minimalnym maskowaniem (czyli np. użycie zdania pytającego);</p>

    <p>W niektórych mediach lubią stosować znak zapytania. Zamiast pisać „firma XVZ oszukuje”, piszą: „czy firma XVZ oszukuje?”. Może działa, ale wydaje mi się nieco zbyt brawurowe. Organizacje medialne mogą sobie pozwolić na obrońców, którzy z jednego znaku zapytania ulepią tarczę. Zwykły człowiek niekoniecznie.</p>
  </li>
  <li>napisanie wprost zarzutu prawdziwego i jednoznacznego;</li>
  <li>zarzucenie czegoś (może nawet wieloznacznego) w sposób abstrakcyjny – przez ironię, napisanie o sobie, napisanie o jakiejś zmyślonej postaci…</li>
</ul>

<p>W internecie trafiłem na taką wymianę zdań:</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/przytyk-bez-naruszenia.jpg" alt="Wymiana wiadomości. W&nbsp;pierwszej pan J&nbsp;pyta pewną kobietę, co jeszcze zrobi dla lajków i&nbsp;zasięgów. Ona odpowiada, że na pewno nie będzie działała w&nbsp;interesie obcych koncernów." /></p>

<p>Pewien komentujący twierdził, że widzi tu możliwość pozwania… Ale czy na pewno, patrząc dosłownie i pedantycznie, jakaś tu jest?</p>

<p>Nie ma pisania o kimś, jest o sobie. Autorka odpowiedzi z pewnością powtarzałaby podczas potencjalnej rozprawy, że po prostu wymieniła tu swoją losową zasadę moralną.</p>

<p>Tyle że „potencjalnej” to dobre słowo, bo nie było żadnej rozprawy. Nie było nawet wezwania do usunięcia komentarza. Skończyło się prozaicznym, naburmuszonym nałożeniem blokady na portalu społecznościowym.</p>

<p>Dużo łatwiej obronić zdanie dotyczące siebie niż zdanie dotyczące kogoś innego. I nawet fani pozwów widzą czasem, że walka jest daremna.</p>

<p class="bigspace-before"><img src="/assets/posts/corponomicon/slapp/slapp-wygrana.jpg" alt="Kolaż złożony z&nbsp;trzech obrazków w&nbsp;stylu kreskówki. Na górnym panelu widać groźne kobiece oczy, niżej mężczyznę z&nbsp;przestraszoną miną. Ostatni panel pokazuje przewracający się radiowóz i&nbsp;kobietę mijającą go na motocyklu." width="600px" loading="lazy" /></p>

<p class="figcaption">Źródło: ponownie teledysk Gunshipa.</p>

<h3 id="gwarancja-efektu-streisand">Gwarancja efektu Streisand</h3>

<p>A co, gdyby Alicja miała swojego bliżej nieokreślonego Przyjaciela, który zna jej sekrety? I gdyby osoby próbujące ją zakneblować miały pewność, że Przyjaciel nagłośni sprawę w mediach społecznościowych, a przy okazji powieli wypowiedź, o którą toczy się spór?</p>

<p>Przyjaciel mógłby tak opisywać sprawę, oczywiście zgodnie z prawdą: „Król pozwał moją koleżankę Alę za zwykły komentarz, ciąga ją po sądach. Ala jest w wielkim stresie, mówiła że myśli o najgorszym. Jeśli możecie, podajcie to dalej”.</p>

<p>Gdyby Przyjaciel chciał zadbać o dyskrecję, mógłby zostawić w domu swoje urządzenia elektroniczne, pojechać do innego miasta, nabyć za gotówkę najtańszego smartfona bez karty SIM. Połączyć się z publicznym hotspotem, założyć nowego maila, na tego maila nowe konto w <em>social mediach</em> i opublikować przez nie trochę relacji.</p>

<p>Na koniec wyłączyłby telefon (bo szkoda wyrzucać) i gdzieś schował. Do czasu zdania kolejnych relacji albo zakończenia sprawy.</p>

<p>Wydaje się, że w ten sposób próba kneblowania mogłaby spalić na panewce. Grożący lub pozywający zyskałby dokładnie taki czarny PR, jakiego chciał uniknąć. W ilościach tym większych, im dłużej trwa rozprawa. I mógłby mieć świadomość, że nawet wygrana w sądzie mogłaby się okazać pyrrusowym zwycięstwem.</p>

<p>…Takie to mamy sensacyjne sprawy w naszej fikcyjnej Krainie Czarów :smile:</p>

<h3 id="kwestie-finansowe">Kwestie finansowe</h3>

<p>Zawsze istnieje jakieśtam ryzyko, że pismo przedsądowe jednak nie było straszakiem i że dojdzie do rozprawy.</p>

<p>Zabrzmię ciut jak lobbysta branży prawniczej, ale w takim wypadku może przydać się ktoś z branży prawniczej :wink: W końcu jest tu trochę pułapek, w które niewprawiona osoba mogłaby wpaść. Patrz: wspomniana wyżej dosłowność w starciu ze znaczeniem potocznym.</p>

<p>Z jakimi kosztami się liczyć? To oczywiście zależy od adwokata, ale poszukałem paru przykładów z życia.</p>

<p>Watchdog Polska wspomina o <a href="https://siecobywatelska.pl/walcz-ze-slapp/#4">6000 zł na sprawę</a>, ale zaznaczają, że to koszty średnie, a między sprawami trafiają się spore różnice.</p>

<p>Żeby nie było tak różowo, przykład numer dwa. Twórca bloga Informatyk Zakładowy został kiedyś pozwany – właśnie na gruncie rzekomego naruszenia dóbr osobistych – za opublikowane artykuły krytykujące pewien polski komunikator. Jak <a href="https://xcancel.com/InfZakladowy/status/1542578762503577601">wspomina</a>:</p>

<blockquote class="bigspace">
  <p>przygotowaliśmy z panią mecenas odpowiedź na pozew i już w styczniu 2022 (po 10 miesiącach czekania) odbyła się pierwsza rozprawa. Trzy kolejne rozprawy zostały zaplanowane na kwiecień. (…)<br />
Jedyne, co wydarzyło się na przedostatniej rozprawie, to odczytanie pisma o wycofaniu pozwu ze zrzeczeniem roszczeń. (…)<br />
Przyznany mi zwrot kosztów to 4517 zł. Na swoją obronę musiałem wydać dużo więcej</p>
</blockquote>

<p>Widać zatem, że mowa tu prawdopodobnie o kwocie bliższej czterech zer (ale raczej w dolnej granicy) w skali nieco ponad roku i przy szykowaniu mocarnej linii obrony.</p>

<p>Inny przykład: spór prawny dwóch popularyzatorów nauki. Jeden z nich założył zbiórkę na kwotę 25 000 zł, a w komentarzach <a href="https://www.facebook.com/profile/100063517116624/search/?q=pozew">pod postami</a> dodaje, że ustawił taką kwotę z myślą o długim (pewnie kilkuletnim) procesie, obejmującym również sąd drugiej instancji, a nadwyżkę przeznaczy na zaprzyjaźnioną organizację. W komentarzach piszą, że powinno sporo zostać.</p>

<p>Patrząc na te przypadki, pozew nie jest nagłym zdarzeniem powodującym bankructwo, a procesy trwają i ma się czas na uzupełnianie rezerw.</p>

<h2 id="możliwe-kierunki-zmian">Możliwe kierunki zmian</h2>

<p>Wyżej opisałem, jak się obecne sprawy mają. Ale świat nie stoi w miejscu i bardzo możliwe, że w ciągu paru najbliższych lat rzeczywistość się zmieni. Działają obecnie dwie przeciwstawne siły: jedna naciska na sprawniejsze kneblowanie, a druga na zwalczanie tego zjawiska.</p>

<h3 id="zacieśnianie-kontroli">Zacieśnianie kontroli</h3>

<p>Jedna z polskich partii politycznych, Trzecia Droga (Polska 2050), optuje za wprowadzeniem <a href="https://polska2050.pl/informacja-prasowa/slepy-pozew-hejterze-widzimy-sie-w-sadzie/">ślepego pozwu</a> – możliwości pozywania o naruszenie dóbr osobistych bez podawania danych osobowych. Byłyby ona ustalane przez sądy.</p>

