Наталья Касперская: Не торопитесь использовать свою биометрию!

Создание массовой биометрической системы грозит такими злоупотреблениями, что все до сих пор нам известное покажется детской игрой

Предположим, объясняет президент группы компаний InfoWatch Наталья Касперская, с помощью биометрии, которую гражданин сдал, например, в федеральной миграционной службе, кто-то другой произвел платеж в каком-нибудь банке. Кто будет виноват? «Ростелеком», миграционные службы, банк? Ответ: никто. Биометрия — это единая точка входа. «Как только я вижу единую точку входа для злоумышленников, у меня прямо мороз по коже», — заключает Касперская. При этом мы еще только начинаем догадываться о возможных угрозах. Например, еще два года назад дипфейки были отличимы от реальности просто на глазок, а сейчас их даже системы ИИ не отличают. Нет никакой гарантии, что кто-то воспроизведет любую биометрию из базы данных и станет ей пользоваться. Ни различить,  ни противостоять этому невозможно.

«Меня смущает больше всего единая биометрическая система»

— Наша гостья сегодня не нуждается в представлении. Наталья Касперская — председатель ассоциации «Отечественный софт», сооснователь «Лаборатории Касперского» и президент компании InfoWatch. Мы вновь пригласили вас, чтобы поговорить о том, что вами было сказано и было замечено. Вы призвали людей не торопиться со сдачей биометрических данных, поскольку никаких гарантированных мер защиты этих данных, как вы считаете, нет; как они в дальнейшем могут быть использованы злоумышленниками, мы тоже пока имеем слабое представление. Но вы немного против шерсти в данном случае идете, потому что нас повсюду к этому призывают, даже в метро: сфотографироваться и платить лицом.

— Да, это правда. Но вы знаете, я хочу тут сразу оговориться, я не против биометрии вообще, для каких-то использований биометрия действительно полезна. Ну, например, загранпаспорта, которые внедрены уже довольно много лет, и биометрические паспорта в целом показали свою эффективность. Я не знаю, как это будет работать в рамках всей страны, когда все паспорта внутренние переведут на биометрию, это отдельный вопрос, но меня смущает больше всего единая биометрическая система. Потому что не очень понятна модель использования, не очень понятно, куда эта биометрия [идет] и каким образом она будет передаваться.

Сам путь — в один конец, то есть ты сдал биометрию и все. Вот как ее оттуда извлечь? Вот, допустим, не хочу я больше, чтобы моей биометрией кто-то пользовался, как мне ее оттуда убрать? Это пока не разъяснено. А что касается самих биометрических данных, то, вообще говоря, хотелось бы увидеть модель угроз. Существующая модель угроз довольная куцая, она не отражает всех [опасностей].

Приведу пример самый простой. Обычно такие проповедники биометрических данных говорят, что это более надежные данные по сравнению со всеми другими. Предположим, у нас есть биометрические данные всех граждан страны, и мы можем выбирать тех граждан, которые нас особенно интересуют, и, получая видеопоток от этих граждан каким-то другим способом, например на улице, потому что это же общедоступные данные, мы же лицо свое носим на улице, а дальше подменять видеопоток.

— То есть нас в любой момент могут заснять, снять видео, записать речь?

— Записать голос, конечно.

— И затем создать то, что называется «дипфейком»?

— Да, создать двойника. И предъявить его, например, в банке или еще где-то, в какой-то системе. Ну, наверное, скорее всего, предъявлять будут там, где речь идет о больших деньгах, потому что пока это мероприятие относительно дорогое. Но и потом биометрия еще не для всех используется. Когда это будет повсеместное явление, как защищаться от «дипфейков»? То, что мы видели сейчас, биометрические системы, например Amazon и Microsoft, пробивались просто на раз-два.

— Я хочу немножко вернуться к терминам. Вы сказали, вас особенно беспокоит единая биометрическая система. Что это такое? Что такое единая, а что такое не единая, изолированная, наверное, противоположное слово по смыслу. Просто объясните, чтобы мы все поняли.

— Да, давайте разберемся. Значит, есть биометрическая система, которую собирает одно конкретное ведомство: например, МВД собрало данные на загранпаспорт, хранит их у себя и использует вот таким способом и никаким другим. Сбербанк отдельно собрал свою биометрию со своих клиентов и им оказывает услуги. А тут появляется некая единая система. О построении единой биометрической системы было заявлено, по-моему, год назад рамках цифрового развития и цифровизации экономики. Оператором назначен «Ростелеком», единая биометрическая система разрабатывается. Но модель ее использования такова, что все ведомства должны сдавать биометрию граждан туда, в эту систему.

Причем интересная коллизия возникает, кстати, знаете в чем? Что ведомство, с одной стороны, должно сдавать, а с другой стороны, согласно ФЗ-152, гражданин должен дать разрешение на использование своих персональных данных, а биометрия, безусловно, персональные данные. И получается, что ведомство без разрешения гражданина не может сдать биометрию этого гражданина. То есть получается, что каждый раз нужно запрашивать граждан, чтобы они все-таки давали разрешение на эту биометрическую систему. А дальше они будут каким-то образом использоваться, в том числе, как это написано в программе цифровой экономики, для предоставления третьим лицам, то есть неким третьим компаниям будет как-то что-то предоставляться, какие-то «агрегированные данные». Вообще непонятно, о чем идет речь.

— Скажите, пожалуйста, вот такая единая система создается ли? Как я понимаю, она еще не создается, только в проекте.

— 70 тысяч записей там уже есть.

— То есть у нас уже есть нормативная база, законы, и государственные ведомства, которые получили наши биометрические данные, по запросу уже обязаны туда передать эти данные?

— Да, вроде как обязаны. Но насчет законов тут я что-то сомневаюсь, потому что есть коллизии. И эти коллизии пока непонятно, как разрешать.

«Как только я вижу единую точку входа для злоумышленников, у меня прямо мороз по коже»

— А какова идеология, зачем [эта система] нужна? То есть я прекрасно понимаю, если это изолированная система, в которой, допустим, работает Сбербанк. Есть конкретные операции, которые могут пройти с биометрической аутентификацией, которую сам банк создал для данного типа операций, и он отвечает именно за эти операции с получением этих данных. Это ясно. Это система изолированная, и в ней ровно те данные, которые прописаны этим протоколом. Ну, предположим, это не «Сбер», а какой-нибудь МФЦ. Они сливают все полученное в единую базу. Зачем? В чем функционал, в чем идея? То есть изолированные базы понятно, там МВД взяло отпечаток пальца и сетчатку глаза — выдало мне загранпаспорт и больше ничего на данный момент. А в чем смысл универсальности?

— Вот, Илья, вы смотрите в корень, это как раз мой основной вопрос. Потому что когда определенное ведомство берет биометрию для определенных целей, то оно отвечает за это. Когда появляется некая другая структура, эта единая биометрическая система, и данные в нее попадают, во-первых, нет модели использования, это противоречит 152-ФЗ. Потому что в 152-ФЗ ясно написано: «Персональные данные гражданина могут использоваться только с четко заявленной целью», а в данном случае такой цели нет. Налицо явное противоречие. Второе, кто будет нести ответственность? Очень хороший вопрос.

Предположим, произошел какой-то инцидент.

С помощью биометрии, которую гражданин сдал где-то там Федеральной миграционной службе, кто-то произвел платеж в каком-нибудь банке. Человек произвел платеж через единую биометрическую систему, вот кто будет виноват? Будет виноват «Ростелеком»? «Ростелеком» скажет: «Я оператор данных, с меня какой спрос?» Миграционные службы скажут еще что-то. Банк скажет: «Мне клиент заплатил, вроде он сдавал биометрию, а может, не сдавал, и, может, это не его биометрия, кто-то с его биометрией что-то произвел вроде бы, но это не от нас, и утечка от нас не могла быть» — и все. И вот они все там стоят такие красавцы, и непонятно, кто будет нести ответственность. И третье, у нас появляется единая точка входа. Как только я вижу единую точку входа для злоумышленников, у меня прямо мороз по коже.

— Знаете, я бы сравнил так: бумажный паспорт нужно красть каждый по отдельности, из отдельного кармана, а здесь, так сказать, будет склад всех паспортов, вместе взятых, которые можно оптом заполучить. Если у злоумышленников это получится. А мы видим, что это получается часто.

— Понимаете, в чем дело: мы еще не знаем всех возможных видов угроз. Например, технологии «дипфейков» развиваются просто на наших глазах. Если два года назад делали фейки, которые видимым глазом отличались от реального персонажа, то сейчас уже делают такого качества, что даже системы не отличают. И пока никто в мире не знает, как бороться с «дипфейками». Пока это большая проблема — технологическая задача, которая не решена. И вот в этих условиях нерешенной технологической задачи мы бросаемся в этот мутный океан с непонятной нормативной базой, с непонятной ответственностью, с непонятной моделью угроз. То есть, может быть, нам все-таки сначала построить модель угроз, понять, кто за что будет отвечать, понять, какие могут быть сложности, и только после этого уже строить систему.