<p class="post-meta bigspace-after">Przypominajka: wcześniej dane były ustalane tylko podczas drogi karnej, zaś w przypadku cywilnej pozywający musiał je znać i podać.</p>

<p>Ślepy pozew stworzyłby kosiarza – pozew łatwy do złożenia, pozwalający żądać usunięcia treści, do tego angażujący aparat państwa w ustalanie tożsamości internautów.<br />
Niektórzy już zacierają ręce na myśl o tym narzędziu, choć jeszcze chętniej widzieliby internet z weryfikacją tożsamości:</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/pomysl-na-wymog-danych.jpg" alt="Tweet chwalący regulacje, ale dodający, że przydałoby się potwierdzanie rejestracji konta przez mObywatela lub konto bankowe." loading="lazy" /></p>

<blockquote class="bigspace">
  <p>— Wasza Królewska Mość! — zawołał oskarżony Walet Kier. — Ja nie napisałem tego listu i nikt mi nie udowodni, że go napisałem. A poza tym nie ma na nim wcale podpisu.<br />
— Tym gorzej dla ciebie — rzekł Król. — Musiałeś knuć coś niecnego, w przeciwnym bowiem razie podpisałbyś się jak każdy uczciwy człowiek.</p>
</blockquote>

<p>Na szczęście tak dystopijna opcja jeszcze się nie zadomowiła w krajowej dyskusji. I pozostaje mieć nadzieję, że okno Overtona się w taką stronę nie przesunie.</p>

<h3 id="walka-ze-slapp-ami-watchdog-polska">Walka ze SLAPP-ami (Watchdog Polska)</h3>

<p>W 2024 roku <strong>na obszarze Unii Europejskiej wprowadzono dyrektywę antySLAPPową</strong>. Ale za wcześnie na świętowanie – to jedynie ogólne ramy i trzeba jeszcze poczekać na polskich prawodawców, aż określą konkrety. To dobry czas na wskazywanie słabości systemu i naciskanie na zmiany.</p>

<p>Na poziomie krajowym znaczącym graczem w kwestii walki ze SLAPP-ami jest organizacja pozarządowa – <strong>Sieć Obywatelska Watchdog Polska</strong>.</p>

<p>Zaangażowali się m.in. we wspomnianą na początku sprawę Newagu, opracowali <a href="https://siecobywatelska.pl/slapp/">przydatne informacje</a> (parę wcześniej cytowałem) i działają na rzecz poprawy krajowej sytuacji, wspierając usunięcie kłopotliwej i nadużywanej „dwieście dwunastki”, paragrafu mówiącego o zniesławieniu.<br />
Gdyby się udało, to zniknie mocny straszak w postaci teoretycznej kary więzienia, zaś jedyną ścieżką pozostanie cywilny pozew o naruszenie dóbr osobistych.</p>

<p>Przyznam, że w paru innych kwestiach nie zgadzam się z Watchdogiem. Przykładowo: z ich wpisem, w którym bagatelizują sprawę USAID (organizacji, od której uzyskali trochę środków pieniężnych, <a href="https://bip.siecobywatelska.pl/index.php?id=1159&amp;id2=1137">co piszą wprost</a>).</p>

<p class="figure bigspace"><img src="/assets/posts/corponomicon/slapp/watchdog-usaid-tweet.jpg" alt="Tweet, w&nbsp;którym Watchdog Polska pisze, że według ich wiedzy USAID to program pomocowy działający od 1961&nbsp;roku." loading="lazy" /></p>

<p>Moim zdaniem to nie był niewinny „program pomocowy”. Choć część zarzutów jest naciągana lub motywowana wojenką kulturowo-polityczną, USAID ma na koncie również (realne, niespiskowe, budzące moje obrzydzenie) działania na rzecz korporacyjnej ekspansji. Przemyślenia opisałem <a href="/miniposts/usaid-opinie" class="internal">w osobnym miniwpisie</a>.</p>

<p>Ale świat nie jest czarno-biały i nie skreślam Watchdoga za pojedyncze współprace. Mają długą historię stawania przeciw nadużyciom i walki o dostęp do informacji publicznej (w USA to właśnie to pozwoliło zdemaskować opisanego wyżej Kevina F. od Monsanto).</p>

<p>Poza tym, myśląc pragmatycznie: ubicie SLAPP-ów wydaje się korzystniejsze dla ludzi niż dla korposów.<br />
Te drugie ugrałyby najwyżej tyle, że jakieś niejawne pacynki mogłyby z większą pewnością krytykować instytucje krajowe i przepychać wizję firmy. Ale nie byłaby to dla nich rewolucyjna zmiana, bo już teraz mogą sobie pozwolić na wiele, mając prawne zaplecze i korporacyjne błogosławieństwo.</p>

<p>Patrząc na powyższe fakty: osobiście skłaniam się ku pozytywnemu spojrzeniu na działania Watchdoga, w szczególności w kwestii zwalczania SLAPP-ów. Inni mogą mieć inne zdanie. Nie jestem jakimś Królem-dyktatorkiem, żeby je narzucać :wink:</p>

<p>Jeśli ktoś chce wesprzeć całokształt ich działalności, może <a href="https://siecobywatelska.pl/1-procent">przekazać im 1,5% podatku</a>.<br />
A gdyby ktoś wolał wesprzeć konkretnie działania przeciw SLAPP-om, to w swoim <a href="https://siecobywatelska.pl/walcz-ze-slapp/">wpisie</a> Watchdog podaje dane do wpłat na cel statutowy.</p>

<h2 id="podsumowanie">Podsumowanie</h2>

<p>Groźba pozwu, napisana stanowczym tonem i potencjalnie najeżona paragrafami, może mrozić krew w żyłach i nakładać na całe tłumy internautów niewidzialny knebel.</p>

<p>Warto jednak wiedzieć, że to straszak. Jeśli ktoś trzyma się faktów, może uzasadnić pisane treści dbaniem o interes publiczny, unika stawiania bezpośrednich zarzutów, ma gotowość do nagłośnienia sprawy, a na wszelki wypadek trzyma poduszkę finansową – to warto rozważyć stanięcie do walki.</p>

<p>Zwłaszcza jeśli to walka w słusznej sprawie przeciw molochom i machinie monopolizującej. Nieprzyjemności są chwilowe, a chwała wieczna :sunglasses:</p>

<blockquote>
  <p>— Ściąć ją! — wrzeszczała Królowa w istnym ataku furii. Ale nikt nie ruszył się z miejsca.<br />
— Czy myślicie, że się was kto boi? — zapytała Alicja, która osiągnęła tymczasem swój normalny wzrost. — Jesteście zwykłą talią kart, niczym więcej.</p>
</blockquote>]]></content><author><name></name></author><category term="corponomicon" /><category term="Prawo" /><category term="Przemyślenia" /><category term="SLAPP" /><summary type="html"><![CDATA[Za krytykę można dostać prawniczego plaskacza.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/corponomicon/slapp/slapp-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/corponomicon/slapp/slapp-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry><entry><title type="html">Zamknij wroga w symulacji. Prywatność maszyn wirtualnych</title><link href="https://www.ciemnastrona.com.pl/2025/02/10/prywatnosc-maszyny-wirtualne.html" rel="alternate" type="text/html" title="Zamknij wroga w symulacji. Prywatność maszyn wirtualnych" /><published>2025-02-10T20:00:00+00:00</published><updated>2025-02-10T20:00:00+00:00</updated><id>https://www.ciemnastrona.com.pl/2025/02/10/prywatnosc-maszyny-wirtualne</id><content type="html" xml:base="https://www.ciemnastrona.com.pl/2025/02/10/prywatnosc-maszyny-wirtualne.html"><![CDATA[<p>W internecie coraz częściej można znaleźć na różnorodnych forach i grupkach pytania o to, jak chronić swoją cyfrową prywatność. Wśród odpowiedzi czasem przewija się krótkie: <a href="https://www.reddit.com/r/privacy/search/?q=%22use+a+virtual+machine%22&amp;type=comments&amp;sort=new">„używaj maszyny wirtualnej”</a>.</p>