— А где сейчас применяются биометрические данные, кроме простейших [вариантов] вроде оплаты лицом в метро? Business FM в своем телеграм-канале, когда это запустилось, провела опрос и спросила: кто из вас готов ради удобства свою фотографию переслать в это приложение, поделившись своим фото с данным ресурсом, а кто не готов на такое удобство? 87%, оказывается, не готовы. Не знаю, как на практике это будет, удобство, возможно, победит. Но я бы, честно говоря, поделился, все равно наши фотографии есть уже везде.

— Наши фотографии, но не в привязке к деньгам. В данном случае, как только речь идет о платежной операции, вы сразу привязываетесь к деньгам. Мы в свое время делали эксперимент в InfoWatch, мы же профессионально занимаемся утечками данных, это наша специальность. Мы защищаем корпоративные утечки. Мы решили понять, есть ли возможность купить, например, московский видеопоток.

— Видеопоток — это камеры наблюдения?

— Да, камеры наблюдения за гражданами.

— То есть залезть туда, внедриться?

— Даже не внедрялись, вы что, мы не хакеры. Нет, мы пошли довольно простым путем. Можно ли где-то купить? Обратились через третьих лиц, чтобы нам продали. Взяли каких-то добровольцев, которые согласились на это, и запросили их данные. И что вы думаете? 3 тысячи рублей стоит ваше перемещение по Москве, и 1,5 тысячи рублей стоит камера на подъезде.

— Давайте объясним людям, где уже наши биометрические данные, может быть, простейшие, такие как фотография, обеспечивают доступ к карте.

— Ну, во-первых, банки. Банки сейчас стараются собирать биометрические данные и объясняют, что это удобно, объясняют, что это просто, объясняют, что это хорошо. Понятно, что я специалист по безопасности, поэтому любая идея выдать какую-то дополнительную информацию о себе мне претит. Но если банк берется нести ответственность, берется за обеспечение безопасности, берется гарантировать, что больше определенной суммы с помощью биометрии не списывается, ну, наверное, это может быть нормально. Я лично смотрела, как устроена система безопасности Сбербанка, они действительно заморочились, построили очень защищенную систему. Но от «дипфейка» она не защищает. Потому что если человек подменяет видеопоток, то они не могут это проверить, конечно же. Но они говорят, что у них таких инцидентов не было. Вопрос, как они об этом узнают, пока открытый.

— Как только появятся первые жертвы этой подмены?

— Видимо, должны быть жертвы, причем достаточно крупные. Но они сейчас боятся пока, и пока это не очень большие суммы, злоумышленникам не очень интересно. Риск высокий, суммы небольшие.

— И технологически трудно, не 1,5 тысячи рублей стоит?

— Технологически стоит дорого. И вот пока есть этот разрыв, это не очень интересно, и массовой подмены мы не наблюдаем. Но как только разрешат платить миллионами, ну, я просто уверена, что за миллионы там будут уже совершенно другие истории взлома.

— Почему? Можно миллион раз заплатить по рублю, потому что ведь автоматизированные операции тем и хороши, что они могут повторяться хоть каждую секунду.

— Ну, вот на этот случай как раз стоит блокировка распознавания таких автоматизированных операций, как раз этот сценарий у них отрабатывается. Вообще, понимаете, серьезный, большой банк может себе построить большую, серьезную систему защиты. И главное, что он понимает, от чего он защищает. Он берет ровно один сценарий: люди платят, платят так-то, и он за это несет ответственность. Возьмем теперь пример метро, метро явно не банк, у него другая специфика, оно должно перевозить пассажиров. Оно начинает заниматься не свойственной ему функцией. Кто несет ответственность за эти данные? А что будет, если чья-то биометрия потом утечет и кто-то снимет в том же Сбербанке [деньги], потому что биометрия сейчас пересекается, понятно, что клиенты банка в значительной степени те самые люди, которые входят в метро. Там утечет, что будет? Начинают возникать такие вопросы, на которые, по-моему, пока нет ответов.