<p>Rada jak najbardziej ma sens. Problem w tym, że jest ciut enigmatyczna, a dla ludzi spoza świata komputerowego – może nawet kompletnie niezrozumiała.<br />
Dlatego trochę ją odczaruję i pokażę krótko, o co z tymi maszynami chodzi. Opiszę ogólniki, kładąc fundament pod ewentualne przyszłe wpisy na temat VirtualBoxa, systemu Qubes itd.</p>

<p>Zobaczymy, że czasem od celowego ukrywania skuteczniejsze jest odsłonięcie przed podglądaczami swojej rzeczywistości. Wiarygodnej, zaspokajającej ich ciekawość. Tyle że nieprawdziwej.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/maszyny-wirtualne-baner.jpg" alt="Kadr przedzielony murem, pod którym widnieje logo VirtualBoxa. Po jednej stronie siedzą ludzie patrzący na cienie na ścianie, po przeciwnej animatorzy z&nbsp;sylwetkami na patykach" /></p>

<p class="figcaption">Źródło: <a href="https://commons.wikimedia.org/wiki/File:An_Illustration_of_The_Allegory_of_the_Cave,_from_Plato%E2%80%99s_Republic.jpg">ilustracja jaskini Platona</a> z Wikimedia Commons, ikona programu VirtualBox. Przeróbki moje.</p>

<h2 id="spis-treści">Spis treści</h2>

<ul>
  <li><a href="#czym-są maszyny-wirtualne">Czym są maszyny wirtualne</a></li>
  <li><a href="#wycinek-szerokiego-świata">Wycinek szerokiego świata</a></li>
  <li><a href="#prywatność-dzięki-izolacji">Prywatność dzięki izolacji</a>
    <ul>
      <li><a href="#ochrona-przed-czytaniem-naszych-plików">Ochrona przed czytaniem naszych plików</a></li>
      <li><a href="#ochrona-przed-czytaniem-plików-systemowych">Ochrona przed czytaniem plików systemowych</a></li>
      <li><a href="#ochrona-przed-profilowaniem-przez-czcionki">Ochrona przed profilowaniem przez czcionki</a></li>
    </ul>
  </li>
  <li><a href="#przechytrzenie-głęboko-zagnieżdżonych-programów">Przechytrzenie głęboko zagnieżdżonych programów</a></li>
  <li><a href="#ograniczenia-maszyn-wirtualnych">Ograniczenia maszyn wirtualnych</a>
    <ul>
      <li><a href="#możliwość-wykrycia">Możliwość wykrycia</a></li>
      <li><a href="#łączenie-informacji-zróżnych-programów">Łączenie informacji z różnych programów</a></li>
      <li><a href="#złośliwy-hardware">Złośliwy hardware</a></li>
    </ul>
  </li>
  <li><a href="#przykład-zżycia-proctorio">Przykład z życia: Proctorio</a></li>
  <li><a href="#podsumowanie">Podsumowanie</a></li>
</ul>

<details class="framed">
<summary><strong>Jeśli komuś nie chce się czytać całości</strong></summary>
<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Streszczenie
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Maszyny wirtualne w kontekście prywatności są jak <strong>pokazanie podglądaczom wiarygodnej fasady, która nijak nie odpowiada naszemu prawdziwego życiu</strong>.<br />
W najczęstszym przypadku są trochę jak <a href="/2024/09/09/tryb-prywatny-incognito" class="internal">tryb prywatny</a> w przeglądarce. Chowają przed uruchomionymi w sobie programami pliki z głównego systemu oraz informacje o nim. Zamiast tego pokazują czysty system jak po instalacji.</p>
    
      <div>
        <p class="bigspace-before">
Drugą supermocą maszyn wirtualnych jest oszukiwanie inwazyjnych programów wymagających dostępu do głębszej warstwy systemu. Owszem, dają im dostęp do fundamentów... Ale nie <i>tych prawdziwych</i>, gdzie tkwią nasze wrażliwe informacje.<br />
Programy trzymające się litery prawa nie wyrwą się z&nbsp;maszyn wirtualnych. Mogą natomiast rozpoznać, że w&nbsp;nich są, i&nbsp;odmówić działania. Poza tym maszyny wirtualne nie chronią przed profilowaniem czy weryfikacją na poziomie fizycznego sprzętu.</p>
      </div>
    
  </div>
</div>

</details>

<h2 id="czym-sąmaszyny-wirtualne">Czym są maszyny wirtualne</h2>

<p>Maszyna wirtualna to po angielsku <em>virtual machine</em>, w skrócie VM. Dla wygody będę czasem skracał do „VM‑ka”.</p>

<p>Skąd nazwa? W informatyce „maszyna” oznacza ogólnie coś, co przyjmuje i wykonuje instrukcje w określonym formacie. „Wirtualna” – czyli jak taka nakładka na coś realnego. Nadbudówka.</p>

<p>Opis brzmi mgliście i ogólnikowo? Trochę tak. Ale ogólność jest uzasadniona, bo samo pojęcie maszyn wirtualnych może obejmować bardzo wiele rzeczy (niektóre krótko omawiam niżej, w rozwijanych ciekawostkach).<br />
W tym wpisie będzie o tyle łatwo, że odnoszę się tylko do jednej ich postaci – <strong>systemu operacyjnego uruchomionego wewnątrz innego systemu</strong>.</p>

<p>Jak wygląda takie coś w praktyce, z punktu widzenia użytkowników?<br />
Wyobraźmy sobie, że mamy zwykłe otwarte okna z różnymi programami. Jak Firefox, Notatnik czy LibreOffice. Można je przesuwać po ekranie, minimalizować itd. Jedno z tych okien odpowiada programowi od wirtualizacji, nazywanemu po angielsku <em>hypervisor</em>.</p>

<p>Przykładem takiego programu jest VirtualBox. Gdy jest uruchomiony, to w jego oknie widzimy – jak na monitorze – wnętrze załadowanego, pełnoprawnego systemu operacyjnego: pulpit, ustawienia, okna itd.</p>

<p class="figure bigspace-before"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/ubuntu-na-windowsie.jpg" alt="Okno systemu Ubuntu uruchomione wewnątrz systemu Windows" /></p>

<p class="figcaption">Jeden z wielu wariantów systemu Linux w programie VirtualBox na Windowsie. Źródło: <a href="https://www.youtube.com/watch?v=x5MhydijWmc">ten film</a>.<br />
Gdyby ktoś chciał spróbować wirtualki z przyjaznym systemem Linux Mint, to przystępny wideoporadnik po polsku można znaleźć <a href="https://www.youtube.com/watch?v=XO7bs1BBbjA">choćby tutaj</a> (oba linki: YouTube).</p>

<p>Napisałem wyżej o systemie otwartym <em>wewnątrz</em> systemu, bo to intuicyjnie pasuje do zagnieżdżonych w sobie okienek. Ale żeby łatwiej wyobrazić sobie zalety i ograniczenia dowolnej VM‑ki, zachęcam do myślenia o niej również jak o systemie opartym <strong><em>na</em></strong> innym systemie.</p>

<p>Przedstawiam przeróbkę typowej <a href="/assets/posts/apki/apki-piramida.jpg" class="internal">piramidki</a>, której często używam w różnych wpisach. W przypadku VM-ek jedyna różnica polega na tym, że na warstwie programów stawiamy kolejny system oraz jego własne rzeczy. Piramida rośnie w górę.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/maszyna_wirtualna_piramida.jpg" alt="Schemat pokazujący warstwy systemu. Widać, że na fizycznym sprzęcie stoi system operacyjny Windows, na nim program Virtualbox, na nim system Linux, a&nbsp;na nim program Firefox." /></p>

<p class="figcaption">Źródła: procesor z serwisu Flaticon, ikony systemów Windows i Linux Mint oraz programów Firefox i VirtualBox. Przeróbki moje.</p>