— Главный вопрос: с чем связаны вообще все наши опасения? Они связаны с тем, что базы данных, в которых находятся эти биометрические данные, повсеместно уязвимы с точки зрения похищения этих данных, что есть структуры, люди, злоумышленники, которые могут этими данными завладеть, скачать, передать в умелые руки. А те умелые руки уже придумают, как эти чужие данные использовать. Скажите, а мы движемся хотя бы в сторону того, чтобы эту угрозу минимизировать? Или наоборот? Или забор вокруг базы данных построить не удается вообще?

— Это тяжелая тема. И да, и нет. С одной стороны, заборов становится все больше, то есть все больше придумывается систем защит для того, чтобы не происходили утечки. И этих утечек происходит все больше. Настолько больше, что сейчас это уже стало общим местом. И мы видим, что ситуация с утечками совершенно не улучшается, а только ухудшается. Цифровизация, конечно, здесь играет роль негативную, потому что с использованием удаленных средств общения, с использованием систем удаленного доступа, когда люди входят по паролям, эти пароли где-то хранятся. В данном случае я рассказываю внутрикорпоративный сценарий. Дальше эта база утекает, дальше этот пароль взламывается и так далее. Это прямо [всем известно].

Война уже проиграна

— Я хочу сказать, что мы на бытовом уровне чувствуем, что все это растет, потому что количество нежелательных звонков, причем людей, которые знают, как нас зовут, как к нам обращаться, что у нас есть, растет непрерывно, несмотря на то что этому давно объявлена война. Однако мы чувствуем в быту, что эта борьба проигрывается.

— Да-да. Илья, вы знаете, банковский форум был в Сочи буквально месяц назад, и там была как раз дискуссионная панель, посвященная информационной безопасности. Я была модератором, и я задала вопрос присутствующим в зале, а там было где-то около 200 человек, все банкиры: кому из вас позвонили банковские мошенники, пытающиеся похитить деньги? Весь зал поднял руки.

Ситуация с телефонными мошенничествами вообще катастрофична. А что такое телефонное мошенничество? Это утекшая база данных, где, как вы правильно заметили, люди знают имя, отчество, люди имеют какую-то основную базовую информацию о том, что у человека счет в данном банке, могут иметь информацию о кредитах, и дальше они начинают человека разводить. Причем они действуют очень толково, у них есть хорошо прописанные скрипты, то, что называется, они давят на срочность обычно, на какую-то остроту ситуации, ставят человека в тупик. Человек начинает теряться, путаться, и тут у него вынимают деньги. Но понимаете, там сценарий обычно какой — к сожалению, очень часто в хищении баз данных клиентов участвуют сами сотрудники данной организации.

— Казалось бы, что мешает их вычислить? Ведь все протоколы, все ходы наверняка записаны.

— Это зависит от уровня доступа. Если человек технический специалист, например работает системным администратором, то он контролирует любую систему.

— Включая и замок, включая и возможность отключить систему контроля?

— Ну да. Вот, например, у нас система защиты от утечек устроена как? Это мониторы, которые строятся на все каналы потенциальных утечек данных, и они мониторят все, что проходит, все данные, которые проходят. Но, вообще говоря, обладая правами доступа, ты можешь систему отключить или устроить видимый сбой, потом сказать: был сбой или пришлось ее отключить почему-то. А если ты делаешь несколько таких сбоев, во время одного из сбоев исчезает какая-то информация.

— В таком случае небольшой круг людей должен находиться под подозрением. Понятно, что это не доказательство, но это подозрение. Не так много людей могут что-то сделать на этом уровне, чтобы отключать системы внутреннего слежения.

— Да-да, но есть еще корпоративная честь мундира. Организация не хочет, как правило, выносить сор из избы, и даже если они вычисляют этого злоумышленника, который что-то украл, что бывает далеко не всегда, они стараются от этого человека избавиться, уволить его и все.

— Не заводя уголовного дела?

— Не заводя уголовного дела.

— Да, мы не знаем статистики судов. Мне кажется, что если бы впервые публично прошел суд, в котором обвинялся бы похититель базы данных, все СМИ слетелись бы это освещать.

— Нет, они были, их было не очень много, но это действительно какие-то обычно мелкие довольно случаи. А по крупным утечкам баз данных, которые были в прошлом году, я не видела. Мне тоже хочется спросить, где посадки? То есть мы довольно сильно не защищены с этой точки зрения.

Не знаешь, кто украл? Вали на русских хакеров!

— Вы как раз занимаетесь профессионально именно этой тематикой — защитой баз данных, поэтому хочется от вас какой-то прогноз услышать. Все идет к тому, что он довольно пессимистичный. Или хотя бы оценку, что вообще мы должны переделать в самом подходе ко всему этому процессу?