<p>Na samym dole mamy fizyczny sprzęt (<em>hardware</em>) oraz sterujące nim programy (<em>firmware</em>). Wyżej główny system (ang. <em>host system</em>; dosłownie system-gospodarz). Na tym systemie otwarte programy, z których jeden to VirtualBox. Na nim oparty inny system (ang. <em>guest system</em>, czyli system-gość). A na tym systemie – jego własne programy.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Gdyby ktoś chciał, dałoby się zrobić „VM‑cepcję” i uruchamiać maszyny wirtualne wewnątrz maszyn wirtualnych. Wieża rosłaby w górę, ale – tak jak w prawdziwej „Incepcji” – czas ulegałby rozciąganiu. Im dalej od fizycznego sprzętu znajduje się warstwa, tym wolniej wszystko w niej działa.</p>
    
  </div>
</div>

<h2 id="wycinek-szerokiego-świata">Wycinek szerokiego świata</h2>

<p>Wyżej wspomniałem, że maszyny wirtualne to rozległy temat. Na potrzeby tego wpisu dość mocno przytnę zakres tematyczny i napiszę jedynie o:</p>

<ul>
  <li>maszynach rozumianych jako system w systemie;</li>
  <li>działających na komputerze osobistym, a nie smartfonie;</li>
  <li>uruchamianych przez program taki jak VirtualBox;</li>
  <li>prywatnościowych zastosowaniach (z lekkim zahaczeniem o ogólniejszy wątek <em>izolacji</em>);</li>
  <li>przeciwnikach działających legalnie (nie uwzględniam hakerstwa).</li>
</ul>

<p>Nawiązania do innych możliwości dodam jedynie w formie rozwijanych streszczeń. Chętne osoby mogą sobie zerknąć i przekonać się, że omawiane w tym wpisie sprawy to zaledwie kawałek sporego tortu.</p>

<details class="framed bigspace-before">
<summary><strong>Maszyny wirtualne na smartfonach?</strong></summary>

<p>Smartfonowy system Android ma u&nbsp;swoich podstaw Linuksa. Coraz śmielej sięga po jego moce, również te związane z&nbsp;wirtualizacją. W&nbsp;nadchodzącej <a href="https://techweez.com/2024/10/15/android-16-will-include-a-terminal-and-full-linux-vm-support/">wersji numer 16</a> ma już być wbudowana możliwość uruchamiania Linuksa w&nbsp;VM&#8209;ce na Androidzie.<br />
Niezależnie od tego powstają projekty eksperymentalne, obchodzące ograniczenia. Już parę lat temu ktoś uruchomił <a href="https://www.xda-developers.com/android-13-dp1-google-pixel-6-kvm-virtual-machine/">Windowsa na Androidzie</a>, a&nbsp;na Windowsie grę.</p>

<p>…Tylko że, choć te nowinki budzą ciekawość i&nbsp;mają pewien sens z&nbsp;punktu widzenia <em>kompatybilności</em> (uruchamiania czegoś, co na Androidzie by nie ruszyło), nie dają rewolucji w&nbsp;sferze <em>prywatności</em>.</p>

<p>To dlatego, że prywatnościową cechę maszyn wirtualnych, czyli <em>izolację</em>, mamy na smartfonach niejako w&nbsp;pakiecie. W&nbsp;przeciwieństwie do komputerów osobistych, <strong>apki smartfonowe mają względną odrębność</strong>. Każda jest jak osobna całość, z&nbsp;własnymi plikami. Apki bez szczególnych uprawnień nie mogą zaglądać do nieswoich przestrzeni.</p>

<p>W tej izolacji istnieją pewne luki – <a href="/apki/2022/11/16/apki-pliki" class="internal">wspólne pliki i&nbsp;foldery</a>, identyfikator reklamowy czy ogólne ustawienia systemowe. Nie zmienia to jednak faktu, że domyślnie smartfony dają lepszą izolację niż komputery osobiste.</p>

<p>A jeśli ktoś chce przenieść ją na jeszcze wyższy poziom, to może rozważyć założenie na Androidzie osobnego <a href="https://digitalprivacy.shop/blog/android-multiple-user-profiles">profilu użytkownika</a>. Pod względem prywatności byłby on smartfonowym odpowiednikiem VM&#8209;ki, z&nbsp;innymi aplikacjami i&nbsp;plikami niż nasz główny profil.</p>

<p class="post-meta bigspace-after">Zachęcam jednak, żeby poczytać o&nbsp;metodach profilowania z&nbsp;dalszej części tego wpisu. Smartfony, dając szeroki dostęp do czujników, mogą być szczególnie narażone na opisane tam metody.</p>
</details>

<details class="framed bigspace-before">
<summary><strong>„Programistyczne” maszyny wirtualne</strong></summary>

<p>Jeśli ktoś pamięta młodość z&nbsp;komputerami osobistymi, to być może gdzieś w&nbsp;głowie kołacze się nazwa <em>Java Virtual Machine</em>. Takie coś, co trzeba było zainstalować, żeby działały niektóre programy. Nazwa pochodzi od języka programowania Java.</p>

<p class="post-meta bigspace-after">Oprócz Javy z&nbsp;maszyny wirtualnej korzysta parę innych języków, jak Python. Żeby jeszcze bardziej namotać, ten drugi ma w&nbsp;pakiecie rozwiązanie zwane <em>środowiskami wirtualnymi</em>. To jeszcze inna rzecz, dotycząca z&nbsp;kolei instalowania plików.</p>

<p>Tego rodzaju „VM&#8209;ki” są czymś całkiem innym od tych, na których skupia się wpis. Z&nbsp;systemami w&nbsp;systemach czy z&nbsp;izolacją mają niewiele wspólnego. A&nbsp;z prywatnością już zupełnie nic.</p>

<p>Skąd zbieżność nazw? Intuicyjnie można sobie wyobrazić, że wspomniane języki nie rozmawiają bezpośrednio z&nbsp;(realnym) procesorem. Nim się do niego zwrócą, wykonują własne, wewnętrzne instrukcje. Wykonawca instrukcji to w&nbsp;żargonie komputerowym maszyna, a&nbsp;nakładka na coś realnego to coś wirtualnego. Stąd „programistyczne VM&#8209;ki”.</p>

<div style="margin-top:3em">
  <div class="subcontent-heading">
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Z takimi maszynami wirtualnymi mamy ogólnie do czynienia, kiedy ktoś na istniejącym, znanym języku programowania dostawi własną warstwę. Patrząc w&nbsp;ten sposób, maszyny mogłyby znajdować się nawet wewnątrz stron internetowych, tworząc na bazie powszechnego kodu JavaScript własne instrukcje.<br />
Z takiego czegoś korzysta TikTok, maskując w&nbsp;ten sposób prawdziwą naturę swojej strony internetowej. Niektórzy podjęli się <a href="https://news.ycombinator.com/item?id=34306963">analizy ich VM&#8209;ki</a>.</p>
    
  </div>
</div>
</details>

<h2 id="prywatność-dzięki-izolacji">Prywatność dzięki izolacji</h2>

<p>Wyobraźmy sobie, że musimy zainstalować jakiś program, któremu nie do końca ufamy. Nie na zasadzie „jest wirusem”, lecz na zasadzie „zbiera moje dane”. Potrzebujemy jego możliwości, ale nie chcemy go stawiać nigdzie obok wrażliwych informacji. A komputer mamy jeden.</p>

<p>W takim przypadku zyskuje na atrakcyjności kluczowa cecha maszyn wirtualnych – <strong>izolacja</strong>. Odrębność, odgrodzenie od głównego systemu.<br />
Można sobie wyobrazić, że w każdej VM‑ce siedzi całkiem osobny system. Ma własne pliki, własne ustawienia, własne programy… A to daje ogromne możliwości.</p>

<h3 id="ochrona-przed-czytaniem-naszych-plików">Ochrona przed czytaniem naszych plików</h3>

<p>W przypadku systemów na komputerach osobistych (Windows, MacOS, popularniejsze Linuksy) granice między programami są zwykle umowne i nieszczelne.</p>

<p>Po pierwsze: często zapisujemy pliki do publicznie dostępnych miejsc (jak folder <code class="language-plaintext highlighter-rouge">Dokumenty</code>). Z założenia chcemy je tam trzymać i co najwyżej wyświetlić czasem w domyślnym podglądzie.<br />
Ale, niezależnie od naszych intencji, mogą tam sięgnąć również inne programy. W przypadku zdjęć mogą na przykład odczytywać <a href="/2021/02/10/gdzie-jestem-zapytaj-moich-zdjec.html" class="internal">współrzędne geograficzne z metadanych</a>.</p>

<p>Po drugie: czasem programy zapisują różne rzeczy do własnych folderów, o nazwach wyraźnie sugerujących, że to ich foldery wewnętrzne. Przykład: <code class="language-plaintext highlighter-rouge">.mozilla/firefox</code>. Ale cóż po nazwie, gdy nie ma żadnych barier osłaniających te miejsca przed innymi rzeczami zainstalowanymi na komputerze?</p>

<p>Pokazałem to już kiedyś na przykładzie <a href="/2021/12/23/caching.html" class="internal">pamięci podręcznej przeglądarek</a>. Wystarczył względnie prosty skrypt, żeby sięgać do plików Opery, Chrome’a czy Firefoksa (zapisywanych na dysku, żeby uniknąć wielokrotnego pobierania różnych elementów).</p>

<p>Były tam wszelkiej maści awatary z social mediów czy wyświetlone obrazki, wraz z linkami. Rzeczy, które pozwoliłyby postronnym ustalić, jakie <em>dokładnie</em> treści oglądaliśmy. Nawet jeśli w historii przeglądania była tylko najogólniejsza możliwa nazwa, jak <code class="language-plaintext highlighter-rouge">facebook.com</code>.</p>

<p>Inny przykład? Poniżej fragment pliku z historią otwieranych dokumentów, jaki tworzy sobie pakiet OnlyOffice (skądinąd fajny zamiennik Microsoft Office’a). Pełna ścieżka do pliku na moim Linuksie: <code class="language-plaintext highlighter-rouge">~/.local/share/onlyoffice/desktopeditors/recents.xml</code>. Już początek nazwy sugeruje, że folder jest ogólnodostępny.</p>

<p class="figure bigspace"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/onlyoffice-podpowiedz.jpg" alt="Zrzut ekranu pokazujący fragment pliku z&nbsp;historią dokumentów otwartych w&nbsp;OnlyOffice. Widać tu datę i&nbsp;nazwę pliku." /></p>

<p>Po datach można poznać czyjś rytm dnia. Liczba pozycji na liście ukazuje stopień obłożenia pracą. Nazwy plików – branżę i charakter tejże pracy. I wszystko to odczytane z samych metadanych, nawet bez zaglądania do dokumentu.</p>

<p>To tylko wycinek niezliczonych możliwości, jakie mają aplikacje zaglądające do plików. Na szczęście <strong>maszyna wirtualna przed tym chroni – zwyczajnie nie ma w niej naszych plików i folderów</strong>. System uruchomiony w VM‑ce wygląda dla wścibskiego programu jak taki po świeżej instalacji.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Oczywiście z czasem może się to zmieniać, a plików w VM‑kach może przybywać – można do nich wracać, wczytując i zapisując ich stan jak w grach komputerowych; nie muszą być jednorazowe.<br />
Jeśli zachowamy ostrożność i unikniemy przerzucania do maszynki rzeczy z naszego głównego systemu, to nie powinny się w niej znaleźć wrażliwe informacje. Tym niemniej warto raz na jakiś czas usuwać VM‑kę i wgrywać nową, żeby metadane nagromadzonych w niej plików zdradzały jak najmniej.</p>
    
  </div>
</div>

<h3 id="ochrona-przed-czytaniem-plików-systemowych">Ochrona przed czytaniem plików systemowych</h3>

<p>Nie tylko pliki od pomniejszych, zainstalowanych programów mogą zawierać wrażliwe informacje. Czasem również ustawienia samego systemu są żywą opowieścią.</p>

<p>Komputer zapisuje na przykład historię hotspotów, z jakich korzystaliśmy, żeby potem automatycznie łapać z nimi łączność. W tej historii są ich czytelne, publiczne nazwy.</p>

<p>Potencjalne programy stalkujące mogą odczytać z takiej historii nasze zamiłowania (<code class="language-plaintext highlighter-rouge">Klub_Fitness_Guest</code>, <code class="language-plaintext highlighter-rouge">NeuroKonferencja Free</code>) i historię wędrówek (<code class="language-plaintext highlighter-rouge">ChataMagory</code> – z życia). A na dłuższą metę również lokalizację (punkty, które najczęściej lądują na liście najnowszych. Nawet jeśli nazwa mało mówi, to da się czasem <a href="/apki/2023/07/15/sledzenie-lokalizacji.html#wi-fi" class="internal">wyszukać ją w bazie</a> przypisującej hotspoty do współrzędnych geograficznych).</p>

<p>To tylko jeden przykład; oprócz tego są też logi systemowe, <a href="https://support.microsoft.com/en-us/windows/windows-search-and-privacy-99fb8251-7260-1cd6-1bbb-15c2370eb168">systemowa historia wyszukań</a>, z nieco nowszych rzeczy Recall… I mnóstwo innych możliwości, z których wielu dotąd nie poznałem. Pozostawiam wyobraźni.</p>

<p>Ale, niezależnie od natury informacji ukrytych w ustawieniach, <strong>czysta VM‑ka przed tym ochroni</strong>. Będzie jak nowy komputer z nowymi ustawieniami. Oczywiście warto pamiętać, żeby nie importować swoich ustawień z głównego komputera, zwłaszcza jeśli są mocno spersonalizowane. Nowa wirtualka, nowi my.</p>

<h3 id="ochrona-przed-profilowaniem-przez-czcionki">Ochrona przed profilowaniem przez czcionki</h3>

<p>Profilowanie przez czcionki jest o tyle ciekawe, że może je wykonywać nawet (mocno ograniczany przez przeglądarkę) <a href="/internetowa_inwigilacja/2022/06/10/fingerprinting.html#czcionki" class="internal">kod ze stron internetowych</a>, które odwiedzamy.</p>

<p>Działa to tak, że kod na stronach prosi przeglądarkę o uformowanie tekstu z użyciem konkretnej czcionki. Przeglądarka, reagując na prośbę, sięga do wspólnego systemowego folderu. Jeśli nie znajdzie tam szukanej czcionki, to używa zastępczej.</p>

<p>Prosząc o wiele różnych czcionek i analizując efekty końcowe (użyto żądanej czy zastępczej), strony internetowe mogą <a href="https://browserleaks.com/fonts">ustalać</a>, jaki zestaw czcionek u siebie mamy. I odróżniać nas na tej podstawie od innych osób.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Zdarza się również, że jakaś unikalna czcionka zostaje celowo wrzucona przez jakiś program A do folderu na czcionki. Gdy później inny program B zapyta system, czy jest dostępna, to dostanie odpowiedź twierdzącą. I na tej podstawie ustali, że mamy u siebie program A.<br />
W praktyce <a href="https://www.ctrl.blog/entry/teamviewer-font-privacy.html">wykorzystywał to</a> program do zdalnego sterowania komputerem, TeamViewer, wyświetlając inną stronę niektórym użytkownikom.</p>
    
  </div>
</div>

<p>Świeża VM‑ka ochroni przed wieloma formami profilowania przez czcionki. Z tego prostego względu, że zawiera tylko czcionki domyślne systemu-gościa, który w niej zainstalowaliśmy.</p>

<p class="post-meta bigspace-after">Oczywiście na dłuższą metę, w miarę instalowania przez system z wirtualki różnych czcionek znalezionych w sieci, również zacznie się on wyróżniać.</p>

<h2 id="przechytrzenie-głęboko-zagnieżdżonych-programów">Przechytrzenie głęboko zagnieżdżonych programów</h2>

<p>Teraz coś związanego pośrednio ze śledzeniem, bezpośrednio – z <em>kontrolą</em>.</p>

<p>Zazwyczaj instalacja programu polega na tym, że grzecznie umieszcza on swoje pliki w określonych folderach. Czasem ustawia wartości jakichś zmiennych systemowych. Potem już podporządkowuje się systemowi pod sobą (przypomnę: hierarchia z piramidy).</p>

<p>Istnieją jednak programy, które domagają się umieszczenia przynajmniej jakiejś swojej cząstki w warstwie głębszej – prosto w <strong>jądrze systemu</strong>. Dzięki temu pod pewnym względem <strong>to one stają się nadrzędne wobec użytkownika</strong>.</p>