— Мы, конечно, все время изобретаем новые технические способы. Ну, например, мы включили дополнительную защиту от выключения нашего софта, фиксируем случаи выключения, но это не спасает от того, что систему можно просто отключить на какое-то время. Ну, зафиксируешь ты, что что-то отключилось… Мы пытаемся вставлять еще какие-то технические хитрости, для того чтобы не допускать этих утечек, но, понимаете, здесь это борьба щита и меча. Сейчас речь не идет о случайных утечках. Раньше мы как говорили? Что есть случайные утечки, когда человек по незнанию [ее устроил], а есть злоумышленные утечки. Вот о случайных утечках речь не идет, потому что случайные утечки DLP-системы практически на 100% перекрывают.

А вот злоумышленник, умный злоумышленник с техническими знаниями и еще с правами доступа — это очень сложный кейс. Да, мы придумываем новые способы защиты от утечек, но тут сидит злоумышленник хитрый, у которого есть ключ и который каждый раз придумывает разные способы обхода системы, а мы каждый раз придумываем новые способы защиты. И, к сожалению, атака гораздо дешевле, на порядок дешевле, чем защита. Потому что для атаки ты должен всего лишь одну маленькую дырочку найти, а для защиты ты должен придумать все возможные способы, все каналы перекрыть.

— По вашему опыту, чаще утечки происходят благодаря просто человеку, который внутри работает, или благодаря каким-то хакерским внедрениям через чьи-либо корпоративные компьютеры?

— Вы знаете, мы ведем базу утечек данных довольно давно, мы смотрим утечки, попавшие в публичное поле, и очень интересную заметили тенденцию, даже странную. Вот мы смотрим по англоязычному миру утечек, и там 70% от них совершаются по вине неизвестных хакеров.

— Как правило, русских, как пишется, неизвестных, но русских.

— А в России, наоборот, 70% по вине внутренних злоумышленников.

— Ну, понятно, русские хакеры не будут атаковать русские банки, они же патриоты, безусловно.

— Вы знаете, я думаю, что объяснение здесь гораздо более прагматичное.

— Я шучу, конечно, да.

— Объяснение такое: в англосаксонских странах, и в Англии, и в США есть законы, прямо наказывающие за утечку, причем там гигантские штрафы, поэтому им нужно от этой утечки как-то отнекиваться, поэтому они в любом случае, если есть какой-то малейший шанс спихнуть эту вину на кого-то, пытаются это представить так, что злые злоумышленники проникли во внутреннюю систему. На самом деле, я практически убеждена, в 90% случаев хищение информации используется при содействии внутренних сотрудников. То есть даже если утечка произошла по вине взлома, некоего стороннего взломщика, если покопаться, ты найдешь там внутреннего агента. Поэтому таких утечек, чтобы они происходили исключительно по вине каких-то загадочных русских хакеров, это из разряда сказок.

— Снаружи проникнуть гораздо труднее, чем открыть дверь изнутри?

— Конечно, снаружи сложно, это очень дорого, гораздо проще, если ты знаешь, как устроена система, какая система защиты стоит, а желательно, чтобы тебе просто вынесли информацию в кармашке на флешке или на чем-то еще. Хотя я все-таки, пользуясь случаем, скажу, что я считаю, что все равно надо ужесточать законодательство. Нам в стране обязательно надо ужесточать. Потому что если мы будем сидеть в этой ситуации, и ничего не делать, и никого не наказывать, и при этом мы будем строить бесконечно огромные системы хранения данных, у нас вообще все украдут.

По статистике Центрального банка, за прошлый год количество операций «без согласия клиента», а по-русски это воровство денег со счетов клиента, рост этого количества за год составил 52%. Ну, вы понимаете, это просто катастрофа какая-то, когда клиенты не могут отвечать, что у них завтра деньги не украдут. То есть категорически должна быть усилена уголовная ответственность за утечку данных. Может быть, ну хоть какие-то берега у людей появятся. Потому что сейчас, ну, даже если их ловят, ну и что? Он ушел из этой компании, перешел в другую и продолжает воровать.