<p>Przykładem takiego programu był Falcon Sensor, którego błąd doprowadził w zeszłym roku do <a href="/cyfrowy_feudalizm/2024/07/24/crowdstrike.html" class="internal">masowego zawieszenia się komputerów z Windowsem</a>.</p>

<p>Innym przykładem są <em>anti-cheaty</em>, czyli zabezpieczenia przed oszukiwaniem w grach komputerowych. Mając oko na wszystkie procesy działające na komputerze, mogą wyłapać, czy ktoś stosuje na przykład automatyczne celowanie lub wbudowane skrypty.</p>

<p>Mając wielkie przywileje, takie programy zyskują duże możliwości gromadzenia danych. I, co gorsza, trudno im odmówić. Jeśli mniejszy, inwazyjny moduł nie zasygnalizuje głównemu programowi „OK, siedzę w jądrze”, to całość po prostu nie zadziała.</p>

<p>…Ale co, jeśli damy mu taki uprzywilejowany dostęp, ale <strong>tylko do jądra systemu w VM‑ce</strong>?<br />
Wilk syty i owca cała. Program sądzi, że tkwi tam, gdzie powinien. Ale wciąż to my jesteśmy bliżej fundamentu piramidy, bardziej uprzywilejowani.<br />
Nawet jeśli uznamy VM‑kę za kompletnie przejętą przez zbira, to wciąż pozostaje zaledwie pojedynczym, małym oknem na naszym pulpicie. Oddalonym od tajemnic.</p>

<h2 id="ograniczenia-maszyn-wirtualnych">Ograniczenia maszyn wirtualnych</h2>

<p>Istnieją rzeczy, przed którymi nawet najszczelniejsza VM‑ka nas nie uchroni.</p>

<p>Po pierwsze: przed błędami ludzkimi. Gdybyśmy na przykład skopiowali na pendrive’a wrażliwe pliki, a potem udostępnili go VM‑ce, to każdy tkwiący w niej cyfrowy gremlin może się dorwać do sekretów.</p>

<p>Ale załóżmy nawet, że jesteśmy ostrożni. Nigdy nie naruszamy bariery między systemem a wirtualką, do tego co jakiś czas tworzymy nową. Nadal pozostaje parę ograniczeń.</p>

<h3 id="możliwość-wykrycia">Możliwość wykrycia</h3>

<p>Podglądacze, skutecznie blokowani przez VM‑kę, mają interes w tym, żeby rozpoznawać takie więzienia wokół siebie. Widząc je, mogą po prostu odmówić działania lub udawać niewinne programy.</p>

<p>A rozpoznanie „życia w symulacji” wbrew pozorom może być całkiem łatwe. <strong>Niektóre programy od wirtualizacji bywają gadatliwe</strong>. Przykład? Program VMWare umieszczał w plikach konfiguracyjnych, które każdy program może sobie podejrzeć (dokładniej: w polu <code class="language-plaintext highlighter-rouge">CPUID</code>) informację o wirtualności systemu.</p>

<p>Takie zachowanie może dziwić, patrząc na opisane wcześniej korzyści prywatnościowe. Ale można uznać, że są one niejako niezamierzone i wynikają z izolacji typowej dla VM-ek. Ich twórcy niekoniecznie mają prywatność na uwadze.</p>

<p>Gdyby nawet program wprost nie ujawniał podstawowych informacji, pewne rzeczy wciąż pozostaną nie do uniknięcia:</p>

<ul>
  <li>maszyna wirtualna dodaje kolejny poziom do wszystkich obliczeń, przez co jest wolniejsza niż system pierwotny,</li>
  <li>dostaje jedynie część zasobów (pamięci, miejsca na dysku) od głównego komputera.</li>
</ul>

<p>Wścibskie programy mogą przeprowadzić serię testów. Trochę w stylu <em>benchmarków</em> do testowania wydajności w grach komputerowych, tyle że wykonanych w złej wierze. Wyniki testów mogą porównywać ze znanymi wzorcami.</p>

<p>Jeśli ujawnią, że dany procesor zachowuje się nietypowo jak na swój model (inne wzorce przy stopniowym zwiększaniu obciążenia), to program domyśli się, że ktoś właśnie go zamknął w VM‑ce. I odmówi działania.</p>

<p>Takich luk jest sporo i mogą być bardzo trudne do załatania. Pomóc może natomiast fakt, że dyskretniejsze wirtualki rozwijają też badacze cyberbezpieczeństwa, żeby analizować w nich wirusy. Zwykli prywatnościowcy mogą skorzystać z ich dorobku :sunglasses: Przykład? <a href="https://github.com/a0rtega/pafish">Projekt Pafish</a>, zbierający metody wykrywania VM-ek.</p>

<p>W odpowiedzi na rozwój technik wykrywania powstały lepsze metody maskujące. Jak <a href="https://github.com/Batlez/CloakBox">CloakBox</a>, ukrywający fakt, że korzystamy z VirtualBoxa.</p>

<p class="post-meta">Uwaga: nie korzystałem z CloakBoxa, więc nie ręczę za niego i przywołuję go wyłącznie jako studium przypadku. Osoby chętne mogą zajrzeć mu w kod źródłowy i spojrzeć na użyte techniki.</p>

<h3 id="łączenie-informacji-zróżnych-programów">Łączenie informacji z różnych programów</h3>

<p>VM‑ki bardzo pomagają, gdy mamy prostą sytuację: wszystko co złe w VM‑ce, rzeczy dobre na głównym systemie, i tak do końca życia (naszego urządzenia).</p>

<p>Jeśli jednak:</p>

<ol>
  <li>
    <p>mamy więcej niż jedną kopię złego programu;</p>

    <p class="post-meta bigspace-after">Czy to w różnych VM‑kach, czy nawet jakąś na prawdziwym systemie. Można dołożyć nawet przypadek, gdy programy są różne, ale zawierają elementy gościnne (SDK) od tej samej firmy od reklam śledzących.</p>
  </li>
  <li>
    <p>każda z kopii programu łączy się przez internet ze swoimi twórcami…</p>
  </li>
</ol>

<p>…to zachodzi ryzyko, że <strong>programy zastosują profilowanie (ang. <em>fingerprinting</em>) i zorientują się, że są w rękach tej samej osoby</strong>. Co może być szczególnie groźne, gdyby choć jeden z nich ustalił ponadto dane osobowe.</p>

<p>Takie profilowanie jest możliwe dzięki temu, że dwie niezależne „nogi”, trzymane w rozkroku dzięki VM‑kowej izolacji, stykają się w fizycznej warstwie systemu.</p>

<p class="bigspace-before"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/maszyna_wirtualna_deanonimizacja.jpg" alt="Ponownie schemat pokazujący system Linux stojący na systemie Windows. Wszystko poza dwoma Firefoksami i&nbsp;warstwą dolną (fizycznym sprzętem) jest przyciemnione. Od obu programów do sprzętu prowadzą kolorowe linie, idąc następnie u&nbsp;ikonie internetu, a&nbsp;na koniec ku ikonie wszystkowidzącego oka." /></p>

<p class="figcaption">Źródła: jak wcześniej, plus ikony z serwisu Flaticon.</p>

<p>Niżej niepełna lista informacji, z których programy zamknięte w wirtualnych klatkach mogą zbudować nasz profil.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Uwaga
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Opisuję tu parę naprawdę wrednych metod, z którymi pewnie mało kto zetknie się w życiu. Bardzo proszę się nie zniechęcać i nie myśleć, że dbanie o prywatność jest trudne i bezcelowe. Analogia <em>erpegowa</em>: my tu expimy na smokach, żeby bezproblemowo kosić codzienne gobliny :wink:</p>
    
  </div>
</div>

<ul>
  <li>
    <p><strong>Język i strefa czasowa</strong></p>

    <p>Wiele osób, mimo że oddziela od siebie system realny i wirtualny, może dla wygody ustawić w nich prawdziwy język i strefę czasową. Dla szpicli to dobry sygnał uzupełniający, choć raczej nie główna metoda demaskowania – chyba że jesteśmy jedynym polskojęzycznym użytkownikiem z <a href="https://earthscience.stackexchange.com/questions/12504/least-populated-time-zones">najmniej zaludnionej strefy czasowej</a>.</p>
  </li>
  <li>
    <p><strong>Kamerka i mikrofon</strong></p>

    <p>W skrajnym przypadku każdy z programów mógłby uruchomić kamerkę, zrobić zdjęcie naszej gęby i wysłać je do swoich twórców. Algorytmy łatwo rozpoznają, że zarówno program A, jak i B (z VM‑ki) widziały tę samą osobę. I tożsamości powiązane, dzień popsuty.</p>

    <p>Ale to skrajność. W praktyce programy z VM‑ki, mając dostęp do kamerki, mogłyby zamiast tego sięgnąć do informacji o jej technicznych parametrach (stabilizacji, balansie bieli itd.). Analogicznie z mikrofonem.<br />
Ponownie: sygnał raczej niegroźny solo, groźny po połączeniu z innymi.</p>
  </li>
  <li>
    <p><strong>Hotspoty i internet</strong></p>

    <p>Różne tożsamości w różnych VM‑kach… Ale co z tego, jeśli łączą się z tym samym internetem?</p>

    <p>Najprostszą cechą łączącą tożsamości może być <a href="/internetowa_inwigilacja/2021/06/11/adres-ip.html" class="internal">adres IP</a>. Internetowy odpowiednik adresu pocztowego, nadawany w uproszczeniu przez hotspota, z którym się łączymy.<br />
Choć jest nieco bardziej zmienny niż adres nieruchomości, wciąż pozwala dojrzeć powiązanie: „różne programy, A i B, uruchamiane krótko po sobie, piszą do nas z tego samego IP! Być może mają tego samego użytkownika”.</p>

    <p>To może spróbujemy ukryć adres z VM‑ki za jakimś pośrednikiem (np. VPN-em), którego nie używamy poza nią? Istotnie, wtedy adresy byłyby inne. Ale ku przestrodze: nawet w skądinąd szczelnych przeglądarkach, jeśli nie zadbamy w ustawieniach o parę szczegółów, wścibscy podglądacze mogą czasem <a href="/internetowa_inwigilacja/2023/11/05/webrtc.html" class="internal">wymusić tryb wideokonferencji</a>, żeby dorwać prawdziwy adres IP zza pośrednika.</p>

    <p>Załóżmy, że to naprawiliśmy. Ale jeśli program w VM‑ce i program spoza niej mają możliwość sprawdzania aktualnych <a href="/apki/2023/07/15/sledzenie-lokalizacji.html#wi-fi" class="internal">hotspotów wokół nas</a> – czyli zarówno czytelnych nazw, jak <code class="language-plaintext highlighter-rouge">McD Hotspot</code>, jak i identyfikatorów BSSID – to łatwo powiążą tożsamości.</p>

    <p class="post-meta bigspace-after">Wyżej pisałem, że VM‑ka pomaga przy ukrywaniu systemowej <em>historii</em> połączeń z hotspotami. Tutaj mówię o czymś innym: danych napływających na bieżąco, gdy mamy łączność z siecią.</p>
  </li>
  <li>
    <p><strong>Procesor, karta graficzna, karta dźwiękowa…</strong></p>

    <p>Po pierwsze – programy mogą po prostu <a href="https://www.whonix.org/wiki/VM_Fingerprinting">zapytać</a>. Pewne ogólne informacje, jak te o procesorze (na Linuksie z pliku <code class="language-plaintext highlighter-rouge">/proc/cpuinfo</code>), są ujawniane na życzenie.</p>

    <p>Wspomniałem wcześniej, że programy mogą zmuszać komputer do wykonywania <em>benchmarków</em>, żeby ustalić, że zostały zamknięte w VM‑ce. Podobnymi testami mogą ustalić <strong>charakterystyczne cechy wyróżniające nasz sprzęt</strong>.</p>

    <p>Można powiedzieć, że elementy fizyczne mają swoje tiki. Jeden procesor szybciej rysuje kształty niż inny, a po osiągnięciu liczby X trójkątów następuje w nim skokowe spowolnienie. Karta dźwiękowa trochę „ścina na brzegach” i „spłyca scenę przy mocnych basach” (pozdrawiam twórczość audiofilską :wink: ).</p>

    <p>Do takich informacji <a href="/internetowa_inwigilacja/2022/06/10/fingerprinting.html" class="internal">sięgają nawet strony internetowe</a>, poprzez kod JavaScript. Mimo że przeglądarki narzucają na nie restrykcje i nie ujawniają zbyt wiele. Zainstalowane programy widzą jeszcze więcej, będąc bliżej systemu i sprzętu.</p>

    <p class="post-meta bigspace-after">Osoby zainteresowane tematem mogą znaleźć różne przykłady pod hasłem <code class="language-plaintext highlighter-rouge">hardware fingerprinting</code>.</p>
  </li>
</ul>

<h3 id="złośliwy-hardware">Złośliwy hardware</h3>

<p>Pokazałem wcześniej, że można „przelicytować” złośliwe programy chcące wniknąć do dolnej warstwy. Dać im miejsce w jądrze systemu, ale jedynie w tym wirtualnym, trzymając realne z dala od nich.</p>

<p>Ale w podobny sposób inni mogą przelicytować nas. <strong>Jeśli mają swojego „agenta” w warstwie fizycznej, to koniec gry, będzie on poza naszym zasięgiem</strong>. I może na przykład meldować złemu programowi, że chcemy go oszukać przez wirtualizację.</p>

<p>Tacy fizyczni agenci nie są niestety moim wymysłem ani straszeniem. We współczesnych urządzeniach układy z założenia odizolowane od użytkowników są na porządku dziennym.</p>

<p>Jednym z tego rodzaju układów jest <a href="/cyfrowy_feudalizm/2021/07/26/intel-management-engine.html" class="internal">Intel Management Engine</a>, czyli swego rodzaju „system u podstawy systemu”. Procesory Intela nie zadziałają, jeśli się nie uruchomi. A gdy już się uruchomi, to ma pełną władzę nad głównym systemem, dostęp do jego pamięci i każdej wykonywanej instrukcji.<br />
Na procesorach AMD jego odpowiednikiem jest Platform Security Processor.</p>

<p>Innym rodzajem tych elementów są mniejsze układy kryptograficzne, takie jak Trusted Platform Module. Wymagany przez nowego Windowsa.</p>

<p>Układy mogą dawać osobom z zewnątrz, jak twórcy wścibskich programów, bardzo silne gwarancje. Szczególnie wredna jest <strong>zdalna atestacja</strong> (omówiona krok po kroku <a href="/cyfrowy_feudalizm/2024/10/22/trusted-computing-kajdany.html" class="internal">w tym wpisie</a>; próba jej praktycznego użycia przez Google’a jest z kolei <a href="/google/2023/07/29/web-environment-integrity.html" class="internal">tutaj</a>).</p>

<p>Atestacja polega na tym, że ktoś może wysłać do fizycznego chipa pytanie o to, czy jest obecnie na realnym, niemodyfikowanym systemie. Odpowiedź z założenia zawsze będzie prawdziwa i niemożliwa do podrobienia – jest oznaczona cyfrowym podpisem, który może stworzyć wyłącznie element zamknięty w mikroukładzie.</p>

<p>Ogólnie można przyjąć taką regułkę: jeśli coś jest związane z fizycznym sprzętem, to żadne VM‑ki nas nie ocalą. Dokładanie górnych warstw nie pomoże przeciw wrogom siedzącym w fundamencie. Nawet gdyby sami nie zbierali danych, mogą przynajmniej donosić zbieraczom, że jest frajer do golenia.</p>

<h2 id="przykład-zżycia-proctorio">Przykład z życia: Proctorio</h2>

<p>Na koniec, po tych wszystkich rozważaniach, coś życiowego.</p>

<p>Kilka lat temu, za czasów pandemii, chwilowy <em>boom</em> przeżyły wszelkie formy pracy i nauki zdalnej. Jak nauka, to egzaminy. A na nich zdarza się ściąganie. Uczelniom nie było w smak, że nie mają jak mu zaradzić. <br />
Wówczas, wśród innych podobnych produktów, na scenę <em class="corr-del">całe na biało</em> weszło <strong>Proctorio</strong>. Dość inwazyjny program komputerowy analizujący, czy ktoś nie ściąga podczas egzaminu. Oceniali to m.in. na podstawie obrazu z kamerki internetowej i metod uczenia maszynowego (potocznie: AI).</p>