Телефон твой — враг твой

— Я чуть более широко поставлю вопрос. Мы почти с этого начали, может быть, пора и какие-то общие выводы сделать. Использование данных вместо живого человека базируется на онлайн-операциях. Там, где приходит человек живьем, ставит живьем свою подпись со своим бумажным паспортом, в котором его фотография, если только это не фальшивый паспорт, бумажный паспорт нужно красть каждый по-отдельности, а электронные можно, когда они будут, украсть сразу много, [там проблем меньше]. Мы очень стремимся скорее сделать свою жизнь комфортнее, чтобы нам не надо было никуда ходить. Может быть, мы торопимся просто с этим и вскоре окажемся в полукатастрофической ситуации, потому что, судя по вашему рассказу, не успеваем контролировать ее?

— У нас катастрофический разрыв между средствами защиты и средствами цифровизации. Раньше было как, я начинала работать 25 лет назад в информационной безопасности: появляется новая угроза, через некоторое время компании пишут на нее защиту. Там новая технология, потом находятся уязвимости, находятся какие-то back doors, в этой технологии, пишем защиту и радостно защиту представляем. Сейчас ситуация выглядит не так. Появляются 100 новых технологий, в лучшем случае какие-то две-три защитили, все остальное без защиты, неизвестно как, и это катастрофа, понимаете, особенно интернет вещей.

Вот такая характерная тема, мы сегодня не об этом говорим, но тем не менее интернет вещей — это внедрение интернета во все устройства вокруг нас.

Большая часть этих новых систем идет без защиты, она не предусмотрена, ее планируют вставить когда-нибудь потом. А потом идет атака вируса Mirai, который заразил 30% камер в США и через эти камеры распространился огромным валом, устроил гигантскую DDOS-атаку на всю инфраструктуру США. Все схватились за голову: боже, что делать?! А выясняется, что там нет места, где шифровать информацию, оно в принципе не предусмотрено. Значит, нужно физически эти камеры вытащить и вставить новые, вот что происходит. Поэтому у нас сейчас этот разрыв только нарастает, мы такие отдельные маленькие стоим, а тут на нас идет гигантское цифровое цунами. Я, конечно, за то, чтобы притормозить до того, как это цунами всех накрыло и мы уже потом обломки бы собирали. А мотивация? Вы сказали — удобство. А нам настолько нужно это удобство?

— Люди стремятся к этому, конечно, это удобно. Нет, вообще, сидя на диване, ты можешь все, тебе привезут все вплоть до автомобиля или он сам приедет к тебе скоро.

— Послушайте, но лучше пойти походить, зачем все время сидеть на диване? Это же тоже неправильно, может быть, лучше ногами просто дойти куда-то, потому что в конце концов иначе мы окажемся в ситуации, когда просто все средства, информационные технологии, не дай бог, будут скомпрометированы, и мы перестанем вообще всему доверять. И дальше мы возьмем этот самый бумажный паспорт и пойдем пешочком в отделения, если они еще будут существовать.

— В том-то и дело, если они будут. У меня в конце очень простой, приземленный вопрос. А телефон, которым мы в том числе платим, это уже давным-давно делают все, очень простая операция, кстати, она, в общем-то, не подводит, но что лучше: иметь какой-то код для разблокировки или Face ID?

— Я против Face ID по той причине, что ваше ID будет храниться в операционной системе данного устройства, у производителя данного устройства, а также у тех приложений, которые будут иметь к этому доступ. А как эти приложения будут его использовать, вообще непонятно, потому что очень многие приложения получают доступ к информации на устройстве и вы не можете это вычислить.

— Да они почти все у меня имеют доступ к галерее, ко всем моим фотографиям все равно. Хотя я стараюсь везде ставить галочку «нет», но многие из них почему-то не хотят работать, если у них нет этого доступа, отказываются.

— Да, совершенно верно. Но одно дело, вы ставите галочку «нет», другое дело, вы используете это для идентификации. Для идентификации вам нужно сделать несколько фотографий с разных ракурсов и так далее, то есть, по сути, сдать биометрию, еще в один источник сдать биометрию.

— Телефон берет биометрию: и отпечаток пальца, и фотографию, а скоро, наверное, по голосу будет меня распознавать, тоже запишет, а потом, глядишь, каждое приложение, которое я скачаю и захочу пользоваться, попросит обязательно предоставить доступ. Как быть?

— Я надеюсь, что все-таки не обязательно, будет какая-то альтернатива хотя бы какое-то время. По крайней мере, мы должны, на мой взгляд, бороться за то, чтобы был разумный баланс между этим пресловутым удобством и каким-то сохранением приватности и безопасности. Как этот баланс соблюдать? Это сложная тема.