<p class="post-meta bigspace-after">Choć nazwa kojarzy się z <a href="https://pl.wikipedia.org/wiki/Proktologia">jelitami</a>, jej trzonem jest w istocie <a href="https://www.etymonline.com/word/proctor"><em>proctor</em></a>. W anglosferze nadzorowanie ludzi podczas egzaminów dotąd nazywa się <em>proctoringiem</em>.</p>

<p>Twórcy programu oczywiście przedstawiali swoje algorytmy jako niezawodne. Coś, w co każda szanująca się uczelnia powinna zainwestować. W praktyce dość szybko <a href="https://www.theverge.com/2021/4/8/22374386/proctorio-racial-bias-issues-opencv-facial-detection-schools-tests-remote-learning">odkryto</a>, że prawdopodobnie korzystali z darmowego pakietu OpenCV, nie wnosząc zbyt wiele innowacji.</p>

<p>Co gorsza, algorytmy potrafiły nękać negatywnymi opiniami osoby w jakikolwiek sposób nietypowe. Wyróżniające się <a href="https://www.theverge.com/2021/4/8/22374386/proctorio-racial-bias-issues-opencv-facial-detection-schools-tests-remote-learning">kolorem skóry</a>, zezem, rozbieganym wzrokiem, zwykłymi tikami polegającymi na błądzeniu wzrokiem… Proctorio potrafi(-ło) <a href="https://xcancel.com/Linkletter/status/1864165609824559139#m">przerwać ich egzamin</a> i oflagować ich zachowanie jako podejrzane, do oceny przez egzaminatorów.</p>

<p>Jeden z głośnych krytyków działań firmy, Ian Linkletter z kanadyjskiej uczelni, został przez nich pozwany po tym, jak udostępnił parę linków do ich filmików. Były rzekomo niejawne, więc firma oskarżyła go o naruszenie praw autorskich.</p>

<div style="margin-top:3em;margin-bottom:3em">
  <div class="subcontent-heading">
    <img src="/assets/creepy_emoji_small.svg" style="display:inline-block;padding-bottom:5px;height:25px;width:25px;vertical-align:middle" alt="" />
<span style="padding-left: 10px; padding-right: 15px">
Ciekawostka
</span>
  </div>
  <div class="bold-border" style="padding:10px;border-radius:0px 10px 10px 0px">
    <p style="margin-bottom:0px">Podobny zarzut wysunęła firma Newag wobec polskiej ekipy, która wykryła sztuczne, antykonkurencyjne blokady cyfrowe w ich pociągach. Stwierdziła, że przez pokazywanie screenów z krótkimi fragmentami kodu naruszają ich prawa autorskie.</p>
    
  </div>
</div>

<p>Walka Linklettera z Proctorio toczy się już kilka lat. Sąd w Kanadzie, wbrew rozumowi i godności człowieka, nie uznał pozwu Proctorio za SLAPP, czyli zastraszanie drogą prawną. Rozprawa będzie zatem musiała się odbyć, <a href="https://linkletter.opened.ca/">walka trwa</a>. Oburzeni mogą wesprzeć pana Linklettera.</p>

<p>Ogólnie: Proctorio i automaty oceniające nie budzą sympatii i wiele osób chętnie by im zagrało na nosie. Jednym ze sposobów byłoby właśnie uruchomienie programu pilnującego w VM‑ce. Żeby nasycić jego chęć dostępu do głębszych warstw systemu.</p>

<p>Tenże (wirtualny) system można otworzyć w oknie na jednej połowie ekranu. A na drugiej połowie, w oknie należącym już do pierwotnego systemu – notatki, z których coś można sobie czytać. Żadna aplikacja nie powinna być w stanie wychylić się z VM‑ki i dojrzeć, co ktoś porabia na prawdziwym systemie.</p>

<p>Nie pójdzie to raczej jak po maśle, bo Proctorio dobrze zna taką metodę obejścia. Na swojej stronie piszą, że ich program nie będzie działał w maszynach wirtualnych. Do tego aktywnie wykrywają ich istnienie i <a href="https://shkspr.mobi/blog/2021/11/proctoru-is-dystopian-spyware/">odmawiają działania</a>.</p>

<blockquote class="bigspace-before">
  <p>Maszyny wirtualne: jeśli w chwili łączenia się z nami twój program działa w maszynie wirtualnej, poprosimy cię o wyjście z niej i uruchomienie programu na twoim głównym systemie w celu podejścia do testu.</p>
</blockquote>

<p class="figcaption">Tłumaczenie moje.</p>

<p>Bardziej zmotywowane osoby mogłyby przeanalizować, na jakiej podstawie Proctorio wykrywa VM‑kę wokół siebie, i jakoś ją zamaskować. Swoją działającą konfiguracją mogą się potem dzielić z innymi. Taki wesoły, buntowniczy wyścig zbrojeń.</p>

<p class="figure bigspace-before"><img src="/assets/posts/inwigilacja/maszyny-wirtualne/proctorio.jpg" alt="Zrzut ekranu z&nbsp;Nittera pokazujący, jak jedna osoba pisze, że kiedyś omijali Proctorio z&nbsp;użyciem maszyny wirtualnej, a&nbsp;druga nieco w&nbsp;nią wątpi." /></p>

<p class="figcaption">Część Twitterka (tu wyświetlona przez <em>xcancel.com</em>) nie wierzy w studencki potencjał. Ja wierzę :smile:</p>

<h2 id="podsumowanie">Podsumowanie</h2>

<p>Maszyna wirtualna jest przydatnym narzędziem w prywatnościowym arsenale. Czymś w rodzaju drugiej tożsamości lub maski, którą na pewien czas zakładamy.</p>

<p>Ukrywa to, co nagromadziliśmy na głównym dysku, zapisane opcje i preferencje. Zamiast nich pokazuje proste, świeże, dość bezpłciowe oblicze. Jest idealna w przypadku, gdy chcemy u siebie zainstalować jakiś program, któremu nie do końca ufamy.</p>

<p>Zaczyna jednak nieco zawodzić w przypadku, gdy chcemy trzymać dwie tożsamości na jednym urządzeniu, a każda z nich wchodzi w interakcje z potencjalnym programem-podglądaczem.<br />
Istnieją metody pozwalające ustalić, że osoba A to tak naprawdę osoba B, kiedy obie VM‑ki są na tym samym kompie/laptopie. Jeśli bardzo nam zależy na rozdzieleniu tożsamości, to silniejsze gwarancje daje korzystanie z całkiem osobnego urządzenia i sieci.</p>

<p>Jeśli przeciwnik aktywnie próbuje wykryć VM‑kę – nawet przez proste testowanie wydajności – to rozpoczyna się wyścig zbrojeń. Być może jakoś przechytrzymy podglądacza, być może on nas. Ale na tym etapie VM‑ka przestaje być komfortowym rozwiązaniem dla codziennego użytkownika.</p>

<p>Życzę, żebyśmy jednak nie nadziali się na tak zdeterminowanych dziadów, a wirtualna maska skutecznie zasłaniała nasze prawdziwe oblicza. Pozwalając je zostawić dla tych osób, które na nie zasługują :smile:</p>]]></content><author><name></name></author><category term="Inwigilacja" /><category term="Podstawy" /><category term="Porady" /><summary type="html"><![CDATA[Jeden system zdradza zbyt wiele? To dorzućmy drugi.]]></summary><media:thumbnail xmlns:media="http://search.yahoo.com/mrss/" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/maszyny-wirtualne/maszyny-wirtualne-baner.jpg" /><media:content medium="image" url="https://www.ciemnastrona.com.pl/assets/posts/inwigilacja/maszyny-wirtualne/maszyny-wirtualne-baner.jpg" xmlns:media="http://search.yahoo.com/mrss/" /></entry></feed>